Acte consistant à acquérir, par vol, tromperie, intrusion ou observation secrète, des facteurs d'authentification ou identifiants (par exemple noms d'utilisateur, mots de passe, jetons de sécurité, modèles biométriques ou codes multi‑facteurs) permettant à un tiers de se faire passer pour la victime ou d'accéder à un compte, un système ou un service.

Principe

La culpabilité repose sur l'obtention non autorisée de moyens d'authentification qui permettent l'usurpation d'identité ou l'accès ; l'élément matériel est la prise illicite des identifiants et la capacité qui en résulte à s'authentifier au nom d'autrui.

Démonstration

Un attaquant installe un enregistreur de frappes pour capturer le nom d'utilisateur et le mot de passe d'un employé, puis se connecte aux systèmes internes de l'entreprise pour exfiltrer des données ; ou un site de phishing récolte les identifiants bancaires.

Mauvaise application

Assimiler l'exposition de données personnelles non authentificatrices (par ex. un nom public) au vol d'identifiants, ou poursuivre pour vol d'identifiants une collecte légitime de mots de passe départementaux effectuée dans le cadre d'une maintenance informatique autorisée sans intention malveillante.

Conséquence

Peut entraîner des poursuites pour accès non autorisé, fraude ou vol et permettre des chefs d'accusation supplémentaires pour les abus commis ensuite ; les victimes subissent pertes financières, atteintes à la vie privée et mesures de remédiation.

Inversion

Le transfert ou partage d'identifiants avec consentement éclairé, ou la saisie d'identifiants dans le cadre d'une procédure légale (par ex. perquisition avec mandat) élimine la criminalité et peut constituer une preuve licite.

Limite

Cible les éléments servant à l'authentification ; n'englobe pas les fuites de données personnelles générales qui n'incluent pas de matériel d'authentification, ni nécessairement les actes ultérieurs commis avec des identifiants volés, qui peuvent relever d'infractions distinctes.

Tension sémantique

Une tension existe entre vol d'identifiants et prise de contrôle de compte : le vol d'identifiants désigne l'acquisition des artefacts d'authentification, tandis que la prise de contrôle décrit le résultat plus large lorsque ces artefacts sont employés pour contrôler un compte.

Synthèse

Le vol d'identifiants est l'acte instrumental préalable d'obtention d'artefacts d'authentification sans autorisation ; il est juridiquement et fonctionnellement important car il permet l'usurpation, l'accès non autorisé et les préjudices qui en découlent.