Az „Illegális Hozzáférés Megtiltásáról szóló Japán Törvény” büntetései és elévülési ideje: Ügyvéd magyarázat

A számítógépek és okostelefonok elterjedésével, az internetre való függőség növekedésével a kibertámadások, mint például az illetéktelen hozzáférés, növekvő tendenciát mutatnak. Az illetéktelen hozzáférés büntetése és elévülése a Japán ‘Illetéktelen Hozzáférés Tiltása Törvénye’ (法律による不正アクセス行為の禁止等) és a ‘Bűnügyi Perrendtartási Törvény’ (刑事訴訟法) szabályozza.

Milyen büntetés várható, ha megsértik az ‘Illetéktelen Hozzáférés Tiltása Törvényét’? És van-e elévülési idő az ‘Illetéktelen Hozzáférés Tiltása Törvénye’ megsértésére vonatkozó bűncselekmények esetén?

Mi az a Japán Törvény a Jogosulatlan Hozzáférés Megakadályozásáról?

A Japán Törvény a Jogosulatlan Hozzáférés Megakadályozásáról (Japán Jogosulatlan Hozzáférés Megakadályozás Törvénye) olyan jogszabály, amelyet a kibercselekmények megelőzése és az internetes rend hozzáférés-ellenőrző funkcióinak megvalósítása érdekében hoztak létre, hogy hozzájáruljon a fejlett információs és kommunikációs társadalom egészséges fejlődéséhez. (1. cikk)

A Japán Jogosulatlan Hozzáférés Megakadályozás Törvénye a következő tevékenységeket tiltja:

• Jogosulatlan hozzáférés (3. cikk)
• Jogosulatlan hozzáférés elősegítése (5. cikk)
• Mások azonosítóinak jogosulatlan megszerzése és tárolása (4., 6. cikk)
• Mások azonosítóinak jogosulatlan bevitelének kérése (7. cikk)

A 3. cikkben említett jogosulatlan hozzáférés a “jogosulatlan bejelentkezést” és a “biztonsági rések kihasználását” jelenti. A jogosulatlan bejelentkezés azt jelenti, hogy valaki más ID-jét vagy jelszavát használja anélkül, hogy engedélyt kapna, és bejelentkezik mások SNS-fiókjába. A biztonsági rések kihasználása azt jelenti, hogy támadást indítanak a hálózathoz csatlakoztatott számítógép biztonsági hibái ellen.

A jogosulatlan hozzáférés elősegítése azt jelenti, hogy mások ID-jét vagy jelszavát a tulajdonos beleegyezése nélkül harmadik félnek adják, lehetővé téve a jogosulatlan hozzáférését az adott fiókhoz.

A mások azonosítóinak jogosulatlan megszerzése azt jelenti, hogy jogosulatlan hozzáférés céljából megszerzik mások ID-jét vagy jelszavát. Ezenkívül a mások azonosítóinak jogosulatlan tárolása azt jelenti, hogy jogosulatlanul megszerzett mások ID-jét vagy jelszavát tárolják a jogosulatlan hozzáférés céljából.

A mások azonosítóinak jogosulatlan bevitelének kérése a úgynevezett “phishing” tevékenységet jelenti. A phishing tevékenység azt jelenti, hogy valakit megtévesztenek azzal, hogy valós pénzügyi intézmények weboldalának álcázott hamis oldalra irányítják, és ráveszik, hogy adja meg személyes adatait, mint például az ID-jét, jelszavát, hitelkártya-számát.

A Japán Jogosulatlan Hozzáférés Megakadályozás Törvényének részleteiről és példáiról a következő cikkben található részletes magyarázat.

https://monolith.law/reputation/access-law-password[ja]

A jogtalan hozzáférés tilalmáról szóló törvény büntetései

Amennyiben valaki jogtalan hozzáférési cselekményt (a törvény 3. cikkelye) követ el, akkor legfeljebb három évig terjedő szabadságvesztéssel vagy legfeljebb 1 millió yen bírsággal sújtható (a törvény 11. cikkelye).

Ha valaki jogtalan hozzáférési cselekményt elősegítő tevékenységet (a törvény 5. cikkelye), mások azonosító kódjának jogtalan megszerzését vagy tárolását (a törvény 4. és 6. cikkelye), illetve mások azonosító kódjának jogtalan bevitelét kéri (a törvény 7. cikkelye), akkor legfeljebb egy évig terjedő szabadságvesztéssel vagy legfeljebb 500 ezer yen bírsággal sújtható (a törvény 12. cikkelye).

Az jogtalan hozzáférés elősegítése azonban csak akkor büntethető, ha a személy tudatában volt annak, hogy az ID-jét vagy jelszavát jogtalan hozzáférés céljából használják. Ha ezt nem tudta, akkor legfeljebb 300 ezer yen bírsággal sújtható (a törvény 13. cikkelye).

A jogtalan hozzáférés tilalmáról szóló törvény megsértéséből eredő büntetések akkor is alkalmazhatók, ha a személy nem követett el más bűncselekményt, vagy nem is tervezett ilyet. Vagyis maga a jogtalan hozzáférési cselekmény a büntetés alanya. Például, ha valaki “jogtalan bejelentkezést” hajt végre, azaz beírja mások ID-jét vagy jelszavát, már ezért is büntetést kaphat. Büntetésre számíthat akkor is, ha a jogtalan bejelentkezés után nem használta fel mások személyes adatait, vagy nem szivárogtatta ki azokat.

Büntetések jogellenes hozzáférés miatt

De milyen esetekben hoztak már ítéletet jogellenes hozzáférés miatt, és milyen büntetéseket szabtak ki?

Az alábbiakban néhány valós esetet mutatunk be.

Személyes adatok jogellenes megszerzése kibertámadás során

Az ACCS (Számítógépes Szoftverek Szerzői Jogvédelmi Szövetsége) szerveréről jogellenesen szereztek meg személyes adatokat, amiért egy volt egyetemi kutatót jogellenes hozzáférés miatt vádoltak meg. A tokiói bíróságon 8 hónap börtönbüntetést szabtak ki rá, 3 év felfüggesztéssel (a vád 8 hónap börtönbüntetés volt).

A volt kutató elismerte, hogy megváltoztatta a CGI űrlap HTML kódját, és hozzáfért a szerveren tárolt személyes adatokhoz. A vita arról szólt, hogy ez a cselekmény jogellenes hozzáférésnek minősül-e. A bíró úgy döntött, hogy “a vitatott fájlhoz normális esetben FTP szerveren keresztül kell hozzáférni, ID-t és jelszót megadva. A CGI-n keresztüli hozzáférés jogellenes hozzáférésnek minősül.”

A volt kutató bemutatta a támadási módszert egy biztonsági eseményen. Azt állította, hogy a prezentáció célja az volt, hogy ösztönözze a szerver adminisztrátorait a biztonsági intézkedések megtételére. A bíró azonban úgy ítélte meg, hogy “még ha ez volt a célja is, nem tekinthető jogosnak, hogy nem adott lehetőséget a javításra az adminisztrátoroknak. Utánzó bűnözők is megjelentek, ami nyilvánvalóan akadályozza a fejlett információs és kommunikációs társadalom fejlődését.”

A felfüggesztett büntetés oka az volt, hogy “sok program rendelkezik hasonló biztonsági résekkel, és az adminisztrátoroknak megfelelő intézkedéseket kell tenniük. A vádlott már kapott társadalmi büntetést, és erőfeszítéseket tesz a további károk megelőzésére, például ellenőrzi, hogy nem szivárogtak-e ki személyes adatok.”

A volt kutató fellebbezett a bűnös ítélet ellen, de visszavonta a fellebbezést, így a bűnösség végleges lett.

Jogellenes hozzáférés egyetemhez

Egy alkalmazottat vádoltak meg azzal, hogy megváltoztatta az egyetem hálózatának jelszavát, ahol tanult, és jogellenesen bejelentkezett. Az ítélet 1 év 6 hónap börtönbüntetés volt, 3 év felfüggesztéssel (a vád 1 év 6 hónap börtönbüntetés volt).

A bíró kritizálta az alkalmazottat, mondván, hogy “más diákoknak adta ki magát, és e-maileket küldött, vagy megváltoztatta a tanulmányi regisztrációt, ami valós kárt és kellemetlenséget okozott.” Ugyanakkor, mivel az alkalmazott bocsánatot kért az egyetemtől és megbánást mutatott, felfüggesztett büntetést kapott.

Jogellenes hozzáférés hírességek e-mailjeihez és közösségi média fiókjaihoz

Egy vádlottat azzal vádoltak meg, hogy jogellenesen hozzáfért több nő e-mailjéhez és közösségi média fiókjaihoz, és megszerezte személyes adataikat. Az ítélet 2 év 6 hónap börtönbüntetés volt, 4 év felfüggesztéssel (a vád 2 év 6 hónap börtönbüntetés volt).

A bíró megjegyezte, hogy “nincs semmi mentség a vádlott indítékára és cselekedeteire, aki csak azért akarta megnézni a nők személyes adatait, hogy kitalálja a jelszavukat és jogellenesen hozzáférjen.” Ugyanakkor, mivel a vádlottnak nem volt előélete, és már kapott társadalmi büntetést, például elbocsátást, a bíró magyarázatot adott a felfüggesztett büntetésre.

Ügyfél adatok jogellenes megszerzése

Egy brókercég volt alkalmazottját azzal vádolták meg, hogy jogellenesen megszerezte a cég mintegy 1,48 millió ügyfél adatait, és ezért jogellenes hozzáférés és lopás miatt vádolták meg. Az ítélet 2 év börtönbüntetés volt.

Az ítélet szerint a volt alkalmazott másik alkalmazó ID-jét és jelszavát használta, hogy jogellenesen hozzáférjen a szerverhez, ahol az ügyfél adatokat tárolták, és megszerezze az ügyfél adatokat, majd ellopta a CD-R-t, amelyen az ügyfél adatok és a vállalati információk voltak.

A bíró súlyosan ítélte meg a cselekményt, mivel a volt alkalmazott az ügyfél adatokat és a vállalati információkat eladásra szánta. Az elszivárgott ügyfél adatokról a bíró megjegyezte, hogy “a munkahely és az éves jövedelem, mint magas szintű személyes adatok szerepelnek, amelyeket nehéz pénzben kifejezni”, és nem lehet értékelni a CD-R egy darabjának értékét.

Jogellenes e-mail küldés az ID és a jelszó jogellenes használatával

Egy vádlottat azzal vádoltak meg, hogy jogellenesen használta volt partnerének ID-jét és jelszavát, és jogellenesen küldött e-mailt. Az ítélet 2 év börtönbüntetés volt, 3 év felfüggesztéssel (a vád 2 év börtönbüntetés volt).

Az ítélet szerint a vádlott jogellenesen hozzáfért a szerverhez volt partnerének ID-jével és jelszavával, és e-maileket küldött a nő ismerőseinek, mintha szerelmi kapcsolatban lennének, ezzel rontva a nő hírnevét.

Az első phishing eset Japánban

Egy volt alkalmazottat azzal vádoltak meg, hogy phishing weboldalt hozott létre, és ellopta a felhasználók személyes adatait. Az ítélet 1 év 10 hónap börtönbüntetés volt, 4 év felfüggesztéssel (a vád 2 év börtönbüntetés volt).

A vádlottat azzal vádolták meg, hogy megsértette az eredeti weboldal szerzői jogait, ami szerzői jogi szabálysértés, és visszaélt a hamis weboldalra belépő felhasználók személyes adataival, és jogellenesen hozzáfért az eredeti weboldalhoz, ami jogellenes hozzáférés.

Az ítélet szerint “a magánélet megsértéséért viselt felelősség súlyos”, de mivel “a károsultakkal megegyezés született, és a vádlott megfelelően megbánta tettét” és “nem használta fel a megszerzett információkat más bűncselekmények elkövetésére”, felfüggesztett büntetést kapott.

A jogtalan hozzáférés tilalmáról szóló törvény elévülése

A jogtalan hozzáférés tilalmáról szóló törvény megsértése “öt évnél rövidebb szabadságvesztéssel vagy pénzbüntetéssel büntetendő bűncselekménynek” minősül, ezért a vádemelési elévülési idő három év (a Büntetőeljárási törvény 250. cikkének 2. bekezdésének 6. pontja). A vádemelési elévülési idő a bűncselekmény elkövetésének befejezésétől számított időszakot jelenti, amely alatt vádat lehet emelni. Ha három év eltelt, a vádemelést nem lehet megindítani, ezért óvatosság szükséges.

Összefoglalás

Az illegális hozzáférésből eredő bűncselekmények száma az utóbbi években növekvő tendenciát mutat, és bárki, aki az internetet használja, legyen az vállalat vagy magánszemély, potenciális áldozata lehet. Ráadásul ezek a bűncselekmények gyakran jelentős veszteségekkel járnak.

Ha az illegális hozzáférés tilalmáról szóló japán törvény (Unauthorised Access Prohibition Law) megsértéséből eredő bűncselekmény áldozata lett, akkor büntetőfeljelentést tehet, de a elévülési idő három év. Ezért, ha az illegális hozzáférésből eredő kár felfedezésre kerül, érdemes minél hamarabb konzultálni egy olyan ügyvéddel, aki jól ismeri az illegális hozzáférés tilalmáról szóló törvényt.