DoS bűncselekmény-e? Ügyvéd magyarázza az 'Elektronikus Számítógép Rongálás és Egyéb Üzleti Akadályozás' japán törvényt

Az elektronikus számítógépek rongálásával kapcsolatos üzleti akadályozás bűncselekménye (japánul: 電子計算機損壊等業務妨害罪) egy új bűncselekmény, amelyet a Shōwa 62-ben (1987-ben) hoztak létre. Abban az időben a társadalmi-gazdasági gyors növekedés és a technológiai fejlődés miatt egyre több számítógépet vezettek be az irodákban.

A korábban emberek által végzett munkát most számítógépek végzik, és a munka területe is kibővült, ezért elkezdtek gondolkodni a számítógépek elleni támadásokban, mint üzleti akadályozás eszközében, és ennek kezelésére hozták létre ezt a törvényt.

Azonban a törvény létrehozásának idején a számítógépek még fejlődésben voltak, az internet sem terjedt el széles körben, és nehéz volt konkrétan előre látni az internetes bűncselekményeket. Ráadásul ez a törvény nem használ számítógépes mérnöki vagy informatikai terminológiát, hanem a büntető törvénykönyv stílusában fogalmaz, ami miatt az értelmezése változatos, és általánosságban nehezen érthető a polgárok számára.

Ezenkívül általánosan elfogadott, hogy ez a bűncselekmény a számítógépes bűncselekményeket, azaz a kibercselekmények egyik kategóriáját képviseli.

Ebben a cikkben részletesen és érthetően magyarázom el az elektronikus számítógépek rongálásával kapcsolatos üzleti akadályozás bűncselekményét (japánul: 電子計算機損壊等業務妨害罪).

https://monolith.law/corporate/categories-of-cyber-crime[ja]

A DoS támadásokról

A DoS támadás (Denial of Service attack) egyfajta kibertámadás, amelynek során a támadó nagy mennyiségű adatot vagy hibás adatot küld a célpont weboldalára vagy szerverére, ezzel túlterhelve azt. Ennek eredményeként a rendszer nem képes normálisan működni. A támadás nem a jogosultságok megsértésével, vagy vírusok segítségével történik, hanem azzal, hogy megakadályozza a jogos felhasználók hozzáférését. Ez a módszer már régóta létezik, de a DDoS támadások (Distributed Denial of Service attack) néven ismert elosztott típusú támadásokban is alkalmazzák, és az utóbbi években sem ritka a zaklatás vagy a kár.

A DoS támadások típusai

A DoS támadásokat két fő típusra, a “flood” típusra és a “sebezhetőség” típusra osztják.

A “flood” az angol ‘Flood’ (=árvíz) szóból származik, és arra utal, hogy a támadó a protokollt kihasználva nagy mennyiségű adatot küld a célpontnak, amit az nem képes feldolgozni.

A sebezhetőségi típusú támadások során a támadó kihasználja a szerver vagy az alkalmazás sebezhetőségeit, és hibás műveleteket hajt végre, ami a rendszer leállásához vezet. Bár ez a módszer hasonlít a jogosulatlan hozzáférésre, mégis különbözik attól. Például a LAND támadás, ami a sebezhetőségi típusú DoS támadások tipikus példája, azt jelenti, hogy a támadó olyan csomagot küld, amelynek a küldő és a címzett IP-címe és portszáma megegyezik. Egyszerűbben fogalmazva, ha a támadó A azt mondja a B szervernek, hogy “én vagyok a B, és választ szeretnék”, akkor a B szerver válaszol magának, majd újra válaszol a saját válaszára, és így tovább, ami végtelen ciklust eredményez. Bár ez a módszer kihasználja a “válaszolok a saját csomagjaimra” sebezhetőséget, nem kerüli meg a jelszó ellenőrzést, ezért nem “jogosulatlan hozzáférés”, hanem “sebezhetőségi típusú DoS támadás”.

https://monolith.law/reputation/unauthorized-computer-access[ja]

A DDoS támadások során a támadó több ezer, botvírussal fertőzött számítógépet irányít távolról, és mindegyikről flood típusú DoS támadást indít.

A DoS támadások működése

A DoS támadások működése technikailag egyszerű: a támadó olyan műveleteket hajt végre, amelyek a TCP/IP protokoll keretein belül normálisak, de túl gyakran és túl nagy mennyiségben. Például, ha egy népszerű idol koncertjegyeit próbáljuk megvásárolni a hivatalos oldalon, a sok egyidejű hozzáférés miatt az oldal lelassulhat vagy le is állhat. A DoS támadások során a támadók jogos hozzáférést használnak fel arra, hogy szándékosan ilyen helyzetet hozzanak létre.

DoS támadások a számítógépek rongálásával és üzleti zavarokkal kapcsolatos bűncselekményekbe tartoznak-e

Tehát, a DoS támadások bűncselekménynek számítanak-e? Megvizsgáljuk, hogy ezek beletartoznak-e a számítógépek rongálásával és üzleti zavarokkal kapcsolatos bűncselekményekbe.

“Aki más munkájához használt számítógépet vagy annak mágneses adathordozóját rongálja, vagy a munkához használt számítógépnek hamis információt vagy jogtalan utasítást ad, vagy más módon megakadályozza, hogy a számítógép a rendeltetésszerű működést végezze, vagy olyan működést végezzen, ami ellentétes a rendeltetésszerű működéssel, és ezzel más munkáját akadályozza, öt évig terjedő szabadságvesztéssel vagy egymillió jenig terjedő bírsággal büntetendő.”

Büntető Törvénykönyv 234. cikk 2. bekezdés (Számítógépek rongálása és üzleti zavarok)

Ezért a számítógépek rongálásával és üzleti zavarokkal kapcsolatos bűncselekmények létrejöttéhez a következő objektív követelmények szükségesek:

1. Számítógép elleni támadás
2. Számítógép működésének akadályozása
3. Üzleti zavarok

Ezen három elemnek teljesülnie kell, és a bűncselekmény létrejöttéhez szükséges szubjektív követelmény, hogy mindezek szándékosak legyenek.

Objektív követelmények teljesülése

Az alábbiakban egyenként vizsgáljuk meg ezeket.

Számítógép elleni támadás

A támadás (végrehajtási cselekmény) a következők egyikének kell lennie:

• “A számítógép vagy annak mágneses adathordozójának rongálása”
• “A számítógépnek hamis információt vagy jogtalan utasítást ad”
• “Vagy más módon”

Ez szükséges.

Ezzel kapcsolatban, a “számítógép” meghatározását a bírósági ítélet (Fukuoka High Court, Heisei 12.9.21 (2000)) adja meg, mint olyan elektronikus eszközt, amely automatikusan végzi a számításokat és az adatfeldolgozást, és nincs vita arról, hogy az irodai számítógépek, személyi számítógépek, vezérlő számítógépek stb. képviselik ezt. A mágneses adathordozó meghatározását a Büntető Törvénykönyv 7. cikk 2. bekezdése adja meg. A DoS támadások célpontja, a szerver, természetesen ebbe a kategóriába tartozik.

A “rongálás” nem csak a fizikai pusztítást jelenti, hanem minden olyan cselekményt, amely károsítja a tárgy hasznosságát. A “hamis információ” azt jelenti, hogy a tartalom ellentétes az igazsággal. A “jogtalan utasítás” azt jelenti, hogy jogosulatlanul adható olyan utasítás, amelyet a számítógép képes feldolgozni. Például, ha nagy mennyiségű és koncentrált DoS támadást hajtanak végre, a támadás célpontjává vált szerver túlterheltté válik, és a feldolgozás nem hajtható végre megfelelően. Ilyen támadások, még ha nem is vezetnek adatok törléséhez vagy “rongáláshoz”, a szerver tulajdonosának szándékával ellentétes hozzáférést jelentenek, és jogosulatlanul adnak utasítást, így “jogtalan utasításnak” minősülnek.

Számítógép működésének akadályozása

A kérdés az, hogy “nem engedélyezi a rendeltetésszerű működést” vagy “olyan működést engedélyez, ami ellentétes a rendeltetésszerű működéssel”. Vitatott, hogy ki számára kell a használati cél előfeltételnek lennie, de mivel a bűncselekmény védelmi jogi előnye a munka biztonságos és zökkenőmentes végrehajtása, úgy gondoljuk, hogy a telepítő célját kell előfeltételnek tekinteni. Ha DoS támadás történik, és a szerver túlterheltté válik, előfordulhat, hogy a szolgáltatás nem használható, vagyis a szerver telepítője által célul kitűzött megfelelő feldolgozási művelet nem hajtható végre. Ilyen esetekben azt mondhatjuk, hogy “nem engedélyezett a rendeltetésszerű működés”, és ez akadályozza a működést.

Üzleti zavarok

A számítógépek rongálásával és üzleti zavarokkal kapcsolatos bűncselekmények a üzleti zavarok bűncselekményeinek (Büntető Törvénykönyv 233. cikk, 234. cikk) súlyosabb változatai, ezért ezeket az üzleti zavarokat ugyanúgy kell kezelni, mint a normál üzleti zavarokat. Azaz, az “üzleti tevékenység” olyan feladatot jelent, amelyet a társadalmi életben betöltött pozíció alapján ismételten és folyamatosan végeznek, és a “zavar” nem igényli, hogy a munka valóban károsodjon.
Ha DoS támadás történik, a telepítő “üzleti tevékenységét”, amely a szolgáltatás nyújtását jelenti az interneten keresztül a szerver használatával, akadályozza, és ez üzleti zavarokat jelent.

Szubjektív követelmények (szándék) teljesülése

Miután ezek a követelmények teljesültek, szükséges, hogy a szándékot (Büntető Törvénykönyv 38. cikk 1. bekezdés) elismerjék. A szándék azt jelenti, hogy felismerik és elfogadják a fent említett ①-től ③-ig terjedő tényeket (ezeket a szerkezeti követelményeknek nevezzük). Ehhez nem szükséges rosszindulat vagy káros szándék, még akkor sem, ha nincs ilyen szándék, ha “lehet, hogy a szerver leáll, és a szolgáltatás nem lesz használható” tudatában van, a szándékot el lehet ismerni.

Okazaki Központi Könyvtár honlapjának nagy mennyiségű hozzáférési esete

Kapcsolódóan a fentihez, bemutatjuk az “Okazaki Központi Könyvtár honlapjának nagy mennyiségű hozzáférési esetét (más néven Librahack eset)”

Egy 39 éves férfi Aichi megyében letartóztatásra került, mert saját programjával gyűjtötte a könyvtár honlapjának új könyveinek információit, ami számítógépes támadásnak tűnt. Azonban az Asahi Shimbun által megbízott szakértő elemzése szerint a könyvtári szoftver hibás volt, és úgy tűnt, mintha nagy mennyiségű hozzáférési támadást szenvedett volna. Kiderült, hogy ugyanez a hiba előfordult a szoftvert használó hat másik könyvtárban is. A szoftvert fejlesztő cég megkezdte a javításokat körülbelül 30 könyvtárban.
Ez a probléma az Okazaki városi könyvtárban történt. A szoftverben volt egy hiba, amely miatt minden alkalommal, amikor a könyvtári adatokat hívták, a számítógépes feldolgozás folyamatban maradt, mintha a telefonbeszélgetés után a kagylót felvett állapotban hagyták volna. Egy bizonyos idő elteltével a kapcsolatot automatikusan megszakították, de az Okazaki könyvtárban, ha a hozzáférések száma meghaladta az ezeret 10 perc alatt, a honlapot nem lehetett megtekinteni, és úgy tűnt, mintha nagy mennyiségű hozzáférést szenvedett volna.
A férfi szoftvermérnök volt, és évente körülbelül 100 könyvet kölcsönzött az Okazaki városi könyvtárból. A könyvtár honlapja nem volt felhasználóbarát, ezért létrehozott egy programot, amely minden nap összegyűjti az új könyvek információit, és márciustól kezdte használni.
Márciustól kezdve a könyvtárban panaszok érkeztek a polgároktól, hogy “nem tudnak csatlakozni a honlaphoz”. Az Aichi megyei rendőrség tanácsot kért, és úgy döntött, hogy a férfi szándékosan küldött túl sok kérést a feldolgozási képesség felett, ezért letartóztatták őt üzleti akadályozás gyanújával. A Nagoya-i Okazaki fiókügyészség júniusban “nem találtak erős szándékot az üzleti akadályozásra”, ezért felfüggesztették az ügyészi vádemelést.

Asahi Shimbun Nagoya reggeli kiadása (2010. augusztus 21.)

A letartóztatott férfi az Okazaki Központi Könyvtár használója volt, és a könyvtár weboldalának új könyveinek információit gyűjtötte össze, nem volt szándéka megakadályozni a könyvtár működését. A hozzáférési gyakoriság is alacsony volt, körülbelül 1 másodpercenként, ami normál esetben nem minősül DoS támadásnak, de a könyvtár szerverén hiba volt, és ez okozta a rendszerhibát.

Annak ellenére, hogy nem volt rosszindulat, a DoS támadásnak minősülő cselekményekkel leállította a könyvtár szervert és megakadályozta annak működését, ezért megvizsgáljuk az objektív követelményeket. A szándékot illetően, ahogy korábban említettük, még ha nincs is rosszindulat, a szándékot el lehet ismerni. A rendőrség úgy ítélte meg, hogy mivel a férfi számítógépes szakember, tudta, hogy ha nagy mennyiségű kérést küld, az hatással lehet a könyvtár szerverére, mégis nagy mennyiségű kérést küldött, ezért volt szándék, és úgy ítélte meg, hogy a bűncselekmény megvalósítható.

Az eset problémái és kritikái

A férfi által végzett, a nyilvános weboldalak adatainak gépi módon történő gyűjtése széles körben elterjedt, és a programozás önmagában nem illegális. A férfi később saját weboldalán ismertette az eseményeket és szándékait, és a tartalom alapján nincs olyan pont, amely “bűncselekménynek” nevezhető vagy erkölcsi elítélésre méltó, és sok technikus, aki használja ezt a technológiát, megdöbbent, és sok kritika és aggodalom merült fel.

Például, először is, ha a közkönyvtár nyilvános weboldala, amelyet sok ember használ, 1 másodpercenként 1 hozzáféréssel leáll, az túl gyenge és törékeny, és ha lett volna egy erős szerver, amelyet normál esetben kellene biztosítani, a férfi nem lett volna letartóztatva. Ezenkívül a férfi nem mutatott “bosszút” vagy “zaklatást”, nincsenek támadási vagy üzleti akadályozási szándékok, nincsenek nyilvánvalóan szokatlan nagy mennyiségű adatküldések, stb., amelyek nyilvánvalóan bűncselekménynek tűnnek, mégis lehetséges, hogy bűncselekményt követnek el, ami jogalkotási probléma. Továbbá, a jogalkalmazás és az internet használatának valósága közötti eltérés is probléma. Például ugyanaz a 10 000 hozzáférés különböző benyomást kelt az interneten és az információfeldolgozási technológiában jártas emberekben és az általános emberekben, beleértve a rendőrséget és az ügyészséget is, és probléma, ha ezt a benyomásbeli eltérést nem korrigálják. Továbbá, ha bárki, mint ez a férfi, letartóztatható, akkor aggodalomra ad okot, hogy az internet szabad használata és fejlődése, valamint az ipar visszaszorul.

A férfi végül felfüggesztett vádemelést kapott, mert nem találtak erős szándékot az üzleti akadályozásra, de 20 napig tartó letartóztatás és őrizet alatt kihallgatás alatt volt, és fizikai korlátozást szenvedett. Továbbá, amikor letartóztatták, a nevét nyilvánosságra hozták. Továbbá, a felfüggesztett vádemelés azt jelenti, hogy “bűncselekmény történt, de nem volt súlyos, vagy mélyen megbánta, ezért most nem emelünk vádat”, vagyis azt jelenti, hogy bűncselekményt követett el. Ezért, még ha nem is emeltek vádat ellene, a társadalmi szempontból jelentős hátrányt szenvedett, ami probléma.

Összefoglalás

Ahogy látható, a DoS támadások esetén is megállapítható a számítógépek rongálása és egyéb üzleti zavarok okozása bűncselekmény. Azonban a jogszabályok alkalmazásában több probléma is felmerül, és olyan esetekben is bűncselekmény állapítható meg, mint a bemutatott sorozat eseményei, amelyeket nehéz rosszindulatúnak nevezni. A bevezetés idejétől eltérően, ma már sokan rendelkeznek okostelefonnal vagy számítógéppel, az internetes eszközökkel, és az internetes társadalom gyorsan fejlődik. Ezeknek a problémáknak a leküzdése, valamint az internetes szabadság védelme érdekében szükség van a jogszabályok alkalmazásának felülvizsgálatára és új jogalkotási intézkedések megfontolására.

Ha a cég szervere DoS támadás vagy más kibertámadás áldozatává válik, a rendőrséget kell felkérni a nyomozásra. Azonban gyakran előfordulnak technikailag nagyon bonyolult problémák, és mint a fent említett könyvtári esetben, ha nincs megfelelő IT és jogi ismeretekkel és tapasztalattal rendelkező személy, akkor nem lehet megfelelően kezelni a helyzetet.

A polgári jogi megoldások között szerepel, hogy ha az elkövetőt azonosítani tudjuk, akkor kártérítési igényt lehet benyújtani az adott elkövető ellen. Ezért érdemes lehet konzultálni egy olyan ügyvéddel, aki erős az internet és az üzleti jog területén.