B034
La découverte aux États-Unis d'un réseau de 100.000 cartes SIM utilisées pour perturber les télécommunications et mener des cyberattaques met en lumière les risques liés à l'acquisition massive et potentiellement anonyme de cartes prépayées. En Belgique, où les cartes SIM peuvent être achetées sans vérification systématique de l'identité, il est crucial de savoir si des mécanismes existent pour détecter des comportements suspects, comme l'achat groupé de cartes SIM ou leur utilisation pour des activités illégales, telles que le phishing, les attaques par déni de service ou l'envoi de messages frauduleux. Les opérateurs télécoms jouent un rôle clé dans la prévention de ces menaces, notamment en signalant les anomalies aux autorités compétentes. Pourtant, la sophistication croissante des réseaux criminels exige une vigilance accrue et des outils adaptés pour traquer ces activités. 1. a) Des opérateurs télécom belges ont-ils déjà signalé des achats suspects de cartes SIM en grande quantité? b) Quelles procédures sont en place pour identifier et bloquer ces cartes avant qu'elles ne soient utilisées à des fins malveillantes? 2. a) Les opérateurs ont-ils la capacité technique de localiser et désactiver à distance des cartes SIM utilisées dans des réseaux frauduleux? b) Comment cette capacité est-elle encadrée juridiquement pour respecter la vie privée des utilisateurs? c) Quid des cartes SIM étrangères présentes sur notre territoire? 3. a) Ces réseaux de cartes SIM sont-ils fréquemment utilisés pour des campagnes de phishing ou d'autres formes de cybercriminalité en Belgique? b) Quelles données sont partagées avec la police ou la Sûreté de l'État pour lutter contre ces pratiques? 4. Quelles mesures envisagez-vous pour renforcer la traçabilité des cartes SIM et limiter leur utilisation à des fins criminelles, notamment en collaboration avec les opérateurs et les autorités européennes? 5. Un cadre légal spécifique est-il envisagé pour obliger les opérateurs à coopérer plus activement avec les services de sécurité en cas de suspicion d'activités illégales, tout en garantissant le respect des droits fondamentaux?
B037
1. a) Non, aucune signalement n'a encore été fait. b) En Belgique, conformément à l'article 127 de la loi du 13 juin 2005 relative aux communications électroniques ("loi télécom"), les opérateurs sont tenus d'identifier leurs abonnés, que cela soit pour les abonnés postpayés (contrats classiques) ou pour les cartes SIM prépayées. Pour les abonnements postpayés, l'identité doit être vérifiée lors de la conclusion du contrat, avant que le service ne soit activé. Cela inclut la collecte des données d'identité (nom, adresse, numéro de registre national ou équivalent). Comme indiqué par les travaux préparatoires, la personne doit être identifiée (ou doit pouvoir être identifiée par les autorités) dès le début du contrat, et non pas, par exemple, lors du paiement de la première facture un mois après la fourniture du service (facture qu'un fraudeur ne paiera pas). Pour les cartes SIM prépayées, l'identification est obligatoire avant l'activation de la carte et s'effectue soit via le point de vente, soit à distance par la personne elle-même via les moyens autorisés par l'arrêté royal du 27 novembre 2016 relatif à l'identification de l'utilisateur final de services de communications électroniques accessibles au public mobiles fournis sur la base d'une carte prépayée (notamment : carte d'identité électronique et itsMe). Si un opérateur ne respecte pas les mesures qui lui sont imposées par l'article 127 ou par le Roi, il lui est interdit de fournir le service pour lequel les mesures en question n'ont pas été prises. En outre, les opérateurs sont tenus de déconnecter les abonnés qui ne respectent pas les mesures qui leur sont imposées par l'article 127 ou par le Roi, des réseaux et services auxquels les mesures imposées s'appliquent. Ces abonnés ne sont en aucune manière indemnisés pour la déconnexion. 2. a) Comme prévu par l'article 127, § 12 de la loi télécom, les opérateurs sont en mesure de déconnecter les abonnés qui ne se sont pas identifiés valablement, comme ils sont en mesure de déconnecter les abonnés qui ne paient pas leur facture. Pour ce faire, les opérateurs ne sont pas obligés de "détruire" la puce SIM à distance. Ils peuvent en revanche, grâce aux identifiants conservés (IMSI), retirer l'autorisation d'accès de cette carte au réseau, ce qui est l'équivalent fonctionnel d'une désactivation pour l'abonné. b) Comme indiqué préalablement, l'opérateur a l'obligation de déconnecter l'abonné qui ne s'est pas valablement identifié, en vertu de l'article 127, § 12 de la loi télécom. Si l'abonné est valablement identifié, il sera alors possible pour la police et pour les autorités judiciaires d'obtenir son identité et d'entamer, le cas échéant, des poursuites à son encontre si celui-ci se rend coupable de fraudes ou de tentatives de fraudes. c) À cet égard, il faut distinguer la distribution et la vente de ces cartes sur le territoire belge de leur simple utilisation en roaming par des visiteurs ou des touristes. Conformément à l'article 127, §1er de la loi télécom, il est interdit de distribuer en Belgique, en ce compris par internet, aux utilisateurs finaux, sans l'accord de l'entreprise étrangère qui fournit le service de communications électroniques accessible au public: - des cartes prépayées ou des abonnements de cette entreprise qui leur permettent d'y utiliser un service de communications électroniques; - des objets connectés dans lesquels un produit de cette entreprise est intégré et qui leur permettent d'y utiliser un service d'accès à internet ou un service de communication interpersonnelle d'un opérateur. Cette interdiction vise à empêcher le contournement de l'obligation d'identification qui pèse sur les opérateurs nationaux. En cas d'accord de l'opérateur étranger pour la distribution et la vente en Belgique, cet opérateur étranger sera alors considéré comme un opérateur au sens de la loi télécom et devra se conformer aux obligations belges d'identification des abonnés. En cas d'absence d'accord de l'opérateur étranger, la personne qui distribue ces cartes ou abonnements en Belgique peut faire l'objet de poursuites pénales (le non-respect de l'article 127 étant puni par des amendes pénales). 3. a) Pas à ma connaissance, mais la police fédérale et le parquet sont les mieux à mêmes de répondre à cette question. b) La police et la Sûreté de l'Etat font partie des autorités publiques susceptibles de demander l'identification d'abonnés ou d'utilisateurs finaux de services de communications électroniques, lorsque cela apparait nécessaire afin de remplir leurs missions. Ces demandes de fourniture de données doivent respecter les conditions et garanties légales prévues par leur cadre réglementaire respectif. 4. La difficulté de retrouver la personne à l'origine d'appels frauduleux ou malveillants découle souvent du fait que ces appels sont passés depuis l'extérieur de la Belgique ou même en dehors de l'Union européenne. Dans ce cas, il peut s'avérer particulièrement complexe de parvenir à obtenir la collaboration des opérateurs situés en dehors de la Belgique ou de l'Union européenne. C'est sur la base de ce constat qu'a été adopté l'arrêté royal (AR) du 12 mai 2024 relatif à la lutte contre les appels vocaux internationaux au moyen de numéros de téléphone belges usurpés (AR spoofing) qui prévoit que les appels internationaux effectués à l'aide d'un numéro belge vers des numéros belges doivent être bloqués. Une exception est toutefois prévue pour les applications fiables. 5. Les opérateurs sont en première ligne pour détecter les fraudes et utilisations malveillantes sur leurs réseaux et services, et éviter que les utilisateurs finaux ne subissent un préjudice ou ne soient importunés. En vertu de l'article 121/8 de la loi télécom, les opérateurs ont l'obligation de prendre les mesures appropriées, proportionnées, préventives et curatives, compte tenu des possibilités techniques les plus récentes, pour ce faire. Lorsque cela se justifie au regard de la gravité des circonstances, qui doivent être examinées au cas par cas, les mesures appropriées visées au paragraphe 1er, alinéa 1er, peuvent comprendre notamment: - des mesures au niveau du réseau, tels que le blocage des numéros, de services, des URLs, de noms de domaine, d'adresses IP ou de tout autre élément d'identification de la communication électronique; - des mesures au niveau de l'utilisateur final, telles que la désactivation complète ou partielle de certains services ou équipements. En cas de phénomène grave et/ou croissant, l'information des autorités compétentes fait partie des mesures raisonnables qui peuvent être attendues de la part des opérateurs. Lorsqu'un opérateur informe les autorités compétentes d'une infraction potentielle (telle que le smishing ou le spoofing, qui sont des infractions commises via les réseaux), il est essentiel que l'opérateur lui communique dès le départ les données d'identification et les métadonnées nécessaires à l'enquête, dans un souci d'efficacité. Toute personne (y compris un opérateur) qui refuse de communiquer les données demandées, ou qui ne les communique pas en temps réel ou dans le délai précisé dans la réquisition, peut se voir infliger une amende pénale et/ou administrative.