Ne pas tester le système d'autrui sans autorisation écrite : « par bonne intention » et « signaler après coup » ne sont pas des motifs d'exonération

Coût

Gratuit. Avant de participer à un SRC (安全应急响应中心, le centre de réponse aux urgences de sécurité d'un éditeur, qui reçoit les failles signalées de l'extérieur) ou à un test collectif, obtenez un document précisant le périmètre d'autorisation, la liste des cibles et les créneaux de test. Dès que la faille est confirmée, arrêtez-vous. La difficulté, c'est de renoncer au réflexe du « juste un petit test ».

Ce que vous y gagnez

Les systèmes informatiques des entreprises et des particuliers ordinaires ne relèvent ni des affaires d'État, ni de la défense nationale, ni des domaines de pointe des sciences et technologies. S'introduire dans un tel système, ou utiliser d'autres moyens techniques pour obtenir les données qu'il stocke, traite ou transmet, est puni, en cas de gravité, de jusqu'à 3 ans d'emprisonnement ou de détention, avec une amende cumulée à la peine ou prononcée seule ; en cas de gravité particulière, de 3 à 7 ans, avec amende. La « gravité » repose sur plusieurs critères : obtenir 10 ensembles ou plus d'identifiants de services financiers en ligne (paiement, règlement, transactions boursières ou à terme) ; obtenir 500 ensembles ou plus d'autres identifiants ; contrôler illégalement 20 machines ou plus ; des gains illégaux de 5 000 CNY ou plus, ou des pertes économiques de 10 000 CNY (1万元) ou plus. Au-delà de 5 fois ces seuils, c'est la « gravité particulière ». Exemple officiel : le cas type n° 36 publié par le Parquet populaire suprême (检例第 36 号) pose la règle suivante : « utiliser un compte ou un mot de passe au-delà du périmètre d'autorisation pour se connecter à un système informatique constitue une intrusion dans ce système ». Autrement dit, même si l'on dispose déjà des identifiants, les utiliser au-delà du périmètre autorisé est en soi une intrusion. Dans cette affaire, trois personnes ont utilisé les comptes, mots de passe et jetons acquis au travail pour se connecter à distance au système interne de leur entreprise, télécharger des données hors de leur périmètre de travail et les vendre en ligne, pour 37 000 CNY de gains illégaux (3.7万元). Elles ont été condamnées à 4 ans, 3 ans et 9 mois, et 4 ans, avec chacune 40 000 CNY d'amende (4万元) (à l'échelle nationale).

Remarques

L'affaire du cas type n° 36 est elle-même une affaire de vente de données à des fins lucratives. Je ne la cite que pour la phrase « se connecter au-delà du périmètre autorisé est aussi une intrusion », pas pour dire qu'un test de bonne foi serait puni aussi lourdement. Votre intention et le fait d'avoir signalé après coup ne peuvent pas annuler l'infraction ; ils peuvent seulement influer sur la gravité de la peine et sur les poursuites. Remercier le fabricant puis le signaler aux autorités ne se contredisent pas, mais remercier n'équivaut pas à une autorisation. En 2016, un « hacker éthique » (白帽子) a soumis une faille du site de rencontres Jiayuan (世纪佳缘) à une plateforme tierce de failles ; le site a ensuite porté plainte et ce hacker a été arrêté. Jiayuan a déclaré aux journalistes que la plainte visait un vol de données, sans savoir sur le moment que la personne qui avait pris les données était celle qui avait signalé la faille. Cette affaire n'a été relayée que par les médias : aucun jugement ni communiqué officiel n'a été publié, et son issue n'est pas connue officiellement. Je n'ai trouvé sur les sites officiels de la Cour populaire suprême et du Parquet populaire suprême aucun cas de test de bonne foi vérifiable mot à mot ; ce point est donc classé uniquement sur la base des textes et des seuils de sanction. Pour agir, passez par un SRC public du fabricant ou par une évaluation écrite, avec le périmètre, les cibles et les créneaux inscrits dans le document. Pour prouver une faille, utilisez le minimum de preuves et n'extrayez pas de données en masse. Pour les faits qui n'atteignent pas le seuil pénal, les sanctions administratives (治安处罚) s'appliquent, avec une interdiction d'exercer ; le montant de l'amende et la durée sont les mêmes que dans §11.8 (ne pas faire tourner ses propres programmes sur les machines d'autrui). Pour la suite à donner à une faille découverte, voir §11.10 (signaler les failles selon les règles).

Niveau de preuve

A : Chiffres précis tirés de méta-analyses, de grandes cohortes ou d’essais randomisés ; pour les lois et politiques, le texte officiel.

Sources

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）
3. 最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml
4. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）

Traduit de l’original chinois. Livre original, section 11, conseil 9. Cette section décrit des règles juridiques, surtout celles de la Chine continentale. Ce sont des informations générales, pas un conseil juridique. Le contenu peut être dépassé et les règles varient selon les lieux. Pour une démarche, un rendez-vous médical ou un procès, suivez ce que disent l’administration, le médecin ou l’avocat. Avertissement