Luxembourg court convicts defendant of extortion and computer fraud, granting suspended sentence with fine.

Jugt. 2816/2013 not.25923/09/CD

Ex.p./s. Etr.

AUDIENCE PUBLIQUE DU 31 OCTOBRE 2013

Le Tribunal d’arrondissement de et à Luxembourg, chambre correctionnelle, a rendu le jugement qui suit :

Dans la cause du Ministère Public contre

X.),

né le (…) à (…) (Algérie),

demeurant à B-(…), (…),

prévenu

___________________________________________________________________

FAITS :

Par citation du 14 août 2013, le Procureur d’Etat près le Tribunal d’arrondissement de et à Luxembourg a requis le prévenu de comparaître à l’audience publique du 14 octobre 2013 devant le Tribunal correctionnel de ce siège pour y entendre statuer sur les préventions suivantes :

tentative d’extorsion, fraude informatique.

A cette audience le vice-président constata l’identité du prévenu et lui donna connaissance des actes qui ont saisi le Tribunal.

Le témoin T1.), fut entendu en ses déclarations orales, après avoir prêté le serment prévu à l’article 155 du Code d’instruction criminelle.

Le prévenu, X.), fut entendu en ses explications et moyens de défense, lesquels furent plus amplement développés par Maître Sam RIES, avocat, en remplacement de Maître Philippe PENNING, avocat à la Cour, demeurant tous les deux à Luxembourg

Le représentant du Ministère Public, Gilles HERRMANN, substitut principal du Procureur d’Etat, résuma l’affaire et fut entendu en ses réquisitions.

Le Tribunal prit l’affaire en délibéré et rendit à l’audience publique de ce jour, date à laquelle le prononcé avait été fixé, le

J U G E M E N T q u i s u i t :

Vu les procès-verbaux SPJ-41/2009/JDA 7536.1-SCHL du 19 octobre 2009, SPJ- 41/2009/JDA 7536.3-SCHL du 20 octobre 2011 et SPJ-41/2009/JDA 7536.7-SCHL du 23 août 2012 dressés par la Police Grand-ducale, Service de Police Judiciaire, Section Nouvelles Technologies.

Vu l’instruction diligentée par le Juge d’instruction.

Vu l’ordonnance de renvoi n° 2921/12 rendue en date du 14 novembre 2012 par la Chambre du conseil du Tribunal d’Arrondissement de et à Luxembourg.

Vu la citation à prévenu du 14 août 2013 (not. 25923/09/CD) régulièrement notifiée.

Le Ministère Public reproche à X.) d’avoir, entre le 18 et le 20 octobre 2009 et notamment le 19 octobre 2009 à 14.37 heures, à 15.15 heures, à 15.44 heures et à

18.42 heures en Algérie et dans l’Arrondissement judiciaire de Luxembourg et notamment au siège de la société SOC1.) S.A. à Luxembourg, tenté d’extorquer de la part de la société SOC2.) S.A. la remise de la somme de 1.830 euros.

Le Ministère Public reproche encore à X.) d’avoir, dans les mêmes circonstances de temps et de lieu, contrevenu aux articles 509-1, 509-2 et 509-3 en accédant ou se maintenant frauduleusement dans le système informatique de SOC2.) S.A., d’avoir intentionnellement et au mépris des droit d’autrui, entravé ou faussé le fonctionnement de ce site et d’avoir intentionnellement et au mépris des droits d’autrui, directement ou indirectement, introduit des données dans ce site.

Les faits tels qu’ils résultent du dossier répressif et des dépositions du témoin T1.) peuvent se résumer comme suit :

En date du 19 octobre 2012, A.) en tant qu’administrateur-délégué de la société SOC2.) S.A. a porté plainte auprès de la Police judiciaire alors que le site internet www.SOC2.).com, hébergé auprès de la société SOC1.) S.A. avait fait l’objet d’une attaque.

En date du 18 octobre 2009, vers 18.00 heures, le plaignant a dû constater que la page d’accueil dudit site avait été modifiée par un tiers (« defacement ») et indiquait maintenant qu’une faille informatique aurait été décelée et qu’il y aurait lieu de prendre contact avec l’adresse email « (...)@live.fr ».

Le 19 octobre 2009, une personne francophone a pris contact avec la société SOC2.) S.A. à 6 reprises. Cette personne, appelant à partir d’un numéro ayant un préfixe algérien, a menacé de détruire toutes les données contenues sur le site internet www.SOC2.).com, à moins d’obtempérer à ses indications.

Le même jour, quatre emails ont été adressés à partir de l’adresse « (...)@live.fr » à SOC2.) S.A., lui enjoignant de payer 1.830 euros en menaçant de détruire l’ensemble des données contenues sur le site internet si cette somme n’était pas transmise.

Il ressort des éléments du dossier répressif qu’en effet une partie des informations contenues sur le site www.SOC2.).com avait été détruite mais que ces informations ont pu être rétablies par après.

Les recherches policières ont permis d’établir que la personne ayant registré l’adresse email « (...)@live.fr » avait indiqué comme prénom « mode (…).com » et comme nom de famille « (...) » et que l’adresse IP par laquelle la registration avait été effectuée était affectée au même opérateur que l’adresse IP par laquelle les attaques sur le site de la plaignant avait été effectuée, à savoir ALGERIE TELECOM.

Les services de la Police judiciaire ont permis d’identifier que les attaques sur le site et la destruction partielle et temporaire de données contenues sur celui-ci ont été effectuées à l’aide du procédé « SQL-injection ».

Une commission rogatoire internationale a été adressée par le Juge d’instruction aux autorités algériennes. Le résultat de cette commission rogatoire a été positif dans le sens où les adresse IP par lesquelles les attaques ont été commises sur le site d’SOC2.) S.A. ont pu être attribuées à un abonnement au nom de B.), exploitant d’un cybercafé en Algérie. Lors de l’audition de B.), celui-ci a indiqué qu’X.), une de ses connaissances, s’était comporté de manière douteuse alors qu’il avait parlé en public d’autres tentatives d’extorsion et s’intéressait fortement au piratage informatique.

Les recherches effectuées quant au numéro de téléphone algérien par lequel contact a été pris avec la plaignante ont permis d’identifier comme utilisateur X.).

X.) ayant quitté l’Algérie le 15 janvier 2010 vers la Belgique, un mandat d’arrêt international a été décerné contre lui. Ce mandat d’arrêt a été notifié au prévenu en date du 23 août 2012, date à laquelle son extradition au Luxembourg eu lieu.

Lors de son audition par la Police Grand-ducale en date du 23 août 2012, X.) nie toute implication dans les faits dont est actuellement saisi le Tribunal. Il indique ignorer tant l’adresse email « (...) » que le numéro de téléphone algérien.

Le procès-verbal de première comparution devant le Juge d’instruction en date du

24 août 2012 est d’une toute autre teneur alors que le prévenu est en aveu d’avoir utilisé l’adresse email « (...)@live.fr », d’être un administrateur du forum geeksecurity.com (prénom indiqué lors de la création de cette adresse email), d’avoir utilisé le numéro de téléphone algérien litigieux et d’avoir fréquenté le cybercafé de B.).

A l’audience, le prévenu est revenu partiellement sur ces déclarations.

En droit

1. Quant à la compétence ratione loci du Tribunal d’Arrondissement de et à Luxembourg

Avant d'analyser le fond des infractions reprochées aux prévenus, le Tribunal doit d'office examiner sa compétence territoriale. En effet, « en matière pénale, toutes les règles de compétence ont un caractère d'ordre public et impératif, ce qui signifie que (…) la juridiction doit, même d'office, soulever le moyen d'incompétence, dans le silence des parties. » (Roger THIRY, Précis d'instruction criminelle en droit luxembourgeois, T. I, no. 362 ).

La question de la compétence du tribunal correctionnel se pose au vu du fait qu’une partie des infractions reprochées au prévenu ont été commises en Algérie, soit la partie « technique » de l’infraction ainsi que l’envoi des mails et les entretiens téléphoniques.

La compétence internationale en matière répressive des tribunaux luxembourgeois est réglée par les articles 3 et 4 du Code pénal, ainsi que par les articles 5 à 7-4 du Code d'instruction criminelle.

L'article 4 du Code pénal instaure le principe que « l'infraction commise hors du territoire du Grand-Duché par des Luxembourgeois ou par des étrangers, n'est punie, dans le Grand-Duché, que dans les cas déterminés par la loi. » Roger THIRY (op. cit., no. 652) voit dans ce texte l'application « du grand principe de la territorialité de la loi pénale. » Ce principe souffre exception, d'après le Code d'instruction criminelle, dans les cas repris à l'article 5 du Code d'instruction criminelle ou pour les infractions visées aux articles 5-1 et 7 à 7-4 du Code d'instruction criminelle (Trib. Lux., 27 avril 2000, no. 997/00).

L'article 7-2 du Code d'instruction criminelle répute ainsi commise sur le territoire du Grand-Duché de Luxembourg « toute infraction dont un acte caractérisant un de ses éléments constitutifs a été accompli au Grand-Duché de Luxembourg. »

Il résulte du dossier répressif qu’au moins un acte caractérisant les infractions mises à charge d’ X.) a été commis au Luxembourg, soit la modification du site internet www.SOC2.).com et l’accès aux bases de données de la société SOC2.) S.A. respectivement de l’hébergeur SOC1.) S.A.. En outre, les menaces proférées contre SOC2.) S.A. ont été reçues au Grand-Duché de Luxembourg.

Le Tribunal d’arrondissement de et à Luxembourg, siégeant en matière correctionnelle, est donc compétent pour connaître des infractions libellées à l’encontre de X.).

2. Quant à l’extorsion

Le Ministère Public reproche à X.) d’avoir, entre le 18 et le 20 octobre 2009 et notamment le 19.10.2009 à 14.37 heures, à 15.15 heures, à 15.44 heures et à 18.42 heures en Algérie et dans l’arrondissement judiciaire de Luxembourg et notamment au siège de la société SOC1.) S.A. à Luxembourg, tenté d’extorquer de la part de la société SOC2.) S.A. la remise de la somme d’argent de 1.830 euros.

A l’audience du 14 octobre 2013, le prévenu conteste la prévention mise à sa charge par le Ministère Public.

Il fait valoir qu’il a appelé une seule fois la société SOC2.) S.A. dans le but de les avertir de la faille contenue dans leur système informatique et pour leur proposer, contre rémunération, de sécuriser ce système. Face au refus d’SOC2.) S.A., le prévenu aurait cessé tout contact avec cette société.

X.) indique en outre que le style des emails et la technique d’intrusion étaient telles que lui, en tant qu’expert informatique et disposant d’une formation universitaire, n’aurait pas pu être l’auteur ni de l’extorsion ni de l’intrusion.

Il ressort cependant des éléments objectifs du dossier répressif et des éléments qui précèdent, dont le résultat de la commission rogatoire adressée en Algérie, que c’est bien X.) l’auteur tant de l’attaque effectuée sur le site www.SOC2.).com que des appels et emails visant à obtenir le paiement de la somme de 1.830 euros.

L’article 470 du Code pénal stipule que celui qui aura extorqué par violences ou menaces, soit la remise de fonds, valeurs ou objets mobiliers, soit la signature ou la remise d'un écrit, d'un acte, d'une pièce quelconque contenant ou opérant obligation, disposition ou décharge sera puni des peines portées aux articles précédents, d'après les distinctions qui y sont établies.

L'extorsion se distingue du vol avec violences ou menaces en ce sens que si la victime remet elle-même, sous l'empire de la contrainte subie du fait des violences ou menaces exercées contre elle, l'objet convoité par l'auteur, il y a extorsion, tandis qu'il y a vol suivant l'article 468 si l'auteur appréhende directement l'objet, sans intervention de la victime, paralysée par les effets des violences ou menaces (R.P.D.B. v° extorsion, n° 59).

L’infraction d’extorsion requiert les éléments constitutifs suivants:

a) l’intention frauduleuse, b) l’emploi de violences ou de manœuvres, c) la remise de l’objet de la main de la victime a)

L’intention frauduleuse

Le délit d’extorsion exige que l’auteur ait agi de mauvaise foi, qu’il ait poursuivi la réalisation d’un but ou d’un gain illégitime.

En effet, X.) a indiqué devant le Juge d’instruction « A l’époque je m’amusais à trouver des failles dans divers systèmes informatiques. Par après j’ai essayé d’honorer mes recherches via des demandes d’argent adressées aux exploitants de systèmes en faille. Je faisais ça pour gagner de l’argent et pour subvenir aux besoins de ma famille. J’ai toujours travaillé seul. (…) »

Il ne fait donc pas de doute que cette condition se trouve établie, alors qu’il ressort clairement de cette déposition que le prévenu gagnait sa vie en utilisant le procédé qui lui est actuellement reproché.

b)

L’emploi de violences ou menaces

Une condition indispensable à l'application de l'article 470 du Code pénal réside dans l'exercice de violences ou menaces (cf. Gaston SCHUIND, Traité pratique de droit criminel, T.I, Des vols et des extorsions).

Pour déterminer si l’extorsion a été accompagnée de violences ou de menaces, il y a lieu de se référer aux définitions de l'article 483 du Code pénal.

L'article 483 du Code pénal entend par menaces tous les moyens de contrainte morale par la crainte d'un mal imminent.

Les actes de contrainte morale peuvent s'extérioriser par la parole, le geste ou encore l'écriture. La menace doit être de nature à dominer la résistance de la victime et il faut que la victime du vol ait l'impression qu'elle n'aura pas le moyen de recourir à l'autorité pour éviter l'accomplissement de la menace. Dans l'appréciation des menaces, il sera tenu compte des circonstances de l'âge, de la situation et de la condition des personnes menacées (cf. Gaston SCHUIND, Traité pratique de droit criminel, T.I, Des vols et des extorsions; Cour de Cassation, 25.03.1982, P. XV, p. 252).

En l’espèce il résulte des éléments du dossier et de la relation des faits par la plaignante que des menaces tant verbales qu’écrites ont été proférées.

c) La remise de l’objet

La chose extorquée doit consister, soit dans des fonds, valeurs, objets mobiliers, obligations, billets, promesses, quittances, soit dans la signature ou la remise d’un document quelconque, opérant obligation, disposition ou décharge (GOEDSEELS ; Commentaire du Code pénal belge, n° 2822).

En l’espèce le prévenu a tenté de se faire remettre la somme de 1.830 euros de la part de la société SOC2.) S.A.

Il y a en effet un commencement d’exécution de l’infraction d’extorsion alors que le prévenu avait appelé 6 fois et envoyé 4 emails à SOC2.) S.A., qu’il s’était ostensiblement procuré un accès sur le site de cette dernière en modifiant la page d’accueil et en enlevant certaines données et qu’il avait posé une demande de rançon à hauteur de 1.830 euros.

La tentative n’a manqué d’effet non pas par la volonté du prévenu mais par le fait que la victime n’a pas payé d’argent et a déposé plainte auprès de la Police Grandducale.

Il ressort de ce qui précède que l’infraction de tentative d’escroquerie est établie dans le chef d’X.).

X.) est ainsi convaincu :

« comme auteur ayant lui-même exécuté l’infraction, entre le 18 et le 20 octobre 2009 et notamment le 19 octobre 2009 à 14.37 heures, à 15.15 heures, à 15.44 heures et à 18.42 heures en Algérie et dans l’arrondissement judiciaire de Luxembourg et notamment au siège de la société SOC1.) S.A. à Luxembourg,

d’avoir tenté d’extorquer, par menaces, la remise de fonds, en l’espèce, d’avoir tenté d’extorquer de la part de la société SOC2.) S.A. le remise de la somme d’argent de 1.830 euros, en menaçant la même société, après avoir commis un premier accès frauduleux sur son système informatique, de lui détruire par un prochain accès tous les ses fichiers informatiques si cette somme d’argent n’était pas payée dans un certain délai »

2) Quant aux autres infractions

Le Ministère Public reproche encore à X.) d’avoir, entre le 18 et le 20 octobre 2009 et notamment le 19.10.2009 à 14.37 heures, à 15.15 heures, à 15.44 heures et à

18.42 heures en Algérie et dans l’Arrondissement judiciaire de Luxembourg et notamment au siège de la société SOC1.) S.A. à Luxembourg, contrevenu aux articles 509-1, 509-2 et 509-3 du Code pénal en accédant ou se maintenant frauduleusement dans le système informatique de SOC2.) S.A., d’avoir intentionnellement et au mépris des droit d’autrui, entravé ou faussé le fonctionnement de ce site et d’avoir intentionnellement et au mépris des droits d’autrui, directement ou indirectement, introduit des données dans ce site.

Il est établi au vu de ce qui précède qu’X.) a frauduleusement accédé et s’est maintenu dans le système informatique d’SOC2.) S.A. et plus précisément sur son domaine internet et ce à l’aide d’ « intrusions SQL ». Il y ainsi modifié la page d’accueil pour y insérer son propre texte.

Il est également établi que de ce fait il a faussé le fonctionnement du site internet www.SOC2.).com alors que les données qui y sont normalement affichées n’étaient plus accessibles au public.

X.) a en outre, au mépris des droits d’SOC2.) S.A., introduit des données (page d’accueil) et supprimé une partie des données qui étaient contenues sur ledit site.

Les infractions reprochées sub II) à IV) par le Ministère Public sont ainsi établies à suffisance de droit.

X.) est ainsi convaincu :

« comme auteur, ayant lui-même commis les infractions, entre le 18 et le 20 octobre 2009 et notamment le 19 octobre 2009 à 14.37 heures, à 15.15 heures, à 15.44 heures et à 18.42 heures en Algérie et dans l’arrondissement judiciaire de Luxembourg et notamment au siège de la société SOC1.) S.A. à Luxembourg, d’avoir frauduleusement accédé et de s’être frauduleusement maitenu dans un système de traitement et de transmission automatisé de données, avec la circonstance qu’il en a résulté la suppression et la modification de données contenues dans le système, en l’espèce, d’avoir frauduleusement accédé et de s’être frauduleusement maintenu dans le système de traitement et de tansmission automatisé de données de la société SOC2.) S.A., à savoir dans son domaine internet « www.SOC2.).com », avec la circonstance qu’il en est résulté la modification de données contenues dans l’index, respectivement sur la page d’accueil du domaine,

III. entre le 18 et le 20 octobre 2009 et notamment le 19 octobre 2009 à 14.37 heures, à 15.15 heures, à 15.44 heures et à 18.42 heures en Algérie et dans l’arrondissement judiciaire de Luxembourg et notamment au siège de la société SOC1.) S.A. à Luxembourg, d’avoir intentionnellement et au mépris des droits d’autrui, faussé le fonctionnement d’un système de traitement et de transmission automatisé de données

en l’espèce, d’avoir intentionnellement et au mépris des droits d’autrui entravé et faussé le fonctionnement du domaine internet de la société SOC2.) S.A. , à savoir www.SOC2.).com,

IV. entre le 18 et le 20 octobre 2009 et notamment le 19 octobre 2009 à 14.37 heures, à 15.15 heures, à 15.44 heures et à 18.42 heures en Algérie et dans l’arrondissement judiciaire de Luxembourg et notamment au siège de la société SOC1.) S.A. à Luxembourg, d’avoir intentionnellement et au mépris des droits d’autrui, directement introduit des données dans un système de traitement automatisé et supprimé les données qu’il contenait ;

en l’espèce, d’avoir intentionnellement et au mépris des droits d’autrui, directement, introduit des données dans le domaine Internet de la société SOC2.) S.A., à savoir www.SOC2.).com et d’avoir supprimé une partie des données qu’il contenait. »

Les infractions retenues à charge de X.) ayant été commises dans une seule intention frauduleuse, il y lieu de faire application de l’article 65 du Code pénal et de ne prononcer que la peine la plus forte.

La peine la plus forte est celle prévue par application combinée des articles 52, 77 et

470 du Code pénal. En effet, la tentative d’extorsion est punissable d’un emprisonnement de 3 mois à cinq ans et d’une amende facultative de 251 euros à 10.000 euros.

Au vu de la gravité des faits et de l’absence de repentir du prévenu, il y a lieu de le condamner à une peine d’emprisonnement de 18 mois ainsi qu’à une amende de 1.000 euros.

Le prévenu n’ayant pas d’inscription sur son casier judiciaire, il n’est pas indigne de toute clémence du Tribunal, de façon à ce qu’il y a lieu d’assortir la peine privative de liberté du sursis intégral.

P A R C E S M O T I F S :

la dix-huitième chambre du Tribunal d’arrondissement de et à Luxembourg, siégeant en matière correctionnelle, statuant contradictoirement, X.) et son mandataire entendus en leurs explications et moyens de défense, le représentant du Ministère Public entendue en son réquisitoire, c o n d a m n e X.) du chef des infractions retenues à sa charge, à une peine d’emprisonnement de DIX-HUIT (18) mois et à une amende de MILLE (1.000) euros, ainsi qu’au frais de sa poursuite pénale, ces frais liquidés à 29,57 euros, f i x e la durée de la contrainte par corps en cas de non-paiement de l’amende à VINGT (20) jours,

d i t qu’il sera sursis à l’exécution de l’intégralité de la peine d’emprisonnement, a v e r t i t X.) qu’au cas où, dans un délai de cinq ans à dater du présent jugement, il aura commis une nouvelle infraction ayant entraîné une condamnation à une peine d’emprisonnement ou à une peine plus grave pour crime ou délit de droit commun, la peine d’emprisonnement prononcée ci-devant sera exécutée sans confusion possible avec la nouvelle peine et que les peines de la récidive seront encourues dans les termes de l’article 56 al.2 du Code pénal.

En application des articles 14, 15, 16, 27, 28, 29, 30, 52, 65, 66, 77, 470, 509-1, 509-2, 509-3 et 509-4 du Code pénal et des articles 179, 182, 183, 184, 194, 195, 196, 626, 627, 628, 628-1 du Code d’instruction criminelle, articles qui furent mentionnés à l’audience par le vice-président.

Ainsi fait et jugé par Henri BECKER, vice-président, Christian SCHEER, premier juge, et Paul LAMBERT, juge-délégué, et prononcé en audience publique du jeudi,

31 octobre 2013 au Tribunal d’arrondissement de et à Luxembourg par Henri BECKER, vice-président, assisté de Vincent PEFFER, greffier assumé, en présence de Michèle FEIDER, substitut du Procureur d’Etat, qui, à l’exception de la représentant du Ministère Public, ont signé le présent jugement.