Les actions interdites par la 'Loi japonaise sur l'interdiction des accès non autorisés

La loi japonaise sur l’interdiction des accès non autorisés (nom officiel “Loi relative à l’interdiction des actes d’accès non autorisé”) a été promulguée en février 2000 (année 2000 du calendrier grégorien) et modifiée en mai 2012 (année 2012 du calendrier grégorien). Elle est actuellement en vigueur. Cette loi, qui comprend 14 articles, vise à prévenir la cybercriminalité et à maintenir l’ordre dans les communications électroniques.

“Loi relative à l’interdiction des actes d’accès non autorisé” (Objectif)
Article 1 Cette loi vise à interdire les actes d’accès non autorisé et à établir des sanctions et des mesures d’assistance par les commissions de sécurité publique des préfectures pour prévenir leur récidive, dans le but de prévenir les crimes liés aux ordinateurs effectués via les lignes de communication électronique et de maintenir l’ordre dans les communications électroniques réalisées par le biais de fonctions de contrôle d’accès, contribuant ainsi au développement sain de la société de l’information avancée.

Quels sont les actes spécifiquement interdits par la loi japonaise sur l’interdiction des accès non autorisés ? Quels sont les exemples concrets et quelles mesures devraient être prises en matière pénale et civile ? Nous expliquerons l’aperçu de la loi sur l’interdiction des accès non autorisés et les mesures à prendre en cas de préjudice.

Les actions interdites par la loi japonaise sur l’interdiction de l’accès non autorisé

La loi japonaise sur l’interdiction de l’accès non autorisé (Loi sur l’interdiction de l’accès non autorisé) interdit et punit principalement les trois actions suivantes :

• Interdiction des actes d’accès non autorisé (Article 3)
• Interdiction des actes favorisant l’accès non autorisé (Article 5)
• Interdiction des actes d’acquisition, de conservation et de demande d’entrée illégales des codes d’identification d’autrui (Articles 4, 6, 7)

Qu’est-ce qu’un acte d’accès non autorisé ?

Plus précisément, l’article 2, paragraphe 4, le définit comme des “actes d’usurpation d’identité” et des “actes d’attaque de failles de sécurité”. La loi japonaise sur l’interdiction de l’accès non autorisé interdit les actes d’accès non autorisé à l’ordinateur d’autrui.

Un “acte d’usurpation d’identité” est un acte où, lors de l’utilisation d’un fournisseur, vous devez entrer des codes d’identification tels que des ID et des mots de passe sur votre ordinateur, et à ce moment-là, vous entrez le code d’identification d’une autre personne sans son consentement.

C’est un peu difficile à comprendre, mais le “d’une autre personne” mentionné ici se réfère à des ID et des mots de passe qui ont déjà été créés (et utilisés) par une autre personne. En d’autres termes, un “acte d’usurpation d’identité” est, pour le dire simplement, un acte de “prise de contrôle” d’un compte, par exemple, d’un réseau social comme Twitter, qui est déjà utilisé par une autre personne.

En général, “usurpation d’identité” désigne l’acte de créer un nouveau compte en utilisant le nom et la photo de quelqu’un d’autre, et d’utiliser un réseau social comme Twitter en se faisant passer pour cette personne. Cependant, cela est différent. Nous expliquons en détail le sens de “usurpation d’identité” dans l’article ci-dessous.

https://monolith-law.jp/reputation/spoofing-dentityright[ja]

Un “acte d’attaque de failles de sécurité” est un acte qui attaque les failles de sécurité (défauts de sécurité) de l’ordinateur d’une autre personne et rend cet ordinateur utilisable. En utilisant des programmes d’attaque, etc., vous donnez des informations et des instructions autres que les codes d’identification à la cible de l’attaque, contournez la fonction de contrôle d’accès de l’ordinateur d’une autre personne et utilisez l’ordinateur sans autorisation.

Si vous commettez ces actes d’accès non autorisé, vous risquez une peine d’emprisonnement de trois ans ou moins ou une amende de 1 million de yens ou moins (Article 11).

Qu’est-ce qu’un acte favorisant l’accès non autorisé ?

Un acte favorisant l’accès non autorisé, qui est interdit par la loi japonaise sur l’interdiction de l’accès non autorisé, est un acte de fourniture à un tiers, sans le consentement de la personne concernée, de l’ID et du mot de passe d’une autre personne. Quel que soit le moyen, par téléphone, par e-mail, via une page d’accueil, etc., si vous dites à quelqu’un d’autre “L’ID de ○○ est ××, le mot de passe est △△”, etc., et que vous permettez à quelqu’un d’autre d’accéder librement aux données de quelqu’un, cela constitue un acte favorisant l’accès non autorisé.

Si vous commettez un acte favorisant l’accès non autorisé, vous risquez une peine d’emprisonnement d’un an ou moins ou une amende de 500 000 yens ou moins (Article 12, paragraphe 2).

En outre, même si vous fournissez un mot de passe sans connaître l’intention d’accès non autorisé, vous risquez une amende de 300 000 yens ou moins (Article 13).

Qu’est-ce qu’un acte d’acquisition, de conservation et de demande d’entrée illégales des codes d’identification d’autrui ?

La loi japonaise sur l’interdiction de l’accès non autorisé interdit les actes d’acquisition, de conservation et de demande d’entrée illégales des codes d’identification (ID, mots de passe) d’autrui.

Article 4 : Interdiction des actes d’acquisition illégale des codes d’identification d’autrui
Article 6 : Interdiction des actes de conservation illégale des codes d’identification d’autrui
Article 7 : Interdiction des actes de demande d’entrée illégale des codes d’identification d’autrui

Un exemple typique de ces actes interdits est l'”acte de demande d’entrée”, c’est-à-dire l’acte de phishing. Par exemple, en se faisant passer pour une institution financière, vous attirez la victime vers une fausse page d’accueil qui ressemble à s’y méprendre à la vraie, et sur cette fausse page d’accueil, vous faites entrer le mot de passe, l’ID, etc. de la victime.

Il y a de nombreux cas de fraude où les numéros d’identification obtenus par des actes de phishing sont utilisés pour des fraudes aux enchères, et où les dépôts sont transférés sans autorisation vers d’autres comptes.

Si vous commettez ces actes, vous risquez une peine d’emprisonnement d’un an ou moins ou une amende de 500 000 yens ou moins (Article 12, paragraphe 4).

Quelles sont les lois qui répriment les cybercrimes autres que les actes d’accès non autorisé ?

Ainsi, la loi japonaise sur l’interdiction de l’accès non autorisé est une loi destinée à répondre à certains types de ce que l’on appelle les “cybercrimes”. En ce qui concerne l’ensemble des “cybercrimes”, il peut y avoir des cas où d’autres lois, comme la loi sur l’obstruction des affaires par destruction de calculatrices électroniques, la loi sur l’obstruction des affaires par fraude, la loi sur la diffamation, etc., posent problème. Nous expliquons en détail l’ensemble des cybercrimes dans l’article ci-dessous.

https://monolith-law.jp/corporate/categories-of-cyber-crime[ja]

Les obligations de l’administrateur d’accès

La loi japonaise sur l’interdiction des accès non autorisés ne se contente pas de définir les actes d’accès non autorisés et les sanctions correspondantes, elle impose également des obligations à l’administrateur pour prévenir les accès non autorisés dans la gestion de serveurs et autres.

Mesures de défense par l’administrateur d’accès

Article 8 : L’administrateur d’accès qui a ajouté une fonction de contrôle d’accès à un ordinateur électronique spécifique doit s’efforcer de gérer correctement le code d’identification ou le code utilisé pour vérifier ce dernier par la fonction de contrôle d’accès, vérifier constamment l’efficacité de la fonction de contrôle d’accès, et s’efforcer de prendre rapidement des mesures pour améliorer cette fonction et d’autres mesures nécessaires pour protéger cet ordinateur électronique spécifique contre les actes d’accès non autorisés lorsque cela est jugé nécessaire.

Il est obligatoire de “gérer correctement le code d’identification”, de “vérifier constamment l’efficacité de la fonction de contrôle d’accès” et de “améliorer la fonction de contrôle d’accès si nécessaire”, mais comme il s’agit d’une obligation d’effort, il n’y a pas de sanctions pour avoir négligé ces mesures.

Cependant, si l’administrateur constate des signes de fuite d’identifiants ou de mots de passe, il doit immédiatement effectuer un contrôle d’accès, comme la suppression de comptes ou le changement de mots de passe.

Exemples de violation de la loi japonaise sur l’interdiction des accès non autorisés

Usurpation du compte Twitter d’un étudiant populaire auprès des filles

Un étudiant de troisième année de lycée (18 ans) de la préfecture de Hyogo a été arrêté le 30 janvier 2017 (année 2017 du calendrier grégorien) par la police de la préfecture de Hyogo pour suspicion de violation de la loi japonaise sur l’interdiction des accès non autorisés. Il est accusé d’avoir usurpé le compte Twitter d’un camarade de classe et d’avoir envoyé plus de 300 messages à des lycéennes en se faisant passer pour lui.

Il est soupçonné d’avoir saisi le mot de passe sur le serveur d’authentification du compte Twitter d’un étudiant populaire auprès des filles (18 ans) entre septembre et novembre de l’année précédente, d’avoir ouvert une session à 63 reprises et d’avoir envoyé des messages obscènes aux filles d’autres écoles qui suivaient le compte, comme “Montrons-nous nos corps” ou “Parlons de choses coquines”.

Accès non autorisé à Facebook et autres

Dans une affaire où une personne a été accusée de violation de la loi japonaise sur l’interdiction des accès non autorisés pour avoir répété des accès non autorisés à Facebook et autres et obtenu des informations personnelles, le tribunal de district de Tokyo a condamné l’accusé (29 ans) le 3 août 2016 (année 2016 du calendrier grégorien) à une peine de prison de deux ans et six mois. Il a été jugé coupable d’avoir accédé illégalement à Facebook et autres de sept femmes à 238 reprises. Cependant, compte tenu du fait qu’il n’a pas divulgué les informations qu’il a espionnées et qu’il n’a pas de casier judiciaire, la peine a été suspendue pendant quatre ans.

Obtention illégale d’informations sur les clients de l’entreprise où il travaille

Le tribunal de district de Tokyo a prononcé une peine de deux ans de prison le 12 novembre 2009 (année 2009 du calendrier grégorien) contre un employé de 45 ans qui était en charge du développement, de l’exploitation et du support des utilisateurs du système d’information de l’entreprise où il travaillait. Il a été reconnu coupable d’avoir obtenu illégalement et tenté de vendre des informations sur les clients détenues par l’entreprise et d’avoir volé des CD-R.

Il a été jugé impossible d’ignorer le fait qu’il a réalisé un bénéfice de près de 350 000 yens grâce à la vente des informations. Même en tenant compte au maximum du fait qu’il n’a pas de casier judiciaire et qu’il a été licencié par son employeur, il a été jugé impossible de suspendre l’exécution de la peine.

Condamnation à huit ans de prison pour un cybercriminel

Le tribunal de district de Tokyo a condamné un accusé (32 ans) à huit ans de prison le 27 avril 2017 (année 2017 du calendrier grégorien) pour violation de la loi japonaise sur l’interdiction des accès non autorisés, fraude par utilisation d’ordinateur, création et utilisation illégale d’enregistrements électromagnétiques privés, fourniture d’enregistrements électromagnétiques de commandes illégales et violation de la loi japonaise sur les ondes radio. Il a été reconnu coupable d’avoir obtenu illégalement les codes d’identification de plusieurs entreprises de banque en ligne en utilisant des e-mails de phishing et des virus de contrôle à distance, d’avoir effectué des connexions non autorisées et des transferts d’argent illégaux, et d’avoir obtenu des adresses e-mail en attaquant des bases de données et envoyé des virus de contrôle à distance pour les rendre exécutables.

Il a utilisé diverses méthodes pour mener des cyberattaques et, en outre, pour éviter la détection de ses crimes, il a utilisé des clés de cryptage obtenues illégalement pour se connecter à des points d’accès sans fil LAN d’autres personnes, parfois en passant par des serveurs intermédiaires pour cacher l’origine de la connexion, et a également changé l’adresse e-mail de contact avant les transferts d’argent illégaux. En outre, le préjudice financier causé par les transferts d’argent illégaux s’élève à plus de 5,19 millions de yens, et le fait qu’il a commis ces crimes peu de temps après avoir été libéré sous caution pour des crimes similaires a contribué à la lourdeur de la peine.

Il est à noter que dans certains cas, il est possible d’identifier le criminel à partir des e-mails qu’il a envoyés au cours de ce type d’attaque. Cependant, en général, cela est difficile au niveau civil. Nous abordons ce point dans l’article ci-dessous.

https://monolith-law.jp/reputation/email-sender-identification[ja]

Mesures à prendre en cas d’accès non autorisé

Si vous utilisez des services tels que les e-mails ou les réseaux sociaux, vous pouvez être victime d’accès non autorisé par des tiers. Dans ce cas, quelles mesures pouvez-vous prendre ?

Porter plainte au pénal

Tout d’abord, il est possible de porter plainte au pénal contre la personne qui a accédé illégalement à vos informations. L’accès non autorisé est un crime et la personne qui y a procédé peut être punie par la loi. Comme expliqué précédemment, la personne concernée peut être condamnée à une peine d’emprisonnement de trois ans ou moins ou à une amende de 1 million de yens ou moins. Si une personne a encouragé cet acte, elle peut être condamnée à une peine d’emprisonnement d’un an ou moins ou à une amende de 500 000 yens ou moins.

Il convient de noter que la violation de la loi interdisant l’accès non autorisé est un délit de plainte publique, ce qui signifie que la police peut commencer une enquête et arrêter le coupable même sans plainte. De plus, même si la personne qui a subi l’accès non autorisé ne porte pas plainte, toute personne qui a connaissance des faits peut dénoncer l’affaire à la police.

Comme mentionné dans un article précédent sur le délit d’entrave aux affaires, bien que les délits de plainte privée soient des crimes qui ne peuvent être poursuivis sans une plainte pénale de la part de la victime, cela ne signifie pas que vous ne pouvez pas porter plainte si ce n’est pas un délit de plainte privée. Même dans le cas d’un délit de plainte publique, la victime peut porter plainte contre le coupable.

Même s’il s’agit d’un délit de plainte publique, si la victime porte plainte au pénal, la situation du suspect peut s’aggraver et la peine peut être plus sévère. Si vous vous rendez compte que vous avez été victime d’un accès non autorisé, il serait bon de consulter un avocat et de déposer une plainte ou une déclaration de dommages à la police. Une fois la déclaration de dommages acceptée, la police procédera rapidement à l’enquête et pourra arrêter ou renvoyer le suspect.

Demande d’indemnisation civile

En cas de dommages dus à un accès non autorisé, vous pouvez demander une indemnisation civile à l’auteur sur la base de l’article 709 du Code civil japonais.

Code civil, Article 709
Quiconque porte atteinte aux droits d’autrui ou aux intérêts protégés par la loi, intentionnellement ou par négligence, est tenu de réparer les dommages qui en résultent.

Si l’auteur a accédé illégalement à vos informations et a diffusé les informations personnelles obtenues, a volé des objets dans un jeu social, a accédé à des données de cartes de crédit ou de comptes bancaires et a causé des dommages financiers, vous devriez demander une indemnisation pour les dommages. Bien sûr, si vos données de carte de crédit ou de compte bancaire ont été consultées et que vous avez subi des dommages financiers réels, vous pouvez également demander une indemnisation pour ces dommages.

Cependant, pour demander une indemnisation à l’auteur, il faut identifier le coupable et rassembler des preuves qu’il a réellement commis l’accès non autorisé, ce qui nécessite des connaissances spécialisées. Si vous êtes victime d’un accès non autorisé, il est nécessaire de consulter un avocat expérimenté dans les problèmes liés à Internet et de lui demander de prendre en charge la procédure.