Interpol cybercriminalité et coopération policière mondiale

Interpol cybercriminalité et coopération policière mondiale

L’Organisation internationale de police criminelle (INTERPOL) coordonne les services policiers de 196 pays membres lorsqu’une affaire traverse des frontières, ce qui est le réglage par défaut de la cybercriminalité. Face à Europol, son mandat est mondial et sa capacité d’action dépend davantage des États concernés, de leur droit interne et de leur volonté de coopérer.

Explication de la marmotte

Interpol ressemble à un point de rencontre entre des polices de pays différents lorsqu’une affaire dépasse une frontière. Son rôle est d’aider les enquêteurs à relier des faits, trouver les bons interlocuteurs et éviter que les criminels profitent du silence entre administrations.

→ Lire l’explication complète de la marmotte

Mandat INTERPOL et souveraineté des pays membres

INTERPOL ne mène pas d’arrestation, ne perquisitionne pas et ne remplace aucune police nationale. L’organisation fournit une infrastructure de coopération, des mécanismes de diffusion, des capacités d’analyse et un secrétariat général capable de coordonner des opérations transfrontalières. L’enquête, la saisie et toute mesure coercitive restent de compétence nationale.

C’est le compromis central : on gagne une portée mondiale et un accès à des correspondants policiers hors de l’espace européen, mais on paie en prévisibilité opérationnelle. Une demande techniquement documentée peut rester sans suite si le pays concerné ne dispose pas de l’incrimination applicable, ne reconnaît pas les éléments transmis ou ne priorise pas le dossier. La coopération internationale ne transforme pas une preuve numérique en ordre exécutoire. Ce serait pratique, certes. Les lois nationales ont toutefois refusé de se dissoudre dans un tableur partagé.

La recommandation est nette : utiliser INTERPOL pour coordonner les volets policiers internationaux d’un incident criminel à fort impact, pas comme canal principal de réponse à incident. Le signalement initial, la conservation des preuves et le confinement restent pilotés par l’organisation victime, ses prestataires et les autorités nationales compétentes. En France, cela implique notamment de distinguer l’appui opérationnel policier des missions de conseil et de réponse de l’ANSSI.

La comparaison avec Europol ne doit pas être forcée. Europol opère dans le cadre de l’Union européenne, avec des mécanismes de coopération judiciaire et policière plus homogènes entre États membres. INTERPOL étend la portée géographique, notamment vers des juridictions sans relation opérationnelle directe, mais ne réduit pas les écarts de procédure, de qualification pénale ou de protection des données.

Les notices INTERPOL sont souvent mal comprises. Une notice rouge signale qu’une personne est recherchée en vue d’une localisation et d’une arrestation provisoire, sous réserve du droit local et d’une demande d’extradition. Ce n’est pas un mandat d’arrêt international. Les notices violettes peuvent documenter un mode opératoire, des objets ou des procédés criminels. Elles ne constituent pas un flux de renseignement technique pour alimenter automatiquement un pare-feu. Confondre une notice avec une règle de blocage est une manière assez efficace d’obtenir simultanément un incident et une mauvaise qualification juridique.

Canaux de coopération et données cybercriminelles

Le réseau sécurisé I-24/7 d’INTERPOL relie les bureaux centraux nationaux, désignés dans chaque pays membre. Ce réseau transporte des messages opérationnels et permet des recherches dans certaines bases partagées. Une entreprise, un centre opérationnel de sécurité ou un prestataire de réponse à incident n’y accède pas directement : l’interlocuteur normal est l’autorité nationale compétente.

Pour un dossier cyber, la valeur ne vient pas d’un volume brut d’indicateurs. Elle vient de la capacité à relier un élément technique à une procédure exploitable : horodatage en temps universel coordonné, source de collecte, méthode de préservation, empreinte cryptographique du fichier, identifiant de dossier et niveau de diffusion autorisé. Une adresse Internet seule est rarement probante. Elle peut être partagée, réattribuée, utilisée par une infrastructure intermédiaire ou fabriquée pour détourner l’enquête.

Le format STIX (Structured Threat Information Expression) peut structurer les indicateurs de compromission, les relations entre artefacts et la période d’observation. STIX facilite l’échange machine à machine entre plateformes de renseignement sur les menaces, mais ne remplace ni le procès-verbal, ni la chaîne de conservation, ni l’analyse humaine. La normalisation réduit les ambiguïtés de format, pas celles du monde réel. Même un JSON impeccable ne rend pas un serveur étranger soudainement saisissable.

Avant toute transmission, séparer trois jeux de données :

• les indicateurs défensifs, tels que noms de domaine, empreintes de fichiers et adresses Internet ;
• les éléments de preuve, tels que journaux, images disque, captures mémoire et en-têtes de messagerie ;
• les données à caractère personnel, telles que comptes, numéros d’abonné, identifiants de terminal ou contenu de communications.

Ces jeux ont des durées de conservation, des destinataires et des exigences de traçabilité distincts. Les mélanger dans une archive chiffrée avec un mot de passe envoyé dans le même courriel reste une tradition regrettablement vivante. Le chiffrement sans séparation des canaux protège surtout contre l’ennui.

Surface d’attaque de la coopération policière

Le premier risque est l’empoisonnement de renseignement. Un attaquant peut injecter de faux indicateurs, attribuer abusivement une campagne à un groupe ou fournir une chronologie manipulée afin de provoquer un blocage, détourner une enquête ou effacer ses propres traces. La contre-mesure consiste à conserver la provenance de chaque élément, son niveau de confiance, sa date d’expiration et les observations qui le corroborent. Un indicateur non sourcé doit rester une hypothèse, pas devenir une règle de filtrage globale.

Le deuxième risque est la fuite de données d’enquête. Les artefacts transmis peuvent contenir des identifiants d’administrateur, des jetons de session, des clés privées, des données de clients ou des informations sur des vulnérabilités non corrigées. Un export de journaux doit donc passer par une revue de minimisation, un masquage documenté et un chiffrement de transport fondé sur Transport Layer Security (TLS). Pour les archives, utiliser un chiffrement authentifié et une clé distincte du canal de transmission.

Le troisième risque est l’usurpation de correspondant. Un acteur malveillant peut imiter une autorité, exploiter un compte de messagerie compromis ou demander une conservation de données en invoquant une urgence. La vérification hors bande, via les coordonnées officielles déjà connues, est obligatoire avant tout transfert sensible. Ne jamais valider une identité avec les coordonnées fournies par la demande elle-même : c’est demander au renard de certifier la qualité du poulailler.

Le quatrième risque est la perte de recevabilité. Modifier une image disque, ouvrir un fichier sans enregistrer l’outil utilisé, convertir un fuseau horaire sans garder la valeur initiale ou recalculer une empreinte après extraction détruit la capacité à démontrer l’intégrité. L’empreinte SHA-256 (Secure Hash Algorithm 256 bits) doit être calculée à l’acquisition, stockée hors du support collecté et vérifiée à chaque transfert.

INTERPOL ne garantit pas l’attribution technique, la récupération d’actifs, le retrait d’une infrastructure ni la notification des victimes. Ces résultats dépendent des autorités nationales, des hébergeurs, des registres de noms de domaine, des mécanismes judiciaires et parfois de la coopération d’un pays qui n’a aucune raison opérationnelle de répondre vite. La défense interne doit donc continuer à fonctionner sans attendre un retour international.

Pré-requis de plateforme et de gouvernance

Une organisation qui prévoit de transmettre des éléments à une autorité doit disposer d’un processus de préservation avant incident. Le minimum comprend un horodatage synchronisé par Network Time Protocol (NTP), une rétention de journaux cohérente avec les délais de détection, un stockage immuable ou à droits d’écriture restreints, et une procédure de collecte qui enregistre l’opérateur, l’outil, la version et l’empreinte de chaque export.

La journalisation doit couvrir les sources qui permettent de relier une action à une identité : fournisseur d’identité, authentification multifacteur, accès distant, résolveur de noms, passerelle de messagerie, proxy, pare-feu et plateforme de conteneurs. Sans corrélation entre identité, poste, heure et flux réseau, l’enquête internationale reçoit un puzzle dont la moitié des pièces a été jetée pour gagner de la place sur un stockage objet.

La conservation de secrets impose une discipline distincte. Ne jamais exporter une clé privée, un jeton d’accès encore valide ou un secret applicatif dans un paquet de preuve sans révocation ou rotation préalable. Une clé compromise par l’incident doit être remplacée avant transmission de l’image ou du journal qui la contient. Les règles de rotation et de sauvegarde décrites dans les architectures de gestion des identités restent applicables, même quand l’urgence pousse à tout copier dans un fichier ZIP.

Prévoir un registre de décision : qui autorise la transmission, vers quelle autorité, avec quel périmètre, sous quelle classification et pour quelle finalité. Ce registre n’est pas une décoration de conformité. Il permet d’expliquer, après coup, pourquoi un ensemble de données a quitté le périmètre de sécurité et quelles copies doivent être supprimées ou conservées.

Exemple de paquet d’indicateur vérifiable

Cet exemple produit un objet STIX minimal décrivant un nom de domaine observé dans une campagne. Il ne constitue pas un dépôt auprès d’INTERPOL : la transmission passe par l’autorité nationale et son canal désigné. L’intérêt est de fournir un artefact reproductible, validable et accompagné de son empreinte.

# Créer un paquet STIX 2.1 minimal, sans donnée personnelle.
cat > indicateur-stix.json <<'JSON'
{
  "type": "bundle",
  "id": "bundle--6b5dfb78-6c5c-4aa0-b12b-120000000001",
  "objects": [{
    "type": "indicator",
    "spec_version": "2.1",
    "id": "indicator--6b5dfb78-6c5c-4aa0-b12b-120000000002",
    "created": "2026-09-23T12:00:00Z",
    "modified": "2026-09-23T12:00:00Z",
    "name": "Domaine observé lors de la compromission",
    "pattern_type": "stix",
    "pattern": "[domain-name:value = 'exemple-invalide.test']",
    "valid_from": "2026-09-23T12:00:00Z"
  }]
}
JSON

# Vérifier la syntaxe JSON puis calculer l'empreinte du fichier transmis.
python3 -m json.tool indicateur-stix.json >/dev/null
sha256sum indicateur-stix.json

La commande ne valide pas la conformité complète au schéma STIX. Elle garantit seulement que le document est du JSON syntaxiquement valide et que l’empreinte peut être contrôlée après transfert. Pour un paquet de preuve, ajouter un manifeste séparé contenant l’empreinte, l’origine, la fenêtre temporelle, les transformations appliquées et les restrictions de diffusion.

Exploitation, reprise et relations institutionnelles

La coopération ne doit pas dépendre d’une personne connaissant le bon numéro dans un carnet. Maintenir une matrice de contacts, testée périodiquement, avec les autorités nationales, le conseil juridique interne, les responsables de protection des données et le responsable de crise. Le test porte sur la capacité à joindre le bon circuit, pas sur l’envoi de données réelles lors d’un exercice théâtral.

Sauvegarder les paquets de preuve chiffrés, leurs manifestes et les journaux d’accès dans des emplacements distincts. Une sauvegarde accessible avec les mêmes identifiants que le système compromis n’est pas une reprise, c’est une copie de sauvegarde pour attaquant consciencieux. Tester la restauration et la vérification des empreintes, y compris après rotation des clés de chiffrement.

En cas d’échec de coopération, documenter l’absence de réponse, conserver les preuves originales et poursuivre les mesures défensives locales : révocation des accès, réinitialisation des secrets, blocage ciblé, surveillance renforcée et notification selon les obligations applicables. INTERPOL peut accélérer une coordination, jamais suspendre la nécessité de contenir l’incident.

🦫 Explication de la marmotte 🍫

Interpol aide les polices de nombreux pays à travailler sur une même affaire. Lorsqu’une attaque informatique vise une organisation dans un pays mais utilise des serveurs, des comptes ou des personnes situés ailleurs, la police nationale peut demander une aide internationale. Interpol transmet alors des informations entre les services compétents et aide à identifier les contacts capables de vérifier un élément dans chaque pays.

L’organisation ne peut pas arrêter une personne ni saisir un ordinateur elle-même. Chaque pays décide selon ses propres lois. Une demande peut donc être acceptée, retardée, limitée ou refusée. Une information technique ne suffit pas : il faut montrer d’où elle vient, quand elle a été recueillie, comment elle a été conservée et si elle a été modifiée.

Avant de transmettre des fichiers, l’organisation victime doit isoler les données nécessaires. Les journaux d’activité, les fichiers suspects et les adresses utilisées par l’attaque sont conservés avec une empreinte de contrôle. Cette empreinte permet de vérifier qu’un fichier est resté identique. Les mots de passe, les clés de chiffrement et les données personnelles doivent être retirés ou protégés.

Si un pays ne répond pas, l’organisation victime ne doit pas attendre. Elle bloque les accès compromis, remplace les secrets exposés, surveille ses systèmes et conserve les preuves. La coopération internationale peut aider une enquête, mais elle ne remplace jamais la défense immédiate.

À lire aussi

• CERT-EU réponse aux incidents des institutions européennesCERT-EU est le service opérationnel de réponse aux incidents des institutions, organes et agences de l’Union européenne, distinct d’ENISA et d’Europol.
• Rôle de FIRST et mise en œuvre du TLPFIRST est le réseau mondial de coordination entre équipes de réponse à incident, notamment connu pour son protocole de classification TLP.
• OWASP Top 10 ASVS ZAP et sécurité applicativePrésentation de l’OWASP, de son mandat communautaire, de ses référentiels de sécurité applicative et de leur exploitation en architecture.
• JPCERT/CC rôle, outils malware et usage opérationnelJPCERT/CC coordonne les incidents au Japon et publie des travaux d'analyse de logiciels malveillants exploitables par les équipes de défense.

Pages voisines

Interpol cybercriminalité et coopération policière mondiale

Elle cite

• ANSSI
• Comment attribuer techniquement une cyberattaque
• Forensics numérique et chaîne de conservation après incident
• Partager le renseignement sur la menace avec ISAC, MISP et STIX