La Hadopi voulait envoyer un avertissement à un abonné. Et c’est finalement son FAI, Numericable, qui vient d’écoper d’une telle sanction infligée par la CNIL. Une histoire piquante sur fond de gros bug informatique qui a aussi conduit à accuser l'abonné en question de faits de pédopornographie.
La décision (PDF) qui vient tout juste de tomber, fait suite à une procédure lancée en février 2015 devant la CNIL par la Hadopi à l’encontre de Numéricable.
Explications. Dans son train-train quotidien, la Haute autorité adresse chaque jour des camions d’adresses IP aux FAI, seuls en capacité d’identifier les abonnés accusés d’avoir mis à disposition sur leur ligne des œuvres protégées par le droit d’auteur. Entre le 26 janvier et le 15 avril 2013, Numericable a ainsi communiqué à la Rue de Texel à 1 531 reprises l’identité d’un même abonné.
Un abonné qui avait eu les honneurs du rapport 2013 de la Hadopi
Pour la petite histoire, c’est justement ce cas qui avait fait l’objet d’un développement circonstancié dans son rapport 2013. Page 34 du document, la Hadopi faisait état d’une « délibération de transmission sur le fondement du délit de contrefaçon » d’un abonné qui avait été flashé 1500 fois, pour 600 œuvres le tout via 9 logiciels différents. Pour cet indélicat, « le dossier requérait des investigations supplémentaires qui ne pouvaient être effectuées par la Commission et que l’approche pédagogique n’apparaissait pas adaptée ». En clair, sentant le gros poisson dans son filet, la Haute autorité avait stoppé l’ascenseur de la réponse graduée, préférant transmettre le tout au parquet, seul en capacité d’avoir les éléments matérialisant la contrefaçon.
Seul hic, l’enquête qui s’en est suivie a révélé un joli bug dans les rouages de l’identification de l'IP : l’abonné « a été identifié par erreur par [Numericable] en raison d’un dysfonctionnement informatique récurent » constate la CNIL dans sa délibération avant d’en détailler l’origine.
MAC et micmac chez Numericable
Le FAI « a développé une application informatique lui permettant de traiter de manière automatisée les demandes relatives à l’identification des adresses IP provenant de la Hadopi et des services de police et de gendarmerie ». Cette application associe en principe les adresses IP aux adresses MAC des abonnés afin de déterminer leur identité. Le problème arrive : lorsque l’application ne permet pas une telle association, elle générait, non pas un message d’erreur, « mais renvoyait, par défaut, vers des adresses MAC composées uniquement d’une suite de zéro ». Et là, c’est le drame puisque Numericable avait enregistré « sous cette valeur les adresses MAC correspondant aux équipements de plusieurs abonnés ».
Voilà donc comment un abonné innocent s’est vu attribuer 1531 faits aux yeux sourcilleux de la Hadopi puis de la police. Et l’erreur s’est reproduite pas moins de 7 fois entre le 28 janvier et le 11 février entre Numéricable et les forces de l’ordre.
Le FAI s’est ainsi vu reprocher une violation de l’article 6 - 4 de la loi de 1978 qui exige qu’un traitement ne peut porter que sur des données « exactes, complètes et si nécessaires, mises à jour ». Numericable avait tenté de s’échapper des griffes de cette disposition en avançant qu’elle n’imposait qu’une obligation de moyen. Une analyse rejetée par la CNIL qui ajoute que si cette société « a réagi promptement lorsque le dysfonctionnement lui a été signalé », les faits ont persisté au-delà durant 1 an et 9 mois. Ce n’est finalement « qu’à la faveur de l’insistance d’un service de police » chargé de la procédure pénale que l’intermédiaire a corrigé le problème.
Un abonné épinglé également pour pédopornographie
Le FAI a tenté également de s’abriter sur une problématique bien connue : le ministère de la Culture n’a toujours pas publié le décret permettant d’indemniser les FAI dans ces procédures d’identification. Un problème toujours présent, au grand regret du nouveau président de la Hadopi. Selon NC, l’absence d’aides de l’État rendrait du coup « les anomalies difficilement détectables ». La CNIL est restée insensible, sans compter que NC utilise la même application que la demande vienne de la Hadopi ou de la police.
Celle-ci a donc plutôt épinglé « le cumul de ces défaillances » conduisant à faire peser sur un abonné « de nombreuses adresses IP à partir desquelles des faits délictuels auraient été commis ». D’ailleurs, ce pauvre abonné a également été inquiété pour des faits de pédopornographie, toujours suite à ces bugs d’adresses, subissant de nombreuses perquisitions et autres saisies informatiques.
La décision est susceptible de recours devant le Conseil d’État.
Commentaires (112)
#1
je sais pas qui est le monsieur, mais il doit bien maudire Numericâble pour toutes ces mésaventures.
#2
L’abonné va pouvoir recevoir un sacré pactole en dommages et intérêts. Moi à sa place c’est ce que je ferais en tout cas. Parce que j’imagine la pauvre grand mère inculpée dans des histoires de pedo-pornographie…
Outre tout ça, il y a le choc, l’incompréhension de la personne innocente qui devait surement être impuissante devant les autorités…. c’est vraiment horrible pour cette personne. Il est possible qu’ils aient détruit une vie comme ça.
Cette histoire me rassure dans mon idée que j’avais de miséricable.
#3
Les emmerdes ça volent en escadrille disait le cinéaste…
#4
Vraiment hallucinant !
#5
Big Brother Big Bug " />.
Excellent le coup de l’adresse MAC en 00:00:00:00:00:00 " />
#6
il y a un proverbe shadock qui s’applique à ce cas : “il faut toujours taper sur les mêmes, ça fait moins de mécontents”.
#7
Heureusement qu’il a sans doute pu se disculper grace au “logiciel de sécurisation” que le gouvernement nous avait promis …
oupa " />
#8
L’horreur… Entre les perquisitions, la saisie de matériel informatique et les accusations de pédopornographie… je ne sais pas comment j’aurai réagi. Mal forcément, mais à quel point ?
Un gros pétage de plomb bien sanguin m’envoyant à l’ombre (prison, asile, maison de repos) ?
Dépression ?
Suicide ?
Fuite à l’étranger ?
#9
Oh le pauvre ! J’espère qu’il ira en procès contre NC
#10
" />Hallucinant " />
Il a vraiment du vivre l’enfer pendant de longs mois cet abonné! C’est atroce surtout s’il y a plusieurs personnes dans le foyer! Va expliquer à ta femme que tu n’y es pour rien!
#11
Pourquoi est ce que tout cette histoire sent la faille de sécurité dans leur modem qui permettrit d’envoyer des paquets avec un mac 00:00:00:00:00
#12
Et si lors des perquisitions, l’abonné identifié à tort a des fichiers téléchargés illégalement, ou même quelques grammes d’herbe, il ne sera pas pour autant tiré d’affaire….
Je n’avais déjà pas une très haute opinion de NC, cette affaire n’arrange pas les chose…
#13
Un FAI qui ne fournit pas les informations dans le cadre d’enquêtes?
Numéricable aide donc les contrefacteurs et les pédophiles! #JeSuisFBI
#14
#15
#16
hallucinant.
voilà ce qui arrive quand on a un soft développé en interne donc sans doute peu ou même pas testé, aucun contrôle derrière de l’Hadopi alors que c’est son rôle, et pas d’indemnisation de l’Etat ce qui ne motive pas vraiment le FAI à faire de la qualité.
au bout on a donc une personne (qu’on espère célibataire) qui subit:
= intrusion totale dans la vie privée
et la cerise sur le gâteau: pour des faits de pédoporn
joli.
c’est juste le cas parfait de conséquence la plus foireuse possible :
faux positif + inversion de la charge de la preuve.
ça c’est du putain de combo.
j’espère comme Tamos que la personne a porté plainte et qu’elle recevra un max.
et les torts sont totalement partagés, je comprend pas que l’Hadopi soit pas reconnue responsable.
#17
Et donc si je comprend bien. Chez misericable il suffit de maquiller son adresse MAC en 00:00:00:00:00, et plus besoin de VPN pour faire du P2P.
#18
#19
#20
Pas possible tu es sur un réseau mutualisé on te branche “au hasard la ou il y a de la place”(texto du technicien) et ta box est autorisé selon ton adresse mac (j’ai fait installé ma box il y a peu, les mecs téléphonent et donnent ton adresse mac pour activer ta box). Après il y a peut être des modems avec un mac a 00:00:00:00:00 et de base cette adresse est autorisé :p
Après ça peut aussi être des TRÈS vieux contrats ou à l’époque ou on n’activait pas les box (mon voisin a eu 5 ans gratos comme ça :p)
#21
#22
En cas de suicide c’est Fatality direct là.
La Hadopi ne peut pas être responsable ici, elle n’a pas les moyens d’identifier les personnes physiques (abonnés) derrière l’adresse IP flashée. C’est de la responsabilité du FAI(L).
L’article indique clairement que la CNIL en a rien a carrée du problème de NC pour identifier ses abonnées, et que c’est au FAI de veiller à ce que les infos soient à jour (art. 6-4 de la loi de 1978).
#23
Le plus hallucinant dans l’histoire c’est que le pauvre gars soit resté chez Numéricable. " />
#24
Je doute fortement qu’un équipt réseau puisse avoir une @mac à 00…
D’habitude une telle adresse MAC indique un problème arp ou de matos (experience perso)
#25
#26
Quelle histoire " />
Numericable ferait bien de revoir ses procédures car n’importe qui abonné chez eux pourrai essayer de contester le flashage hadopi en evoquant cette affaire
#27
#28
Heureusement que la mac n’était pas FF:FF:FF:FF:FF:FF, tous les abonnés NC auraient eu droit à une perqui " />
#29
J’avais eu un truc équivalent à l’époque avec Tele2 Internet qui m’accusait de diffuser des virus et du spam… sauf que j’étais sous Linux déjà à l’époque et que finalement le gars avait reconnu son erreur (d’autant que j’avais observé les logs de mon routeur en sachant ça et en lui demandant les numéros de ports et le reste).
Heureusement pour moi ça avait été bien moins grave mais tout ça pour prouver que les faux positifs sont probablement légion.
#30
L’IP identifiée correspond à une collocation jack lang / cohn bendit. Un faux positif, donc.
#31
#32
#33
Après un poil de recherche si tu remplaces le modem par un autre “compatible” et ya moyen d’avoir du mac à 00:00:00:00:00
#34
#35
#36
sauf qu’une adresse mac composée que de 0 ça n’existe pas c’est space leur histoire
#37
#38
Pauvre abonné…
#39
#40
#41
Le contrôle de la CNIL n’est toutefois intervenu que deux ans plus tard, le 15 avril 2015Le problème aurait été corrigé par Numericable en 2014, à la suite d’une demande d’information adressée par un service de police le 26 septembre 2014. L’opérateur a reconnu les faits, et échappé à une sanction financière en raison de sa promptitude à modifier le logiciel lorsqu’elle a eu connaissance de l’origine du problème. La CNIL a toutefois décidé d’adresser un avertissement public, en guise de peine infamante, devant appeler tous les opérateurs à la vigilance.L’histoire ne dit pas si l’abonné en cause a porté plainte pour réparation du préjudice subi.
#42
#43
#44
oui ben c’est bien ce que je dis: mal développé et pas testé. ^^
quand t’arrives en prod avec ce genre d’erreurs, ça vient bien de quelque part dans la chaine de delivery.
je peux pas penser une seule seconde que le mec qui a fait la spec a écrit qu’il fallait remonter 0 en cas d’erreur. ou alors tu le fais (c’est déjà bien crade) mais tu rejettes le couple IP/MAC à 0 ensuite.
donc c’est mal développé ET DONC mal testé.
et sans doute pas spécifié, puisque c’est de l’interne à l’oeil (pas indemnisé), donc développé from scratch sur un coin de table un dimanche soir.
quand on voit les conséquences, j’aimerais pas être à la place du développeur qui a pondu cette merde.
ni à celle de son boss, d’ailleurs. " />
#45
#46
" />
#47
#48
alors ça c’est même pas dit.
aux US le mec est millionaire, mais ici, il aura peut-être quelques milliers d’euros.
ça indemnise pas des voisins qui te regardent de travers, de ta femme qui t’a quitté avec les gosses…
#49
#50
Et encore ce n’est même pas dit qu’il soit indemnisé, on pourrait très bien lui opposer une clause de non responsabilité X ou Y…
#51
#52
Du coup, déjà que des imprimantes pouvaient être flashées par Hadopi, maintenant, y a le mauvais client identifié.
@Nxi : du coup, on a beaucoup parlé des adresses IP, de leur falsification, du fonctionnement de la Hadopi mais l’identification des abonnés par les FAI a-t-elle déjà été traitée ? Parce que si toute la chaîne est bonne et que l’identification de l’abonné par le FAI pose souci, et surtout n’a pas été certifiée, y a pas comme un souci niveau légal ?
#53
#54
#55
t’imagines même pas. " />" />
#56
#57
Et si tu fais ça tu finis au trou pour le restant de tes jours. Les puissants se tiennent entre eux, et le vulgus pecum (nous quoi) se fait baiser bien profond.
Bref 8 chances sur 10 que le gars n’ait strictement aucun dédommagement.
#58
#59
#60
Ca c’est clair, le mec à qui ça arrive n’a plus rien à perdre et devient dangereux pour cette raison. Et en toute honnêteté on le comprend parfaitement. (Et qu’il ait envie de régler leur compte à ceux qui lui ont fait ça se comprendrait davantage, d’autant qu’il n’a rien à perdre)
#61
en tout cas j’ai appris un nouveau terme dans ces commentaires de très haut niveau comme d’habitude: vulgus pecum.
merci tiret. " />
" />
#62
J’espère que Numericable ce prendra un gros procès pour les dommages matériel et moraux subit.
#63
#64
#65
oui sauf qu’eux c’est panaché sur les ports, donc pas moyen de se tromper. ^^
j’y avais pensé aussi. :)
#66
J’ai pas vraiment compris ton commentaire là…
Tu vas dans mon sens c’est ça hein ? " />
#67
C’est le monde à l’envers, notamment grâce à la Hadopi et l’inversion de la charge de la preuve qu’elle fait peser sur tout internaute. Ce n’est pas à la Hadopi de prouver que l’internaute est coupable mais à l’internaute de prouver qu’il est innocent. Certes, le commettant est ici NC, néanmoins ce genre de problème n’existerait pas en l’absence de la vénérable institution et de ses prestataires (Thierry L., si tu me lis…).
La législation française n’en est pas à son coup d’essai d’ailleurs puisque la loi Badinter (1985) affirme d’emblée la responsabilité de l’automobiliste quand bien même le cycliste ou le piéton se seraient factuellement jetés sous ses roues. Il revient à l’automobiliste de prouver la volonté de sa “victime” de provoquer un accident, sans quoi, la responsabilité de l’automobiliste est automatiquement retenue, quand bien-même le cycliste ou le piéton n’auraient pas respecté la signalisation, auraient décidé de se suicider ou (hypothèse moins probable) d’observer de près le pare-choc du véhicule en mouvement. Nuançons quand même, la loi ne cherche pas un coupable mais un responsable - et un débiteur au passage !
O tempora, o mores !
#68
#69
Voilà ce qui se passe quand on refuse de payer le travail qu’on demande aux autres " />
#70
#71
E l’Hadolfi qui reprend son cas comme exemple de son travail dans son rapport, la France championne du monde " />
#72
Justement, le port, n’est pas une donnée que HADOPI a le droit de traiter, donc si la distinction ne peut se faire que par le port, on ne peut pas connaître l’abonné.
#73
Perso si on m’accusait d’avoir téléchargé 600 chansons d’Enrico Macias alors que je sais que je suis innocent, c’est Enrico que j’irai “suicider” directement " />
#74
En théorie, je suis bien d’accord, sauf que nous avons dans notre arsenal pénal l’intime conviction du magistrat.
Le juge d’instruction ayant tout pouvoir, sans être coupable de quoi que ce soit, si on ne peut prouver être innocent, on peut se retrouver derrière les barreaux. Les accusés d’Outreau s’en souviennent.
Pour en revenir à l’espèce, il s’agit non seulement de délation institutionnalisée mais au surplus de présomption de culpabilité, l’opérateur étant supposé avoir toujours raison !!!
Dommage que les D&I en France ne soient pas à la hauteur de ce qu’ils sont lors des procès les plus médiatiques aux US, dans le cas de ce monsieur que je plains sincèrement, NC perdrait de sa superbe !
#75
#76
#77
parce que l’Hadopi gère l’adresse MAC?
#78
J’ai dit ça ?
L’adresse MAC est une tambouille interne à NC pour déterminer un abonné à partir d’une adresse IP.
Par contre, Free a besoin du port pour distinguer lequel des 4 abonnés ayant une adresse IP flashée et transmise par HADOPI pour identification.
Donc les abonnés de Free qui sont plusieurs sur une adresse IP V4 sont tranquilles puisque HADOPI n’a pas le droit de traiter l’information port.
#79
Il est toujours en vie ?
Edit: Je veux dire, l’âge n’a pas fait son œuvre ?
#80
Pour Free, je partais évidemment du principe que l’Hadopi aura à terme le droit de traiter le port (c’est un simple décret). c’est sûr que s’ils l’ont pas, ça risque pas de marcher. ^^
pour le MAC je demandais, j’ai rien prétendu.
je me demande du coup comment NC peut prétendre identifier un abonné sur la base IP/MAC s’ils n’ont pas le MAC fourni par la hadopi.
et là tout en réfléchissant, un doute s’installe dans mon esprit, sur la signification du terme “associer” dans l’article:
Cette application associe en principe les adresses IP aux adresses MAC des abonnés afin de déterminer leur identité.
Associer dans :
du coup je me dis que c’est sans doute la 2e solution tout compte fait, et je me dis aussi que c’est encore pire que ce que je pensais.
^^
c’est dur le mardi soir. " />
#81
putain c’est pareil non?
bon j’arrête là c’est n’imp.
bonne nuit. " />
#82
#83
Les techniciens qui ont programmées le bousin doivent se sentir mal." />" />
Mais c’est la victime que je plain le plus , à sa place, je sais pas si j’aurais tenu le choc." />
#84
“Selon NC, l’absence d’aides de l’État rendrait du coup « les anomalies difficiles détectables »”
Ca va leur servir aussi à provisioner leurs futurs patacaisses juridiques. Et comme on dit parfois on a la qualité de ce que l’on a payé pour. En l’occurence : rien.
Par contre. agissant sur réquisition, le responsable est plus que probablement l’HADOPI. Lors de la campagne de vaccination ratée de H1N1 les labos ayant du produire le vaccin sur réquisition ils sont déresponsabilisés en cas de pbs sur le produit, et c’est tata Roselyne la responsable.
#85
Ou pas. C’est toujours la faute des chefs et autres responsables qui vendent une solution pas finie et te l’annoncent la veille de la date de livraison avec des contraintes pas possibles tout en te demandant pourquoi ce n’est pas déjà en phase de test.
#86
Généralement, c’est ceux en bas de l’échelle qui saute en premier.
#87
Ou alors une vieille migration de base de données d’adresses MAC qui a échoué et où les adresses endommagées (mal retranscrites) ont été supprimées (volontairement ou non).
#88
Non car tu ne peux pas manipuler les paquets sortant de la box et allant vers le FAI (même si tu pourrais le faire avec ceux sortant de ton PC et allant vers la box).
#89
J’espère bien qu’ils vont remonter la chaîne de responsabilité.
#90
Le technicien qui s’en fout peut aussi ne rien mettre histoire d’aller encore plus vite. Cela me rappelle un gars qui installait un logiciel dans mon entreprise et qui mettait * dans les champs Utilisateur et Organisation, juste pour gagner 5 secondes.
#91
Quand on est chez Numerdicable, c’est très facile de contester le flashage Hadopi avec un avocat un tout petit peu au courant des choses.
Comme ces gnoufs filent toujours des box avec le Wifi activé et positionné en WEP… il suffit de prétendre qu’on n’y connaît rien en informatique, et que c’est un voisin indélicat qui a piraté la Wifi.
(Pour ceux qui l’ignorent, le WEP ça se pète en 10 minutes, plus personne ne devrait utiliser ça, sauf à des fins pédagogiques et de test).
#92
Lot de consolation pour cet abonné: il pourra télécharger à vie sans être inquiété!
Hadopi n’osera plus le poursuivre. Maintenant, il doit être sur la liste blanche…
#93
Et ça veut nous instaurer le vote numérique. Quand est-ce qu’ils comprendront que ces procédures sont imparfaite à cause de la technologie en elle même mais aussi à cause des types qui la gère.
#94
#95