En advokat forklarer handlinger og eksempler forbudt af den japanske 'Lov om forbud mod uautoriseret adgang

Den japanske “Lov om forbud mod uautoriseret adgang” (officielt “Lov om forbud mod uautoriseret adgang og lignende”) blev indført i februar 2000 og revideret i maj 2012, og er stadig gældende. Denne lov, der består af 14 artikler, har til formål at forhindre cyberkriminalitet og opretholde orden i forbindelse med elektronisk kommunikation.

“Lov om forbud mod uautoriseret adgang og lignende” (Formål)

Artikel 1: Formålet med denne lov er at forbyde uautoriseret adgang og fastsætte straffe og hjælpeforanstaltninger for at forhindre gentagelse af sådanne handlinger ved hjælp af præfekturets offentlige sikkerhedskommissioner, for at forhindre forbrydelser relateret til computere gennem telekommunikationslinjer og opretholde orden i telekommunikation realiseret ved adgangskontrolfunktioner, og dermed bidrage til sund udvikling af et avanceret informationssamfund.

Hvad forbyder loven om forbud mod uautoriseret adgang specifikt? Og hvilke reelle eksempler findes der, og hvilke foranstaltninger bør træffes i strafferetlig og civilretlig henseende? Vi vil forklare oversigten over loven om forbud mod uautoriseret adgang og de foranstaltninger, der skal træffes, hvis du bliver offer for sådan en forbrydelse.

Handlinger forbudt under den japanske lov om forbud mod uautoriseret adgang

Handlinger, der er forbudt og strafbare under den japanske lov om forbud mod uautoriseret adgang, kan overordnet set inddeles i følgende tre kategorier:

• Forbud mod uautoriseret adgang (Artikel 3)
• Forbud mod handlinger, der fremmer uautoriseret adgang (Artikel 5)
• Forbud mod ulovligt at erhverve, opbevare eller anmode om andres identifikationskoder (Artiklerne 4, 6 og 7)

Her refererer “identifikationskoder” til koder, der er tildelt af en adgangsadministrator til dem, der har fået tilladelse til at bruge en bestemt elektronisk computer, og som adgangsadministratoren bruger til at skelne mellem forskellige brugere (Artikel 2, stk. 2).

Et typisk eksempel på en identifikationskode er en adgangskode, der bruges i kombination med et ID. Derudover er systemer, der identificerer en person ved hjælp af fingeraftryk eller iris, også ved at blive mere udbredte, og disse betragtes også som identifikationskoder. Desuden, hvis en person identificeres ved hjælp af formen eller trykket af deres underskrift, vil den numeriske og kodificerede version af denne underskrift også betragtes som en identifikationskode.

Hvad er uautoriseret adgang?

Specifikt er det defineret i paragraf 2, afsnit 4, men uautoriseret adgang er “identitetstyveri”, hvor man misbruger en andens identifikationskode, og “sikkerhedshulangreb”, hvor man udnytter svagheder i et computerprogram. I den japanske “Lov om forbud mod uautoriseret adgang” er det forbudt at få adgang til en andens computer på disse måder.

Misbrug af en andens identifikationskode

Det såkaldte “identitetstyveri” refererer til at bruge en computer, som man normalt ikke har adgang til, ved at misbruge en andens identifikationskode.

Med andre ord, når man bruger et computersystem, skal man indtaste en identifikationskode, såsom et ID eller en adgangskode, på computeren. Identitetstyveri refererer til at indtaste en andens identifikationskode uden deres tilladelse, selvom de har ret til at bruge systemet.

Det kan være lidt svært at forstå, men “en andens” i denne sammenhæng refererer til et ID eller en adgangskode, som en anden person allerede har oprettet (og bruger). Med andre ord, identitetstyveri er, kort sagt, at “overtage” en konto, som en anden person allerede bruger, for eksempel på sociale medier som Twitter.

Da det er et krav, at identifikationskoden er indtastet uden personens tilladelse, vil det ikke være i strid med den japanske “Lov om forbud mod uautoriseret adgang”, hvis man for eksempel giver en kollega, der er på kontoret, mens man er på forretningsrejse, sin adgangskode for at tjekke sin e-mail på ens vegne, da man har fået tilladelse fra personen selv.

Generelt henviser “identitetstyveri” til at oprette en ny konto ved hjælp af en andens navn eller profilbillede og bruge sociale medier som Twitter under denne andens identitet. Men den handling, der er forbudt i henhold til den japanske “Lov om forbud mod uautoriseret adgang”, er forskellig fra denne. For en mere detaljeret forklaring på den generelle betydning af “identitetstyveri”, se artiklen nedenfor.

https://monolith.law/reputation/spoofing-dentityright[ja]

Udnyttelse af svagheder i et computerprogram

“Sikkerhedshulangreb” refererer til at angribe sikkerhedshuller (svagheder i sikkerhedsforanstaltningerne) i en andens computer og gøre det muligt at bruge denne computer. Ved hjælp af angrebsprogrammer og lignende gives information og instruktioner, der ikke er identifikationskoder, til det angrebne mål, og adgangskontrollen til den andens computer omgås for at bruge computeren uden tilladelse.

Adgangskontrolfunktionen, der nævnes her, er en funktion, som adgangsadministratoren har givet til en bestemt elektronisk computer eller en elektronisk computer, der er forbundet til en bestemt elektronisk computer via en telekommunikationslinje, for at begrænse, at nogen anden end den legitime bruger kan bruge den bestemte elektroniske computer (paragraf 2, afsnit 3).

For at forklare det mere simpelt, er det en mekanisme, der kun tillader brug, hvis det korrekte ID og adgangskode osv. er indtastet af den person, der forsøger at få adgang til computersystemet via netværket.

Med andre ord, et “sikkerhedshulangreb” kan siges at være at gøre det muligt at bruge det pågældende computersystem uden at indtaste det korrekte ID og adgangskode osv. ved at deaktivere denne mekanisme.

To typer af uautoriseret adgang

Som nævnt ovenfor er der to typer af uautoriseret adgang.

Det er vigtigt at bemærke, at for at en handling kan betragtes som uautoriseret adgang, skal den udføres via et computernetværk. Derfor gælder loven om forbud mod uautoriseret adgang ikke, hvis man for eksempel indtaster en adgangskode uden tilladelse på en computer, der ikke er tilsluttet et netværk, dvs. en såkaldt standalone-computer.

Men hvad angår computernetværk, gælder det ikke kun for åbne netværk som internettet, men også for lukkede netværk som et virksomhedsnetværk (LAN).

Derudover er der ingen begrænsninger på, hvad der kan gøres ved uautoriseret adgang, så det vil være i strid med den japanske “Lov om forbud mod uautoriseret adgang”, hvis man for eksempel laver uautoriserede ordrer, ser data, overfører filer eller ændrer en hjemmeside.

Hvis man begår en af disse to typer uautoriseret adgang, kan man blive straffet med op til tre års fængsel eller en bøde på op til 1 million yen (paragraf 11).

Hvad er handlinger, der fremmer ulovlig adgang?

Handlinger, der fremmer ulovlig adgang, som er forbudt under den japanske “Lov om forbud mod ulovlig adgang” (Ulovlig Adgangsforbud Lov), er at give en andens ID og adgangskode til en tredjepart uden personens tilladelse. Uanset metoden, såsom via telefon, e-mail eller hjemmeside, hvis du fortæller en anden person “ID’et for ○○ er ××, og adgangskoden er △△”, og gør det muligt for andre at få adgang til andres data uden tilladelse, vil det være en handling, der fremmer ulovlig adgang.

Hvis du udfører handlinger, der fremmer ulovlig adgang, kan du blive straffet med “fængsel i op til et år eller en bøde på op til 500.000 yen” (Artikel 12, punkt 2).

Desuden, selv hvis du giver en adgangskode uden at vide, at formålet er ulovlig adgang, kan du blive straffet med en bøde på op til 300.000 yen (Artikel 13).

Hvad indebærer det at ulovligt erhverve, opbevare eller anmode om andres identifikationskoder?

I henhold til den japanske “Lov om forbud mod ulovlig adgang” er det forbudt at ulovligt erhverve, opbevare eller anmode om andres identifikationskoder (ID’er og adgangskoder).

• Artikel 4: Forbud mod ulovligt at erhverve andres identifikationskoder
• Artikel 6: Forbud mod ulovligt at opbevare andres identifikationskoder
• Artikel 7: Forbud mod ulovligt at anmode om indtastning af andres identifikationskoder

Et typisk eksempel på denne forbudte adfærd er “anmodning om indtastning”, også kendt som phishing. For eksempel, ved at udgive sig for at være en finansiel institution, lokker gerningsmanden offeret til en falsk hjemmeside, der ligner den ægte, og får offeret til at indtaste deres adgangskode og ID på denne falske hjemmeside.

Identifikationsnumre erhvervet gennem phishing bruges ofte i auktionssvindel, og der er mange tilfælde af svindel, hvor indskud uautoriseret overføres til en anden konto.

Udførelse af disse handlinger kan resultere i fængsel i op til et år eller en bøde på op til 500.000 yen (Artikel 12, punkt 4).

Hvad er lovene, der regulerer cyberkriminalitet udover uautoriseret adgang?

Som det fremgår, er den japanske “Uautoriseret Adgangsforbud-lov” en lov, der er designet til at håndtere visse typer af det, der almindeligvis betegnes som cyberkriminalitet. Når det kommer til cyberkriminalitet som helhed, kan andre love, såsom den japanske “Lov om Forstyrrelse af Forretning ved Ødelæggelse af Elektroniske Computere”, “Lov om Forstyrrelse af Forretning ved Bedrageri” og “Lov om Ærekrænkelse”, også komme i spil. En mere detaljeret forklaring af det samlede billede af cyberkriminalitet findes i artiklen nedenfor.

https://monolith.law/corporate/categories-of-cyber-crime[ja]

Adgangsadministratorers forpligtelser

Vi vil forklare de forpligtelser, der er defineret i den japanske “Lov om forbud mod uautoriseret adgang” (Uautoriseret Adgangsforbud Lov). En adgangsadministrator er en person, der styrer driften af en bestemt elektronisk computer, der er forbundet til en telekommunikationslinje (Artikel 2, Afsnit 1).

Administrationen her refererer til at bestemme, hvem der skal have adgang til den specifikke elektroniske computer via netværket, og omfanget af denne adgang. En person, der har autoritet til at bestemme disse brugere og brugsområder, er en adgangsadministrator i henhold til Uautoriseret Adgangsforbud Lov.

For eksempel, når en virksomhed driver et computersystem, vil de udpege en systemadministrator fra deres medarbejdere til at styre det. Men hver systemadministrator styrer kun i overensstemmelse med virksomhedens vilje. Derfor er adgangsadministratoren i sådanne tilfælde virksomheden, der driver computersystemet, og ikke systemadministratoren.

Uautoriseret Adgangsforbud Lov definerer ikke kun uautoriserede adgangshandlinger og straffe, men pålægger også administratorer en forpligtelse til at forhindre uautoriseret adgang i forbindelse med serverstyring osv.

Forsvarsforanstaltninger af adgangsadministratorer

Artikel 8: En adgangsadministrator, der har tilføjet en adgangskontrolfunktion til en bestemt elektronisk computer, skal stræbe efter at administrere identifikationskoder eller koder, der bruges til at bekræfte dem gennem adgangskontrolfunktionen korrekt, altid verificere effektiviteten af adgangskontrolfunktionen, og når det er nødvendigt, straks forbedre funktionen og træffe de nødvendige foranstaltninger for at beskytte den specifikke elektroniske computer mod uautoriserede adgangshandlinger.

“Korrekt administration af identifikationskoder”, “konstant verifikation af effektiviteten af adgangskontrolfunktionen” og “forbedring af adgangskontrolfunktionen efter behov” er pålagt, men da disse er forpligtelser til at gøre en indsats, er der ingen straf for at forsømme disse foranstaltninger.

Men hvis en administrator finder tegn på, at ID’er eller adgangskoder er blevet lækket, skal de straks foretage adgangskontrol, såsom at slette konti eller ændre adgangskoder.

Foranstaltninger i tilfælde af uautoriseret adgang

Hvis du bruger e-mail eller sociale medier, kan du blive udsat for uautoriseret adgang fra andre. Hvad kan du gøre i sådanne tilfælde?

Indgive en straffesag

Først og fremmest er det muligt at indgive en straffesag mod den person, der har fået uautoriseret adgang. Uautoriseret adgang er en forbrydelse, og den person, der har fået uautoriseret adgang, vil blive straffet. Som forklaret ovenfor, kan den person, der har fået uautoriseret adgang, risikere en fængselsstraf på op til 3 år eller en bøde på op til 1 million yen, og hvis der er nogen, der har medvirket, kan de risikere en fængselsstraf på op til 1 år eller en bøde på op til 500.000 yen.

Desuden er overtrædelse af loven om forbud mod uautoriseret adgang en forbrydelse, der kan efterforskes af politiet, selv uden en klage. Hvis politiet bliver opmærksom på faktummet, kan de starte en efterforskning og arrestere gerningsmanden. Selv hvis du ikke er den person, der har fået uautoriseret adgang, kan enhver, der kender til faktummet, anmelde det til politiet.

Som vi også nævnte i artiklen om forstyrrelse af forretning, er en forbrydelse, der kræver en straffesag fra offeret for at kunne retsforfølges, men det betyder ikke, at du ikke kan indgive en sag, hvis det ikke er en sådan forbrydelse. Selv i tilfælde af en forbrydelse, der ikke kræver en klage, kan offeret indgive en sag mod gerningsmanden.

Selvom det er en forbrydelse, der ikke kræver en klage, kan gerningsmandens omstændigheder forværres, og straffen kan blive strengere, hvis offeret indgiver en straffesag. Hvis du opdager, at du har været udsat for uautoriseret adgang, bør du konsultere en advokat og indgive en skadesrapport eller en klage til politiet. Når politiet accepterer skadesrapporten, vil de straks fortsætte med efterforskningen og arrestere eller sende gerningsmanden til retsforfølgelse.

Kræve erstatning i en civil sag

Hvis du har lidt skade som følge af uautoriseret adgang, kan du i civilretlig henseende kræve erstatning fra gerningsmanden i henhold til artikel 709 i den japanske civillov.

Civilloven Artikel 709

En person, der forsætligt eller uagtsomt krænker en andens rettigheder eller interesser, der er beskyttet ved lov, er ansvarlig for at erstatte den skade, der er forårsaget deraf.

Hvis gerningsmanden har fået uautoriseret adgang og spredt personlige oplysninger, stjålet genstande fra et socialt spil, fået adgang til data som kreditkort eller bankkonti og forårsaget økonomisk skade, bør du kræve erstatning for skaden, herunder kompensation for lidelse. Selvfølgelig, hvis du har lidt økonomisk skade som følge af uautoriseret adgang til data som kreditkort eller bankkonti, kan du også kræve erstatning for disse skader.

For at kræve erstatning fra gerningsmanden, skal du dog identificere gerningsmanden og samle bevis for, at denne person faktisk har fået uautoriseret adgang, hvilket kræver avanceret specialviden. Hvis du har lidt skade som følge af uautoriseret adgang, skal du konsultere en advokat med omfattende erfaring med internetproblemer og bede om at få proceduren iværksat.

Opsummering

Den japanske lov om forbud mod uautoriseret adgang (不正アクセス禁止法) får en stadig vigtigere betydning i det moderne samfund, hvor IT-udviklingen skrider frem. Dog er det ofte teknisk vanskeligt for ofrene selv at identificere gerningsmanden, selv når de har været udsat for uautoriseret adgang.

Overtrædelser af loven om forbud mod uautoriseret adgang er underlagt strafferetlige sanktioner, og det er derfor muligt at indgive en politianmeldelse. Men da det er en ny type forbrydelse, er det ikke altid, at politiet straks forstår sagen. Derfor er det nødvendigt at give en omhyggelig forklaring fra både et juridisk og teknisk synspunkt for at hjælpe politiet med at forstå, når man indgiver en anmeldelse. I denne forstand kræver håndtering af loven om forbud mod uautoriseret adgang en høj grad af specialisering, og det er vigtigt at konsultere en advokat, der også er velbevandret i de tekniske aspekter af IT.