Hvad er de 3 kategorier af cyberkriminalitet? En advokat forklarer skadeskontrol for hver type

“Cyberkriminalitet” er et udtryk, der er ret udbredt i daglig tale, men internationalt er det defineret som “kriminalitet, der misbruger computerteknologi og telekommunikationsteknologi”. Såkaldt “hacking (cracking)” og lignende former for cyberkriminalitet kan også ramme virksomheder, og hvis man bliver offer for sådan en forbrydelse, er det nødvendigt at overveje, hvilke foranstaltninger man skal tage.

I denne artikel vil vi klassificere cyberkriminalitet i tre generelle kategorier, der er almindeligt anvendt i Japan, og forklare, hvilke forbrydelser hver kategori dækker, og hvilke foranstaltninger der er tilgængelige, hvis man bliver offer for dem. Grunden til, at denne klassificering er vigtig, er fordi:

• Hvis man ikke kan betragtes som et “offer” i juridisk forstand, kan det være svært at opfordre politiet til at efterforske, selvom man kan “rapportere” en forbrydelse.
• For forbrydelser, hvor der er civile retsmidler, er der muligheder for at identificere gerningsmanden og kræve erstatning fra dem gennem civile metoder ved at hyre en advokat, uden at skulle stole på politiets efterforskning.
• Hvis man er offer for en forbrydelse, hvor der ikke er nogen civil løsning, vil man skulle opfordre politiet til at efterforske.

Det er fordi “foranstaltningerne” varierer afhængigt af kategorien.

Tre kategorier af cyberkriminalitet

Som nævnt ovenfor, er det almindeligt i Japan at opdele cyberkriminalitet i tre kategorier.

• Computerkriminalitet: En præcis definition følger senere, men kort sagt er det kriminelle handlinger, der forstyrrer virksomhedens drift.
• Netværkskriminalitet: Kriminelle handlinger begået ved misbrug af internettet.
• Overtrædelse af den japanske lov om forbud mod uautoriseret adgang: Dette inkluderer handlinger som uautoriseret login.

Nedenfor vil vi forklare hver enkelt.

Hvad er computervirksomhed?

Hvad er forbrydelsen mod ødelæggelse af elektroniske computere osv.?

Handlinger, der falder ind under forbrydelsen mod ødelæggelse af elektroniske computere osv., som er defineret i straffeloven, er typiske for denne type.

En person, der ødelægger en elektronisk computer eller en elektromagnetisk registrering, der bruges til en persons forretning, eller giver falske oplysninger eller uretmæssige instruktioner til en elektronisk computer, der bruges til en persons forretning, eller på anden måde forhindrer en elektronisk computer i at fungere i overensstemmelse med dens anvendelsesformål, eller får den til at fungere i strid med dens anvendelsesformål, og derved forstyrrer en persons forretning, skal straffes med fængsel i op til 5 år eller en bøde på op til 1 million yen.

Straffelovens artikel 224, stk. 2

Det er en svær tekst at læse, men for at sige det enkelt,

• Ødelægger en erhvervs-PC eller dataene i den
• Sender falske oplysninger eller oplysninger, der ikke oprindeligt var forventet, til en erhvervs-PC

Denne forbrydelse er etableret, når man får den pågældende PC til at udføre uventede handlinger ved hjælp af sådanne midler og forstyrrer forretningen.

Typiske eksempler på dette er handlinger, der øger saldoen på en online bankkonto ved at udnytte sikkerhedshuller eller ulovligt logge ind på andres konti. På samme måde falder handlinger, der ændrer en virksomheds hjemmeside ved at udnytte sikkerhedshuller eller ulovligt erhverve loginoplysninger, også ind under dette. Selvom handlingen “ulovlig login” i sig selv er en type “overtrædelse af forbuddet mod ulovlig adgang”, som vil blive nævnt senere, er denne type forbrydelse rettet mod handlinger som ulovlig manipulation, ændring, sletning og ulovlig omskrivning af data.

Hvad er forskellen på ulovlig adgang?

Denne type forbrydelse kan etableres, selvom der ikke nødvendigvis er nogen ulovlig loginhandling involveret. Et typisk eksempel er den såkaldte DoS-angreb. Mønstre, hvor man sender en masse e-mails og forårsager problemer med e-mailserveren, eller hvor man foretager en masse adgang til en hjemmeside og forårsager problemer med webserveren. Selvom hver enkelt e-mail eller adgang er lovlig, hvis man ser på dem enkeltvis, får de serveren (PC) til at udføre uventede handlinger, når de udføres i stort omfang, og forårsager skade på den pågældende virksomhed, såsom at gøre det umuligt at bruge e-mail eller at åbne hjemmesiden. Derfor er det “ikke en overtrædelse af forbuddet mod ulovlig adgang, men det falder ind under forbrydelsen mod ødelæggelse af elektroniske computere osv.”. I forbrydelser af denne type er forbrydelsen mod bedragerisk forstyrrelse af forretningen også et problem.

Hvordan kan man opfordre politiet til at efterforske?

Disse handlinger er forbrydelser, som beskrevet ovenfor, og da den pågældende virksomhed er offeret, er det muligt at anmode politiet om at efterforske. Men i praksis kan man ikke sige, at det japanske politi er godt til at håndtere sådanne forbrydelser. Dette skyldes også tekniske problemer. For eksempel nævnte jeg ovenfor den simple DoS-angreb, men i virkeligheden er angrebene ikke så simple som at sende 1 million e-mails eller adgange fra en enkelt IP-adresse, men snarere er der mange tilfælde, hvor angrebene kommer fra mange IP-adresser, dvs. angrebene er spredt. Sådanne angreb kaldes “DDoS”.

Hvis der er mange e-mails eller adgange fra den samme IP-adresse, er det klart, at det er mange adgange fra den samme person, og at det er “information, der ikke var forventet”. Men hvis IP-adresserne er spredt, er hver enkelt e-mail eller adgang i sig selv lovlig, så medmindre der er bevis for, at de alle er foretaget af den samme person, kan man ikke sige, at det er ulovlig informationsoverførsel. Så hvordan kan man bevise, at det er “en masse e-mails eller adgange fra den samme person” under en streng strafferetssag? Det er bestemt et problem, der bekymrer politiet og anklagemyndigheden.

Desuden kan man i en strafferetssag ikke få en skyldig dom bare ved at bevise, at “kommunikation, der udgør en forbrydelse (for eksempel masseforsendelse af e-mails som nævnt ovenfor), blev foretaget fra en PC, der tilhører den mistænkte”. Det, der kræves i en straffesag, er ikke “fra hvilken PC”, men “hvem der gjorde det” niveau af faktisk anerkendelse. Faktisk er der mange domme i straffesager, hvor denne del, dvs. “det er klart, at forbrydelsen blev begået fra den mistænktes PC, men blev den virkelig begået af den mistænkte selv?”, er omhyggeligt overvejet. Selvom denne bevisbyrde er vigtig for at “forhindre falske anklager”, tror jeg, at den også er en årsag til, at politiet og anklagemyndigheden tøver med at efterforske cyberkriminalitet.

Men hvis det er kort tid efter hændelsen, kan man i nogle tilfælde finde beviser for, at “det er meget sandsynligt, at det er den samme person” og “det er helt sikkert den mistænkte selv”, ved at analysere serverlogfilerne nøje. En teknisk undersøgelse ved hjælp af IT-teknologi og en juridisk analyse, der omsætter det, der er blevet fundet ud af i undersøgelsen, til juridisk meningsfuldt materiale. Hvis disse to ting er på plads, kan man sige, at der er tilfælde, hvor man kan opfordre politiet til at efterforske.

Civil løsning er svær

Det ville være godt, hvis der var en civil løsning, selvom man ikke behøver at stole på politiet, men sandheden er, at der er få civilretlige foranstaltninger mod denne type forbrydelse.

For eksempel, hvis en masse e-mails er blevet sendt, vil du gerne have udbyderen til at afsløre adressen og navnet på kontrahenten, der brugte den pågældende IP-adresse, fordi IP-adressen på afsenderen er angivet i e-mailen (i e-mailheaderen). Men under japansk civilret er der ingen ret til at anmode om denne oplysning juridisk. I tilfælde af ærekrænkelse på internettet, som vil blive nævnt senere, kan man bruge retten til at anmode om oplysninger om afsenderen i henhold til loven om begrænsning af udbyderens ansvar, men for at sige det enkelt, er denne ret til at anmode om oplysninger kun anerkendt for

Kommunikation til at foretage indlæg, der kan ses af et ubestemt antal mennesker (typisk er kommunikation til at foretage ærekrænkende indlæg på et internetforum, der er åbent for et ubestemt antal mennesker)

Det er ikke anerkendt for noget andet end det.

I praksis kræver det ofte mere detaljerede rapporter og lignende for at opfordre politiet til at efterforske alvorlig cyberkriminalitet end det gør for at anlægge sag. Desuden kan det tage op til et år fra den første kontakt med politiet til den faktiske efterforskning og anholdelse. På den anden side kan en civil løsning være mere praktisk, da den kræver mindre arbejde og tid… Men denne type forbrydelse er i princippet umulig eller meget svær at løse civilt. Selvom man kan identificere gerningsmanden, kan man kræve erstatning for skader forårsaget af den pågældende kriminelle handling, f.eks. skader forårsaget af, at en webserver er gået ned, men der er ingen specifikke midler til at gøre det.

https://monolith.law/corporate/denial-of-service-attack-dos[ja]

Netværksbaserede forbrydelser

Skadevirkninger af bagvaskelse på internettet

Dette er forbrydelser, der begås ved hjælp af computere eller netværk, udover de computercriminalitet, vi har nævnt ovenfor. For eksempel, såkaldt bagvaskelse på internettet involverer ikke nødvendigvis beskadigelse af data, afsendelse af uventede oplysninger, eller at få en computer til at opføre sig på uventede måder, men det involverer brugen af internettet.

Indlæg, der kan betragtes som bagvaskelse, kan klassificeres som:

• Ulovligt både i strafferetlig og civilretlig forstand (et typisk eksempel er ærekrænkelse)
• Ikke ulovligt i strafferetlig forstand, men ulovligt i civilretlig forstand (typisk er krænkelse af privatlivets fred og krænkelse af portrætrettigheder)

Hvis det er ulovligt i både strafferetlig og civilretlig forstand, kan du forsøge at identificere afsenderen ved hjælp af en anmodning om oplysning om afsenderen i henhold til den japanske “Provider Liability Limitation Act” (udbyderansvarsbegrænsningsloven), eller du kan opfordre politiet til at efterforske og anholde afsenderen.

Men afhængigt af indholdet, er politiet ofte ikke særlig ivrige efter at efterforske disse indlæg på grund af en holdning, der kaldes “civil non-intervention”. Desuden er krænkelse af privatlivets fred og portrætrettigheder ikke strafbare handlinger, så en civil løsning er nødvendig.

https://monolith.law/practices/reputation[ja]

Skade forårsaget af en-til-en kommunikation, såsom e-mails

Det svære er at håndtere upassende beskeder sendt via en-til-en kommunikationsmidler som e-mails eller Twitter DMs. Et typisk eksempel er en e-mail med sprog, der kan betragtes som trusler eller afpresning. En anmodning om oplysning om afsenderen i henhold til den japanske “Provider Liability Limitation Act” kan kun bruges i tilfælde som det ovenfor nævnte, hvor:

Kommunikation foretages for at lave indlæg, der kan ses af et ubestemt antal mennesker (typisk er dette kommunikation for at lave bagvaskende indlæg på internetfora, der er åbne for offentligheden)

Derfor er der ingen civil løsning for denne type kommunikation, og vi kan kun håbe på en politiefterforskning. Men selvom indholdet ville være ærekrænkende, hvis det blev postet på et internetforum, vil ærekrænkelse ikke være gældende, hvis en-til-en kommunikationsmidler bruges. Kort sagt, ærekrænkelse gælder kun for handlinger rettet mod et ubestemt antal eller mange mennesker. Ærekrænkelse gælder generelt ikke for en-til-en kommunikation. Vi har en separat artikel, der forklarer dette problem i detaljer.

https://monolith.law/reputation/email-sender-identification[ja]

Skade forårsaget af uanstændige billeder eller ulovlige hjemmesider

Derudover inkluderer denne kategori forbrydelser, hvor der enten ikke er nogen ofre, eller hvor virksomheder, der faktisk lider skade, ikke er ofre. For eksempel:

• Ucensurerede billeder eller videoer på såkaldte voksne hjemmesider (offentlig udstilling af uanstændige billeder)
• Reklame for ulovlige kasino hjemmesider
• Svindel hjemmesider, der hævder at sælge mærkevarer, men faktisk ikke sender nogen produkter

Disse er typiske mønstre.

For eksempel, hvis der er foretaget hemmelige optagelser i kvindernes omklædningsrum på en virksomhed, og disse billeder er blevet offentliggjort på internettet, er disse billeder klart en krænkelse af den afbildede kvindes privatliv (og portrætrettigheder). Men som nævnt ovenfor er krænkelse af privatlivets fred (og portrætrettigheder) ikke en forbrydelse, og selvom hemmelige optagelser i sig selv er en forbrydelse, er det ikke nødvendigvis en forbrydelse at offentliggøre billeder taget ved hemmelige optagelser. Dette gør det svært at bede politiet om at efterforske.

Desuden, selvom tilstedeværelsen af ulovlige kasino hjemmesider eller svindel hjemmesider kan føre til et fald i virksomhedens salg eller et fald i virksomhedens omdømme, er de ovennævnte handlinger enten forbrydelser, der er kriminaliseret for samfundets skyld, selvom der ikke er nogen specifikke ofre (typisk er dette lignende til hastighedsovertrædelser eller narkotikareguleringer), eller de er handlinger, der kun betragter direkte ofre (for eksempel forbrugere, der har betalt penge til den pågældende svindel hjemmeside) som ofre. Derfor, selvom en virksomhed klager over skaden, vil det stadig være en anmeldelse fra en tredjepart, der ikke er et offer. Desuden, da de ikke er “ofre”, kan identifikation gennem en anmodning om oplysning om afsenderen ikke engang overvejes.

Men hvis der er tale om salg af falske mærkevarer eller lignende, der krænker en virksomheds intellektuelle ejendomsrettigheder (varemærkerettigheder, ophavsrettigheder osv.), kan virksomheden som “offer” opfordre politiet til at efterforske og/eller forsøge at identificere sælgeren gennem civilretlige midler.

Overtrædelse af loven om forbud mod uautoriseret adgang

Handlinger forbudt af loven om forbud mod uautoriseret adgang

Endelig er der handlinger, der er forbudt af loven om forbud mod uautoriseret adgang. Loven om forbud mod uautoriseret adgang forbyder:

1. Uautoriseret adgang
2. Fremme af uautoriseret adgang
3. Uautoriseret erhvervelse og lignende handlinger

Disse er forbudt.

Af disse er den første, uautoriseret adgang, primært:

• Identitetstyveri: Handlingen med at logge ind som en anden person uden tilladelse ved at indtaste andres ID og adgangskode osv.
• Sikkerhedshulangreb: Handlingen med at udnytte et sikkerhedshul og logge ind som en anden person uden at skulle indtaste ID og adgangskode osv.

Der er to typer af disse.

Den anden, fremme af uautoriseret adgang, er handlingen med at fortælle eller sælge andres kontooplysninger (ID, adgangskode osv.) til andre uden tilladelse.

Endelig er den tredje, uautoriseret erhvervelse og lignende handlinger, handlingen med at få andre til at indtaste deres kontooplysninger, for eksempel gennem såkaldte phishing-sites, eller opbevare kontooplysninger, der er erhvervet på denne måde, uden tilladelse.

For mere detaljeret information om loven om forbud mod uautoriseret adgang, se artiklen nedenfor.

https://monolith.law/reputation/unauthorized-computer-access[ja]

Løsning gennem politiet

Hvis du er offer for uautoriseret adgang, vil du også blive nødt til at opfordre politiet til at efterforske. Men mange tilfælde involverer meget avancerede tekniske problemer, og ligesom i tilfældet med computerkriminalitet nævnt ovenfor, er det ofte tilfældet, at politiets efterforskning ikke rigtig finder sted, medmindre nogen med viden og knowhow om både IT og jura laver rapporter og lignende.

Desuden, hvis gerningsmanden kan identificeres, er det muligt at kræve erstatning fra den pågældende gerningsmand, men det er meget svært at identificere gerningsmanden ved hjælp af civile midler, ligesom i tilfældet med computerkriminalitet nævnt ovenfor.