Um advogado explica as ações e exemplos proibidos pela 'Lei Japonesa de Proibição de Acesso Não Autorizado

A Lei de Proibição de Acesso Não Autorizado (nome oficial “Lei Relativa à Proibição de Atos de Acesso Não Autorizado”) entrou em vigor em fevereiro de 2000 (Ano 12 da era Heisei) e foi alterada em maio de 2012 (Ano 24 da era Heisei), estando atualmente em vigor. Esta é uma lei destinada a prevenir o cibercrime e a manter a ordem nas telecomunicações, composta por 14 artigos.

“Lei Relativa à Proibição de Atos de Acesso Não Autorizado” (Objetivo)

Artigo 1º Esta lei tem como objetivo proibir atos de acesso não autorizado e estabelecer penalidades e medidas de assistência pela Comissão de Segurança Pública da prefeitura para prevenir a reincidência, a fim de prevenir crimes relacionados a computadores realizados através de linhas de telecomunicações e manter a ordem nas telecomunicações realizadas por funções de controle de acesso, contribuindo assim para o desenvolvimento saudável da sociedade da informação avançada.

Que tipo de ações a Lei de Proibição de Acesso Não Autorizado proíbe especificamente? Que exemplos reais existem e que medidas devem ser tomadas em termos criminais e civis? Explicaremos o resumo da Lei de Proibição de Acesso Não Autorizado e as medidas a serem tomadas se você for vítima.

Atos proibidos pela Lei Japonesa de Proibição de Acesso Não Autorizado

Os atos proibidos e punidos pela Lei Japonesa de Proibição de Acesso Não Autorizado são, em grande parte, os seguintes três:

• Proibição de atos de acesso não autorizado (Artigo 3)
• Proibição de atos que promovem o acesso não autorizado (Artigo 5)
• Proibição de obter, armazenar ou solicitar indevidamente códigos de identificação de terceiros (Artigos 4, 6, 7)

Os códigos de identificação mencionados aqui são códigos estabelecidos para cada administrador de acesso que recebeu permissão de autoridade de uso do administrador de acesso para uso específico de um computador eletrônico específico, e são usados pelo administrador de acesso para distinguir o usuário autorizado de outros usuários autorizados (Artigo 2, Parágrafo 2).

Um exemplo típico de um código de identificação é uma senha usada em combinação com um ID. Além disso, recentemente, sistemas que identificam o indivíduo por meio de impressões digitais ou íris dos olhos estão se tornando mais comuns, e estes também são considerados códigos de identificação. Além disso, quando a identificação de uma pessoa é feita com base na forma ou pressão da assinatura, o código de identificação é a assinatura que foi digitalizada e codificada.

O que é um ato de acesso não autorizado

Concretamente, é definido no Artigo 2, Parágrafo 4, um ato de acesso não autorizado é um “ato de usurpação” que abusa do código de identificação de outra pessoa e um “ato de ataque a falhas de segurança” que explora as falhas de um programa de computador. A Lei Japonesa de Proibição de Acesso Não Autorizado proíbe atos de acesso não autorizado a computadores de outras pessoas por meio desses métodos.

Ato de abusar do código de identificação de outra pessoa

O chamado “ato de usurpação” refere-se ao uso de um computador ao qual não se tem permissão para acessar, abusando do código de identificação de outra pessoa.

Em outras palavras, quando se utiliza um sistema de computador, é necessário inserir um código de identificação, como ID e senha, no computador. Este é o ato de inserir o código de identificação de outra pessoa que tem a autorização de uso legítima sem o seu consentimento.

Pode ser um pouco difícil de entender, mas o “outro” mencionado aqui refere-se ao ID e senha que outra pessoa já criou (e está usando), e o “ato de usurpação” é, em termos simples, o ato de “assumir” contas de SNS como o Twitter que outras pessoas já estão usando.

Como o requisito é que o código de identificação foi inserido sem o consentimento do titular, por exemplo, se você ensinar sua senha a um colega que está na empresa enquanto você está em viagem de negócios e pedir-lhe para verificar seus e-mails em seu lugar, isso não violará a Lei Japonesa de Proibição de Acesso Não Autorizado, pois você obteve o consentimento do titular.

Em geral, “usurpação” refere-se ao ato de criar uma nova conta usando o nome e a foto de outra pessoa e usar o SNS como o Twitter como se fosse essa outra pessoa, mas o ato proibido pela Lei Japonesa de Proibição de Acesso Não Autorizado é diferente disso. Para uma explicação detalhada do “usurpação” no sentido comum, consulte o artigo abaixo.

https://monolith.law/reputation/spoofing-dentityright[ja]

Ato de explorar falhas em programas de computador

O “ato de ataque a falhas de segurança” é um ato que explora as falhas de segurança (falhas nas medidas de segurança) de um computador de outra pessoa para torná-lo utilizável. Utiliza-se de programas de ataque, etc., para fornecer informações ou instruções além do código de identificação ao alvo do ataque, contornando a função de controle de acesso do computador de outra pessoa e utilizando o computador sem permissão.

A função de controle de acesso mencionada aqui é uma função que o administrador de acesso tem em um computador específico ou em um computador conectado a um computador específico por meio de uma linha de comunicação eletrônica para restringir o uso específico de um computador eletrônico por qualquer pessoa que não seja o usuário autorizado legítimo (Artigo 2, Parágrafo 3).

Para explicar de forma simples, é um sistema que permite o uso apenas quando o ID correto e a senha, etc., são inseridos por aqueles que tentam acessar o sistema de computador através da rede.

Portanto, o “ato de ataque a falhas de segurança” pode ser descrito como tornar o sistema de computador utilizável sem a necessidade de inserir o ID correto e a senha, etc., desativando este sistema.

Dois tipos de atos de acesso não autorizado

Como mencionado acima, existem dois tipos de atos de acesso não autorizado.

O que deve ser notado é que, para ser considerado um ato de acesso não autorizado em qualquer um dos tipos, é necessário que seja realizado através de uma rede de computadores. Portanto, mesmo que você insira uma senha, etc., sem permissão em um computador que não está conectado a uma rede, ou seja, um computador autônomo, isso não será considerado um ato de acesso não autorizado.

No entanto, a rede de computadores não se refere apenas a redes abertas como a Internet, mas também inclui redes fechadas como LANs internas.

Além disso, não há restrições sobre o conteúdo do uso indevido realizado por meio de acesso não autorizado, e pode incluir, por exemplo, pedidos não autorizados, visualização de dados, transferência de arquivos, bem como a reescrita de páginas da web, o que violaria a Lei Japonesa de Proibição de Acesso Não Autorizado.

Se você cometer qualquer um desses dois atos de acesso não autorizado, poderá ser sujeito a “até 3 anos de prisão ou uma multa de até 1 milhão de ienes” (Artigo 11).

O que são ações que promovem o acesso ilegal

As ações que promovem o acesso ilegal, proibidas pela Lei Japonesa de Proibição de Acesso Ilegal, referem-se à disponibilização do ID e da senha de outra pessoa a terceiros sem o seu consentimento. Independentemente do meio, seja por telefone, e-mail ou através de um site, se você informar a outra pessoa “O ID de ○○ é ××, a senha é △△”, permitindo que essa pessoa acesse os dados de outra pessoa sem permissão, isso será considerado uma ação que promove o acesso ilegal.

Se você realizar ações que promovam o acesso ilegal, poderá ser punido com uma pena de prisão de até um ano ou uma multa de até 500.000 ienes (Artigo 12, Parágrafo 2).

Além disso, mesmo que você forneça a senha sem saber que ela será usada para acesso ilegal, ainda poderá ser multado em até 300.000 ienes (Artigo 13).

O que é a ação de obter, armazenar ou solicitar indevidamente os códigos de identificação de terceiros

Na Lei Japonesa de Proibição de Acesso Não Autorizado, é proibido obter, armazenar ou solicitar indevidamente os códigos de identificação (ID e senha) de terceiros.

• Artigo 4º – Proibição de obter indevidamente os códigos de identificação de terceiros
• Artigo 6º – Proibição de armazenar indevidamente os códigos de identificação de terceiros
• Artigo 7º – Proibição de solicitar indevidamente os códigos de identificação de terceiros

Um exemplo típico destas ações proibidas é a “ação de solicitação de entrada”, também conhecida como phishing. Por exemplo, alguém se faz passar por uma instituição financeira, direciona a vítima para uma página falsa que se parece exatamente com a verdadeira, e faz com que a vítima insira a sua senha e ID nessa página falsa.

Os códigos de identificação obtidos através de phishing são usados em fraudes de leilões, e há muitos casos de fraudes em que os depósitos são transferidos para outras contas sem permissão.

Se estas ações forem realizadas, pode ser aplicada uma pena de prisão de até um ano ou uma multa de até 500.000 ienes (Artigo 12, parágrafo 4).

Leis que regulam crimes cibernéticos além do acesso não autorizado

Assim, a Lei de Proibição de Acesso Não Autorizado é uma lei destinada a lidar com alguns tipos de crimes cibernéticos, também conhecidos como ‘crimes cibernéticos’. No que diz respeito ao panorama geral dos ‘crimes cibernéticos’, existem outros crimes como o crime de obstrução de negócios por destruição de computadores eletrónicos, o crime de obstrução de negócios por fraude e o crime de difamação que também podem ser relevantes. Uma explicação detalhada do panorama geral dos crimes cibernéticos pode ser encontrada no artigo abaixo.

https://monolith.law/corporate/categories-of-cyber-crime[ja]

Obrigações do Administrador de Acesso

Vamos explicar as obrigações definidas pela Lei Japonesa de Proibição de Acesso Não Autorizado. O administrador de acesso é aquele que gere o funcionamento de um computador específico ligado a uma linha de telecomunicações (Artigo 2, Parágrafo 1).

A gestão mencionada aqui refere-se à decisão de quem pode usar um computador específico através da rede e qual o âmbito dessa utilização. Aqueles que têm a autoridade para determinar esses utilizadores e o âmbito da utilização são os administradores de acesso sob a Lei Japonesa de Proibição de Acesso Não Autorizado.

Por exemplo, quando uma empresa opera um sistema de computador, ela designa um responsável pelo sistema entre os seus funcionários para gerir o sistema. No entanto, cada responsável pelo sistema está apenas a gerir de acordo com a vontade da empresa. Portanto, neste caso, o administrador de acesso é a empresa que opera o sistema de computador, não o responsável pelo sistema.

A Lei Japonesa de Proibição de Acesso Não Autorizado não só define o acesso não autorizado e as penalidades correspondentes, mas também impõe obrigações ao administrador para prevenir o acesso não autorizado na gestão de servidores e similares.

Medidas de Defesa pelo Administrador de Acesso

Artigo 8: O administrador de acesso que adicionou uma função de controle de acesso a um computador específico deve esforçar-se para gerir adequadamente os códigos de identificação relacionados com essa função de controle de acesso ou os códigos usados para verificar essa função, verificar constantemente a eficácia dessa função de controle de acesso, e quando necessário, melhorar rapidamente essa função e tomar outras medidas necessárias para proteger o computador específico contra o acesso não autorizado.

Estão impostas as obrigações de “gerir adequadamente os códigos de identificação”, “verificar constantemente a eficácia da função de controle de acesso” e “melhorar a função de controle de acesso conforme necessário”. No entanto, como estas são obrigações de esforço, não há penalidades por negligenciar estas medidas.

No entanto, se o administrador encontrar evidências de que IDs ou senhas foram vazadas, ele deve imediatamente tomar medidas de controle de acesso, como a eliminação de contas ou a alteração de senhas.

Medidas a tomar em caso de acesso não autorizado

Se estiver a utilizar e-mails ou redes sociais, pode ser vítima de acesso não autorizado por terceiros. Neste caso, quais são as possíveis medidas a tomar?

Apresentar uma queixa criminal

Em primeiro lugar, é possível apresentar uma queixa criminal contra a pessoa que acedeu ilegalmente. O acesso não autorizado é um crime e a pessoa que o cometeu pode ser penalizada. Como explicado acima, a pessoa pode ser condenada a uma pena de prisão até 3 anos ou a uma multa até 1 milhão de ienes (aproximadamente 7.700 euros), e se houver alguém que tenha incentivado o ato, pode ser condenado a uma pena de prisão até 1 ano ou a uma multa até 500.000 ienes (aproximadamente 3.850 euros).

Além disso, a violação da Lei Japonesa de Proibição de Acesso Não Autorizado é um crime de ação pública, o que significa que a polícia pode iniciar uma investigação e prender o infrator mesmo sem uma queixa. Além disso, mesmo que a pessoa que sofreu o acesso não autorizado não apresente uma queixa, qualquer pessoa que tenha conhecimento do fato pode denunciá-lo à polícia.

Como mencionado no artigo sobre o crime de obstrução dos negócios, embora os crimes de ação privada sejam “crimes que não podem ser processados sem uma queixa criminal da vítima”, isso não significa que “não se pode apresentar uma queixa se não for um crime de ação privada”. Mesmo no caso de crimes de ação pública, a vítima pode apresentar uma queixa.

Apesar de ser um crime de ação pública, se a vítima apresentar uma queixa criminal, a situação do suspeito pode piorar e a punição pode ser mais severa. Se notar que foi vítima de acesso não autorizado, deve consultar um advogado e apresentar uma queixa ou uma denúncia à polícia. Assim que a polícia aceitar a queixa, irá avançar rapidamente com a investigação e poderá prender ou encaminhar o suspeito.

Requerer uma indemnização civil

Se sofrer danos devido a um acesso não autorizado, pode requerer uma indemnização ao infrator com base no Artigo 709 do Código Civil Japonês.

Código Civil Japonês Artigo 709

A pessoa que, por intenção ou negligência, violar os direitos de outrem ou os interesses protegidos por lei, é responsável pela indemnização dos danos causados.

Se o infrator aceder ilegalmente e divulgar as informações pessoais obtidas, roubar itens de um jogo social, aceder a dados de cartões de crédito ou contas bancárias e causar danos financeiros, deve requerer uma indemnização por danos, incluindo compensação por angústia emocional. Claro, se os dados do seu cartão de crédito ou conta bancária forem acedidos e sofrer danos financeiros reais, também pode requerer uma indemnização por esses danos.

No entanto, para requerer uma indemnização ao infrator, é necessário identificar o infrator e reunir provas de que ele realmente acedeu ilegalmente, o que requer um alto nível de conhecimento especializado. Se sofrer danos devido a um acesso não autorizado, deve consultar um advogado com vasta experiência em questões da internet e solicitar que ele inicie o procedimento.

Resumo

A Lei Japonesa de Proibição de Acesso Não Autorizado adquire cada vez mais importância numa sociedade moderna em constante digitalização. No entanto, mesmo quando se é vítima de um acesso não autorizado, muitas vezes é tecnicamente difícil para a própria vítima identificar o autor.

Além disso, como a violação da Lei Japonesa de Proibição de Acesso Não Autorizado é passível de penalização criminal, pode ser necessário apresentar uma queixa à polícia. No entanto, como se trata de um novo tipo de crime, nem sempre a polícia compreende imediatamente o caso. Por isso, ao apresentar uma queixa, é necessário explicar cuidadosamente a situação, tanto do ponto de vista legal como técnico, para ajudar a polícia a entender. Neste sentido, devido à alta especialização necessária para lidar com a Lei Japonesa de Proibição de Acesso Não Autorizado, é importante consultar um advogado que também tenha conhecimento técnico em TI.