Care sunt cele 3 categorii de infracțiuni cibernetice? Un avocat explică măsurile de protecție pentru fiecare tipar

“Infracțiunea cibernetică” este un termen destul de răspândit în limbajul cotidian, dar la nivel internațional, este definit ca “infracțiunea care abuzează de tehnologia computerelor și a telecomunicațiilor”. Așa-numitele “hackeriri (crack-uri)” sunt doar o parte din infracțiunile cibernetice care pot face victime și în rândul companiilor. În cazul în care o companie devine victimă a acestor infracțiuni, este necesar să se analizeze ce măsuri pot fi luate.

Acest articol clasifică infracțiunile cibernetice în trei tipuri generale utilizate în Japonia și explică ce tip de infracțiune corespunde fiecărui tip și ce măsuri pot fi luate dacă deveniți victimă a acestora. Motivul pentru care această clasificare este importantă este că:

• Dacă nu putem spune că suntem “victime” în sensul legal al cuvântului, chiar dacă putem “raporta” că a avut loc o infracțiune, poate fi dificil să încurajăm poliția să investigheze prin rapoarte de victimizare sau plângeri.
• În cazul infracțiunilor pentru care există măsuri civile, nu trebuie să ne bazăm pe investigațiile poliției, putem solicita unui avocat să identifice infractorul prin metode civile și să solicite despăgubiri de la acesta.
• Dacă suntem victime ale unei infracțiuni pentru care nu există o soluție civilă, vom fi nevoiți să încurajăm investigațiile poliției.

Deci, “măsurile” diferă în funcție de tipul de infracțiune.

Cele 3 categorii de infracțiuni cibernetice

După cum se poate vedea mai sus, în țara noastră, este obișnuit să clasificăm infracțiunile cibernetice în trei categorii.

• Infracțiuni informatice: Definiția exactă va fi explicată mai târziu, dar într-un cuvânt, acestea sunt infracțiuni care perturbă activitatea companiilor
• Infracțiuni prin utilizarea rețelei: Infracțiuni comise prin abuzul internetului
• Încălcarea legii privind interzicerea accesului neautorizat: Așa-numitele activități de autentificare neautorizată, etc.

Voi explica fiecare dintre acestea pe rând mai jos.

Ce înseamnă infracțiunile informatice

Ce înseamnă infracțiunea de distrugere a computerelor electronice sau de obstrucționare a activității

Actele care corespund infracțiunii de distrugere a computerelor electronice sau de obstrucționare a activității, prevăzute în Codul Penal Japonez, sunt tipice pentru acest tip de infracțiune.

Oricine distruge un calculator electronic sau o înregistrare electromagnetică utilizată în activitatea unei persoane, sau furnizează informații false sau instrucțiuni necorespunzătoare unui calculator electronic utilizat în activitatea unei persoane, sau prin alte metode, împiedică calculatorul să funcționeze conform scopului său de utilizare, sau îl face să funcționeze într-un mod contrar scopului său de utilizare, și astfel obstrucționează activitatea unei persoane, va fi pedepsit cu închisoare de până la 5 ani sau cu o amendă de până la 1 milion de yeni.

Articolul 224-2 din Codul Penal Japonez

Este un text greu de citit, dar, pe scurt, este vorba despre o infracțiune care se realizează atunci când:

• Se distruge un PC folosit pentru activități de afaceri sau datele din acesta
• Se trimite informații false sau informații care nu sunt prevăzute inițial către un PC folosit pentru activități de afaceri

și se face ca PC-ul respectiv să funcționeze într-un mod neașteptat, obstrucționând astfel activitatea de afaceri.

Exemple tipice ale acestui tip de infracțiune includ acțiuni precum exploatarea unor vulnerabilități de securitate, autentificarea neautorizată în contul altei persoane pentru a crește soldul unui cont bancar online. De asemenea, acțiuni precum exploatarea unor vulnerabilități de securitate, obținerea neautorizată a informațiilor de autentificare și modificarea site-ului web al unei companii se încadrează în această categorie. Deși acțiunea de “autentificare neautorizată” în sine este un tip de “încălcare a legii privind interzicerea accesului neautorizat”, pe care o vom menționa mai târziu, acest tip de infracțiune se referă la acțiuni precum operarea neautorizată, falsificarea, ștergerea sau modificarea neautorizată a datelor.

Care este diferența față de accesul neautorizat?

Și acest tip de infracțiune se poate realiza chiar și fără implicarea unui login neautorizat. De exemplu, un caz tipic este așa-numitul atac DoS. Trimiteți un număr mare de e-mailuri, cauzând probleme serverului de e-mail, sau efectuați un număr mare de accesări pe un site web, cauzând probleme serverului web. Aceste acțiuni, dacă sunt privite individual, fiecare e-mail sau acces, sunt legale, dar când sunt efectuate în masă, provoacă comportamente neașteptate pe server (PC), cauzând daune companiei respective, cum ar fi incapacitatea de a utiliza e-mailul sau imposibilitatea de a deschide site-ul web. Prin urmare, “nu este o încălcare a Legii japoneze privind interzicerea accesului neautorizat, dar se încadrează în infracțiunea de sabotaj a computerului și a altor operațiuni”. De asemenea, în cazul acestor tipuri de infracțiuni, infracțiunea de sabotaj prin fraudă devine, de asemenea, o problemă.

Pentru a stimula investigațiile poliției

Aceste acțiuni sunt infracțiuni, așa cum s-a menționat mai sus, și, de asemenea, compania respectivă devine victima, deci este posibil să solicitați o investigație de către poliție. Cu toate acestea, în realitate, poliția japoneză nu este foarte activă în ceea ce privește aceste infracțiuni. Acest lucru se datorează și problemelor tehnice. De exemplu, am menționat mai sus despre atacurile DoS simple, dar în realitate, atacurile nu sunt atât de simple, cum ar fi trimiterea a un milion de e-mailuri sau accesări de la o singură adresă IP, ci sunt adesea efectuate de la mai multe adrese IP, adică sursa atacului este distribuită. Aceste tipuri de atacuri sunt numite “DDoS”.

Dacă un număr mare de e-mailuri sau accesări provin de la aceeași adresă IP, este clar că acestea sunt accesări multiple de la aceeași persoană și sunt “informații neașteptate”. Cu toate acestea, dacă adresele IP sunt distribuite, fiecare e-mail sau acces în sine este legal, deci nu se poate spune că este o transmitere ilegală de informații, dacă nu există dovezi că au fost efectuate de aceeași persoană. Deci, cum putem dovedi într-un proces penal strict că “acestea sunt multiple e-mailuri sau accesări de la aceeași persoană”? Acesta este, într-adevăr, o problemă dificilă pentru poliție și procuratură.

În plus, într-un proces penal, nu este suficient să se spună că “comunicarea care constituie o infracțiune (de exemplu, trimiterea unui număr mare de e-mailuri, așa cum s-a menționat mai sus) a fost efectuată de pe PC-ul suspectului” pentru a obține o condamnare. Ceea ce se cere într-un caz penal este stabilirea faptului la nivelul “de pe ce PC”, nu “de către cine”. În realitate, în hotărârile proceselor penale, nu este rar ca această parte, adică “infracțiunea a fost cu siguranță comisă de pe PC-ul suspectului, dar a fost cu adevărat comisă de suspect?” să fie examinată cu atenție. Aceste obstacole în dovedire sunt importante pentru a preveni condamnările greșite, dar se crede că acestea pot face ca poliția și procuratura să ezite să investigheze infracțiunile cibernetice.

Cu toate acestea, dacă incidentul a avut loc recent, este posibil să se poată identifica dovezi precum “este foarte probabil să fie aceeași persoană” și “și cu siguranță a fost comis de suspectul însuși” prin analiza detaliată a jurnalelor de server, de exemplu. Investigarea cu ajutorul tehnologiei IT și analiza juridică a ceea ce s-a aflat în urma acestei investigații pentru a o transforma într-un document juridic semnificativ. Dacă aceste două elemente sunt prezente, putem spune că există cazuri în care este posibil să se stimuleze o investigație de către poliție.

Rezolvarea pe cale civilă este dificilă

Ar fi bine dacă există soluții civile fără a apela la poliție, dar adevărul este că măsurile civile sunt limitate în cazul acestui tip de infracțiuni.

De exemplu, în cazul în care au fost trimise un număr mare de e-mailuri, adresa IP a expeditorului este indicată în header-ul e-mailului, astfel că ați dori să solicitați furnizorului de servicii de internet să dezvăluie adresa și numele abonatului care a utilizat acea adresă IP. Cu toate acestea, în dreptul civil japonez (Dreptul Civil Japonez), nu există un drept de a solicita legal această dezvăluire. În cazul defăimării pe internet, menționată mai jos, puteți folosi dreptul de a solicita dezvăluirea informațiilor despre expeditor în conformitate cu Legea Japoneză privind Limitarea Responsabilității Furnizorilor de Servicii de Internet, dar, pe scurt, acest drept de solicitare a dezvăluirii este recunoscut doar pentru:

Comunicarea pentru postări vizibile de un număr nedefinit de persoane (tipic, comunicarea pentru postarea defăimătoare pe un forum de internet accesibil publicului larg)

și nu este recunoscut în alte cazuri.

În practică, în cazul infracțiunilor cibernetice sofisticate, nu este neobișnuit să fie necesare rapoarte mai detaliate pentru a încuraja poliția să investigheze decât în cazul în care se inițiază un proces. De asemenea, nu este neobișnuit ca de la primul contact cu poliția până la investigația și arestarea efectivă să fie necesar un an sau mai mult. Deși rezolvarea pe cale civilă poate fi mai ușoară, necesitând mai puțin timp și efort, acest tip de infracțiuni este, în principiu, imposibil sau foarte dificil de rezolvat pe cale civilă. Dacă puteți identifica infractorul, puteți solicita despăgubiri pentru prejudiciul cauzat de infracțiune, de exemplu, dacă a apărut o defecțiune la serverul web, dar nu există niciun mijloc de identificare pregătit pentru acest lucru.

https://monolith.law/corporate/denial-of-service-attack-dos[ja]

Infracțiuni legate de utilizarea rețelei

Victimele defăimării pe internet

Acestea sunt infracțiuni comise prin intermediul computerelor sau rețelelor, în afara crimelor informatice menționate mai sus. De exemplu, defăimarea așa-numită pe internet nu distruge datele, nu trimite informații neașteptate sau nu face ca computerul să funcționeze în mod neașteptat, dar este comisă prin utilizarea rețelei de internet.

Postările care constituie defăimare sunt clasificate ca:

• ilegale atât din punct de vedere penal, cât și civil (exemplul tipic este defăimarea)
• ilegale din punct de vedere civil, dar nu și penal (exemplul tipic este încălcarea dreptului la viață privată sau a dreptului la imagine)

Dacă este ilegal atât din punct de vedere penal, cât și civil, este posibil să se încerce identificarea postării prin utilizarea unei cereri de dezvăluire a informațiilor despre expeditor în conformitate cu Legea japoneză privind limitarea responsabilității furnizorilor de servicii de internet, sau să se solicite poliției să efectueze o investigație și să aresteze postările.

Însă, în funcție de conținut, realitatea este că poliția nu efectuează o investigație foarte activă asupra acestor postări, având o atitudine cunoscută sub numele de “non-intervenție civilă”. În plus, încălcarea dreptului la viață privată sau a dreptului la imagine nu este o infracțiune penală, deci este necesară o soluție civilă.

https://monolith.law/practices/reputation[ja]

Daunele cauzate de comunicarea unu-la-unu, cum ar fi prin e-mail

Un aspect dificil îl reprezintă trimiterea de mesaje inadecvate prin mijloace de comunicare unu-la-unu, cum ar fi e-mailul sau DM-ul de pe Twitter. Un exemplu tipic este un e-mail care conține limbaj care ar putea fi considerat amenințător sau șantajist. Solicitarea de dezvăluire a informațiilor despre expeditor în conformitate cu Legea Japoneză privind Limitarea Responsabilității Furnizorilor (Provider Liability Limitation Act) nu poate fi utilizată decât în cazul în care:

Comunicarea este destinată pentru a fi văzută de un număr nedefinit de persoane (tipic, postarea pe un forum de internet accesibil publicului larg, cu scopul de a defăima sau calomnia).

Prin urmare, în ceea ce privește aceste tipuri de comunicare, nu există practic soluții civile disponibile și nu putem decât să sperăm la o investigație de către poliție. Cu toate acestea, chiar dacă conținutul postat pe un forum de internet ar putea fi considerat defăimător, dacă este utilizat un mijloc de comunicare unu-la-unu, infracțiunea de defăimare nu este îndeplinită. Pe scurt, infracțiunea de defăimare nu este îndeplinită decât dacă actul a fost comis împotriva unui număr nedefinit sau mare de persoane. În cazul comunicării unu-la-unu, defăimarea nu este, în principiu, îndeplinită. Detalii despre această problemă sunt prezentate într-un alt articol.

https://monolith.law/reputation/email-sender-identification[ja]

Daune cauzate de imagini obscene sau site-uri ilegale

În plus, există și infracțiuni care nu au victime sau în care companiile care suferă daune în practică nu sunt considerate victime. De exemplu, acestea includ:

• Publicarea de imagini și videoclipuri necenzurate pe așa-numitele site-uri pentru adulți (expunerea publică a imaginilor obscene)
• Publicitatea pentru site-uri ilegale de cazinouri
• Site-uri de înșelătorie care pretind că vând produse de marcă, dar nu livrează de fapt produsele

Acestea sunt câteva exemple.

De exemplu, dacă se face o înregistrare clandestină în vestiarul femeilor dintr-o companie și imaginile sunt postate pe internet, aceste imagini încalcă în mod clar dreptul la intimitate (și dreptul la imagine) al femeii în cauză. Cu toate acestea, așa cum am menționat mai sus, încălcarea dreptului la intimitate (și a dreptului la imagine) nu este o infracțiune, iar înregistrarea clandestină în sine este o infracțiune, dar publicarea fotografiilor realizate prin înregistrare clandestină nu este imediat o infracțiune. Prin urmare, este o problemă dificilă să cerem poliției să investigheze.

În plus, chiar dacă existența unui site de cazinou ilegal sau a unui site de înșelătorie duce la o scădere a vânzărilor sau a încrederii în compania dvs., aceste acțiuni, așa cum am menționat mai sus, sunt considerate infracțiuni pentru societate, chiar dacă nu există o victimă specifică (tipic, depășirea vitezei sau reglementarea drogurilor, etc.), sau sunt considerate infracțiuni care au doar victime directe (de exemplu, consumatorii care au plătit bani pe site-ul de înșelătorie). Prin urmare, chiar dacă o companie se plânge de daune, aceasta devine în esență o raportare de către o terță parte care nu este o victimă. În plus, dacă nu sunteți o “victimă”, identificarea prin solicitarea de dezvăluire a informațiilor despre expeditor nu este posibilă în primul rând.

Însă, în cazul vânzării de produse de marcă false, de exemplu, care încalcă drepturile de proprietate intelectuală (drepturile de marcă, drepturile de autor, etc.) deținute de o companie, compania poate acționa ca “victimă” pentru a solicita poliției să investigheze sau poate încerca să identifice vânzătorul prin mijloace civile.

Incalcare a Legii privind interzicerea accesului neautorizat

Actiunile interzise de Legea privind interzicerea accesului neautorizat

In final, vom discuta despre actiunile interzise de Legea privind interzicerea accesului neautorizat (Legea japoneză privind interzicerea accesului neautorizat). Aceasta lege interzice:

1. Accesul neautorizat
2. Promovarea accesului neautorizat
3. Obtineri neautorizate si alte actiuni similare

Acestea sunt interzise.

Dintre acestea, primul punct, accesul neautorizat, include in principal:

• Actiuni de falsificare: introducerea ID-ului sau parolei altei persoane si logarea neautorizata ca acea persoana
• Atacuri asupra gaurilor de securitate: exploatarea gaurilor de securitate pentru a va loga ca o alta persoana, fara a fi nevoie de introducerea unui ID sau a unei parole

Acestea sunt cele doua tipuri principale.

Al doilea punct, promovarea accesului neautorizat, se refera la actiunile de a divulga sau vinde informatiile contului altei persoane (ID, parola, etc.) fara permisiune.

In final, al treilea punct, obtineri neautorizate si alte actiuni similare, se refera la actiunile de a obtine informatiile contului altei persoane prin metode precum site-urile de phishing, sau de a stoca informatiile contului obtinute in mod neautorizat.

Pentru mai multe detalii despre Legea privind interzicerea accesului neautorizat, va rugam sa consultati articolul de mai jos.

https://monolith.law/reputation/unauthorized-computer-access[ja]

Solutia oferita de politie

In cazul in care sunteti victima a unui acces neautorizat, va trebui sa solicitati politiei sa efectueze o ancheta. Cu toate acestea, multe dintre aceste cazuri sunt probleme tehnice foarte complexe, la fel ca in cazul crimelor informatice mentionate mai sus, si este adesea dificil sa se efectueze o ancheta de catre politie fara ca o persoana cu cunostinte si expertiza in IT si drept sa creeze un raport.

De asemenea, daca puteti identifica infractorul, puteti solicita despagubiri de la acesta. Cu toate acestea, la fel ca in cazul crimelor informatice mentionate mai sus, este adesea foarte dificil sa identificati infractorul prin mijloace civile.