Mi a három kategória a kibercselekmények között? Egy ügyvéd magyarázza el a különböző minták elleni védekezési stratégiákat

A “kiberbűnözés” szó már mindennapi használatban is elterjedt, nemzetközi szinten pedig “a számítástechnikai és elektronikus kommunikációs technológiák visszaélésszerű használatával elkövetett bűncselekmények” definícióját jelenti. Az úgynevezett “hackelés (crackelés)” és hasonló kiberbűnözési formák cégeket is érinthetnek mint áldozatokat, és ha ilyen károkat szenvednek, meg kell vizsgálniuk, milyen intézkedéseket kell hozniuk.

Ebben a cikkben a kiberbűnözést három, Japánban általánosan használt kategóriába soroljuk, és minden kategóriában bemutatjuk, milyen bűncselekményeket fed le, és milyen intézkedéseket lehet hozni, ha áldozattá válik. Ez a besorolás azért fontos, mert

• ha valakit nem lehet “áldozatnak” tekinteni jogi értelemben, akkor bár “bejelentheti” a bűncselekményt, nehéz lehet a rendőrséget nyomozásra ösztönözni a kártérítési igény vagy a feljelentés alapján
• ha a bűncselekménynek vannak polgári jogi védelmi intézkedései, akkor nem szükséges a rendőrségi nyomozásra hagyatkozni, hanem lehetőség van ügyvédhez fordulni, és polgári jogi eszközökkel azonosítani a tettest, illetve kártérítést követelni tőle
• ha valaki áldozatává válik egy olyan bűncselekménynek, amelynek nincsenek polgári jogi megoldásai, akkor ösztönözni kell a rendőrségi nyomozást

Mindez azért van így, mert az “intézkedések” minden kategóriában eltérőek.

A kibervilágban elkövetett bűncselekmények 3 kategóriája

Ahogy a fenti ábrán is látható, hazánkban általánosan elfogadott a kibervilágban elkövetett bűncselekmények három kategóriába sorolása.

• Számítógépes bűncselekmények: A pontos definíciót később tárgyaljuk, de egyszerűen fogalmazva, ezek olyan bűncselekmények, amelyek a vállalatok működését akadályozzák.
• Hálózati bűncselekmények: Az internet visszaélésszerű használatából eredő bűncselekmények.
• Jogellenes hozzáférés tilalmának megsértése: Ilyen például a jogosulatlan bejelentkezés.

Az alábbiakban mindegyik kategóriát részletesen ismertetjük.

Mi a számítógépes bűnözés?

Mi az elektronikus számítógép rongálása és üzleti akadályozás bűncselekménye?

A büntető törvénykönyvben meghatározott elektronikus számítógép rongálása és üzleti akadályozás bűncselekménye a legtipikusabb példa erre a bűncselekmény típusra.

“Aki rongálja mások üzleti céljára használt elektronikus számítógépét vagy annak elektromágneses feljegyzéseit, vagy hamis információt vagy jogtalan utasítást ad mások üzleti céljára használt elektronikus számítógépnek, vagy más módon megakadályozza, hogy az elektronikus számítógép a felhasználási céljának megfelelően működjön, vagy olyan működést eredményez, ami ellentétes a felhasználási céllal, és ezzel akadályozza mások üzleti tevékenységét, az öt évig terjedő szabadságvesztéssel vagy egymillió jenig terjedő bírsággal büntetendő.”

Büntető Törvénykönyv 224. cikk (2) bekezdése

Bár a szöveg nehezen érthető, röviden összefoglalva:

• Rongálja az üzleti célú PC-t vagy annak adatait
• Hamis információt vagy nem várt információt küld az üzleti célú PC-nek

Ha ezekkel a módszerekkel a PC nem várt működést végez, és ez akadályozza az üzleti tevékenységet, akkor ez a bűncselekmény megvalósul.

A tipikus példák közé tartozik a biztonsági rések kihasználása, mások fiókjának jogtalan belépése, az online banki számlaegyenleg növelése. Hasonlóan, a biztonsági rések kihasználása, a bejelentkezési adatok jogtalan megszerzése, és egy vállalat weboldalának átírása is ebbe a kategóriába tartozik. A “jogtalan belépés” önmagában a később tárgyalt “Jogtalan hozzáférés tilalmának megsértése” kategóriába tartozik, de a jogtalan műveletek, a hamisítás, a törlés, az adatok jogtalan átírása stb. esetén ez a bűncselekmény típusa érvényesül.

Mi a különbség a jogosulatlan hozzáféréshez képest?

És ez a bűncselekménytípus nem feltétlenül igényel jogosulatlan bejelentkezést. Például a tipikus eset az úgynevezett DoS támadás. Nagy mennyiségű e-mailt küldenek, ami zavart okoz az e-mail szerveren, vagy nagy mennyiségű hozzáférést hajtanak végre egy weboldalhoz, ami zavart okoz a webszerveren. Ezek a tevékenységek önmagukban legálisak, ha csak egy-egy e-mailt vagy hozzáférést nézünk, de a nagy mennyiségben végrehajtott tevékenységek a szerveren (PC-n) váratlan működést okoznak, és kárt okoznak a cégnél, például nem tudják használni az e-mailt, vagy nem tudják megnyitni a weboldalt. Ezért “nem sérti a ‘Jogosulatlan Hozzáférés Tilalmának Törvényét’ (japán: 不正アクセス禁止法), de megfelel a ‘Számítógép Rongálás és Egyéb Üzleti Akadályozás Bűncselekményének’ (japán: 電子計算機損壊等業務妨害罪)”. Ezenkívül ezekben a bűncselekményekben a ‘Csalárd Üzleti Akadályozás’ (japán: 偽計業務妨害罪) is problémát jelent.

A rendőrségi nyomozás ösztönzése érdekében

Ezek a cselekmények, mint fentebb említettük, bűncselekmények, és az érintett vállalatok áldozatokká válnak, ezért lehetséges a rendőrségi nyomozás kérés. Azonban a gyakorlatban a japán rendőrség nem igazán hatékony ilyen bűncselekmények elleni fellépésben. Ez részben technikai problémákra vezethető vissza. Például, fentebb egyszerű DoS támadásokról beszéltünk, de a valós támadások nem egyszerűen egyetlen IP-címről érkező millió e-mail vagy hozzáférés, hanem sok IP-címről, vagyis a támadások forrása szétosztott. Ilyen támadásokat “DDoS”-nak hívják.

Ha egyetlen IP-címről nagy mennyiségű e-mail vagy hozzáférés érkezik, akkor ez egyértelműen egyetlen személy által végzett nagy mennyiségű hozzáférés, és “nem várt információ”. Azonban, ha az IP-címek szétosztottak, akkor minden egyes e-mail vagy hozzáférés önmagában legális, és ha nincs bizonyíték arra, hogy ezeket ugyanaz a személy végezte, akkor nem lehet illegális információküldésnek nevezni. Tehát, hogyan lehet bizonyítani, hogy “egy személy által végzett nagy mennyiségű e-mail vagy hozzáférés” egy szigorú büntetőper alatt? Ez valóban problémás kérdés a rendőrség és az ügyészség számára.

Ezenkívül a büntetőperben nem elegendő azt állítani, hogy “a bűncselekménynek megfelelő kommunikáció (például a fent említett nagy mennyiségű e-mail küldése) a gyanúsított PC-jéről történt”, hogy bűnös ítéletet szerezzen. A büntetőügyekben nem “melyik PC-ről”, hanem “ki által” történt a tényállítás szintjét kell igazolni. Valójában a büntető ítéletekben gyakran gondosan vizsgálják ezt a részt, vagyis “a bűncselekményt kétségtelenül a gyanúsított PC-ről hajtották végre, de valóban a gyanúsított maga hajtotta-e végre”. Ez a bizonyítási küszöb fontos a “hamis vádak megelőzése” szempontjából, de úgy gondolom, hogy ez is okozza a rendőrség és az ügyészség vonakodását a kibercselekmények nyomozásától.

Az események bekövetkezése után rövid időn belül azonban lehetséges, hogy a szervernaplókat és más adatokat részletesen elemezve “nagyon valószínű, hogy ugyanaz a személy végzi” és “ez kétségtelenül a gyanúsított maga által végzett” bizonyítékot találunk. Az IT technológia által végzett vizsgálat és a vizsgálat során megtudott dolgok jogilag értelmes dokumentummá alakítása. Ha ez a két dolog rendelkezésre áll, akkor vannak esetek, amikor ösztönözni lehet a rendőrségi nyomozást.

A polgári jogi megoldás nehéz

Bár jó lenne, ha a rendőrség bevonása nélkül is lennének polgári jogi megoldások, de őszintén szólva, ezek a bűncselekmények kevés polgári jogi intézkedést tesznek lehetővé.

Például, ha nagy mennyiségű e-mailt küldenek, az e-mailben (az e-mail fejlécében) szerepel a küldő IP-címe, így szeretnénk, ha a szolgáltató felfedné a szerződő fél címét és nevét, aki ezt az IP-címet használta. Azonban a japán polgári jog szerint nincs jogunk jogilag kérni ezt a felfedést. Az interneten történő rágalmazás károsodása esetén, amit később tárgyalunk, használhatjuk a szolgáltató felelősségének korlátozásáról szóló japán törvényt (Provider Liability Limitation Law), de egyszerűen fogalmazva, ez a felfedési jog csak

a kommunikációra vonatkozik, amelyet sokan látnak (a tipikus példa az internetes fórumokra történő, rágalmazó bejegyzésekhez szükséges kommunikáció)

és csak ezt ismerik el.

A gyakorlatban, a komolyabb kibercselekmények esetén, a rendőrség vizsgálatának elősegítése érdekében gyakran részletes jelentésekre van szükség, ami több időt igényel, mint egy per indítása. Emellett a rendőrséggel való első kapcsolatfelvételtől az igazi vizsgálatig vagy letartóztatásig gyakran egy év vagy annál hosszabb idő is eltelhet. Ezzel szemben a polgári jogi megoldás gyakran kevesebb időt és erőfeszítést igényel… de ezek a bűncselekmények alapvetően lehetetlenné vagy nagyon nehézzé teszik a polgári jogi megoldást. Ha azonosítani tudjuk a tettest, kártérítést igényelhetünk a bűncselekmény által okozott károkért, például ha a web szerver hibát okoz, de nincsenek előkészített eszközök erre a célra.

https://monolith.law/corporate/denial-of-service-attack-dos[ja]

Hálózati bűncselekmények

Rágalmazás az interneten

Az említett számítógépes bűncselekményeken túl, ezek a bűncselekmények olyanok, amelyeket PC vagy hálózat segítségével hajtanak végre. Például az interneten elkövetett úgynevezett rágalmazás nem rongálja a adatokat, nem küld olyan információkat, amelyeket eredetileg nem vártak, és nem okoz a PC-ben váratlan működést, de az internetes hálózatot használja.

A rágalmazó bejegyzések a következőképpen oszthatók meg:

• Bűncselekményként és polgári jogi értelemben is illegális (tipikus példa a rágalmazás)
• Bűncselekményként nem illegális, de polgári jogi értelemben illegális (tipikus példa a személyiségi jogok megsértése vagy a képmás jogának megsértése)

Ha valami bűncselekményként is illegális, akkor polgári jogi eszközökkel, a szolgáltató felelősségének korlátozásáról szóló törvény (japán: プロバイダ責任制限法) alapján kérhető a bejegyzést közzétevő személy azonosítása, vagy a rendőrség is kérhető, hogy indítson nyomozást és tartóztassa le a bejegyzést közzétevő személyt.

Azonban a tartalomtól függően a rendőrség általában nem hajlandó aktívan nyomozni az ilyen bejegyzésekkel kapcsolatban, mivel a “polgári jogi beavatkozás” elvét követi. Ezenkívül a személyiségi jogok megsértése és a képmás jogának megsértése nem bűncselekmény a büntető törvénykönyv értelmében, ezért polgári jogi megoldásra van szükség.

https://monolith.law/practices/reputation[ja]

Károk az e-mail és más egy-egy kommunikáció révén

A nehézséget az olyan egy-egy kommunikációs eszközökkel, mint az e-mail vagy a Twitter DM, elkövetett helytelen üzenetek küldése jelenti. Tipikus példa erre a fenyegető vagy zsaroló e-mailek. A szolgáltató felelősségének korlátozásáról szóló törvény (japán: プロバイダ責任制限法) alapján a küldő azonosítására irányuló kérelem csak a következő esetben használható:

A kommunikáció, amelynek célja, hogy sok ember láthassa a bejegyzést (tipikus példa a nyilvános internetes fórumokon történő rágalmazó bejegyzések)

Ezért ezekben az esetekben nincsenek előkészített polgári jogi megoldások, és csak a rendőrségi nyomozásban reménykedhetünk. Azonban, ha a bejegyzés tartalma rágalmazásnak minősül, de egy-egy kommunikációs eszközt használnak, a rágalmazás bűncselekménye nem valósul meg. Egyszerűen fogalmazva, a rágalmazás bűncselekménye csak akkor valósul meg, ha azt sok embernek szánják. Egy-egy kommunikációs eszközökkel a rágalmazás alapvetően nem valósul meg. Ezzel a problémával részletesen foglalkozunk egy másik cikkben.

https://monolith.law/reputation/email-sender-identification[ja]

Károk a pornográf képek és illegális weboldalak miatt

Továbbá, a bűncselekmények, amelyeknek nincsenek áldozatai, vagy amelyekben a kárt szenvedő vállalatok nem válnak áldozattá, szintén ebbe a kategóriába tartoznak. Például:

• Az úgynevezett felnőtt weboldalakon található cenzúrázatlan képek vagy videók (nyilvános pornográf képek)
• Illegális kaszinó weboldalak reklámozása
• Csaló weboldalak, amelyek azt állítják, hogy márkás termékeket árulnak, de valójában nem szállítanak terméket

Ezek a minták.

Például, ha egy cég női öltözőjében történik titkos felvétel, és a képek az interneten jelennek meg, akkor ezek a képek nyilvánvalóan megsértik az érintett nő személyiségi jogait (vagy a képmás jogát), de ahogy korábban említettük, a személyiségi jogok megsértése (vagy a képmás jogának megsértése) nem bűncselekmény, a titkos felvétel maga bűncselekmény, de a titkos felvétellel készült képek közzététele nem feltétlenül bűncselekmény, ezért nehéz kérdés, hogy hogyan kérjük a rendőrségtől a nyomozást.

Továbbá, ha egy illegális kaszinó weboldal vagy csaló weboldal miatt a cég bevétele csökken, vagy a cég hírneve romlik, akkor az ilyen cselekmények, mint fent említettük, bűncselekmények a társadalom érdekében, még akkor is, ha nincsenek konkrét áldozatok (tipikus példák a sebességhatár túllépése vagy a drogok szabályozása), vagy csak a közvetlen áldozatok (például azok a fogyasztók, akik pénzt fizettek az adott csaló weboldalnak) tekinthetők áldozatoknak, ezért ha egy vállalat panaszt tesz, akkor ez csak harmadik fél bejelentése lesz. Ráadásul, ha nem “áldozat”, akkor a küldő azonosítása, például a szolgáltató felelősségének korlátozásáról szóló törvény (japán: プロバイダ責任制限法) alapján, eleve nem lehetséges.

Azért, ha olyan cselekményről van szó, amely megsérti a vállalat szellemi tulajdonjogait (védjegyjog, szerzői jog stb.), akkor a vállalat “áldozatként” kérheti a rendőrségtől a nyomozást, vagy polgári jogi eszközökkel próbálhatja azonosítani az eladót.

Törvénytelen hozzáférés tilalma

A törvénytelen hozzáférés tilalmának megsértése

Végül, bemutatjuk a törvénytelen hozzáférés tilalmát. A törvénytelen hozzáférés tilalma a következőket tiltja:

1. Törvénytelen hozzáférés
2. Törvénytelen hozzáférés elősegítése
3. Jogtalan megszerzés és hasonlók

Ezek közül az első, a törvénytelen hozzáférés, két fő kategóriába sorolható:

• Az álcázás: más személy azonosítója vagy jelszava beírása, és engedély nélkül bejelentkezés az illető személyként
• Biztonsági rések kihasználása: a biztonsági rések kihasználása, amelyek lehetővé teszik a bejelentkezést más személyként anélkül, hogy azonosítót vagy jelszót kellene megadni

A második, a törvénytelen hozzáférés elősegítése, mások fiókadatainak (azonosító, jelszó stb.) engedély nélküli továbbadását vagy értékesítését jelenti.

Végül a harmadik, a jogtalan megszerzés és hasonlók, mások fiókjának megszerzését jelenti, például úgy, hogy az illetőt ráveszik, hogy adja meg adatait egy phishing weboldalon, vagy hogy jogtalanul megszerzett fiókadatait tárolja.

A törvénytelen hozzáférés tilalmáról részletesen olvashat az alábbi cikkben.

https://monolith.law/reputation/unauthorized-computer-access[ja]

A rendőrség általi megoldás

Ha törvénytelen hozzáférés áldozatává válik, a rendőrséget kell felkérnie a nyomozásra. Azonban gyakran előfordul, hogy a kérdés technikailag nagyon összetett, és hasonlóan a fent említett számítógépes bűncselekményekhez, ha nincs olyan személy, aki rendelkezik az IT és a jog területén szerzett ismeretekkel és tapasztalatokkal, és aki jelentést készít, a rendőrségi nyomozás gyakorlatilag nem valósul meg.

Ha az elkövetőt azonosítani lehet, akkor lehetséges kártérítést követelni tőle, de a fent említett számítógépes bűncselekményekhez hasonlóan nagyon nehéz polgári jogi eszközökkel azonosítani az elkövetőt.