Arrêt 6B_120/2026 du 24 juin 2026

En bref

Commet un accès indu au sens de l’art. 143^bis CP l’employé qui, bien qu’autorisé à utiliser le système informatique de son employeur, exploite intentionnellement une faille au moyen d’un script pour élever ses privilèges et accéder à un sous-système réservé aux administrateurs. Une faille n’exclut pas la protection spéciale lorsque les mesures de sécurité sont appropriées et raisonnables selon les standards usuels. Le mobile de l’auteur est sans pertinence. En revanche, lorsque la procédure a été partiellement classée, l’autorité doit motiver distinctement la répartition des frais et le refus des indemnités afin de respecter le droit d’être entendu.

Faits

Employé d’une direction de U.________, le recourant a exploité la faille « Oracle » au moyen d’un script pour s’attribuer des droits d’administrateur. Il a ainsi accédé à des fonctionnalités liées au système d’exploitation, réservées aux titulaires de tels droits, afin d’installer le pilote « PC PROX ». Il n’avait pas suivi la procédure interne exigeant une demande d’augmentation des privilèges auprès du service informatique et l’ouverture d’un ticket.

Après un acquittement en première instance sur ce chef, la cour cantonale l’a reconnu coupable d’accès indu à un système informatique. Une ordonnance antérieure avait par ailleurs classé plusieurs autres infractions informatiques et patrimoniales, tout en renvoyant au juge du fond la décision sur les frais et indemnités. La cour cantonale a confirmé leur mise à la charge du recourant et le refus de toute indemnité, sans traiter spécifiquement les conséquences de ce classement partiel.

Droit

Le Tribunal fédéral rappelle que l’art. 143^bis CP protège la paix informatique, soit le droit de l’ayant droit de maîtriser et de contrôler l’accès à son système. La notion de système informatique doit être comprise largement : elle englobe une installation ou un espace virtuel de traitement de données ainsi qu’un sous-système dont l’accès est réservé à une personne ou à un groupe déterminé. Cette interprétation tient compte de la parcellisation des systèmes informatiques et concorde avec les art. 1 et 2 de la Convention sur la cybercriminalité (consid. 2.3).

En l’espèce, l’espace permettant l’installation de pilotes assurait un traitement automatisé de données et n’était accessible qu’aux administrateurs. Il constituait donc un sous-système appartenant à autrui, distinct de la session personnelle du recourant. Les restrictions d’accès et la procédure d’attribution des privilèges manifestaient une protection spéciale. Le fait que celle-ci comportât une faille ne supprimait pas son caractère protecteur : les mesures correspondaient aux standards usuels et avaient nécessité un audit pour que la vulnérabilité soit révélée. Il n’est pas exigé que la protection soit techniquement optimale (consid. 3.2.1 à 3.2.3).

L’utilisation d’un script pour exploiter la faille et élever les privilèges a contourné une barrière informatique et constituait une intrusion au moyen d’un dispositif de transmission de données. Comme le recourant savait qu’il devait solliciter les droits auprès du service compétent, son accès était intentionnel et sans droit. Son souhait allégué de gagner du temps, sans vouloir perturber le système, était sans incidence, l’art. 143^bis CP n’exigeant aucun dessein particulier. Les éléments objectifs et subjectifs de l’infraction étaient ainsi réalisés (consid. 3.2.4 à 3.3).

Le principe de l’accusation n’a pas été violé : les faits retenus correspondaient au texte de l’acte d’accusation, qui mentionnait l’exploitation de la faille, l’introduction sans droit dans le système et l’octroi indu de droits d’administrateur. Le recourant pouvait donc identifier le reproche et préparer efficacement sa défense (consid. 4).

En revanche, la cour cantonale n’a pas expliqué si, ni dans quelle mesure, la condamnation justifiait aussi la mise à la charge du recourant des frais et le refus des indemnités liés aux faits ayant fait l’objet du classement partiel. Sa motivation ne permettait ni de comprendre la décision ni de la contester utilement au regard des art. 426, 429 et 430 CPP. Le recours est dès lors très partiellement admis pour violation du droit d’être entendu, avec renvoi sur les frais et indemnités de la procédure préliminaire et de première instance; la condamnation fondée sur l’art. 143^bis CP est confirmée (consid. 6 et 8).