Atos proibidos pela 'Lei Japonesa de Proibição de Acesso Não Autorizado

A Lei de Proibição de Acesso Não Autorizado (nome oficial “Lei Relativa à Proibição de Atos de Acesso Não Autorizado”) entrou em vigor em fevereiro de 2000 (ano 12 da era Heisei) e foi alterada em maio de 2012 (ano 24 da era Heisei), estando atualmente em vigor. Esta é uma lei destinada a prevenir o cibercrime e a manter a ordem nas telecomunicações, composta por 14 artigos.

“Lei Relativa à Proibição de Atos de Acesso Não Autorizado” (Objetivo)
Artigo 1º Esta lei tem como objetivo proibir atos de acesso não autorizado e estabelecer penalidades e medidas de assistência pela Comissão de Segurança Pública da prefeitura para prevenir a sua recorrência, a fim de prevenir crimes relacionados a computadores realizados através de linhas de telecomunicações e manter a ordem nas telecomunicações realizadas por funções de controle de acesso, contribuindo assim para o desenvolvimento saudável da sociedade da informação avançada.

Que tipo de ações a Lei de Proibição de Acesso Não Autorizado proíbe especificamente? Que exemplos reais existem e que medidas devem ser tomadas em termos criminais e civis? Explicaremos o resumo da Lei de Proibição de Acesso Não Autorizado e as medidas a serem tomadas em caso de vitimização.

Atos proibidos pela Lei Japonesa de Proibição de Acesso Não Autorizado

A Lei Japonesa de Proibição de Acesso Não Autorizado proíbe e pune, em linhas gerais, as seguintes três ações:

• Proibição de atos de acesso não autorizado (Artigo 3)
• Proibição de atos que promovam o acesso não autorizado (Artigo 5)
• Proibição de obter, armazenar ou solicitar indevidamente códigos de identificação de terceiros (Artigos 4, 6 e 7)

O que são atos de acesso não autorizado

Concretamente, o Artigo 2, Parágrafo 4, define como “atos de usurpação de identidade” e “ataques a falhas de segurança”. A Lei Japonesa de Proibição de Acesso Não Autorizado proíbe o acesso não autorizado ao computador de outra pessoa.

“Atos de usurpação de identidade” referem-se a situações em que, ao usar um provedor, é necessário inserir códigos de identificação, como ID e senha, no computador, e neste momento, o código de identificação de outra pessoa é inserido sem o seu consentimento.

Pode ser um pouco difícil de entender, mas “de outra pessoa” aqui se refere a IDs e senhas que já foram criadas (e estão sendo usadas) por outra pessoa. Em outras palavras, “atos de usurpação de identidade” referem-se a ações que “sequestram” contas de SNS, como o Twitter, que já estão sendo usadas por outras pessoas.

Em geral, “usurpação de identidade” refere-se a criar uma nova conta usando o nome e a foto de outra pessoa e usar o SNS, como o Twitter, fingindo ser essa pessoa. No entanto, isso é diferente. Explicamos em detalhes o significado de “usurpação de identidade” neste contexto no artigo abaixo.

https://monolith.law/reputation/spoofing-dentityright[ja]

“Ataques a falhas de segurança” referem-se a atacar as falhas de segurança (deficiências nas medidas de segurança) do computador de outra pessoa para poder utilizá-lo. Utiliza-se programas de ataque, entre outros, para fornecer informações ou instruções que não sejam códigos de identificação ao alvo do ataque, contornando a função de controle de acesso do computador de outra pessoa e utilizando-o sem permissão.

Se você cometer esses atos de acesso não autorizado, poderá ser punido com “até 3 anos de prisão ou multa de até 1 milhão de ienes” (Artigo 11).

O que são atos que promovem o acesso não autorizado

Atos que promovem o acesso não autorizado, que são proibidos pela Lei Japonesa de Proibição de Acesso Não Autorizado, referem-se a fornecer a ID e a senha de outra pessoa a terceiros sem o seu consentimento. Independentemente do meio, seja por telefone, e-mail ou página da web, se você informar a outra pessoa “O ID de ○○ é ××, a senha é △△”, permitindo que essa pessoa acesse os dados de outra pessoa à vontade, isso será considerado um ato que promove o acesso não autorizado.

Se você cometer atos que promovem o acesso não autorizado, poderá ser punido com “até 1 ano de prisão ou multa de até 500.000 ienes” (Artigo 12, item 2).

Além disso, mesmo que você forneça a senha sem saber que ela será usada para acesso não autorizado, poderá ser multado em até 300.000 ienes (Artigo 13).

O que são atos de obtenção, armazenamento ou solicitação indevida de códigos de identificação de terceiros

A Lei Japonesa de Proibição de Acesso Não Autorizado proíbe a obtenção, armazenamento ou solicitação indevida de códigos de identificação (ID e senha) de terceiros.

Artigo 4: Proibição de obter indevidamente códigos de identificação de terceiros
Artigo 6: Proibição de armazenar indevidamente códigos de identificação de terceiros
Artigo 7: Proibição de solicitar indevidamente códigos de identificação de terceiros

Um exemplo típico desses atos proibidos é a “solicitação de entrada”, também conhecida como phishing. Por exemplo, fingindo ser uma instituição financeira, a vítima é levada a uma página falsa que se parece exatamente com a verdadeira, onde a vítima é induzida a inserir sua senha e ID.

Há muitos casos de fraude em que os números de identificação obtidos por meio de phishing são usados em fraudes de leilões, e os depósitos são transferidos para outras contas sem permissão.

Se você cometer esses atos, poderá ser punido com até 1 ano de prisão ou multa de até 500.000 ienes (Artigo 12, item 4).

Leis que regulam crimes cibernéticos além do acesso não autorizado

Assim, a Lei Japonesa de Proibição de Acesso Não Autorizado é uma lei destinada a lidar com alguns tipos de crimes cibernéticos. No que diz respeito ao panorama geral dos “crimes cibernéticos”, podem surgir questões relacionadas a outras leis, como a lei de obstrução de negócios por destruição de computadores eletrônicos, a lei de obstrução de negócios por fraude e a lei de difamação. Explicamos em detalhes o panorama geral dos crimes cibernéticos no artigo abaixo.

https://monolith.law/corporate/categories-of-cyber-crime[ja]

Obrigações do Administrador de Acesso

A Lei Japonesa de Proibição de Acesso Não Autorizado não só define atos de acesso não autorizado e penalidades, mas também impõe obrigações aos administradores para prevenir o acesso não autorizado na gestão de servidores e similares.

Medidas de defesa pelo administrador de acesso

Artigo 8º O administrador de acesso que adicionou uma função de controle de acesso a um computador eletrónico específico deve esforçar-se para gerir adequadamente o código de identificação relacionado com a função de controle de acesso ou o código usado para verificar a função de controle de acesso, sempre verificar a eficácia da função de controle de acesso, e quando necessário, esforçar-se para melhorar rapidamente a função e tomar outras medidas necessárias para proteger o computador eletrónico específico de atos de acesso não autorizado.

“Gerir adequadamente o código de identificação”, “verificar sempre a eficácia da função de controle de acesso”, e “melhorar a função de controle de acesso conforme necessário” são obrigações, mas como são obrigações de esforço, não há penalidades por negligenciá-las.

No entanto, se o administrador encontrar evidências de que IDs ou senhas foram vazadas, deve imediatamente realizar o controle de acesso, como a exclusão de contas ou a alteração de senhas.

Exemplos de violação da Lei Japonesa de Proibição de Acesso Não Autorizado

Apropriação indevida da conta do Twitter de um estudante popular entre as meninas

Um estudante do terceiro ano do ensino secundário (18 anos) na prefeitura de Hyogo foi preso pela polícia local a 30 de janeiro de 2017 (Heisei 29), sob suspeita de violar a Lei Japonesa de Proibição de Acesso Não Autorizado. Ele é acusado de ter assumido a conta do Twitter de um colega de turma e enviado mais de 300 mensagens a estudantes do sexo feminino, fingindo ser o proprietário da conta.

A acusação de prisão alega que, entre setembro e novembro do ano anterior, o estudante entrou na conta do Twitter de um colega popular entre as meninas (18 anos), fazendo login 63 vezes e enviando mensagens obscenas a outras estudantes que seguiam a conta, como “Vamos mostrar nossos corpos” e “Vamos falar sobre coisas picantes”.

Acesso não autorizado ao Facebook e outros

Num caso em que um indivíduo foi acusado de violar a Lei Japonesa de Proibição de Acesso Não Autorizado por repetidamente aceder ilegalmente ao Facebook e outros para obter informações pessoais, o Tribunal Distrital de Tóquio sentenciou o réu (29 anos) a 2 anos e 6 meses de prisão a 3 de agosto de 2016 (Heisei 28). O réu foi acusado de aceder ilegalmente ao Facebook e outros de 7 mulheres num total de 238 vezes. O tribunal considerou que o crime era habitual e persistente, e que não havia margem para consideração em relação ao motivo do réu de querer sentir a satisfação de um acesso bem-sucedido. No entanto, levando em consideração que o réu não divulgou as informações que espiou e que não tinha antecedentes criminais, a execução da sentença foi suspensa por 4 anos.

Obtenção ilegal de informações de clientes da empresa onde trabalhava

O Tribunal Distrital de Tóquio sentenciou um funcionário (45 anos) que era responsável pelo desenvolvimento, operação e suporte ao usuário do sistema de informação da empresa onde trabalhava a 2 anos de prisão a 12 de novembro de 2009 (Heisei 21). O funcionário foi acusado de obter ilegalmente e tentar vender informações de clientes que a empresa possuía e de roubar CD-Rs.

O tribunal considerou que não podia ignorar o fato de que o réu obteve um lucro de quase 350.000 ienes com a venda das informações. Embora o réu não tivesse antecedentes criminais e tivesse sido demitido pela empresa como uma forma de punição social, o tribunal considerou que não era um caso em que a execução da sentença podia ser suspensa.

Sentença de 8 anos de prisão para o autor de um ataque cibernético

O Tribunal Distrital de Tóquio sentenciou o réu (32 anos) a 8 anos de prisão a 27 de abril de 2017 (Heisei 29) por violar a Lei Japonesa de Proibição de Acesso Não Autorizado, fraude por uso de computador, criação e uso ilegal de registros eletromagnéticos privados, fornecimento de registros eletromagnéticos de instruções ilegais e violação da Lei Japonesa de Ondas de Rádio. O réu foi acusado de usar e-mails de phishing e vírus de controle remoto para obter ilegalmente códigos de identificação de bancos de internet de várias empresas, realizar logins ilegais e transferências ilegais de dinheiro, e também de obter endereços de e-mail através de ataques a bancos de dados e de enviar vírus de controle remoto para torná-los executáveis.

O réu usou vários métodos para realizar ataques cibernéticos e, além disso, para evitar a detecção de seus crimes, ele se conectou a pontos de acesso WLAN de outras pessoas usando chaves de criptografia que ele havia obtido ilegalmente com antecedência, às vezes passando por servidores intermediários para ocultar a origem da conexão. Além disso, ele mudou o endereço de e-mail de contato antes das transferências ilegais de dinheiro. O tribunal considerou que a maneira como o réu cometeu os crimes era astuta e maliciosa, e que o dano patrimonial causado pelas transferências ilegais de dinheiro totalizava mais de 5,19 milhões de ienes. Além disso, o fato de o réu ter cometido os crimes logo após ser libertado sob fiança por um crime anterior do mesmo tipo levou a uma sentença severa.

Em casos de ataques desse tipo, se houver um e-mail enviado pelo criminoso durante o processo, pode ser possível identificar o criminoso com base nesse e-mail. No entanto, em geral, isso é difícil no nível civil. Este ponto é discutido no artigo abaixo.

https://monolith.law/reputation/email-sender-identification[ja]

Medidas a tomar em caso de acesso não autorizado

Se você usa e-mail ou redes sociais, pode ser vítima de acesso não autorizado por terceiros. Nesse caso, quais medidas podem ser tomadas?

Apresentar uma queixa criminal

Primeiramente, é possível apresentar uma queixa criminal contra a pessoa que acessou ilegalmente. O acesso não autorizado é um crime e a pessoa que o comete pode ser penalizada. Como explicado acima, o infrator pode ser condenado a até 3 anos de prisão ou a uma multa de até 1 milhão de ienes, e se houver quem o tenha auxiliado, essa pessoa pode ser condenada a até 1 ano de prisão ou a uma multa de até 500 mil ienes.

Além disso, a violação da lei de proibição de acesso não autorizado é um delito de ação pública, o que significa que a polícia pode iniciar uma investigação e prender o infrator mesmo sem uma queixa. Além disso, qualquer pessoa que tenha conhecimento do fato pode denunciá-lo à polícia, mesmo que não seja a vítima do acesso não autorizado.

Como mencionado no artigo sobre o crime de obstrução de negócios, os delitos de ação privada são “crimes que não podem ser processados sem uma queixa criminal da vítima”, mas isso não significa que “não se pode apresentar uma queixa se não for um delito de ação privada”. Mesmo no caso de delitos de ação pública, a vítima pode apresentar uma queixa contra o infrator.

Apesar de ser um delito de ação pública, se a vítima apresentar uma queixa criminal, a situação do suspeito piora e a punição pode ser mais severa. Se você perceber que foi vítima de acesso não autorizado, deve consultar um advogado e apresentar uma queixa ou denúncia à polícia. Uma vez que a queixa é aceita, a polícia avança rapidamente com a investigação e pode prender ou encaminhar o suspeito.

Requerer compensação civil

Se você sofreu danos devido a um acesso não autorizado, pode requerer compensação civil ao infrator com base no Artigo 709 do Código Civil Japonês.

Código Civil, Artigo 709
Quem, por intenção ou negligência, violar os direitos de outrem ou interesses protegidos por lei, é responsável pela compensação dos danos causados.

Se o infrator acessou ilegalmente e divulgou as informações pessoais obtidas, roubou itens de um jogo social, acessou dados de cartões de crédito ou contas bancárias, causando danos financeiros, você deve requerer compensação por danos, incluindo indenização por danos morais. Claro, se você sofreu danos financeiros reais devido ao acesso a dados de cartões de crédito ou contas bancárias, também pode requerer compensação por esses danos.

No entanto, para requerer compensação ao infrator, é necessário identificar o infrator e reunir provas de que ele realmente cometeu o acesso não autorizado, o que requer conhecimento altamente especializado. Se você sofreu danos devido a um acesso não autorizado, é necessário consultar um advogado com vasta experiência em questões da internet e solicitar o procedimento.