En amont du Forum International de la Cybersécurité de Lille, la Gendarmerie Nationale a ouvert les portes de ses bureaux d'Arras en charge du département du Pas-de-Calais.
Une activité ciblée sur la recherche de preuve
Installée dans un hôtel particulier du 17e siècle, la gendarmerie a su s'adapter aux outils du 21e siècle. Avec elle, l'internet n'est pas un espace de «non-droit». Pour expliquer son activité, l'adjudant-chef Laurent Frappart, en charge de la brigade des quatre Ntech du Pas-de-Calais (les cybergendarmes d'Arras), montre son matériel : un portable Dell de dernière génération doté d'un nombre incalculable de connecteurs. «Dans la majorité des enquêtes, nous sommes requis pour la recherche de preuves ou d'indices à partir des équipements détenus par les suspects. En général, nous n'avons que 24 ou 48 heures pour faire la preuve des agissements des personnes inculpées. On doit être très réactifs. On dispose d'un grand nombre de logiciels qui nous permettent d'éplucher tous les supports magnétiques du marché, quels que soient les systèmes d'exploitation. De plus en plus, nous intervenons sur des smartphones qui disposent d'informations extrêmement utiles comme la géolocalisation. Les voleurs et les trafiquants oublient souvent de le désactiver et cela nous permet parfois de suivre facilement leurs activités passées. Ainsi la semaine dernière nous avons pu récupérer un iPhone avec des photos horodatées et prises dans les différentes villes qu'un trafiquant de drogue avait visitées. Dans la recherche de preuves de culpabilité, on a souvent des personnes qui nous déclarent avoir passé la soirée sur leur ordinateur. Avec une étude approfondie de leur accès internet, on peut vérifier une partie de leur emploi du temps. On disculpe des personnes mises en cause, très souvent».
Des relations difficiles avec certains réseaux sociaux
Interrogé sur les relations qui existaient avec les différents opérateurs de réseaux sociaux, l'adjudant Laurent Frappart est assez réservé : «Depuis l'affaire Prism, Facebook et Twitter ne nous aident plus du tout. Il faut une commission rogatoire internationale ou une enquête sur un meurtre pour qu'ils daignent réagir. Google est plus coopératif.»
La gendarmerie d'Arras travaille en collaboration étroite avec le service dédié aux atteintes aux mineurs. «On collabore avec l'adjudant Céline Cuvillier, spécialiste de la protection des mineurs. Elle réalise de très nombreuses actions de prévention et d'information dans les écoles. Celle-ci nous a rappelé que l'internet est récent et les parents, surtout dans les milieux défavorisés, n'ont souvent aucune idée de ce qui s'y passe et ils sont désarmés face à ces nouveaux outils qu'ils ne connaissent pas»
Une obsession : ne pas abîmer les preuves magnétiques
L'adjudant-chef précisait que toutes les opérations sont effectuées dans le cadre de procédures très figées. Ainsi les supports magnétiques sont d'abord mis sous scellés, dupliqués sans être modifiés, analysés, et les informations les plus utiles sont extraites. La conservation des originaux est fondamentale pour la validité des preuves. «On a désormais des smartphones qui peuvent contenir des milliers de SMS et des centaines de photos, précise le gendarme. Il nous faut trouver rapidement l'information essentielle dans des milliers de fichiers parfois, heureusement nous utilisons des logiciels de filtrage efficaces. On remet à la justice la plupart du temps des CD-ROM car les documents de nos rapports imprimés feraient parfois plusieurs centaines de pages.»
Le Cyberespace est le reflet du monde réel
Pour répondre aux requêtes du parquet, l'adjudant-chef Frappart montre sur le mur de son bureau la liste des articles du code pénal les plus courants. On retrouve sur Internet la plupart des menaces et des crimes qui existent dans la réalité quotidienne : tentative de vols, usurpation d'identité, menaces de mort, les atteintes aux bonnes mœurs , la liste est malheureusement infinie. «Dans le domaine des PME, l'une des menaces les plus récentes est bien sûr le vol de fichiers stratégiques ou les menaces de destructions de fichiers devenus inaccessibles pour les utilisateurs. Récemment nous avons eu le cas d'une société qui a subi une tentative de rançon pour une comptabilité soudainement chiffrée. Le plus difficile a été de déterminer la source. On dispose heureusement d'outils pour retrouver les adresses IP qui nous mènent souvent à l'étranger.»
Plus couramment, la brigade a eu à constater des incursions sur des serveurs SIP de téléphonie qui avaient été utilisés à l'insu de leur propriétaire. Il n'y a pas longtemps, une école fermée pendant les vacances scolaires s'est retrouvée avec une note de 9000 euros de téléphone inexplicable. Interrogé sur les logiciels et les moyens pour créer des fichiers de personnes dangereuses, l'adjudant Frappart est catégorique. «On ne crée pas nous-mêmes de listes de personnes à partir de nos enquêtes. Bien sûr si l'on trouve, et cela arrive, des fichiers importants liés à la drogue ou à l'exploitation des enfants, on transmet les informations à la justice et nous rapportons les faits aux services de gendarmerie spécialisés. Mais nous ne pouvons, la Cnil nous l'interdit, créer des fichiers, de notre propre initiative, de suspects à partir de dossiers. Chaque affaire est un dossier indépendant. Bien sûr au niveau local, on finit par identifier des récidivistes mais la vie des internautes n'est pas espionnée de manière systématique. On ne surveille pas tout le monde comme peuvent le faire Prism ou d'autres. Nous respectons les libertés individuelles. Seuls les délinquants sont la cible des cybergendarmes du Pas-de-Calais.»
A qui parlent les cybergendarmes ?
La Gendarmerie d'Arras est en relation permanente avec «Rosny», le surnom de l'IRCGN qui compte actuellement 249 personnes, dont la moitié de sous-officiers de gendarmerie, un quart d'officiers et une trentaine de personnels civils (ingénieurs, techniciens et administratifs). L'Institut de recherche criminelle de la gendarmerie nationale (l'IRCGN) était connu auparavant sous le nom de Section technique d'investigation criminelle de la gendarmerie (STICG), Elle est chargée des aspects scientifiques des investigations. Basée à Rosny-sous-Bois, la STIC a été créée en 1987, suite à l'affaire du meurtre de Grégory Villemin. A l'époque de l'affaire Grégory, la gendarmerie locale et le SRPJ (le service régional de la police judiciaire) s'étaient renvoyé la balle sur la faiblesse des premières analyses de l'enquête. Les pouvoirs publics prenant conscience des insuffisances de l'investigation criminelle de la gendarmerie avaient donc créé le sixième laboratoire français de police scientifique à côté des 5 laboratoires de la police nationale déjà existants. Les 6 laboratoires constituent la base de l'Institut National de Police Scientifique (INPS).
Qui sont les Cybergendarmes d'Arras ?
Pour protéger 600 000 personnes dans les 774 communes du Pas-de-Calais, ils ne sont que quatre officiers de police judiciaire à se concentrer sur les cybercriminels. « En 2013, nous avons traité 330 dossiers contre 260 en 2012 », précisait l'adjudant -chef Frappart en charge de ce service. Formés à l'Université de Troyes depuis 2004, ces cybergendarmes, appelés couramment les Ntech, sont en France plus de 250, répartis dans tous les départements. Ils sont accompagnés par près de 1000 correspondants informatiques.
Au niveau national, c'est le pôle judiciaire de la gendarmerie nationale (PJGN) par sa division de lutte contre la cybercriminalité (la DLCC) qui coordonne les missions d'investigation sur les réseaux tout en assurant une veille permanente. Elle est à même d'effectuer des enquêtes d'initiatives, d'identifier les suspects puis de procéder aux interpellations et perquisitions nécessaires. Mais dans la plupart des cas, ces procédures sont transmises aux unités localement compétentes. C'est donc le cas de nos quatre gendarmes installés dans les dépendances d'un hôtel particulier.
Les outils des cybergendarmes
Les analyses juridico-informatiques progressent sans cesse. Les personnels de la police technique et scientifique effectuent des analyses et des expertises à la demande d'enquêteurs et de magistrats. Installée à Ecully, une bourgade proche de Lyon, la sous-direction de la police technique et scientifique effectue le plus d'enquêtes. Elle dépend de la direction centrale de la police judiciaire au sein de la direction générale de la police nationale. Son activité repose sur trois domaines principaux : l'analyse des traces et indices, la documentation criminelle et la formation.
Les applications dites de eDigital Forensics pour la recherche de preuves lors des enquêtes sont très variées. Mais l'utilisation la plus commune de ces outils est d'abord de soutenir ou de réfuter une hypothèse devant les juridictions pénales ou civiles. Les outils de Forensics sont aussi régulièrement utilisés dans les enquêtes internes d'entreprise ou lors de tests d'intrusions extérieures (une sonde de spécialiste dans la nature et l'étendue d'une intrusion non autorisée au réseau).
Des proxy pour tester les sites web
Les experts en sécurité disposent également de nombreux logiciels pour tester les sites web parmi lesquels Paros Proxy, Burp Suite et WebScarab. Ces derniers sont des logiciels de type proxy qui vont émuler le navigateur pour tester des actions sur des services Web. Des extensions de sécurité s'intégrant aux navigateurs (Chrome, Internet Explorer, Firefox ou Safari), ils permettent également de réaliser des tests d'intrusion rapidement et de générer des rapports en peu de temps.
Chez les gendarmes, l'aspect technique de l'enquête informatique est divisée en plusieurs sous-branches, concernant le type de dispositifs numériques concernés; l'analyse des différents supports informatiques, l'analyse de l'utilisation du réseau local et des accès internet, l'analyse des empreintes sur les appareils mobiles, des données médico-légales. Le processus judiciaire typique comprend généralement la saisie, l'imagerie médico-légale (les empreintes), l'analyse des médias numériques et la production d'un rapport sur les preuves recueillies. )
Les enquêtes informatiques sont longues
Si les éléments de preuves directes d'un crime ne peuvent être souvent attribués à des suspects spécifiques, ils servent la plupart du temps à confirmer des alibis ou des déclarations. On peut aussi déterminer l'intention des suspects ou du moins leur niveau de préméditation. On s'en sert pour identifier les sources (par exemple, dans le cas de copie ou de vols de documents officiels et la gestion des droits d'auteur), ou authentifier des documents. Les enquêtes informatiques sont généralement beaucoup plus longues que celles des autres domaines judiciaires comme l'analyse médico-légale (où le but est d'habitude d'apporter des réponses à une série de questions simples), ce qui implique des échéanciers souvent incompatibles avec des durées d'enquêtes limitées. Les hypothèses complexes sont généralement incompatibles avec la bonne marche des services car chaque heure investie par la police doit être attribuée à un dossier. Big Brother is watching you, mais il regarde aussi sa montre pour limiter les dépenses
Pourquoi se rendre dans le Pas-de-Calais ?
Outre le Forum international de la cybersécurité, le FIC de Lille, il faut pour comprendre le contexte de la communication de la gendarmerie nationale, dans le Pas-de-Calais, se souvenir du dossier de pédophilie d'Outreau, ville proche de Boulogne. Le drame qui avait éclaté en février 2001 et défrayé la chronique durant 4 années, avait abouti à un fiasco judiciaire, après deux procès aux Assises en 2004 et 2005. Si les méthodes de la Justice, trop à l'écoute des plaignants, avaient été remises complètement en cause, on reprochait aussi à la police de ne pas avoir fait son travail de garde-fou. Car dans un groupe d'enquête, les fonctionnaires échangent leurs informations et les confrontent. Personne ne devrait travailler dans son coin. Et si le doute s'insinue sur la culpabilité des suspects ou sur les méthodes d'instruction, les fonctionnaires ont le devoir d'alerter les magistrats, mais aussi leur hiérarchie.
A l'époque, où la lente démarche de la justice paraît un handicap à bon nombre de policiers et de gendarmes, l'analyse informatique offre un outil incomparable pour procurer des preuves rapidement.
