O DoS é um crime? Advogado explica sobre o crime de obstrução de negócios por destruição de computadores eletrónicos e similares

O crime de obstrução de negócios por danos a computadores eletrónicos foi estabelecido no ano 62 da era Showa (1987). Naquela época, devido ao rápido crescimento económico e ao desenvolvimento tecnológico, os computadores começaram a ser amplamente utilizados nos escritórios.

Trabalhos que anteriormente eram realizados por pessoas passaram a ser realizados por computadores, e o âmbito dos negócios também se expandiu. Assim, começou-se a prever a obstrução de negócios através de danos direcionados aos computadores, e para lidar com isso, esta lei foi estabelecida.

No entanto, na época da sua criação, os computadores estavam ainda em desenvolvimento e a internet não estava difundida, tornando difícil prever especificamente os crimes cibernéticos. Além disso, esta lei não utiliza termos de engenharia de computação, ciência da informação ou termos comumente usados na sociedade, mas sim termos que se assemelham ao código penal, tornando a interpretação variada e a lei difícil de entender para o cidadão comum.

Além disso, este crime é geralmente reconhecido como correspondendo ao tipo de crime conhecido como crime informático, que faz parte dos crimes cibernéticos.

Neste artigo, explicaremos de forma clara e detalhada o crime de obstrução de negócios por danos a computadores eletrónicos.

O que é um Ataque DoS

Um ataque DoS (Denial of Service attack) é um tipo de ataque cibernético que sobrecarrega o site ou servidor alvo enviando uma grande quantidade de dados ou dados inválidos, tornando o sistema incapaz de funcionar normalmente. Ao contrário de acessos não autorizados, que burlam as permissões de uso ou tomam o controle do sistema através de vírus, um ataque DoS impede que os usuários legítimos exerçam seus direitos de acesso. Embora seja uma técnica de ataque cibernético antiga, ainda é frequentemente usada em ataques DDoS (Distributed Denial of Service attack), e continua a causar danos significativos.

Tipos de Ataques DoS

Os ataques DoS podem ser divididos em dois tipos: “Flood” e “Vulnerability”.

O termo “Flood” vem do inglês ‘Flood’ (= inundação), e refere-se a ataques que sobrecarregam o alvo enviando uma grande quantidade de dados, tornando-o incapaz de processar todos eles.

Por outro lado, os ataques de vulnerabilidade exploram as fraquezas dos servidores ou aplicações, fazendo-os executar processos inválidos e interrompendo suas funções. Embora possa ser difícil distinguir esses ataques de acessos não autorizados, um exemplo típico de um ataque DoS de vulnerabilidade é o ataque LAND, que envia pacotes com o mesmo endereço IP e número de porta de origem e destino. Para simplificar, se o atacante A envia um pacote para o servidor B dizendo “Eu sou B e quero uma resposta”, B responderá a si mesmo, e esse processo se repetirá, criando um loop infinito. Embora este ataque explora a “vulnerabilidade” de responder a pacotes que têm a si mesmos como origem, não é considerado um “acesso não autorizado”, pois não burla a autenticação de senha, mas sim um “ataque DoS de vulnerabilidade”.

Além disso, um ataque DDoS é uma técnica distribuída que envolve o controle remoto de milhares de computadores infectados com um bot vírus, cada um dos quais realiza um ataque DoS do tipo Flood.

Como Funciona um Ataque DoS

O mecanismo de um ataque DoS é tecnicamente simples, envolvendo a repetição frequente de ações que são normalmente permitidas dentro do escopo do TCP/IP. Por exemplo, quando muitas pessoas tentam acessar a página de venda de ingressos para um show de um ídolo popular ao mesmo tempo, o site pode ficar lento ou até mesmo cair devido ao tráfego pesado. Um ataque DoS abusa de direitos legítimos para criar intencionalmente essa situação.

Um ataque DoS constitui um crime de obstrução de negócios por danos a computadores eletrónicos?

Então, um ataque DoS constitui um crime? Vamos analisar se se enquadra no crime de obstrução de negócios por danos a computadores eletrónicos mencionado anteriormente.

“Quem danificar um computador eletrónico ou um registo eletromagnético usado para negócios, ou fornecer informações falsas ou instruções ilegais a um computador eletrónico usado para negócios, ou por qualquer outro meio, impedir que o computador eletrónico funcione de acordo com o seu propósito de uso, ou fazê-lo funcionar contra o seu propósito de uso, e assim obstruir os negócios de alguém, será punido com prisão até cinco anos ou multa até um milhão de ienes.”

Artigo 234-2, parágrafo 1 do Código Penal Japonês (Crime de obstrução de negócios por danos a computadores eletrónicos)

Assim, para a constituição do crime de obstrução de negócios por danos a computadores eletrónicos, é necessário, como requisitos objetivos,

1. Um ato de agressão dirigido a um computador eletrónico
2. Impedimento do funcionamento do computador eletrónico
3. Obstrução de negócios

e, como requisito subjetivo, que estes sejam perpetrados intencionalmente.

Cumprimento dos requisitos objetivos

Vamos analisar cada um dos seguintes pontos individualmente.

Ato de agressão dirigido a um computador eletrónico

Como ato de agressão (ato executório), é necessário que se enquadre em uma das seguintes categorias:

• “Danificar um computador eletrónico ou um registo eletromagnético usado para esse fim”
• “Fornecer informações falsas ou instruções ilegais a um computador eletrónico”
• “Ou por qualquer outro meio”

Quanto a isto, “computador eletrónico” é definido por um precedente judicial (Fukuoka High Court, 21.9.2000) como um dispositivo eletrónico que realiza cálculos e processamento de dados automaticamente, e não há disputa de que computadores de escritório, computadores pessoais, computadores de controle, etc., são representativos disso. Além disso, o registo eletromagnético é definido no Artigo 7-2 do Código Penal Japonês. O servidor, que é o alvo de um ataque DoS, certamente se enquadra nestas categorias.

“Danificar” refere-se a qualquer ato que prejudique a utilidade de um objeto, não apenas a destruição física, mas também a eliminação de dados. “Informações falsas” referem-se a conteúdos que contradizem a verdade. “Instruções ilegais” referem-se a dar instruções que podem ser processadas pelo computador em questão sem autorização.
Por exemplo, se um ataque DoS do tipo flood for realizado em grande escala e de forma concentrada, o servidor alvo ficará sobrecarregado e não poderá executar o processamento adequadamente. Mesmo que tal ataque não “danifique” ao ponto de apagar dados, é um acesso contrário à vontade do proprietário do servidor e pode ser considerado uma “instrução ilegal” por dar instruções sem autorização.

Impedimento do funcionamento do computador eletrónico

A questão é se se enquadra em “impedir que o computador eletrónico funcione de acordo com o seu propósito de uso” ou “fazê-lo funcionar contra o seu propósito de uso”. Há uma disputa sobre cujo propósito de uso deve ser assumido, mas considerando que o benefício legal protegido por este crime é a execução segura e suave dos negócios, deve-se assumir o propósito do instalador. Quando um ataque DoS é realizado e o servidor fica sobrecarregado, pode acontecer que o serviço se torne inutilizável e o processamento adequado que o instalador do servidor pretendia não possa ser realizado. Nesse caso, pode-se dizer que o “funcionamento de acordo com o propósito de uso” não está sendo realizado, e isso constitui um impedimento do funcionamento.

Obstrução de negócios

O crime de obstrução de negócios por danos a computadores eletrónicos é uma forma agravada do crime de obstrução de negócios (Artigos 233 e 234 do Código Penal Japonês), por isso, quanto a esta obstrução de negócios, deve-se pensar da mesma forma que o crime normal de obstrução de negócios. Ou seja, “negócios” refere-se a tarefas realizadas repetidamente com base no status social, e não é necessário que os negócios sejam realmente prejudicados para ser considerado “obstrução”.
Quando um ataque DoS é realizado, pode-se dizer que o “negócio” de fornecer um serviço na Internet através do uso do servidor pelo instalador é obstruído, constituindo uma obstrução de negócios.

Cumprimento dos requisitos subjetivos (intenção)

Depois de cumprir estes requisitos, é necessário reconhecer a intenção (Artigo 38, parágrafo 1 do Código Penal Japonês). A intenção refere-se ao reconhecimento e aceitação dos fatos que se enquadram nos itens ① a ③ acima (chamados de elementos constitutivos). Isto não requer má intenção ou intenção de prejudicar, e mesmo que não haja intenção de fazê-lo, se houver o reconhecimento de que “o servidor pode cair e o serviço pode se tornar inutilizável”, a intenção pode ser reconhecida.

O Caso de Acesso Massivo ao Site da Biblioteca Central de Okazaki

Relacionado com o acima, apresentamos o “Caso de Acesso Massivo ao Site da Biblioteca Central de Okazaki (também conhecido como Caso Librahack)”.

Um homem (39) de Aichi foi preso por lançar um ataque cibernético ao recolher informações sobre novos livros do site da biblioteca usando um programa que ele mesmo criou. No entanto, uma análise feita por um especialista a pedido do jornal Asahi Shimbun revelou que havia um problema com o software da biblioteca, que parecia ter sido atacado por um grande número de acessos. Foi também descoberto que o mesmo problema ocorreu em seis outras bibliotecas em todo o país que usam o mesmo software. A empresa que desenvolveu o software começou a fazer reparos em cerca de 30 bibliotecas em todo o país.
Este problema ocorreu na Biblioteca Municipal de Okazaki, em Aichi. O software tinha um bug que fazia com que o processamento de dados continuasse sempre que os dados do livro eram chamados, como se o telefone estivesse fora do gancho após uma chamada. Depois de um certo período de tempo, a ligação era cortada, mas na biblioteca, se houvesse mais de mil acessos em dez minutos, a página da web não podia ser visualizada, como se tivesse sido atacada por um grande número de acessos.
O homem é um engenheiro de software e alugava cerca de 100 livros por ano da Biblioteca Municipal de Okazaki. O site da biblioteca era difícil de usar, então ele criou um programa para coletar informações sobre novos livros todos os dias e começou a usá-lo em março.
A partir desse mês, a biblioteca começou a receber reclamações de cidadãos que não conseguiam acessar o site. A polícia de Aichi, que foi consultada, decidiu que o homem tinha enviado intencionalmente pedidos que excediam a capacidade de processamento e o prendeu por suspeita de obstrução de negócios. Em junho, a Procuradoria de Okazaki em Nagoya decidiu não indiciar o homem, dizendo que “não havia uma forte intenção de obstruir os negócios”.

Asahi Shimbun Nagoya Morning Edition (21 de agosto de 2010)

O homem preso neste caso era um usuário da Biblioteca Central de Okazaki e agiu com o objetivo de coletar informações sobre novos livros no site da biblioteca, sem a intenção de obstruir as operações da biblioteca. A frequência de acesso era de cerca de uma vez por segundo, o que normalmente não seria considerado um ataque DoS, mas um problema com o servidor da biblioteca causou uma falha no sistema.

Embora não houvesse malícia, o ato de derrubar o servidor da biblioteca com um ato que poderia ser considerado um ataque DoS e obstruir suas operações é reconhecido, então vamos olhar para os requisitos objetivos. E quanto à intenção, como mencionado anteriormente, a intenção pode ser reconhecida mesmo sem malícia. A polícia da província acredita que, como este homem é um engenheiro de computação experiente, ele sabia que enviar um grande número de pedidos poderia afetar o servidor da biblioteca, mas ainda assim enviou um grande número de pedidos, então havia intenção, e o crime poderia ser estabelecido.

Problemas e críticas do caso

O método de coleta mecanizada de dados de sites públicos, como o homem estava fazendo, é amplamente praticado e a programação em si não é ilegal. O homem explicou o curso e a intenção do caso em seu próprio site depois, mas não há nada em seu conteúdo que mereça a condenação moral de um “crime”, e isso chocou muitos engenheiros que usam essa tecnologia e gerou muitas críticas e preocupações.

Por exemplo, o site de uma biblioteca pública, que é usado por um grande número de pessoas, tem um problema que faz com que ele caia com um acesso por segundo, o que é muito fraco e frágil. Se o servidor tivesse a força que normalmente deveria ter, o homem não teria sido preso. Além disso, não havia elementos claramente criminosos, como a intenção de “vingança” ou “assédio” do homem, ou o envio de uma grande quantidade de dados que claramente diferem do uso normal. Há também um problema legislativo de que um crime pode ser estabelecido com tal disposição. Além disso, há uma discrepância entre a aplicação da lei e a realidade do uso da Internet. Por exemplo, a impressão de 10.000 acessos é diferente para pessoas que são proficientes em tecnologia da informação e da Internet e para o público em geral, incluindo a polícia e os promotores. Há um problema com a operação sem corrigir essa discrepância de percepção. Além disso, há preocupações e ansiedades de que a indústria pode se contrair e o uso e o desenvolvimento livres da Internet podem ser restringidos, pois qualquer pessoa, como este homem, pode ser presa.

O homem foi finalmente dispensado de acusação porque “não havia uma forte intenção de obstruir os negócios”, mas foi interrogado durante a detenção, que durou 20 dias, e foi fisicamente restrito. Além disso, seu nome verdadeiro foi divulgado no momento da prisão. Além disso, a dispensa de acusação é diferente de “insuficiência de suspeita” em que “um crime foi cometido, mas a malícia é baixa, ou há um profundo arrependimento, então a acusação será adiada desta vez”, ou seja, ele foi considerado como tendo cometido um crime. Mesmo que não seja acusado, o fato de ter sofrido uma grande desvantagem social é um problema.

Resumo

Como tal, um ataque DoS pode constituir um crime de obstrução de negócios por danos a computadores eletrónicos. No entanto, existem alguns problemas na aplicação desta lei, e há o risco de crimes serem cometidos mesmo em casos que dificilmente podem ser considerados maliciosos, como os incidentes que mencionámos. Ao contrário da época da sua criação, hoje em dia muitas pessoas possuem dispositivos de internet como smartphones e computadores, e a sociedade da internet está a desenvolver-se rapidamente. Para superar estes problemas e proteger a liberdade na internet, pode ser necessário rever a aplicação da lei e considerar novas medidas legislativas.

Se o servidor da sua empresa for vítima de um ataque cibernético como um ataque DoS, terá de solicitar uma investigação à polícia. No entanto, muitos casos envolvem questões tecnicamente complexas, e como no caso do incidente da biblioteca mencionado acima, pode ser necessário alguém com conhecimento e experiência em IT e direito para lidar adequadamente com a situação.

Como solução civil, se o perpetrador for identificado, é possível reivindicar uma indemnização por danos. Portanto, consultar um advogado especializado em internet e negócios pode ser uma opção.