Les États-Unis refusent de signer la convention des Nations unies sur la cybercriminalité, signée par plus de 70 pays

• Plus de 70 pays ont signé à Hanoï la Convention des Nations unies contre la cybercriminalité (UN Convention against Cybercrime), une avancée majeure vers la mise en place d’un cadre mondial de réponse à la criminalité numérique
• La convention établit de nouveaux mécanismes pour la coopération intergouvernementale, le renforcement des capacités et le partage des preuves électroniques, et criminalise pour la première fois au niveau international les infractions dépendantes d’Internet ainsi que la diffusion non consentie d’images intimes
• Les États-Unis figurent parmi les principaux pays à ne pas avoir signé, le département d’État se contentant d’indiquer qu’il « continue d’examiner le traité »
• La convention vise à lutter contre les crimes facilités par Internet, notamment le terrorisme, la traite des êtres humains, le blanchiment d’argent et le trafic de drogue, mais elle suscite des critiques de l’industrie technologique et d’organisations de défense des droits humains
• Elle marque un tournant majeur pour l’application internationale du droit en matière de cybercriminalité, en comblant l’absence de normes mondiales pour les preuves électroniques et en renforçant la coopération mondiale en matière d’enquête

---

État des signatures de la convention de l’ONU sur la cybercriminalité

• Plus de 70 pays ont signé la convention de l’ONU sur la cybercriminalité lors de l’événement organisé à Hanoï
  • Parmi les signataires figurent le Royaume-Uni, l’Union européenne, la Chine, la Russie, le Brésil et le Nigeria
  • La convention met en place une structure pour la coopération, le renforcement des capacités et le suivi des crimes facilités par la technologie entre gouvernements
• António Guterres, secrétaire général de l’ONU, a déclaré que le cyberespace était devenu un « terreau fertile pour les criminels », qui trompent des familles, détruisent des moyens de subsistance et soustraient des milliers de milliards de dollars à l’économie
  • Il a qualifié la convention d’« outil puissant et juridiquement contraignant pour renforcer la défense collective contre la cybercriminalité »
  • Il a souligné que les flux financiers illicites via les cryptomonnaies et les transactions numériques étaient utilisés pour financer la drogue, les armes et le terrorisme
  • Il a évoqué la réalité des attaques par ransomware qui paralysent des hôpitaux, des aéroports et des entreprises
• Guterres a particulièrement insisté sur l’importance de la convention pour le renforcement des capacités et le soutien à la formation dans les pays du Sud global
  • L’ONU estime le coût annuel de la cybercriminalité à 10,5 billions de dollars

L’absence des États-Unis

• Les États-Unis apparaissent comme l’un des principaux pays n’ayant pas signé la convention
  • Le département d’État a indiqué que Marc Knapper, ambassadeur des États-Unis au Vietnam, et une délégation avaient assisté à l’événement, tout en confirmant qu’aucune signature n’avait été apposée
  • Un porte-parole du département d’État s’est contenté de déclarer que « les États-Unis continuent d’examiner le traité »
• La convention a été adoptée par l’Assemblée générale des Nations unies en décembre 2024 et entrera en vigueur 90 jours après la ratification par le 40e signataire
  • Chaque signataire devra la ratifier selon ses propres procédures nationales

Principaux éléments de la convention

• Ghada Waly, directrice exécutive de l’Office des Nations unies contre la drogue et le crime (ONUDC / UNODC), a déclaré que la cybercriminalité transformait la nature du crime organisé et qu’une coopération mondiale était nécessaire
  • Elle a qualifié la convention d’« outil essentiel pour garantir un monde numérique plus sûr pour tous »
• La convention soutient la lutte contre les crimes facilités par Internet, notamment le terrorisme, la traite des êtres humains, le blanchiment d’argent et le trafic de drogue
• L’ONU explique qu’elle fournit le premier cadre mondial pour la collecte, le partage et l’utilisation des preuves électroniques
  • Jusqu’à présent, il n’existait aucune norme internationale pour les preuves électroniques
• La convention criminalise pour la première fois au niveau international les infractions dépendantes d’Internet et reconnaît comme infraction la diffusion non consentie d’images intimes
• Elle met également en place un réseau de coopération permanent 24 h/24 afin de permettre une entraide rapide entre États
  • Elle souligne la nécessité de renforcer les capacités nationales de réponse à la cybercriminalité

Critiques et inquiétudes

• L’industrie technologique critique la convention, estimant qu’elle pourrait criminaliser la recherche en sécurité et exposer les entreprises à des demandes de données complexes
• Des organisations de défense des droits humains avertissent qu’elle imposerait un vaste système de surveillance électronique incluant même des infractions sans lien avec la technologie
  • Certaines pointent le risque d’un détournement par des régimes autoritaires ou des gouvernements défaillants pour réprimer des opposants ou des manifestants
• Selon ses détracteurs, la convention crée un cadre juridique autorisant la surveillance, le stockage et le partage transfrontalier d’informations sans règles de protection des données
  • Raman Jit Singh Chima, d’Access Now, a critiqué une convention qui « légitime l’autoritarisme cybernétique intérieur et la répression transfrontalière »
  • Il a averti que les États ratifiant le traité risquaient de « sacrifier la protection des droits humains au nom d’un compromis procédural et de favoriser l’érosion des libertés numériques »

Équilibre entre droits humains et application de la loi

• Dans son discours, Guterres a évoqué les critiques suscitées par la convention et a insisté sur la nécessité de garantir la protection des droits humains fondamentaux, notamment la vie privée, la dignité et la sécurité, hors ligne comme en ligne
• Il a expliqué que la convention était essentielle pour résoudre le problème du partage transfrontalier des preuves électroniques auquel les forces de l’ordre sont confrontées depuis vingt ans
  • « Lorsque l’auteur se trouve dans un pays, la victime dans un autre et les données dans un troisième, cela faisait obstacle à la justice », a-t-il déclaré
  • Il a estimé que la convention fournissait une voie claire permettant aux enquêteurs et aux procureurs de surmonter cette barrière

[GN⁺]

Commentaires sur Hacker News

• Le fait que des pays où le soutien étatique à la cybercriminalité est actif, comme la Chine, la Corée du Nord et la Russie, fassent partie des signataires montre que ce traité est en pratique soit inutile, soit une délégation de pouvoir dangereuse
  Il aurait aussi de nombreux effets négatifs en matière de surveillance et de sécurité, donc l’absence des États-Unis me paraît être le bon choix

  • L’article résume bien aussi ces problèmes
    Le secteur technologique craint que ce traité criminalise la recherche en sécurité, et les organisations de défense des droits humains redoutent une dérive vers l’État de surveillance
    Raman Jit Singh Chima a critiqué le traité en disant qu’il légitime « l’autoritarisme cybernétique intérieur et la répression transfrontalière »
  • Rien que la section sur les objections liées aux droits humains dans l’article Wikipédia montre bien les problèmes de ce traité
  • Ce genre de « coopération mondiale » finit en général par faire porter tout le fardeau aux États-Unis, tandis que les autres pays cherchent à affaiblir l’influence américaine. Cela rappelle l’accord de Paris
  • Selon le World Cybercrime Index, la Russie, l’Ukraine, la Chine et les États-Unis occupent les quatre premières places, et la Corée du Nord est 7e. C’est utile pour comprendre le contexte
  • Au final, on se retrouve avec un double standard du type « quand les mauvais pays le font, c’est du totalitarisme ; quand les bons pays le font, c’est de la démocratie »

• Ce traité créerait un cadre juridique autorisant la surveillance, la conservation et le partage transfrontalier d’informations sans protection des données
  Du point de vue de la vie privée, il n’a absolument rien de positif
  Le retrait des États-Unis est une décision avisée, car il permet de préserver la coopération internationale tout en évitant la collecte de données et la surveillance inutiles

  • Cela dit, prétendre que les entreprises américaines sont connues pour la protection des PII est assez ironique. L’argument paraît plutôt faible
  • Se retirer est le bon choix. Ce n’est rien d’autre qu’un système de surveillance idéologique déguisé en cybersécurité

• Je partage une compilation d’anciens fils de discussion
  Les inquiétudes de l’EFF,
  un traité transformé en outil de surveillance,
  le risque de menace pour les droits humains,
  la controverse sur la levée du secret bancaire sont autant de liens utiles à consulter

• Si un pays comme la Corée du Nord, qui finance l’État grâce à la cybercriminalité, fait partie des signataires, il est difficile de ne pas douter du véritable sens de ce traité

  • C’est la méthode classique qui consiste à emballer des lois détruisant la confidentialité des données sous des prétextes vertueux comme « il faut protéger les enfants » ou « il faut lutter contre le terrorisme »
  • La structure économique de la Corée du Nord doit aussi être comprise dans son contexte historique. Elle s’est formée à cause de facteurs comme la guerre avec les États-Unis et les sanctions, ce qu’il faut également prendre en compte

• Le Canada, la Finlande, le Japon, la Corée du Sud, l’Inde, l’Allemagne et la Suisse, entre autres, se sont aussi abstenus
  Quand on voit combien d’États à tendance autoritaire figurent parmi les signataires, la signature du Royaume-Uni et de la France semble symboliser un recul des libertés
  La présence même de la Suède est surprenante, et de quoi inquiéter les utilisateurs de Mullvad

  • Les pays qui se sont abstenus paraissent former un groupe bien meilleur que les signataires
    Cela dit, l’UE est signataire, ce qui rend ambiguë la position de ses États membres comme l’Allemagne
    Voir la liste des signataires du traité

• Je ne comprends pas pourquoi les États-Unis devraient renoncer d’eux-mêmes à leur souveraineté cyber
  D’autant plus que certains des principaux signataires sont des acteurs difficiles à juger fiables
  Pour montrer leur bonne foi, l’équipe de Tencent devrait recommencer à participer à des CTF publics et divulguer ses 0day

  • Mais en pratique, le fait que les États-Unis ne signent pas signifie aussi qu’ils restent en dehors d’un cadre standardisé de partage des preuves de cybercriminalité
    Le traité est structuré de façon à exiger des pays qu’ils alignent leurs lois et rendent illégales les mêmes infractions

• Quand on regarde la liste des signataires, on y trouve l’Algérie, la Chine, la Corée du Nord, la Russie, l’Arabie saoudite, le Royaume-Uni, la Suède, etc.
  Il est difficile d’y voir un groupe de pays particulièrement attachés à la protection de la vie privée

  • Il y a aussi des pays développés comme la Suède, le Portugal et l’Uruguay. Je trouve que c’est une liste plutôt correcte
    Je serais curieux de savoir quels sont, selon vous, les pays qui accordent de l’importance à la vie privée
  • Le cadre juridique brésilien sur la vie privée en ligne est assez avancé
    L’UE, même si ce n’est pas un État, dispose elle aussi d’un système de protection solide
    Il n’est pas approprié de juger sur la base de simples préjugés
  • La perception même de la vie privée est en train de changer
    Même dans les pays qui mettent l’accent sur la liberté, le suivi généralisé via les téléphones, les routes et en ligne est déjà devenu la norme
    Au fond, la notion même de « pays libre » doit peut-être être redéfinie

• L’ONU estime le coût mondial de la cybercriminalité à 10,5 billions de dollars, soit environ 10 % du PIB mondial
  On peut se demander d’où sort un tel chiffre

  • Quand on voit la structure interne de relations de l’ONU, centrée sur les proches et les réseaux du pouvoir, il est difficile d’accorder du crédit à ce type d’estimation
  • En réalité, il s’agit probablement d’un calcul qui inclut le coût total du secteur de la cybersécurité, comme les salaires des ingénieurs sécurité et les produits de sécurité
    Selon le rapport de Cybersecurity Ventures, l’estimation provient d’une projection à 15 % de croissance composée par an à partir de 3 billions de dollars en 2015

• Ironiquement, les principaux bénéficiaires de la cybercriminalité ont rédigé ce traité, qui contient en plus des dispositions de surveillance de masse
  C’est décevant que les États-Unis ne l’aient pas signé, mais cela reste compréhensible

• La Russie a piraté pendant vingt ans des banques américaines et européennes et volé des millions de cartes de crédit
  À ce jour, des criminels majeurs continuent d’opérer impunément depuis la Russie

  • Les hackers russes obtiennent leur immunité en soudoyant la police ou en coopérant avec les demandes du GRU/KGB
    Il existe aussi une « règle implicite » consistant à ne pas attaquer les entreprises de la zone CIS
    Voir à ce sujet le rapport de Recorded Future
  • La Russie ne se contente pas de fermer les yeux ; elle utilise délibérément la cybercriminalité comme outil stratégique
    Une tactique de diversion classique : attirer l’attention de la main gauche pendant que la main droite agit