Cselekmények, melyeket a 'Japán Törvény a Jogosulatlan Hozzáférés Megtiltásáról' tilt

A Jogtalan Hozzáférés Megtiltásáról szóló törvény (hivatalos nevén a ‘Jogtalan Hozzáférési Cselekmények Megtiltásáról és Egyéb Kapcsolódó Kérdésekről szóló törvény’) 2000. februárban lépett hatályba, majd 2012. májusban módosították, és jelenleg is érvényben van. Ez a törvény a kibercselekmények megelőzését és az elektronikus kommunikáció rendjének fenntartását célozza, és összesen 14 cikkből áll.

‘Jogtalan Hozzáférési Cselekmények Megtiltásáról és Egyéb Kapcsolódó Kérdésekről szóló törvény’ (Cél)
1. cikk Ez a törvény a jogtalan hozzáférési cselekmények tiltását, a büntetőjogi szankciókat és a megyei közbiztonsági bizottságok általi segítségnyújtási intézkedéseket határozza meg a visszaesés megelőzése érdekében, az elektronikus számítógépekhez kapcsolódó bűncselekmények megelőzését és az hozzáférés-ellenőrzési funkciók által biztosított elektronikus kommunikáció rendjének fenntartását szolgálja, és ezzel hozzájárul a fejlett információs és kommunikációs társadalom egészséges fejlődéséhez.

De pontosan milyen cselekményeket tilt a Jogtalan Hozzáférés Megtiltásáról szóló törvény? Milyen valós esetek fordulhatnak elő, és milyen intézkedéseket kell hozni büntető- és polgári jogi szempontból? Ismertetjük a Jogtalan Hozzáférés Megtiltásáról szóló törvény alapjait és a károsultak számára javasolt intézkedéseket.

Tiltott cselekmények a Japán Illegális Hozzáférés Megelőzési Törvény (Japanese Unauthorised Access Prohibition Law) alapján

A Japán Illegális Hozzáférés Megelőzési Törvény alapján tiltott és büntetendő cselekményeket nagyjából három csoportba sorolhatjuk:

• Illegális hozzáférési cselekmények tilalma (3. cikk)
• Illegális hozzáférési cselekmények elősegítésének tilalma (5. cikk)
• Mások azonosító kódjának jogtalan megszerzése, tárolása, beviteli követelése (4., 6., 7. cikk)

Mi az illegális hozzáférés?

Konkrétan a 2. cikk 4. bekezdése szabályozza, amely a “személyazonosság-eltulajdonítás” és a “biztonsági rések kihasználása” cselekményeket jelenti. A Japán ‘Illegális Hozzáférés Megelőzési Törvény’ (不正アクセス禁止法) megtiltja, hogy valaki jogtalanul hozzáférjen mások számítógépéhez.

A “személyazonosság-eltulajdonítás” azt jelenti, hogy amikor egy szolgáltatót használunk, be kell írnunk azonosítóinkat, például az ID-t és a jelszót a számítógépünkbe. Ebben az esetben a “személyazonosság-eltulajdonítás” azt a cselekményt jelenti, amikor valaki más azonosítóját használja fel a tulajdonos engedélye nélkül.

Ez kissé bonyolult lehet, de itt a “másik ember” azonosítója olyan ID-t és jelszót jelent, amelyet már létrehozott (és használ) valaki más. Tehát a “személyazonosság-eltulajdonítás” egyszerűen azt jelenti, hogy valaki “átveszi” mások, például a Twitter vagy más közösségi hálózatok fiókjait.

Általában a “személyazonosság-eltulajdonítás” azt jelenti, hogy valaki más nevét és fényképét használva új fiókot hoz létre, és úgy használja a Twittert vagy más közösségi hálózatokat, mintha ő lenne az a személy. Ez azonban eltér a fent említettől. A “személyazonosság-eltulajdonítás” ezen értelméről részletesen olvashat az alábbi cikkben.

https://monolith.law/reputation/spoofing-dentityright[ja]

A “biztonsági rések kihasználása” azt jelenti, hogy valaki megtámadja mások számítógépének biztonsági réseit (biztonsági hiányosságokat), és így képes használni azt a számítógépet. Támadó programokat és más eszközöket használva, az azonosítókon kívüli információkat és utasításokat ad át a támadás célpontjának, kijátszva ezzel a számítógép hozzáférés-ellenőrző funkcióját, és jogtalanul használja a számítógépet.

Ha valaki ilyen illegális hozzáférési cselekményeket követ el, akár “három évig terjedő szabadságvesztés vagy legfeljebb 1 millió jen (kb. 2,7 millió forint) bírság” is kiszabható rá (11. cikk).

Mit jelent a jogellenes hozzáférés elősegítése?

A jogellenes hozzáférés elősegítése, amelyet a ‘Japán Jogellenes Hozzáférés Megelőzési Törvény’ tilt, azt jelenti, hogy mások ID-jét vagy jelszavát a tulajdonos engedélye nélkül harmadik félnek adja. Akár telefonon, e-mailben, weboldalon keresztül, vagy bármilyen más módon, ha valaki azt mondja, hogy “Az XY ID-je XX, a jelszava pedig △△”, és ezzel lehetővé teszi, hogy mások jogtalanul hozzáférjenek valaki más adataihoz, az a jogellenes hozzáférés elősegítésének minősül.

Ha valaki jogellenes hozzáférés elősegítő tevékenységet végez, akár egy évig terjedő szabadságvesztéssel vagy legfeljebb 500 ezer yen (kb. 4 millió forint) bírsággal sújtható (12. cikk, 2. pont).

Megjegyzendő, hogy még akkor is, ha valaki a jelszót a jogellenes hozzáférés szándéka nélkül adja tovább, akár 300 ezer yen (kb. 2,4 millió forint) bírsággal sújtható (13. cikk).

Mit jelent mások azonosító kódjának jogtalan megszerzése, tárolása és beviteli követelése?

A Japán Jogtalan Hozzáférés Megelőzési Törvény (Japanese Unlawful Access Prohibition Law) tiltja mások azonosító kódjának (ID, jelszó) jogtalan megszerzését, tárolását és beviteli követelését.

4. cikk: Mások azonosító kódjának jogtalan megszerzése tilos
6. cikk: Mások azonosító kódjának jogtalan tárolása tilos
7. cikk: Mások azonosító kódjának jogtalan beviteli követelése tilos

Ezen tiltott cselekmények közül a legjellemzőbb az “beviteli követelés”, ami a úgynevezett “phishing” tevékenységet jelenti. Például, a csalók pénzügyi intézménynek adhatják ki magukat, és áldozataikat hamis, az eredetihez megtévesztésig hasonló weboldalra irányíthatják, ahol az áldozatoknak be kell írniuk jelszavukat és ID-jüket.

A phishing tevékenység során megszerzett azonosító kódokat gyakran használják fel aukciós csalásokban, és gyakori, hogy az áldozatok pénzét jogtalanul más számlákra utalják át.

Aki ilyen cselekményeket követ el, azt egy évig terjedő szabadságvesztéssel vagy legfeljebb 500 ezer jen (kb. 1,3 millió forint) bírsággal sújthatják (12. cikk, 4. pont).

Milyen törvények szabályozzák a jogosulatlan hozzáférésen kívüli kibercselekményeket?

Az úgynevezett Jogosulatlan Hozzáférés Tilalmáról szóló törvény (Japán: 不正アクセス禁止法) egy olyan jogszabály, amely a kibercselekmények egyes típusaira ad választ. Ha a “kibercselekmények” egészéről beszélünk, akkor olyan további törvények is szóba jöhetnek, mint az elektronikus számítógépek rongálásával kapcsolatos üzleti akadályozás, a csalárd üzleti akadályozás, vagy a becsületsértés. A kibercselekmények teljes képét a lentebb található cikkben tárgyaljuk részletesen.

https://monolith.law/corporate/categories-of-cyber-crime[ja]

Hozzáférési adminisztrátorok kötelezettségei

Az illegális hozzáférés tilalmáról szóló japán törvény (Unauthorised Access Prohibition Law) nem csak az illegális hozzáférési cselekményeket és a büntetéseket határozza meg, hanem a szerverek és egyéb rendszerek adminisztrációjára vonatkozóan is előírja a hozzáférési adminisztrátorok kötelezettségeit az illegális hozzáférés megelőzése érdekében.

Védelmi intézkedések a hozzáférési adminisztrátorok által

8. cikk: Azoknak a hozzáférési adminisztrátoroknak, akik hozzáférés-ellenőrző funkciót adtak hozzá egy adott elektronikus számítógéphez, gondoskodniuk kell az azonosító kódok vagy a hozzáférés-ellenőrző funkció által ellenőrzött kódok megfelelő kezeléséről, folyamatosan ellenőrizniük kell a hozzáférés-ellenőrző funkció hatékonyságát, és ha szükségesnek ítélik, gyorsan fejleszteniük kell a funkciót és más, az adott elektronikus számítógép illegális hozzáférés elleni védelméhez szükséges intézkedéseket kell hozniuk.

Az azonosító kódok megfelelő kezelése, a hozzáférés-ellenőrző funkció hatékonyságának folyamatos ellenőrzése és a hozzáférés-ellenőrző funkció fejlesztése szükség esetén kötelező, de mivel ezek erőfeszítési kötelezettségek, nem jár büntetéssel, ha elmulasztják ezeket az intézkedéseket.

Ugyanakkor, ha a rendszergazdának nyoma van arra, hogy az ID-k vagy jelszavak kiszivárogtak, gyorsan el kell végeznie az ilyen hozzáférés-ellenőrző intézkedéseket, mint az accountok törlése vagy a jelszavak megváltoztatása.

Törvénytelen hozzáférés tilalmáról szóló törvény megsértésének esetei

Egy népszerű fiú diák Twitter fiókjának eltulajdonítása

Egy osztálytárs fiú diák Twitter fiókját eltulajdonítva, a fiú személyének meghamisításával, több mint 300 üzenetet küldött lány diákoknak. A Hyogo megyei rendőrség 2017. január 30-án (2017) letartóztatta a megyei középiskola harmadik évfolyamos fiú diákját (18 éves), a törvénytelen hozzáférés tilalmáról szóló törvény megsértése miatt.

A letartóztatás oka, hogy az előző év szeptemberétől novemberig, a lány diákok körében népszerű fiú diák (18 éves) Twitter fiókjának hitelesítő szerverébe jelszót írt be, összesen 63 alkalommal bejelentkezett, és a fiókot követő más iskolák lány diákjainak “mutassuk meg egymásnak a testünket”, “beszéljünk szexről” és hasonló obszcén üzeneteket küldött.

Törvénytelen hozzáférés a Facebookhoz és másokhoz

A Facebookhoz és másokhoz történő törvénytelen hozzáférés miatt, amely során személyes adatokat szereztek, a törvénytelen hozzáférés tilalmáról szóló törvény megsértése miatt a Tokyo Kerületi Bíróság 2016. augusztus 3-án (2016) ítéletet hozott a vádlott (29 éves) ellen, aki 238 alkalommal hozzáfért hét nő Facebook fiókjához és másokhoz. Az ítélet szerint a bűncselekmény rendszeres és kitartó volt, és a törvénytelen hozzáférés sikerének érzése miatt nincs mérlegelési lehetőség, ezért két és fél év börtönbüntetést szabtak ki. Azonban figyelembe vették, hogy a betekintett információkat nem szivárogtatta ki, és nincs előzetes büntetése, ezért négy évig felfüggesztették a végrehajtást.

A munkahelyén lévő ügyfél információk törvénytelen megszerzése

A Tokyo Kerületi Bíróság 2009. november 12-én (2009) ítéletet hozott egy alkalmazott (45 éves) ellen, aki a munkahelyén lévő információs rendszer fejlesztéséért, üzemeltetéséért és általános felhasználói támogatásért felelt, és törvénytelenül megszerezte és el akarta adni a cég ügyfél adatait, valamint CD-R-t lopott. A bíróság két év börtönbüntetést szabott ki.

Az információk eladásából származó közel 350 ezer jen (kb. 3 millió forint) nyereséget nem lehet figyelmen kívül hagyni. Bár nincs előzetes büntetése, és a munkahelye elbocsátotta fegyelmi okokból, ami bizonyos társadalmi szankciót jelent, mégis figyelembe véve ezeket a körülményeket, nem lehet felfüggeszteni a büntetés végrehajtását.

Cyber támadó kapott nyolc év börtönbüntetést

A Tokyo Kerületi Bíróság 2017. április 27-én (2017) ítéletet hozott egy vádlott (32 éves) ellen, aki phishing e-maileket és távoli hozzáférésű vírusokat használt több vállalat internetes bankjának azonosító kódjainak törvénytelen megszerzésére, törvénytelen bejelentkezésre és azt követő törvénytelen átutalásra, valamint adatbázisok elleni támadásokkal e-mail címeket szerzett, és távoli hozzáférésű vírusokat küldött, hogy ezeket futtatható állapotba hozza. A vádlottat a törvénytelen hozzáférés tilalmáról szóló törvény, az elektronikus számítógépes csalás, a hamis elektronikus rekord készítése és használata, a hamis utasítások elektronikus rekordjának használata, és a rádióhullámokkal kapcsolatos törvény megsértése miatt bűnösnek találták, és nyolc év börtönbüntetést szabtak ki.

Különböző módszereket alkalmazott a cyber támadásokhoz, és előre megszerzett titkosítási kulcsokat használt mások vezeték nélküli LAN hozzáférési pontjaihoz való csatlakozáshoz, hogy elkerülje a bűncselekmény felfedezését, néha közvetítő szervereken keresztül is csatlakozott, hogy elrejtse a csatlakozás forrását, és a törvénytelen átutalás előtt megváltoztatta a kapcsolattartó e-mail címet. A bűncselekmények módszerei ravaszak és rosszindulatúak voltak, ráadásul a törvénytelen átutalásokból eredő anyagi kár összesen több mint 5,19 millió jen (kb. 45 millió forint) volt, és a vádlott a korábbi bűncselekmények miatti előzetes büntetés felfüggesztése után nem sokkal követte el a jelenlegi bűncselekményeket, ezért lett ilyen súlyos a büntetés.

Megjegyzendő, hogy ha a támadó e-maileket küld a támadás során, lehetséges, hogy az e-mailek alapján azonosítják a támadót. Azonban a polgári jogi szinten ez általánosságban nehéz. Ezt a kérdést a következő cikkben is érintjük.

https://monolith.law/reputation/email-sender-identification[ja]

Intézkedések jogosulatlan hozzáférés esetén

Ha e-mailt vagy közösségi hálózatot használ, előfordulhat, hogy jogosulatlan hozzáférést tapasztal másoktól. Ebben az esetben milyen lépéseket tehet?

Bűncselekmény bejelentése

Elsőként, jogosulatlan hozzáférést végrehajtó személy ellen bűncselekményt jelenthet be. A jogosulatlan hozzáférés bűncselekmény, és aki ezt elköveti, büntetőjogi felelősséggel tartozik. Ahogy azt korábban ismertettük, az elkövető akár 3 évig terjedő szabadságvesztést vagy legfeljebb 1 millió yen (kb. 2,7 millió forint) bírságot is kaphat, és ha valaki segített neki, akkor akár 1 évig terjedő szabadságvesztést vagy legfeljebb 500 ezer yen (kb. 1,35 millió forint) bírságot is kiszabhatnak rá.

Megjegyzendő, hogy a jogosulatlan hozzáférés tilalmának megsértése olyan bűncselekmény, amelyet a rendőrség akkor is kivizsgálhat, ha nincs bejelentés. Ha a rendőrség tudomást szerez a bűncselekményről, elindíthatja a nyomozást és letartóztathatja az elkövetőt. Sőt, nem csak a jogosulatlan hozzáférés áldozata, hanem bárki, aki tudomást szerzett a bűncselekményről, bejelentést tehet a rendőrségen.

Ahogy azt korábban a munkahelyi zaklatásról szóló cikkünkben is említettük, a bejelentési kötelezettség alá eső bűncselekmények olyan bűncselekmények, amelyeket csak az áldozat bejelentése alapján lehet vádat emelni. Azonban ez nem jelenti azt, hogy csak a bejelentési kötelezettség alá eső bűncselekmények esetén lehet bejelentést tenni. Még ha a bűncselekmény nem is tartozik a bejelentési kötelezettség alá, az áldozat még mindig bejelentést tehet az elkövető ellen.

Még ha a bűncselekmény nem is tartozik a bejelentési kötelezettség alá, ha az áldozat bejelentést tesz, az elkövető helyzete rosszabbá válhat, és a büntetés súlyosabb lehet. Ha észleli, hogy jogosulatlan hozzáférést szenvedett, konzultáljon ügyvéddel, és nyújtson be kártérítési igényt vagy feljelentést a rendőrségen. Ha a rendőrség elfogadja a kártérítési igényt, azonnal megkezdi a nyomozást, és letartóztathatja vagy vádat emelhet az elkövető ellen.

Polgári jogi kártérítési igény

Ha jogosulatlan hozzáférés által okozott kárt szenvedett, polgári jogi alapon kártérítést igényelhet a károkozótól a Japán Polgári Törvénykönyv (Japanese Civil Code) 709. cikke alapján.

Polgári Törvénykönyv 709. cikk
Aki szándékosan vagy gondatlanságból megsérti mások jogait vagy törvény által védett érdekeit, köteles kártérítést fizetni a károkért.

Ha a károkozó jogosulatlanul hozzáfér az információkhoz, és terjeszti a személyes adatokat, vagy ellopja a szociális játékok tárgyait, vagy hozzáfér a hitelkártya- vagy bankszámla-adatokhoz, és anyagi kárt okoz, akkor kérhet kártérítést, beleértve a nem vagyoni kárt is. Természetesen, ha hozzáfértek a hitelkártya- vagy bankszámla-adatokhoz, és ténylegesen anyagi kárt okoztak, akkor ezekért a károkért is igényelhet kártérítést.

Az elkövető elleni kártérítési igény benyújtásához azonban azonosítani kell az elkövetőt, és bizonyítani kell, hogy valóban ő hajtotta végre a jogosulatlan hozzáférést, amihez szakértői tudás szükséges. Ha jogosulatlan hozzáférés által okozott kárt szenvedett, forduljon tapasztalt ügyvédhez a hálózati problémák kezelésében, és bízza rá a további eljárásokat.