Handlinger forbudt under den japanske 'Lov om forbud mod uautoriseret adgang

Den japanske “Lov om forbud mod uautoriseret adgang” (officielt “Lov om forbud mod uautoriseret adgang og lignende”) blev indført i februar 2000 og blev revideret i maj 2012, hvilket er den version, der er gældende i dag. Denne lov har til formål at forhindre cyberkriminalitet og opretholde orden i forbindelse med elektronisk kommunikation, og består af i alt 14 artikler.

“Lov om forbud mod uautoriseret adgang og lignende” (Formål)
Artikel 1: Formålet med denne lov er at forbyde uautoriseret adgang og fastsætte strafferetlige sanktioner og hjælpeforanstaltninger fra præfekturets offentlige sikkerhedskommission for at forhindre gentagelse, for at forhindre forbrydelser relateret til computere gennem telekommunikationslinjer og opretholde orden i telekommunikation realiseret ved adgangskontrolfunktioner, og dermed bidrage til sund udvikling af et avanceret informationssamfund.

Hvad forbyder den japanske “Lov om forbud mod uautoriseret adgang” konkret? Og hvilke reelle eksempler findes der, og hvilke foranstaltninger bør træffes i strafferetlig og civilretlig henseende? Vi vil forklare omfanget af loven om forbud mod uautoriseret adgang og de foranstaltninger, der skal træffes, hvis man bliver offer for sådan en forbrydelse.

Handling forbudt af den japanske ulovlig adgangsforbud (不正アクセス禁止法)

Handlinger, der er forbudt og straffet i henhold til den japanske ulovlig adgangsforbud, kan groft inddeles i følgende tre kategorier:

• Forbud mod ulovlig adgang (Artikel 3)
• Forbud mod handlinger, der fremmer ulovlig adgang (Artikel 5)
• Forbud mod ulovligt at erhverve, opbevare eller anmode om andres identifikationskoder (Artikel 4, 6, 7)

Hvad er ulovlig adgang?

Specifikt er det defineret i artikel 2, afsnit 4, og omfatter “identitetstyveri” og “sikkerhedshul-angreb”. I henhold til den japanske ulovlig adgangsforbud er det forbudt at få adgang til andres computere ulovligt.

“Identitetstyveri” refererer til, når du skal indtaste identifikationskoder som ID og adgangskode på din computer, når du bruger en udbyder, og du indtaster andres identifikationskoder uden deres tilladelse.

Det kan være lidt svært at forstå, men “andres” her refererer til ID’er og adgangskoder, der allerede er oprettet (og bruges) af andre. Med andre ord, “identitetstyveri” er handlingen med at “overtage” konti på sociale medier som Twitter, som andre allerede bruger.

Generelt henviser “identitetstyveri” til handlingen med at oprette en ny konto ved hjælp af andres navn eller profilbillede og bruge sociale medier som Twitter under påskud af at være en anden person. Dette er dog forskelligt. En detaljeret forklaring på “identitetstyveri” i denne forstand findes i artiklen nedenfor.

https://monolith.law/reputation/spoofing-dentityright[ja]

“Sikkerhedshul-angreb” refererer til handlingen med at angribe sikkerhedshuller (mangler i sikkerhedsforanstaltninger) i andres computere og gøre det muligt at bruge disse computere. Ved at bruge angrebsprogrammer osv. til at give information og instruktioner, der ikke er identifikationskoder, til angrebets mål, omgår du adgangskontrolfunktionen på andres computere og bruger computeren uden tilladelse.

Hvis du udfører disse ulovlige adgangshandlinger, kan du blive straffet med op til 3 års fængsel eller en bøde på op til 1 million yen (Artikel 11).

Hvad er handlinger, der fremmer ulovlig adgang?

Handlinger, der fremmer ulovlig adgang, som er forbudt i henhold til den japanske ulovlig adgangsforbud, er at give andres ID og adgangskode til en tredjepart uden deres tilladelse. Uanset metoden, hvis du fortæller andre, “ID’et for XX er XX, og adgangskoden er XX”, og gør det muligt for andre at få adgang til andres data uden tilladelse, vil det være en handling, der fremmer ulovlig adgang.

Hvis du udfører handlinger, der fremmer ulovlig adgang, kan du blive straffet med op til 1 års fængsel eller en bøde på op til 500.000 yen (Artikel 12, punkt 2).

Desuden, selv hvis du giver en adgangskode uden at vide, at det er til ulovlig adgang, kan du blive straffet med en bøde på op til 300.000 yen (Artikel 13).

Hvad er handlinger, der ulovligt erhverver, opbevarer eller anmoder om andres identifikationskoder?

I henhold til den japanske ulovlig adgangsforbud er det forbudt at erhverve, opbevare eller anmode om andres identifikationskoder (ID, adgangskode) ulovligt.

Artikel 4 Forbud mod ulovligt at erhverve andres identifikationskoder
Artikel 6 Forbud mod ulovligt at opbevare andres identifikationskoder
Artikel 7 Forbud mod ulovligt at anmode om andres identifikationskoder

Et typisk eksempel på denne forbudte handling er “anmodning om indtastning”, også kendt som phishing. For eksempel, ved at udgive sig for at være en finansiel institution, lokker du ofret til en falsk hjemmeside, der ligner den ægte, og får ofret til at indtaste deres adgangskode og ID på den falske hjemmeside.

Der er mange tilfælde af svindel, hvor identifikationsnumre erhvervet gennem phishing bruges til auktionssvindel, og indskud overføres ulovligt til en anden konto.

Hvis du udfører disse handlinger, kan du blive straffet med op til 1 års fængsel eller en bøde på op til 500.000 yen (Artikel 12, punkt 4).

Hvad er lovene, der regulerer cyberkriminalitet ud over ulovlig adgang?

Således er den japanske ulovlig adgangsforbud en lov, der er designet til at håndtere visse typer af det, der almindeligvis kaldes cyberkriminalitet. Når det kommer til cyberkriminalitet som helhed, kan andre love, såsom forbrydelser mod computersabotage og bedragerisk forretningsforstyrrelse og æreskrænkelse, også være relevante. En detaljeret forklaring på det samlede billede af cyberkriminalitet findes i artiklen nedenfor.

https://monolith.law/corporate/categories-of-cyber-crime[ja]

Adgangsadministratorers forpligtelser

Den japanske ‘Uautoriseret Adgangsforbud-lov’ definerer ikke kun uautoriserede adgangshandlinger og straffe, men pålægger også administratorer, der forhindrer uautoriseret adgang til servere og lignende, visse forpligtelser.

Forsvarsforanstaltninger af adgangsadministratorer

Artikel 8: En adgangsadministrator, der har tilføjet en adgangskontrolfunktion til en bestemt elektronisk computer, skal bestræbe sig på korrekt at administrere identifikationskoder eller koder, der bruges til at bekræfte disse ved hjælp af den pågældende adgangskontrolfunktion, altid verificere effektiviteten af den pågældende adgangskontrolfunktion, og når det anses for nødvendigt, hurtigt forbedre dens funktioner og træffe andre nødvendige foranstaltninger for at beskytte den pågældende specifikke elektroniske computer mod uautoriserede adgangshandlinger.

Det er obligatorisk at “administrere identifikationskoder korrekt”, “altid verificere effektiviteten af adgangskontrolfunktionen” og “forbedre adgangskontrolfunktionen efter behov”, men da disse er forpligtelser til at gøre en indsats, er der ingen straf for at forsømme disse foranstaltninger.

Men hvis en administrator finder tegn på, at ID’er eller adgangskoder er blevet lækket, skal de hurtigt udføre adgangskontrol, såsom at slette konti eller ændre adgangskoder.

Eksempler på overtrædelser af den japanske lov om forbud mod uautoriseret adgang

Overtagelse af en populær drengs Twitter-konto

En 18-årig gymnasieelev blev anholdt den 30. januar 2017 (Heisei 29) af Hyogo-præfekturets politi for mistanke om overtrædelse af den japanske lov om forbud mod uautoriseret adgang. Han havde overtaget en klassekammerats Twitter-konto og udgivet sig for at være ham, hvorefter han sendte over 300 beskeder til kvindelige gymnasieelever.

Anklagen lød på, at han fra september til november det foregående år havde logget ind på den populære drengs Twitter-konto 63 gange ved at indtaste adgangskoden på Twitter’s godkendelsesserver. Han sendte upassende beskeder til kvindelige elever fra andre skoler, der fulgte kontoen, såsom “Lad os vise hinanden vores kroppe” og “Lad os tale frækt”.

Uautoriseret adgang til Facebook og lignende

I en sag, hvor en person blev anklaget for overtrædelse af den japanske lov om forbud mod uautoriseret adgang ved gentagne gange at få adgang til Facebook og lignende for at indhente personlige oplysninger, afsagde Tokyo District Court den 3. august 2016 (Heisei 28) en dom på 2 år og 6 måneders fængsel til den 29-årige anklagede. Han havde uautoriseret adgang til syv kvinders Facebook og lignende 238 gange. Retten fandt, at hans forbrydelser var vedvarende og vedholdende, og at der ikke var plads til skøn i hans motiv for at opnå en følelse af tilfredsstillelse ved succesfuld uautoriseret adgang. Dommen blev dog suspenderet i 4 år under hensyntagen til, at han ikke havde lækket de oplysninger, han havde kigget på, og at han ikke havde nogen tidligere domme.

Uautoriseret indhentning af kundeoplysninger fra arbejdspladsen

Den 12. november 2009 (Heisei 21) afsagde Tokyo District Court en dom på 2 års fængsel til en 45-årig medarbejder, der var ansvarlig for udvikling, drift og generel brugerstøtte af virksomhedens informationssystem. Han havde ulovligt indhentet og forsøgt at sælge kundeoplysninger, som virksomheden havde i sin besiddelse, og havde stjålet en CD-R. Retten fandt, at det var umuligt at se bort fra det faktum, at han havde tjent næsten 350.000 yen ved at sælge oplysningerne. Selv om han ikke havde nogen tidligere domme og var blevet fyret fra sit job som en form for social sanktion, fandt retten, at det ikke var en sag, hvor straffen kunne suspenderes.

Cyberangriber idømt 8 års fængsel

Den 27. april 2017 (Heisei 29) afsagde Tokyo District Court en dom på 8 års fængsel til en 32-årig mand, der havde brugt phishing-mails og fjernstyringsvirusser til ulovligt at indhente identifikationskoder til flere virksomheders internetbanking. Han havde foretaget uautoriseret login og efterfølgende uautoriserede pengeoverførsler, og havde desuden indhentet e-mail-adresser ved at angribe databaser og sendt fjernstyringsvirusser for at gøre dem eksekverbare. Han blev fundet skyldig i overtrædelse af den japanske lov om forbud mod uautoriseret adgang, computerbedrageri, ulovlig fremstilling og brug af private elektromagnetiske optegnelser, ulovlig levering af falske instruktions-elektromagnetiske optegnelser og overtrædelse af den japanske radiolov. Den samlede økonomiske skade forårsaget af de ulovlige pengeoverførsler beløb sig til mere end 5,19 millioner yen. Desuden havde han begået disse forbrydelser kort tid efter at være blevet løsladt på prøve for en tidligere dom for lignende forbrydelser.

Det skal bemærkes, at i tilfælde af denne type angreb, hvis gerningsmanden har sendt en e-mail, kan det være muligt at identificere gerningsmanden ved hjælp af denne e-mail. Men generelt er dette svært på det civile niveau. Dette emne er også berørt i artiklen nedenfor.

https://monolith.law/reputation/email-sender-identification[ja]

Foranstaltninger i tilfælde af uautoriseret adgang

Hvis du bruger e-mail eller sociale medier, kan du blive udsat for uautoriseret adgang fra andre. Hvad kan du gøre i sådanne tilfælde?

Indgive en straffesag

Først og fremmest er det muligt at indgive en straffesag mod den person, der har fået uautoriseret adgang. Uautoriseret adgang er en forbrydelse, og den person, der har fået uautoriseret adgang, vil blive straffet. Som forklaret ovenfor, kan personen blive idømt op til 3 års fængsel eller en bøde på op til 1 million yen, og hvis der er nogen, der har medvirket, kan de blive idømt op til 1 års fængsel eller en bøde på op til 500.000 yen.

Desuden er overtrædelse af loven om forbud mod uautoriseret adgang en offentlig forbrydelse, så politiet kan starte en efterforskning og anholde gerningsmanden, selvom der ikke er indgivet nogen klage. Enhver, der er bekendt med sagen, kan også anmelde den til politiet, selvom de ikke er den person, der har været udsat for uautoriseret adgang.

Som vi også nævnte i vores artikel om forstyrrelse af forretning, er en offentlig forbrydelse en forbrydelse, der ikke kan retsforfølges uden en klage fra offeret, men det betyder ikke, at man ikke kan klage, hvis det ikke er en offentlig forbrydelse. Selv i tilfælde af en offentlig forbrydelse, kan offeret indgive en klage mod gerningsmanden.

Selvom det er en offentlig forbrydelse, kan gerningsmandens omstændigheder forværres, og straffen kan blive strengere, hvis offeret indgiver en straffesag. Hvis du opdager, at du har været udsat for uautoriseret adgang, bør du konsultere en advokat og indgive en skadesrapport eller klage til politiet. Når politiet accepterer skadesrapporten, vil de straks fortsætte med efterforskningen og anholde eller retsforfølge gerningsmanden.

Kræve erstatning i en civil sag

Hvis du har lidt skade som følge af uautoriseret adgang, kan du i civilretlig henseende kræve erstatning fra gerningsmanden i henhold til artikel 709 i den japanske civillov.

Civilloven Artikel 709
En person, der forsætligt eller uagtsomt krænker en andens rettigheder eller interesser, der er beskyttet ved lov, er ansvarlig for at erstatte den skade, der er forårsaget deraf.

Hvis gerningsmanden har fået uautoriseret adgang og spredt personlige oplysninger, stjålet genstande fra et socialt spil, eller fået adgang til data som kreditkort eller bankkonti og forårsaget økonomisk skade, bør du kræve erstatning for skaden. Selvfølgelig, hvis du har lidt økonomisk skade som følge af, at nogen har fået adgang til dine kreditkort- eller bankkontooplysninger, kan du også kræve erstatning for dette.

Men for at kræve erstatning fra gerningsmanden, skal du først identificere gerningsmanden og samle bevis for, at de faktisk har fået uautoriseret adgang. Dette kræver avanceret ekspertise. Hvis du har været udsat for skade som følge af uautoriseret adgang, skal du konsultere en advokat med stor erfaring i internetproblemer og bede dem om at håndtere sagen.