Questions fréquentes
Quels risques encourt une entreprise avec des logiciels crackés ?
Trois risques distincts. Juridiquement, l'utilisation d'un logiciel hors des termes de sa licence constitue une contrefaçon, qui expose à une action civile en réparation et, selon les cas, à des poursuites pénales, la société comme son représentant légal pouvant être concernés. Côté cybersécurité, les cracks sont un canal de diffusion de logiciels malveillants documenté. Côté exploitation, le logiciel ne reçoit plus de correctifs, n'ouvre droit à aucun support et empêche de reconstruire proprement un poste.
Le dirigeant est-il personnellement responsable ?
La société est responsable en tant que personne morale, et la responsabilité personnelle du représentant légal peut également être recherchée en sa qualité de dirigeant chargé de veiller au respect de la loi dans l'entreprise. Pour une situation précise, il faut consulter un avocat en propriété intellectuelle : la qualification dépend de nombreux éléments de fait.
« Je ne savais pas que c'était installé » est-il un argument ?
Non. Le dirigeant est censé maîtriser ce qui s'exécute dans son entreprise, et l'absence totale d'inventaire est plus souvent retenue comme un indice de négligence que comme une excuse. De même, le fait qu'un salarié ait installé le logiciel de sa propre initiative peut ouvrir un volet disciplinaire interne mais n'éteint pas la responsabilité de la société envers l'éditeur.
Une licence personnelle ou étudiante peut-elle servir en entreprise ?
Non. Les licences personnelles, familiales et étudiantes comportent une restriction d'usage non commercial ou non professionnel. Les utiliser pour une activité professionnelle est une sortie du cadre de la licence, au même titre qu'un contournement technique, même si le logiciel est identique et même s'il a été payé.
Comment un éditeur peut-il découvrir la situation ?
Principalement par signalement : salarié mécontent, ancien collaborateur, prestataire écarté, parfois concurrent, certains programmes prévoyant une contrepartie financière pour l'informateur. Ensuite par la télémétrie du logiciel lui-même, beaucoup de logiciels professionnels contactant leur éditeur pour vérifier une licence ou chercher une mise à jour. Enfin par la clause d'audit présente dans la plupart des contrats de licence professionnels.
Un logiciel craqué peut-il réellement provoquer une cyberattaque ?
Oui, et c'est le risque le plus probable des trois. Un crack est téléchargé sur un site non officiel, modifie le code d'un autre programme, demande des droits d'administrateur et exige souvent de désactiver l'antivirus pour s'exécuter. On y retrouve couramment des voleurs d'identifiants, des portes dérobées et des mineurs de cryptomonnaie. L'accès obtenu est souvent revendu puis exploité plusieurs mois plus tard, ce qui rend le lien invisible le jour de l'incident.
Mon assurance cyber couvre-t-elle un sinistre dans ce cas ?
C'est à vérifier dans votre police, mais le respect des obligations légales fait généralement partie des conditions de garantie. Un sinistre dont l'origine est reliée à un logiciel contrefait donne à l'assureur un motif sérieux de discuter la prise en charge. Il faut lire ces conditions avant d'en avoir besoin.
Comment régulariser sans exploser le budget ?
En triant avant d'acheter. Un inventaire automatisé révèle presque toujours qu'une part significative des logiciels installés n'est plus utilisée : on désinstalle et le besoin de licence disparaît. Pour le reste, on cherche l'alternative gratuite légale, l'abonnement mensuel, ou la fonction déjà incluse dans une suite que l'entreprise paie déjà. Les éditeurs de logiciels métier acceptent par ailleurs souvent une régularisation étalée, préférant un client à un contentieux.
Faut-il refaire les postes concernés ?
Au minimum, ils doivent être traités comme potentiellement compromis même si l'antivirus ne signale rien : analyse approfondie, changement de tous les mots de passe utilisés depuis ce poste, et vérification des règles de transfert automatique sur la messagerie. En cas de doute sur la nature du programme exécuté, la reconstruction complète du poste est la seule option sûre.
