Court convicts defendant of attempted fraud for phishing emails seeking email passwords.

Jugt no 630/2008

1exp/s.

AUDIENCE PUBLIQUE DU 21 FEVRIER 2008

Le Tribunal d'arrondissement de et à Luxembourg, chambre correctionnelle, a rendu le jugement qui suit :

Dans la cause du Ministère Public contre

X.)

né le (...) à (...)

demeurant à L-(...), (...)

- p r é v e n u -

F A I T S :

Par citation du 30 novembre 2007 le Procureur d'Etat près le Tribunal d'arrondissement de Luxembourg a requis le prévenu de comparaître à l'audience publique du 24 janvier 2008 devant le Tribunal correctionnel de ce siège pour y entendre statuer sur les préventions suivantes:

Tentative d’escroquerie ; infractions aux articles 509-1 et 509-6 du Code pénal

A l'audience du 24 janvier 2008, la vice-présidente constata l'identité du prévenu X.) et lui donna connaissance de l’acte qui a saisi le Tribunal.

Le témoin T1.) fut entendu en ses déclarations orales après avoir prêté le serment prévu à l’article 155 du Code d’instruction criminelle.

Le prévenu X.) fut entendu en ses explications et moyens de défense, lesquels furent plus amplement développés par Maître Michel KARP, avocat à la Cour, demeurant à Luxembourg.

Le représentant du Ministère Public, Filipe RODRIGUES, attaché de justice, résuma l'affaire et fut entendu en son réquisitoire.

Le Tribunal prit l'affaire en délibéré et rendit à l'audience publique de ce jour, date à laquelle le prononcé avait été fixé, le j u g e m e n t qui suit:

Vu la citation du 30 novembre 2007 régulièrement notifiée au prévenu X.).

Vu le rapport numéro FAC 1632/2 de la Police Grand-Ducale, Service de Police Judiciaire, Section Nouvelles Technologies du 27 mars 2006.

Le Parquet reproche à X.), depuis un temps non prescrit et notamment en date du 4 novembre 2006 dans l’arrondissement judiciaire de Luxembourg, et notamment à Luxembourg, (...), d’avoir tenté de se faire remettre les mots de passe de boîtes de courrier électronique ouvertes auprès de l’Entreprise des Postes et Télécommunications, en envoyant à une cinquantaine d’adresses électroniques un courrier fournissant aux titulaires de ces adresses email un guide pour accéder frauduleusement aux mots de passe de boîtes de courrier électronique et les invitant d’envoyer à l’adresse email ptpasswordreminder@pt.lu, dont était titulaire le prévenu, entre autre leur propre adresse email, suivi de leur mot de passe afférent.

Il lui est encore reproché d’avoir dans les mêmes circonstances de temps et de lieux, tenté frauduleusement d’accéder à des boîtes de courrier électronique ouvertes auprès de l’Entreprise des Postes et Télécommunications, notamment en envoyant à une cinquantaine d’adresses électroniques un courrier fournissant aux titulaires de ces adresses email un guide pour accéder frauduleusement aux mots de passe de boîtes de courrier électronique et les invitant d’envoyer à l’adresse email ptpasswordreminder@pt.lu, dont était titulaire le prévenu, entre autre leur propre adresse email, suivi de leur mot de passe afférent.

Il résulte de l’instruction menée en cause et des déclarations du témoin à l’audience qu’en date du 4 novembre 2006, le prévenu a envoyé un « phishing » email à une cinquantaine de personnes. Dans cet email X.) informait les destinataires d’une faille dans le système informatique de l’Entreprise des Postes et Télécommunications qui permettrait de se procurer des log-in et des mots de passe du compte internet de clients de l’Entreprise des Postes et Télécommunications. Pour tirer profit de cette faille il suffirait d’écrire un email à l’adresse ptpasswordreminder@pt.lu et d’y indiquer son propre log-in, son mot de passe, ainsi que la trace email de la personne de laquelle on voudrait avoir le log-in et le mot de passe. Peu après le système renverrait le log-in et le mot de passe du titulaire de l’adresse email indiquée.

L’adresse ptpasswordreminder@pt.lu n’est cependant pas une adresse officielle de l’Entreprise des Postes et Télécommunications, mais une adresse dont le prévenu X.) est titulaire.

X.) reconnaît la matérialité des faits lui reprochés. Il explique avoir agi de cette façon, alors que lui-même a été victime de ce même phénomène appelé « phishing ».

En effet, en date du 5 mai 2006, le prévenu a reçu un email en provenance des Philippines dans lequel était décrite une méthode de piratage des boîtes de courriers électroniques.

X.) soutient qu’il voulait essayer s’il pouvait réussir à accéder de cette manière aux boîtes de courrier électronique des destinataires de ses emails.

Il aurait agi par pure curiosité et n’aurait pas eu l’intention de nuire aux destinataires de ces emails, qui étaient tous des connaissances à lui. Néanmoins, le prévenu reconnaît que si ses manœuvres auraient réussi, c'est-à-dire s’il avait reçu les données ayant permis l’accès aux boîtes de courrier électronique, il n’aurait pas hésité à y accéder.

Ses agissements sont restés à l’état de la tentative, alors que son compte internet a été bloqué par l’Entreprise des Postes et Télécommunications, de sorte qu’il n’a plus pu accéder à sa boîte à lettres électronique.

En droit

1) quant à la tentative d’escroquerie

Le prévenu demande à être acquitté de l’infraction de tentative d’escroquerie au motif que les faits lui reprochés ne sauraient être qualifiés de tentative d’escroquerie, alors qu’en l’espèce il n’y aurait pas eu une remise de fonds, meubles, obligations, quittances ou décharges telle que exigée par l’article 496 du Code pénal. A cela s’ajoute que le but de ses agissements n’aurait pas été de dépouiller un tiers à son profit.

L’article 496 du Code pénal dispose que quiconque, dans le but de s'approprier une chose appartenant à autrui, se sera fait remettre ou délivrer ou aura tenté de se faire remettre ou délivrer des fonds, meubles, obligations, quittances, décharges, soit en faisant usage de faux noms ou de fausses qualités, soit en employant des manœuvres frauduleuses pour persuader l'existence de fausses entreprises, d'un pouvoir ou d'un crédit imaginaire, pour faire naître l'espérance ou la crainte d'un succès, d'un accident ou de tout autre événement chimérique, ou pour abuser autrement de la confiance ou de la crédulité, sera puni d'un emprisonnement d'un mois à cinq ans et d'une amende de 251 euros à 30.000 euros.

L’escroquerie requiert trois éléments constitutifs :

a) l’emploi de faux noms, de fausses qualités ou de manœuvres frauduleuses,

b) la remise ou la délivrance de fonds meubles, obligations, quittances ou décharges,

c) l’intention d’approprier le bien d’autrui.

a) l’emploi de faux noms, de fausses qualités ou de manoeuvres frauduleuses

La qualification de l’escroquerie ne saurait être retenue qu’à condition que l’auteur ait employé un des moyens limitativement énumérés par l’article 496 du Code pénal, soit l’emploi d’un faux nom, soit d’une fausse qualité soit des manœuvres frauduleuses, revêtant une forme extérieure et déterminant la remise.

Les manœuvres pour être constitutives du délit d'escroquerie, doivent répondre aux conditions suivantes: 1° être frauduleuses, 2° revêtir une forme extérieure 3° être déterminantes de la remise, 4° avoir pour objet de persuader l'existence de fausses entreprises, d'un pouvoir ou d'un crédit imaginaire, de faire naître l'espérance ou la crainte d'un succès, d'un accident ou de tout autre événement chimérique ou enfin d'abuser autrement de la confiance ou de la crédulité (Marchal et Jaspar, Droit criminel, T I, n° 1306)

Il importe de souligner que l’emploi de moyens frauduleux suppose l’accomplissement d’actes positifs qui doivent être déterminants de la remise effectuée par la victime (Merle et Vitu, Traité de droit criminel, Droit pénal spécial, tome II, n° 2317).

Il est établi que X.) a envoyé à une cinquantaine de personnes un courrier électronique dans lequel il informait les destinataires d’une faille dans le système informatique des P&T. Il invitait les destinataires de son courrier à profiter de cette faille en envoyant leur adresse email ainsi que leur mot de passe à l’adresse électronique ptpasswordreminder@pt.lu, laquelle, contrairement aux apparences, n’est pas une adresse officielle de l’Entreprise des Postes et Télécommunications, le prévenu étant titulaire de cette adresse.

En agissant de la sorte le prévenu a employé des manœuvres frauduleuses revêtant une forme extérieure et déterminant la remise des données personnelles.

b) la remise ou la délivrance de fonds, meubles, obligations, quittances ou décharges

A cet égard il y a lieu de noter que l’énumération de l’article 496 du Code pénal n’est pas limitative (Marchal et Jaspar, Droit criminel, T I, n° 1301).

Aux termes de la doctrine, il convient de donner au mot « meuble » sa portée la plus large. Il faut y comprendre, tant les objets ayant une valeur vénale que ceux ayant une valeur morale, à condition qu’en se dessaisissant de l’objet la victime subisse un préjudice qui sera, à son tour, ou moral ou pécuniaire (Marchal et Jaspar, Droit criminel, T I, n° 1301).

Le terme de « meuble » est donc à interpréter de manière large et inclut également les meubles incorporels et immatériels.

Le tribunal considère que les données informatiques dont X.) voulait obtenir la remise, sont à considérer comme des biens incorporels et immatériels tombant sous la notion de meubles telle que retenue dans le libellé de l’article 496 du Code pénal.

Il faut encore que ce meuble puisse faire l’objet d’une remise.

La remise n’a pas forcément à être matérielle puisque l’article 496 du Code pénal ne l’exige pas. Le terme de « remettre » n’ayant pas été défini par le législateur, il y a lieu de le prendre dans son sens usuel. Remettre consiste à « mettre entre les mains » mais aussi « dans la possession, dans le pouvoir » de quelqu’un.

En l’espèce, X.) avait tenté de se faire remettre, par retour de courrier électronique sur une adresse dont il est titulaire, des données informatiques.

Il s’ensuit que cet élément constitutif est également rempli en l’espèce.

c) l’intention d’approprier le bien d’autrui

Il n’est pas contesté que X.) avait l’intention de s’approprier les données informatiques ayant permis d’accéder aux boîtes à lettres électroniques des destinataires de ces emails.

Au vu des développements qui précèdent, il y a lieu de retenir l’infraction de tentative d’escroquerie à l’encontre du prévenu.

2) quant à l’infraction à l’article 509-1 du Code pénal

Aux termes de l’article 509-1 du Code pénal quiconque, frauduleusement, aura accédé ou se sera maintenu dans tout ou partie d’un système de traitement ou de transmission automatisé de données sera puni d’un emprisonnement de deux mois à deux ans et d’une amende de 500 euros à 25.000 euros ou de l’une de ces deux peines.

L’article 509-6 du Code pénal dispose que les tentatives de ce délit sont punies des mêmes peines que le délit lui-même.

Il est établi en cause et reconnu par le prévenu qu’il avait l’intention de s’approprier des données informatiques permettant l’accès aux boîtes de courrier électronique des destinataires de ses emails.

Il soutient qu’il aurait agi par pure curiosité et n’aurait pas eu l’intention de nuire.

Il est de jurisprudence que l'article 509-1 du Code pénal inséré par la loi du 15 juillet 1993 tendant à renforcer la lutte contre la criminalité économique et la fraude informatique est applicable sans considération du mobile de celui qui a accédé frauduleusement ou se sera maintenu dans tout ou partie d'un système de traitement automatisé de données. (Trib. d’Arr. de Lux. du 6 février 2001, n° 394/2001)

Il y a partant lieu de retenir X.) également dans le lien de cette infraction.

X.) est partant convaincu :

comme auteur, ayant exécuté lui-même les infractions, depuis un temps non prescrit, et notamment en date du 4 novembre 2006, dans l’arrondissement judiciaire de Luxembourg, et notamment à son domicile à Luxembourg, (...),

1) d’avoir tenté de se faire remettre des meubles en employant des manœuvres frauduleuses pour abuser autrement de la confiance ou de la crédulité,

en l’espèce, d’avoir tenté de se faire remettre les mots de passe de boîtes de courrier électronique ouvertes auprès de l’Entreprise des Postes et Télécommunications, notamment en envoyant aux adresses électroniques : 1.)@pt.lu, 2.)@pt.lu, 3.)@pt.lu, 4.)@pt.lu, 5.)@pt.lu, 6.)@pt.lu, 7.)@pt.lu, 8.)@pt.lu, 9.)@pt.lu, 10.)@pt.lu, 11.)@pt.lu, 12.)@pt.lu, 13.)@pt.lu, 14.)@pt.lu, 15.)@pt.lu, 16.)@pt.lu, 17.)@pt.lu, 18.)@pt.lu, 19.)@pt.lu, 20.)@pt.lu,

21.)@pt.lu, 22.)@pt.lu, 23.)@pt.lu, 24.)@pt.lu, 25.)@pt.lu, 26.)@pt.lu, 27.)@pt.lu, 28.)@pt.lu, 29.)@pt.lu, 30.)@pt.lu, 31.)@pt.lu, 32.)@pt.lu, 33.)@pt.lu, 34.)@pt.lu, 35.)@pt.lu, 36.)@pt.lu, 37.)@pt.lu, 38.)@pt.lu, 39.)@pt.lu, 40.)@pt.lu, 41.)@pt.lu, 42.)@pt.lu, 43.)@pt.lu, 44.)@pt.lu, 45.)@pt.lu, 46.)@pt.lu, 47.)@pt.lu, 48.)@pt.lu, 49.)@pt.lu et 50.)@pt.lu un courrier fournissant aux titulaires de ces adresses email un guide pour accéder frauduleusement aux mots de passe de boîtes de courrier électronique et les invitant d’envoyer à l’adresse email ptpasswordreminder@pt.lu, dont était titulaire X.), entre autre leur propre adresse e-mail, suivie de leur mot de passe afférant.

2) d’avoir tenté frauduleusement d’accéder à un système de traitement ou et de transmission automatisé de données en l’espèce d’avoir tenté frauduleusement d’accéder à des boîtes de courrier électronique ouvertes auprès de l’entreprise des Postes et Télécommunications, notamment en envoyant aux adresses e-mail :

1.)@pt.lu, 2.)@pt.lu, 3.)@pt.lu, 4.)@pt.lu, 5.)@pt.lu, 6.)@pt.lu, 7.)@pt.lu, 8.)@pt.lu, 9.)@pt.lu, 10.)@pt.lu, 11.)@pt.lu, 12.)@pt.lu, 13.)@pt.lu, 14.)@pt.lu, 15.)@pt.lu, 16.)@pt.lu, 17.)@pt.lu, 18.)@pt.lu, 19.)@pt.lu, 20@pt.lu, 21.)@pt.lu, 22.)@pt.lu, 23.)@pt.lu, 24.)@pt.lu, 25.)@pt.lu, 26.)@pt.lu, 27.)@pt.lu, 28.)@pt.lu, 29.)@pt.lu, 30.)@pt.lu, 31.)@pt.lu, 32.)@pt.lu, 33.)@pt.lu, 34.)@pt.lu, 35.)@pt.lu, 36.)@pt.lu, 37.)@pt.lu, 38.)@pt.lu, 39.)@pt.lu, 40.)@pt.lu, 41.)@pt.lu, 42.)@pt.lu, 43.)@pt.lu, 44.)@pt.lu, 45.)@pt.lu, 46.)@pt.lu, 47.)@pt.lu, 48.)@pt.lu, 49.)@pt.lu et 50.)@pt.lu un courrier fournissant aux titulaires de ces adresses e-mail un guide pour accéder frauduleusement aux mots de passe de boîtes de courrier électronique et les invitant d’envoyer à l’adresse email ptpasswordreminder@pt.lu, dont était titulaire X.), entre autre leur propre adresse email, suivie de leur mot de passe afférant.

Les infractions retenues sub 1) et 2) se trouvent en concours idéal, de sorte qu'il y a lieu à application des dispositions de l'article 65 du Code pénal.

Eu égard à la gravité des infractions retenues il y a lieu de condamner le prévenu X.) à une peine d'emprisonnement de six mois.

X.) n’a pas encore subi jusqu'à ce jour de condamnation excluant le sursis à l'exécution des peines et il ne semble pas indigne de l'indulgence du tribunal. Il convient en conséquence de lui accorder la faveur du sursis intégral quant à la peine d'emprisonnement à prononcer à son encontre.

Quant à l'amende à prononcer, le tribunal correctionnel la fixe à deux mille cinq cents euros eu égard à la gravité des faits et à la situation financière du prévenu.

P A R C E S M O T I F S :

le Tribunal d'arrondissement de et à Luxembourg, seizième chambre, siégeant en matière correctionnelle, statuant contradictoirement, X.) et son mandataire entendus en leurs explications et moyens de défense et le représentant du Ministère Public entendu en son réquisitoire, c o n d a m n e X.) du chef des infractions retenues à sa charge à une peine d'emprisonnement de six (6) mois,

et à une amende de deux mille cinq cents (2.500) euros, ainsi qu'aux frais de sa mise en jugement, ces frais liquidés à 10,52 euros;

f i x e la durée de la contrainte par corps en cas de non paiement de l’amende à cinquante (50) jours ;

d i t qu'il sera sursis à l'exécution de l’intégralité de la peine d’emprisonnement;

a v e r t i t X.) qu’au cas où, dans un délai de cinq ans à dater du présent jugement, il aura commis une nouvelle infraction ayant entraîné une condamnation à une peine privative de liberté ou à une peine plus grave pour crimes ou délits de droit commun, la peine de prison prononcée ci-devant sera exécutée sans confusion possible avec la nouvelle peine et que les peines de la récidive seront encourues dans les termes de l’article 56 al. 2 du code pénal;

Par application des articles 14, 15, 16, 28, 29, 30, 65, 66, 496, 509-1 et 509-6 du Code pénal; et des articles 155, 179, 182, 184, 189, 190, 190-1, 194, 195, 196, 626, 627, 628 et 628-1 du Code d'instruction criminelle qui furent désignés à l'audience par la vice-présidente.

Ainsi fait et jugé par Marie-Laure MEYER, vice-présidente, Henri BECKER, premier juge et Joëlle GEHLEN, juge, et prononcé par la vice-présidente en audience publique au Palais de Justice à Luxembourg, en présence de et d’Isabelle SCHMITZ, greffière, qui, à l'exception du représentant du Ministère Public, ont signé le présent jugement.