Commençons tout d’abord par nous pencher sur ce que dit les divers articles du Code pénal :

Article 323-1

« Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de deux ans d’emprisonnement et de 60 000 € d’amende.
Lorsqu’il en est résulté soit la suppression ou la modification de données contenues dans le système, soit une altération du fonctionnement de ce système, la peine est de trois ans d’emprisonnement et de 100 000 € d’amende.
Lorsque les infractions prévues aux deux premiers alinéas ont été commises à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat, la peine est portée à cinq ans d’emprisonnement et à 150 000 € d’amende »

Article 323-2

« le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données est puni de cinq ans d’emprisonnement et de 75 000 euros d’amende.
Lorsque cette infraction a été commise à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat, la peine est portée à sept ans d’emprisonnement et à 100 000 € d’amende »

Article 323-3

« Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende.
Lorsque cette infraction a été commise à l’encontre d’un système de traitement automatisé de données à caractère personnel mis en œuvre par l’Etat, la peine est portée à sept ans d’emprisonnement et à 300 000 € d’amende »

C’est peut-être mieux de ne pas se risquer à tenter de pirater un système informatique si on ne veut pas passer le reste de sa vie à payer sa dette envers la société.

Il a fallu attendre plusieurs années avant que le hacking éthique puisse être reconnu par la loi. Voici ce que dit l’article du Code de la défense :

Article 2321-4

« pour les besoins de la sécurité des systèmes d’information, l’obligation prévue à l’article 40 du code de procédure pénale n’est pas applicable à l’égard d’une personne de bonne foi qui transmet à la seule autorité nationale de sécurité des systèmes d’information une information sur l’existence d’une vulnérabilité concernant la sécurité d’un système de traitement automatisé de données.

L’autorité préserve la confidentialité de l’identité de la personne à l’origine de la transmission ainsi que des conditions dans lesquelles celle-ci a été effectuée.
L’autorité peut procéder aux opérations techniques strictement nécessaires à la caractérisation du risque ou de la menace mentionnés au premier alinéa du présent article aux fins d’avertir l’hébergeur, l’opérateur ou le responsable du système d’information »

Ainsi, il est reconnu par la loi désormais que des professionnels dans la cybersécurité puissent exercer une activité sous apparence illégale dans le but de dénoncer une faille de sécurité dans un système informatisé tel qu’un réseau ou un site web et ainsi protéger l’intégrité des données résidentes dans ledit système.

Le hacker blanc (ou white hat en anglais) va utiliser les mêmes techniques qu’un hacker noir (ou black hat en anglais) et penser de la même façon dans le but de tester la résistance et le niveau de sécurité d’un réseau. Les entreprises ont recours à ce type de personnes pour éviter les attaques dites force brutale et les attaques par rançongiciel. Il est possible aujourd’hui de préserver l’environnement réseau d’une entreprise à condition d’y mettre le prix. Les tarifs sont relativement élevés, il faut l’avouer mais la sécurité « absolue » a un coût.

Les États ont tous une unité de white hat à leur disposition afin de protéger le pays contre la cyberguerre.