Yksityiskohtainen sisältö ja rikkomisesimerkit Japanin 'laittomien pääsyjen kieltämisestä

Luvaton tietojärjestelmään tunkeutuminen -laki (virallinen nimi “Laki luvattoman tietojärjestelmään tunkeutumisen kieltämisestä ja muista siihen liittyvistä asioista”) on laki, joka on säädetty estämään kyberrikollisuutta ja ylläpitämään järjestystä sähköisessä viestinnässä.

Älypuhelinten yleistyessä ja internetin käyttäjämäärän kasvaessa, myös luvattomien tietojärjestelmään tunkeutumisten määrä on kasvussa vuosi vuodelta.

Tässä artikkelissa selitämme yksityiskohtaisesti Luvaton tietojärjestelmään tunkeutuminen -lain sisällön ja rikkomustapaukset.

Mikä on luvaton tietojärjestelmään tunkeutumisen kieltävä laki (Japanin luvaton tietojärjestelmään tunkeutumisen kieltävä laki)

Luvaton tietojärjestelmään tunkeutumisen kieltävä laki astui voimaan vuonna 2000 (Heisei 12), mutta se uudistettiin vuonna 2012 (Heisei 24) vastaamaan kyberrikollisuuden lisääntymiseen.

Tämän uudistuksen myötä kalastelu ja tunnistetietojen (kuten käyttäjätunnusten ja salasanojen) luvaton hankkiminen ja säilyttäminen kiellettiin, ja luvattoman tietojärjestelmään tunkeutumisen rangaistuksia kiristettiin. Aiemmin rangaistuksettomat teot kiellettiin, mikä teki laista tehokkaamman.

Luvaton tietojärjestelmään tunkeutumisen kieltävän lain tarkoituksena on “edistää tietoyhteiskunnan terveellistä kehitystä” (1 §).

Luvaton tietojärjestelmään tunkeutumisen kieltävä laki kieltää seuraavat teot:

• Luvaton tietojärjestelmään tunkeutuminen (3 §)
• Luvattoman tietojärjestelmään tunkeutumisen edistäminen (5 §)
• Toisen henkilön tunnistetietojen luvaton hankkiminen ja säilyttäminen (4 ja 6 §)
• Toisen henkilön tunnistetietojen syöttämisen luvaton vaatiminen (7 §)

Lisätietoja luvattoman tietojärjestelmään tunkeutumisen kieltävästä laista ja luvattoman tietojärjestelmään tunkeutumisen aiheuttamista vahingoista löydät seuraavasta artikkelista:

https://monolith.law/reputation/unauthorized-computer-access[ja]

Mitä luvaton tietojärjestelmään tunkeutuminen tarkoittaa?

Luvaton tietojärjestelmään tunkeutuminen voidaan jakaa kahteen osaan: luvattomaan kirjautumiseen ja tietoturva-aukkojen hyödyntämiseen.

Luvaton kirjautuminen tarkoittaa toisen henkilön tunnistetietojen (kuten käyttäjätunnuksen ja salasanan) syöttämistä ilman lupaa ja kirjautumista esimerkiksi sosiaalisen median tiliin tai sähköpostiin.

Tietoturva-aukkojen hyödyntäminen tarkoittaa tietoturva-aukkojen (eli verkkoon kytkettyjen tietokoneiden turvallisuuspuutteiden, joita kutsutaan myös haavoittuvuuksiksi) hyödyntämistä. Hyökkääjät voivat hyödyntää tietoturva-aukkoja suorittaakseen toimintoja, joita heillä ei normaalisti olisi oikeutta suorittaa, kuten varastaa tietoja, muokata tai poistaa tietoja, joihin heillä ei ole muokkausoikeuksia, tai käyttää järjestelmää hyökkäyksen lähtöpisteenä toiseen järjestelmään. Tämä hyökkäys voi olla automatisoitu, kuten tietokoneviruksissa tai internet-madoissa, jolloin käyttäjä voi kärsiä vahinkoa tietämättään tai levittää tartuntaa muihin järjestelmiin.

Luvattoman tietojärjestelmään tunkeutumisen seurauksena voidaan määrätä enintään kolmen vuoden vankeusrangaistus tai enintään miljoonan jenin sakko.

Mitä luvattoman tietojärjestelmään tunkeutumisen edistäminen tarkoittaa?

Luvaton tietojärjestelmään tunkeutumisen kieltävä laki kieltää paitsi luvattoman tietojärjestelmään tunkeutumisen, myös sen edistämisen. Luvattoman tietojärjestelmään tunkeutumisen edistäminen tarkoittaa toisen henkilön tunnistetietojen, kuten käyttäjätunnuksen tai salasanan, paljastamista kolmannelle osapuolelle ilman henkilön suostumusta, jolloin kolmas osapuoli voi kirjautua tiliin ilman lupaa.

Rikkomisen seurauksena voidaan määrätä enintään vuoden vankeusrangaistus tai enintään 500 000 jenin sakko.

Mitä toisen henkilön tunnistetietojen luvaton hankkiminen ja säilyttäminen tarkoittaa?

Toisen henkilön tunnistetietojen luvaton hankkiminen tarkoittaa “toisen henkilön tunnistetietojen, kuten käyttäjätunnuksen tai salasanan, hankkimista luvattoman tietojärjestelmään tunkeutumisen tarkoituksessa”.

Toisen henkilön tunnistetietojen luvaton säilyttäminen tarkoittaa “luvattomasti hankittujen toisen henkilön tunnistetietojen, kuten käyttäjätunnuksen tai salasanan, säilyttämistä luvattoman tietojärjestelmään tunkeutumisen tarkoituksessa”.

Vaikka luvatonta tietojärjestelmään tunkeutumista ei olisi tapahtunut, luvattoman tietojärjestelmään tunkeutumiseen johtavat teot itsessään ovat kiellettyjä.

Molemmat teot voivat johtaa enintään vuoden vankeusrangaistukseen tai enintään 500 000 jenin sakkoon.

Mitä toisen henkilön tunnistetietojen syöttämisen luvaton vaatiminen tarkoittaa?

Toisen henkilön tunnistetietojen (kuten käyttäjätunnuksen tai salasanan) syöttämisen luvaton vaatiminen tarkoittaa niin sanottua “kalastelua”. Kalastelu tarkoittaa sitä, että lähettämällä sähköpostia esittäytyen esimerkiksi verkkokauppana tai pankkina, huijari ohjaa uhrit väärennetylle sivustolle, joka näyttää aidolta sivustolta, ja saa heidät syöttämään henkilökohtaisia tietojaan, kuten käyttäjätunnuksia, salasanoja tai luottokorttitietoja. Englanniksi termi on “phishing”, joka on yhdistelmä sanoista “fishing” (kalastus) ja “sophisticated” (hienostunut).

Vaikka henkilökohtaisia tietoja ei olisi syötetty, väärennetyn sivuston luominen itsessään katsotaan kalasteluksi ja sitä säännellään.

Kalastelun seurauksena voidaan määrätä enintään vuoden vankeusrangaistus tai enintään 500 000 jenin sakko.

Pääsynvalvojan velvollisuudet

Luvaton tietojärjestelmään tunkeutumisen kieltävän lain mukaan palvelimen tai muun järjestelmän pääsynvalvojien on toteutettava toimenpiteitä luvattoman tietojärjestelmään tunkeutumisen estämiseksi (8 §).

Pääsynvalvojien on muun muassa “hallittava tunnistetietoja asianmukaisesti”, “tarkistettava jatkuvasti pääsynvalvontatoimintojen tehokkuus” ja “tarvittaessa parannettava pääsynvalvontatoimintoja” estääkseen luvattoman tietojärjestelmään tunkeutumisen. Nämä ovat kuitenkin vain pyrkimyksiä, eikä niiden rikkomisesta seuraa rangaistusta.

Esimerkkejä laittoman tietojärjestelmään tunkeutumisen tapauksista

Kyberrikollisuuden joukossa, laittoman tietojärjestelmään tunkeutumisen tapaukset ovat lisääntyneet. Tämä johtuu osittain siitä, että älypuhelimet ovat yleistyneet ja internetpankkipalveluiden sekä älypuhelinmaksujen (kuten PayPay) käyttö on lisääntynyt.

Uutisissa kerrotaan päivittäin henkilötietojen vuodoista ja laittomista kirjautumisista sosiaalisen median tileille kyberhyökkäysten seurauksena. Joissakin tapauksissa vahingot voivat olla suuria. Mitä tapauksia laittoman tietojärjestelmään tunkeutumisen rikkomuksiin sitten kuuluu?

Esittelemme alla joitakin konkreettisia tapauksia.

Pelitilin kaappaus

Saitaman prefektuurin poliisi pidätti 23-vuotiaan yrityksen työntekijän, joka oli kaapannut toisen henkilön älypuhelinpelitilin. Häntä epäillään laittomasta tietojärjestelmään tunkeutumisesta ja löytötavaran anastuksesta.

Miehen epäillään vieneen unohdetun älypuhelimen, käynnistäneen siinä asennetun pelin ja siirtäneen tiedot omalle älypuhelimelleen.

Laiton kirjautuminen Facebookiin

Tokion poliisin kyberrikollisuuden torjuntayksikkö pidätti 29-vuotiaan yrityksen työntekijän, jota epäillään laittomasta tietojärjestelmään tunkeutumisesta, koska hän oli kirjautunut laittomasti julkkisten ja tavallisten ihmisten Facebook- ja iCloud-tileille.

Epäilty oli arvannut käyttäjätunnuksen ja salasanan syntymäaikojen ja muiden tietojen perusteella, kirjautunut sisään ja ladannut valokuvia omalle tietokoneelleen.

Epäillyn tietokoneelta löydettiin noin 257 000 yksityiskuvaa, joita vain julkkis itse olisi pitänyt nähdä. Näyttää siltä, että hän oli katsellut paitsi kuvia, myös puhelinluetteloita ja muita tietoja ilman lupaa.

Laiton tunkeutuminen huutokauppasivustolle

Kanagawan prefektuurin poliisin kyberrikollisuuden torjuntayksikkö ja Minami-asema pidättivät 19-vuotiaan nuorukaisen, jota epäillään laittomasta tietojärjestelmään tunkeutumisesta ja laittomasta sähkömagneettisen tallennuksen luomisesta ja käytöstä.

Nuorukaista epäillään siitä, että hän oli kirjautunut huutokauppasivustolle toisen henkilön käyttäjätunnuksella ja salasanalla kotitietokoneeltaan ja muuttanut sähköpostiosoitteita ja toimitusosoitteita.

Nuorukainen kertoi, että hän oli löytänyt käyttäjätunnuksen ja salasanan internetin keskustelupalstalta ja kirjautunut laittomasti yli 50 kertaa. Poliisi tutkii, onko nuorukainen hankkinut tietokoneen osia ja muita tuotteita laittomasti huutokauppasivustolta.

Laiton tunkeutuminen työpaikan palvelimelle

Nagasaki prefektuurin virkamies lähetettiin Nagasakin syyttäjänvirastoon, koska häntä epäillään laittomasta tietojärjestelmään tunkeutumisesta. Hän oli syöttänyt useiden kollegoidensa käyttäjätunnuksia ja salasanoja luvatta prefektuurin palvelimelle ja tunkeutunut sinne laittomasti.

Virkamies oli käyttänyt kollegoidensa käyttäjätunnuksia ja salasanoja tunkeutuakseen palvelimelle ja kurkistellakseen heidän työtehtäviään. Tämän virkamiehen laittomien tunkeutumisten määrän uskotaan olevan kymmeniä tuhansia ja ladattujen tiedostojen määrän yli miljoona. Tietojen vuotamista ulkopuolelle ei kuitenkaan ole vahvistettu.

Krediittikorttitietojen vuoto laittoman tunkeutumisen seurauksena

Urheiluvälineiden verkkokauppaan tunkeuduttiin laittomasti, ja asiakkaiden luottokorttitietojen uskotaan vuotaneen.

Verkkokaupan ylläpitäjän mukaan asiakkaiden, jotka olivat ostaneet tuotteita sivustolta, luottokorttitiedot olivat vuotaneet, ja osaa näistä tiedoista saatettiin käyttää laittomasti. Ylläpitäjä selitti, että järjestelmän haavoittuvuudet olivat mahdollistaneet laittoman tunkeutumisen ja maksusovelluksen muokkaamisen.

Laiton kirjautuminen älypuhelinmaksujärjestelmään

Fukuokan prefektuurin poliisi pidätti kaksi miestä, joita epäillään laittomasta tietojärjestelmään tunkeutumisesta ja petoksesta. Heidän epäillään kirjautuneen laittomasti älypuhelinmaksujärjestelmään toisen henkilön käyttäjätunnuksella ja salasanalla ja ostaneen sähkötupakan patruunoita ja muita tuotteita yhteensä 190 kappaletta (arvoltaan noin 95 000 jeniä).

Uhri oli alun perin tallettanut 5000 jeniä älypuhelinmaksujärjestelmään, mutta miehet olivat tallettaneet lisäksi 90 000 jeniä uhrin luottokortilta.

Tämän älypuhelinmaksujärjestelmän kohdalla on ollut monia muita laittomia tunkeutumisia ja väärinkäytöksiä. Heinäkuuhun 2019 mennessä tiedossa olevien uhrien määrä oli noin 800 ja kokonaisvahinko noin 38,6 miljoonaa jeniä. Palvelu lopetettiin syyskuussa 2019.

Yhteenveto

Väärien pääsyjen aiheuttamat vahingot voivat kohdata kenet tahansa yksilön tai yrityksen, joka käyttää internetiä. Lisäksi nämä vahingot voivat olla moninaisia, kuten luvaton kirjautuminen sosiaalisen median sivustoille, henkilötietojen vuotaminen, älypuhelimen maksujen tai luottokorttien luvaton käyttö, ja joissakin tapauksissa vahingot voivat olla erittäin suuria.

Jos olet kärsinyt vahinkoa rikkoen ‘Japanin luvatonta pääsyä koskevaa lakia’, voit tehdä rikosilmoituksen tai vaatia vahingonkorvausta siviililain perusteella. Kuitenkin, koska molemmat menettelyt vaativat korkeatasoista asiantuntemusta, suosittelemme konsultoimaan asianajajaa, joka on erikoistunut luvattomaan pääsyyn.