Une cour d'appel allemande a statué qu'un document modifié numériquement – photographié puis envoyé par e-mail – ne constituait pas juridiquement un faux, car il s'agit manifestement d'une simple photo d'un document, et non d'un original. Il n'y a pas de ligne de signature. Il n'y a pas de caractère dissuasif pénal. Si votre programme de conformité continue de considérer qu'un document " a l'air officiel " comme preuve d'authenticité, cette décision devrait vous inquiéter davantage que votre prochaine alerte « zero-day ». Ci-dessous : ce qu’a décidé le tribunal bavarois, pourquoi cette faille dépasse largement les frontières de l’Allemagne, et en quoi vos contrôles de vérification des documents s’appuient discrètement sur un fondement juridique qui n’est plus valable. La solution n’est pas d’ordre juridique. Elle est d’ordre architectural.
Ce qu'a décidé la Cour
L'affaire en elle-même était banale : une femme avait modifié une lettre authentique d'un cabinet d'avocats, l'avait imprimée, avait photographié le résultat, puis avait envoyé l'image via WhatsApp et par e-mail. La Cour d'appel régionale de Bavière (BayObLG) l'a acquittée des deux chefs d'accusation retenus contre elle. Premièrement, selon le droit allemand, un " document " doit constituer une déclaration matérialisée qui identifie un émetteur et a une valeur probante - la signature est un élément essentiel à cet égard. En l'absence de celle-ci, le tribunal n'a retenu qu'un projet sans caractère contraignant contenant aucune valeur probante. Deuxièmement, l'infraction de falsification de données probantes ne s'appliquait pas non plus : un fichier image qui, de manière évidente, n'est qu'une photo d'un document fait office de preuve secondaire, qui n'est pas un transporteur ayant établi la déclaration initiale, ce qui fait qu'elle n'est pas non plus visée par cette loi.
Ce n'est pas seulement un problème allemand
Le volume et la sophistication des fraudes sont déjà en hausse, indépendamment du raisonnement d'un tribunal en particulier. Enquête mondiale de PwC sur la criminalité économique et la fraude L'étude a révélé qu'un peu plus de la moitié des organisations interrogées avaient été victimes de fraude au cours des deux dernières années – soit le taux le plus élevé enregistré en 20 ans d'existence de l'enquête –, la fraude liée aux plateformes s'imposant comme une catégorie en forte croissance.
Si l'on ajoute à cela l'IA générative, la situation empire encore davantage. Prévisions de Gartner d'ici 2026, environ 30% d'entreprises cesseront de se fier aux outils autonomes de vérification d'identité utilisés isolément, notamment parce que les « deepfakes » générés par l'IA parviennent désormais à contourner les contrôles biométriques faciaux – et que les attaques de type « injection » contre ces systèmes ont bondi de 200% en l'espace d'une seule année.
Les agences fédérales américaines sont parvenues à la même conclusion du point de vue de la défense. Un avis conjoint émanant de la La NSA, le FBI et la CISA explique comment les menaces liées aux médias synthétiques se sont étendues à tous les secteurs et recommande des mesures concrètes d'atténuation aux organisations qui ne peuvent plus partir du principe que les médias – qu'ils soient visuels ou documentaires – sont ce qu'ils semblent être.
En résumé : une faille juridique dans une juridiction, combinée à une course mondiale à l'armement en matière d'outillage de fabrication, équivaut à un angle mort en matière de conformité, qui ne tient pas compte du lieu de domiciliation de votre entité.
À quoi pourrait ressembler la solution ?
Le mécanisme sous-jacent est un principe bien établi en cryptographie, désormais de plus en plus utilisé pour garantir l'intégrité des documents : le hachage associé à l'horodatage.
- Enregistrez l'empreinte numérique du fichier, et non celle de son contenu. Un hachage cryptographique à sens unique réduit tout fichier – contrat, document, scan, ensemble de données – à une empreinte unique. Cette empreinte ne révèle rien du contenu du fichier ; elle ne change que si le fichier lui-même change, ne serait-ce que d'un seul octet.
- Ancrer l'empreinte numérique en externe. L'horodatage de cette empreinte numérique sur une blockchain publique (Bitcoin ou Ethereum sont des choix courants) crée un enregistrement qu'aucune organisation, pas même celle qui l'a créé, ne contrôle ni ne peut modifier a posteriori. Le contenu du fichier n'est jamais mis en ligne ni divulgué ; seule l'empreinte numérique est ancrée, ce qui garantit que l'approche reste « à connaissance nulle » par conception.
- Cela pourra être vérifié de manière indépendante, ultérieurement, par n'importe qui. À tout moment par la suite, en recalculant l'empreinte du fichier et en la comparant à l'empreinte de référence, on peut déterminer, avec une certitude mathématique, si le fichier correspond bien à celui qui a été scellé. L'absence de correspondance signifie qu'il n'a pas été modifié. Une divergence est détectable immédiatement par toute personne effectuant la vérification, et pas seulement par la partie qui a procédé au scellement.
Rien de tout cela n'empêche quelqu'un de modifier un fichier — seule la suppression de son accès permet d'y parvenir. Ce que cela garantit, c'est que la modification ne peut passer inaperçue et ne peut être niée de manière plausible. C’est là que le raisonnement du tribunal allemand a échoué : un document photographié et non signé n’a aucune valeur probatoire en soi, mais un fichier comportant un horodatage ancré en externe et vérifiable de manière indépendante apporte précisément le type de preuve que le tribunal a jugé manquant — quelle que soit la juridiction qui le demande.
Arguments en faveur de la recevabilité des preuves numériques
Il s'agit d'un écart entre les échéances des contrôles, et non d'un scénario hypothétique. - Vous disposez désormais d’une décision de justice spécifique, d’une enquête sur la fraude menée par l’un des « Big Four » et d’un avis conjoint du gouvernement américain, qui vont tous dans le même sens. Présentez les choses ainsi à votre conseil d’administration ou à votre comité d’audit : il ne s’agit pas de demander une nouvelle ligne budgétaire importante, mais bien d’une mise à jour de la politique – avec une hiérarchisation de la confiance accordée aux documents et une vérification hors cycle – qui comble une lacune que vos contrôles existants n’ont jamais été conçus pour couvrir. L’investissement dans les outils pourra intervenir une fois que la politique sera en place et que l’exposition au risque aura été documentée.
.
Vous souhaitez découvrir à quoi ressemble concrètement une vérification indépendante de l'intégrité ?
Essayez-le gratuitement, sans engagement :
Vérificateur de vérité pour les créateurs de propriété intellectuelle : https://truth-verifier.com/landing
Vérificateur de vérité pour les journalistes : https://truthverifier.news/landing
Contactez-nous pour discuter du déploiement de Truth Enforcer en entreprise : https://www.connecting-software.com/truth-enforcer-sign-up/
Par Francisco RodriguesChef de produit
"J'écris sur la façon dont les intégrations logicielles peuvent s'adapter aux environnements commerciaux et répondre aux demandes spécifiques de l'industrie. Je veux montrer aux entreprises la voie à suivre pour rationaliser les processus, éliminer les goulets d'étranglement et garantir la conformité en dotant les équipes et les dirigeants des bons outils."
Lectures connexes
Le deuxième pilier de la confiance numérique : pourquoi l'intégrité des preuves doit faire partie intégrante du portefeuille EUDI
La surface de risque de conformité dans les pipelines d'IA
Responsables de la sécurité des systèmes d'information (RSSI) du secteur public : l'intégrité des données dans le cloud au-delà de l'architecture « Zero Trust »