Escroqueries informatiques à Marbella

Le phishing en tant qu'escroquerie informatique (art. 248.2.a CP) : sans tromperie ni erreur

Le phishing — l'envoi de communications qui usurpent l'identité d'une entité de confiance afin d'obtenir les identifiants d'accès bancaire de la victime — ne relève pas de l'escroquerie traditionnelle de l'article 248.1 CP, laquelle exige une tromperie provoquant directement chez la victime une erreur déterminante de son propre acte de disposition patrimoniale. La jurisprudence a précisé la nature spécifique de cette figure :

« ...lorsque la conduite qui dépossède autrui, sans son consentement, de son patrimoine, est réalisée au moyen de manipulations du système informatique... l'on tombe sous le coup de la typicité de l'art. 248.2. »

Dans le phishing bancaire, la victime ne dispose pas consciemment de son patrimoine : ce sont les délinquants eux-mêmes qui, une fois les identifiants obtenus grâce à la tromperie initiale, accèdent directement au compte et ordonnent le virement non consenti. Cette distinction technique — l'absence d'acte de disposition volontaire de la part de la victime — emporte des conséquences pratiques importantes, notamment le régime de responsabilité quasi objective que la réglementation européenne des services de paiement impose aux établissements bancaires, tenus de rembourser immédiatement les sommes soustraites, sauf à démontrer une négligence grave du titulaire.

La figure du « mulero bancario » (mule bancaire) : escroquerie, blanchiment ou receptación

L'une des questions les plus litigieuses en cette matière est la qualification juridique de la personne qui, recrutée au moyen de fausses offres de télétravail, met à disposition son compte bancaire pour recevoir l'argent soustrait et le retransmet à l'étranger contre une commission — le « mulero » ou « cibermulero ». La jurisprudence a oscillé entre la qualification de cette conduite comme coopération nécessaire au délit d'escroquerie informatique, comme receptación (recel d'effets provenant d'une infraction, avec intention de profit personnel) ou comme blanchiment de capitaux, retenant majoritairement cette dernière figure, dans sa modalité par imprudence, lorsque la connaissance certaine de l'origine délictueuse de l'argent n'est pas établie, mais qu'il existe un soupçon raisonnable découlant des circonstances :

« ...en acceptant sur son compte une somme provenant d'une activité délictueuse, et en contribuant à la dissimuler en la transférant à une personne... elle se rend coupable d'un blanchiment par imprudence grave. »

Cette qualification entraîne une peine sensiblement inférieure à celle de l'escroquerie informatique, point que nous travaillons de manière systématique dans la défense de ceux qui interviennent au dernier maillon de ces réseaux sans connaissance réelle de l'ensemble du dispositif délictueux. L'absence totale d'indice de soupçon — lorsque l'offre de collaboration présentait une apparence raisonnablement licite — peut en outre exclure entièrement la responsabilité pénale.

Clonage et utilisation frauduleuse de cartes (art. 248.2.c CP)

L'article 248.2.c) CP sanctionne de manière autonome quiconque, en utilisant des cartes de crédit ou de débit, des chèques de voyage ou les données figurant sur l'un quelconque de ces supports, réalise des opérations de quelque nature que ce soit au préjudice de leur titulaire ou d'un tiers. Cette figure s'applique aussi bien au clonage physique de la bande magnétique ou de la puce de la carte au moyen de dispositifs de skimming, qu'à l'utilisation de données obtenues par d'autres moyens — y compris le phishing lui-même — pour effectuer des achats ou des retraits d'espèces sans le consentement du titulaire. L'Acuerdo del Pleno no jurisdiccional de la Sala Segunda del Tribunal Supremo (accord de séance plénière non juridictionnelle de la Deuxième Chambre du Tribunal Supremo, sans valeur de précédent formel mais suivi en pratique par les tribunaux) du 28 juin 2002 a confirmé l'application de cette figure indépendamment du fait que l'utilisation se produise dans des distributeurs automatiques, des terminaux de point de vente ou des plateformes de commerce électronique, dès lors que la connaissance de l'absence d'autorisation sur les données employées est établie.

Ransomware : entre le sabotage informatique et la cyberextorsion

Le ransomware — le chiffrement malveillant des systèmes ou des fichiers d'une victime, assorti d'une exigence de rançon pour leur libération — ne trouve pas de qualification spécifique dans le Code pénal, ce qui impose une qualification juridique complexe sur la base de figures déjà existantes. L'attaque elle-même — le chiffrement ou le blocage des données — constitue un délit de dommages informatiques au sens de l'article 264 CP, aggravé lorsqu'il cause des dommages d'une gravité particulière, affecte un nombre élevé de systèmes ou est exécuté au moyen d'un programme spécifiquement conçu à cet effet conformément à l'article 264 ter CP ; lorsque l'attaque vise à entraver le fonctionnement du système dans son ensemble, c'est l'article 264 bis CP qui s'applique. S'y ajoute, dans la mesure où l'attaque s'accompagne de l'exigence d'une rançon sous la menace de ne pas restituer l'accès aux données — ou, dans sa modalité de « double extorsion », de les diffuser publiquement en cas de non-paiement —, la possible concurrence d'un délit d'extorsion au sens de l'article 243 CP, en concurso medial (concours instrumental d'infractions, catégorie propre au droit pénal espagnol dans laquelle une infraction est le moyen nécessaire pour en commettre une autre) avec le délit de dommages informatiques. La qualification de ces faits comme sabotage informatique, comme escroquerie ou comme extorsion — chacune avec son propre régime pénologique et procédural — dépend de l'analyse technique détaillée du mécanisme exact de l'attaque, point que nous abordons avec l'appui de nos experts informatiques judiciaires dès la première diligence.