Este DoS o infracțiune? Un avocat explică despre infracțiunea de perturbare a activității prin distrugerea computerelor electronice (Japanese ~)

Delictul de obstrucționare a activității prin deteriorarea calculatoarelor electronice a fost instituit în anul 1987 (Showa 62). În acea perioadă, datorită creșterii rapide a economiei și dezvoltării tehnologice, calculatoarele au început să fie introduse în număr mare în birouri.

Activitățile care erau anterior realizate de oameni au început să fie efectuate de calculatoare, iar domeniul de aplicare al activităților a început să se extindă. Prin urmare, a devenit posibil să se presupună că activitățile de obstrucționare vor fi direcționate către calculatoare, iar pentru a face față acestui lucru, a fost instituită această lege.

În momentul instituirii, calculatoarele erau încă în curs de dezvoltare, iar internetul nu era încă răspândit, astfel încât era dificil să se prevadă în mod concret infracțiunile pe internet. În plus, această lege nu utilizează termeni din domeniul informaticii sau științei informației, ci termeni tipici pentru codul penal, ceea ce face interpretarea variată și dificil de înțeles pentru cetățeanul obișnuit.

De asemenea, se recunoaște în general că acest delict se referă la tipul de infracțiuni numite infracțiuni informatice, care fac parte din categoria infracțiunilor cibernetice.

Acest articol explică în detaliu și într-un mod ușor de înțeles delictul de obstrucționare a activității prin deteriorarea calculatoarelor electronice.

https://monolith.law/corporate/categories-of-cyber-crime[ja]

Ce este un atac DoS

Un atac DoS (Denial of Service attack) este un tip de atac cibernetic care constă în a trimite o cantitate mare de date sau date false către site-ul web sau serverul țintă, provocând o suprasolicitare care împiedică sistemul să funcționeze corect. Nu este un atac care încearcă să obțină acces neautorizat sau să preia controlul sistemului prin intermediul unui virus, ci mai degrabă unul care împiedică utilizatorii legitimi să-și exercite drepturile de acces. Este o metodă veche de atac cibernetic, dar este adesea folosită și în atacurile DDoS (Distributed Denial of Service attack), provocând multe probleme în ultimii ani.

Tipuri de atacuri DoS

Atacurile DoS pot fi împărțite în două tipuri: “de tip flood” și “de tip vulnerabilitate”.

Termenul “flood” provine din engleză și înseamnă “inundație”. Acest tip de atac implică trimiterea unei cantități mari de date către țintă, ceea ce o face incapabilă să proceseze toate datele.

Pe de altă parte, atacurile de tip vulnerabilitate exploatează vulnerabilitățile serverului sau ale aplicației, forțându-le să efectueze operațiuni neautorizate și să își înceteze funcționarea. Deși acestea pot părea similare cu accesul neautorizat, ele sunt diferite. De exemplu, un atac DoS de tip vulnerabilitate tipic, cunoscut sub numele de atac LAND, implică trimiterea unui pachet cu aceeași adresă IP și număr de port pentru sursă și destinație. Pentru a explica mai simplu, atacatorul A trimite un pachet serverului țintă B spunând “Eu sunt B și vreau un răspuns”. B va răspunde la acest pachet, creând un ciclu infinit. Acesta este un exemplu de exploatare a unei “vulnerabilități”, în sensul că sistemul răspunde la pachetele care au aceeași sursă și destinație, dar nu este considerat “acces neautorizat”, ci un “atac DoS de tip vulnerabilitate”.

https://monolith.law/reputation/unauthorized-computer-access[ja]

În plus, un atac DDoS este o metodă distribuită care implică controlul la distanță a mii de calculatoare infectate cu un virus bot și efectuarea unui atac DoS de tip flood de la fiecare dintre acestea.

Mecanismul unui atac DoS

Mecanismul unui atac DoS este tehnic simplu și implică repetarea frecventă a unei acțiuni care este în mod normal permisă în cadrul protocolului TCP/IP. De exemplu, când încercați să cumpărați bilete la un concert al unui idol popular la vânzare generală și accesați pagina de vânzări, site-ul poate deveni lent sau poate cădea din cauza numărului mare de persoane care accesează în același timp. Un atac DoS este un atac care abuzează de acest drept legitim și creează intenționat această situație.

Atacurile DoS sunt considerate infracțiuni de sabotaj al computerelor?

Deci, atacurile DoS sunt considerate infracțiuni? Vom analiza dacă acestea se încadrează în categoria infracțiunilor de sabotaj al computerelor, așa cum am menționat anterior.

Oricine distruge înregistrările electromagnetice utilizate în activitatea unei persoane sau dă informații false sau instrucțiuni necorespunzătoare unui computer utilizat în activitatea unei persoane, sau prin alte metode, împiedică computerul să funcționeze conform scopului său de utilizare sau îl face să funcționeze în contradicție cu acest scop, perturbând astfel activitatea unei persoane, va fi pedepsit cu închisoare de până la cinci ani sau cu o amendă de până la un milion de yeni.

Articolul 234-2 alineatul (1) al Codului Penal Japonez (Sabotajul computerelor etc.)

Astfel, pentru a fi considerată o infracțiune de sabotaj al computerelor, este necesar ca următoarele cerințe obiective să fie îndeplinite:

1. Acțiunea de atac îndreptată împotriva unui computer
2. Împiedicarea funcționării computerului
3. Perturbarea activității

și, ca cerință subiectivă, este necesar ca acestea să fie realizate cu intenție.

Îndeplinirea cerințelor obiective

Vom analiza fiecare dintre acestea în detaliu.

Acțiunea de atac îndreptată împotriva unui computer

Ca acțiune de atac (acțiune executivă), este necesar să se încadreze în una dintre următoarele categorii:

• “Distrugerea unui computer sau a înregistrărilor electromagnetice utilizate pentru acesta”
• “Darea de informații false sau de instrucțiuni necorespunzătoare unui computer”
• “Sau prin alte metode”

În acest sens, “computerul” este definit, conform jurisprudenței (Hotărârea Curții de Apel Fukuoka din 21.09.2000), ca un dispozitiv electronic care efectuează automat calcule și procesează date, și nu există nicio dispută că computerele de birou, computerele personale și computerele de control sunt reprezentative pentru acesta. Înregistrările electromagnetice sunt definite în articolul 7-2 al Codului Penal Japonez. Serverul, care este ținta atacurilor DoS, se încadrează, desigur, în aceste categorii.

“Distrugerea” se referă nu numai la distrugerea fizică, ci și la ștergerea datelor și la orice altă acțiune care prejudiciază utilitatea unui obiect. “Informațiile false” se referă la faptul că conținutul este contrar adevărului. “Instrucțiunile necorespunzătoare” se referă la faptul de a da instrucțiuni care pot fi procesate de computerul respectiv fără a avea autoritatea de a face acest lucru. De exemplu, dacă se efectuează un atac DoS de tip flood în mod masiv și concentrat, serverul țintă devine supraîncărcat și nu poate executa procesele în mod corespunzător. Chiar dacă un astfel de atac nu “distruge” prin ștergerea datelor, este o accesare împotriva voinței proprietarului serverului și se poate spune că dă “instrucțiuni necorespunzătoare” fără a avea autoritatea de a face acest lucru.

Împiedicarea funcționării computerului

Problema este dacă se încadrează în “a împiedica computerul să funcționeze conform scopului său de utilizare” sau “a face computerul să funcționeze în contradicție cu acest scop”. Există dispute cu privire la a cărui scop de utilizare ar trebui să fie presupus, dar având în vedere că scopul protejat de această infracțiune este desfășurarea sigură și fluentă a activității, ar trebui să presupunem scopul stabilit de instalator. Când se efectuează un atac DoS și serverul devine supraîncărcat, serviciul poate deveni indisponibil, ceea ce înseamnă că procesarea corespunzătoare pe care instalatorul serverului a intenționat-o nu mai poate fi efectuată. În astfel de cazuri, se poate spune că “nu se efectuează acțiunile care ar trebui să fie efectuate în conformitate cu scopul de utilizare”, ceea ce constituie o împiedicare a funcționării.

Perturbarea activității

Infracțiunea de sabotaj al computerelor etc. este o formă agravată a infracțiunii de perturbare a activității (articolele 233 și 234 ale Codului Penal Japonez), astfel că această perturbare a activității este considerată în același mod ca și infracțiunea obișnuită de perturbare a activității. Adică, “activitatea” se referă la activitățile de birou care se desfășoară în mod repetat și continuu pe baza statutului social, iar pentru a fi considerată “perturbare”, nu este necesar ca activitatea să fie efectiv prejudiciată. Când se efectuează un atac DoS, “activitatea” de a oferi un serviciu pe internet prin utilizarea serverului de către instalator este perturbată, ceea ce constituie o perturbare a activității.

Îndeplinirea cerințelor subiective (intenție)

Este necesar să se recunoască intenția (articolul 38 alineatul (1) al Codului Penal Japonez) după îndeplinirea acestor cerințe. Intenția se referă la recunoașterea și acceptarea faptului că se încadrează în categoriile ① până la ③ (denumite cerințe de constituire). Nu este necesară o intenție rea sau o intenție de a prejudicia, și chiar dacă nu aveți intenția de a face acest lucru, dacă aveți conștiința că “serverul ar putea cădea și serviciul ar putea deveni indisponibil”, intenția poate fi recunoscută.

Incidentul cu accesul masiv pe site-ul Bibliotecii Centrale Municipale Okazaki

În legătură cu acest subiect, vă prezentăm incidentul cu accesul masiv pe site-ul Bibliotecii Centrale Municipale Okazaki (cunoscut și sub numele de incidentul Librahack).

Un bărbat din prefectura Aichi (39 de ani) a fost arestat pentru că a lansat un atac cibernetic, colectând informații despre cărțile noi de pe site-ul bibliotecii cu ajutorul unui program creat de el. Cu toate acestea, conform analizei unui expert solicitat de ziarul Asahi, s-a descoperit că software-ul bibliotecii avea o defecțiune care făcea să pară că a fost atacat prin acces masiv. S-a descoperit că aceeași problemă a apărut și în alte șase biblioteci din țară care folosesc același software. Compania care a dezvoltat software-ul a început să facă modificări în aproximativ 30 de biblioteci din întreaga țară.
Această problemă a apărut la Biblioteca Municipală Okazaki. Software-ul avea o defecțiune care făcea ca procesarea datelor să continue de fiecare dată când erau solicitate datele despre cărți, asemănător cu a lăsa receptorul ridicat după o convorbire telefonică. După o anumită perioadă de timp, conexiunea era întreruptă forțat, dar la biblioteca respectivă, dacă numărul de accesări depășea 1000 în 10 minute, nu se mai putea accesa site-ul, ceea ce făcea să pară că a fost atacat prin acces masiv.
Bărbatul era un inginer software și împrumuta aproximativ 100 de cărți pe an de la Biblioteca Municipală Okazaki. Site-ul bibliotecii era greu de utilizat, așa că a creat un program pentru a colecta informații despre cărțile noi în fiecare zi și a început să-l folosească din martie.
Din acea lună, biblioteca a primit plângeri de la cetățeni că “nu se pot conecta la site”. Poliția din prefectura Aichi, care a fost consultată, a decis că bărbatul a trimis intenționat cereri care depășeau capacitatea de procesare și l-a arestat pentru suspiciunea de obstrucționare a activității. Procuratura din Okazaki a decis în iunie să nu-l pună sub acuzare, deoarece “nu se poate recunoaște o intenție puternică de a obstrucționa activitatea”.

Ziarul Asahi, ediția Nagoya (21 august 2010)

Bărbatul arestat în acest incident era un utilizator al Bibliotecii Centrale Municipale Okazaki și a acționat cu scopul de a colecta informații despre cărțile noi de pe site-ul bibliotecii, fără intenția de a obstrucționa activitatea bibliotecii. De asemenea, frecvența accesării era de aproximativ o dată pe secundă, ceea ce în mod normal nu ar fi considerat un atac DoS, dar serverul bibliotecii avea o defecțiune și a apărut o defecțiune a sistemului chiar și la acest nivel.

Chiar dacă nu există rău intenționat, se poate recunoaște că a provocat o defecțiune a serverului bibliotecii prin acțiuni care pot fi considerate un atac DoS și a obstrucționat activitatea acesteia, deci vom examina cerințele obiective. În ceea ce privește intenția, chiar dacă nu există rău intenționat, se poate recunoaște intenția, așa cum am menționat mai devreme. Poliția din prefectură a decis că acest bărbat, care este un inginer cu cunoștințe de calculatoare, a trimis un număr mare de cereri, deși ar fi putut recunoaște că ar putea avea un impact asupra serverului bibliotecii, și a decis că există intenție și că infracțiunea poate fi stabilită.

Problemele și critica incidentului

Metoda de colectare mecanică a datelor de pe site-urile web publice, așa cum a făcut bărbatul, este practicată pe scară largă și în mod general, iar programarea în sine nu este ilegală. Bărbatul a explicat circumstanțele și intențiile incidentului pe propriul său site, dar nu există niciun punct care merită condamnarea morală ca “infracțiune” din conținutul său, și a șocat mulți ingineri care folosesc această tehnologie, și a fost discutată o mulțime de critici și preocupări.

De exemplu, în primul rând, chiar dacă este un site pe care îl folosesc un număr nedefinit de persoane, cum ar fi site-ul web public al unei biblioteci publice, dacă serverul are o defecțiune care îl face să se prăbușească cu un acces pe secundă, este prea slab și vulnerabil, și dacă ar fi avut un server cu rezistența pe care ar trebui să o aibă în mod normal, bărbatul nu ar fi fost arestat.
De asemenea, bărbatul nu avea intenția de a “răzbuna” sau de a “deranja”, nici un atac sau o obstrucționare a activității, nici o transmitere masivă de date care să difere clar de metoda normală de utilizare, adică nu există niciun element care să pară clar o infracțiune, și totuși există o problemă legislativă că infracțiunea poate fi stabilită în astfel de reglementări.
Mai mult, există o discrepanță între aplicarea legii și realitatea utilizării internetului. De exemplu, impresia pe care o are o persoană care este familiarizată cu internetul și tehnologia de procesare a informațiilor despre aceleași 10.000 de accesări este diferită de impresia pe care o are o persoană obișnuită, inclusiv poliția și procuratura, și este o problemă dacă această discrepanță de percepție este aplicată fără a fi corectată. În plus, există îngrijorări și temeri că, ca și acest bărbat, oricine ar putea fi arestat, și că utilizarea liberă a internetului și dezvoltarea și industria ar putea fi inhibate.

Deși bărbatul a fost în cele din urmă scutit de acuzare deoarece “nu se poate recunoaște o intenție puternică de a obstrucționa activitatea”, a fost supus la interogatorii în timpul celor 20 de zile de arest și detenție și a fost supus la restricții fizice. În plus, numele său real a fost raportat la momentul arestării. În plus, scutirea de acuzare este diferită de “insuficiența suspiciunii” în cazul neînceperii urmăririi penale, și este un tip de “infracțiune a fost comisă, dar gravitatea este scăzută, sau este profund regretată, așa că de data aceasta nu vom începe urmărirea penală”, adică este considerat că a comis o infracțiune. Chiar dacă nu a fost pus sub acuzare, faptul că a suferit un dezavantaj puternic în societate este o problemă.

Rezumat

Așa cum am menționat, atacurile DoS pot duce la infracțiuni de distrugere a calculatoarelor sau de obstrucționare a activității. Cu toate acestea, există și câteva probleme cu aplicarea acestei legi, existând riscul ca infracțiunile să fie stabilite chiar și în cazul unor acțiuni care nu pot fi considerate cu adevărat malefice, așa cum au fost cele prezentate în seria de incidente pe care le-am descris. În contrast cu momentul în care a fost instituită legea, astăzi mulți oameni dețin dispozitive conectate la internet, cum ar fi smartphone-uri și calculatoare, iar societatea internetului se dezvoltă rapid. Pentru a depăși aceste probleme și pentru a proteja libertatea pe internet, este necesară o revizuire a aplicării legii și o reconsiderare a măsurilor legislative.

Dacă serverul unei companii este afectat de un atac cibernetic, cum ar fi un atac DoS, va fi necesar să se solicite o investigație poliției. Cu toate acestea, multe dintre aceste cazuri implică probleme tehnice foarte complexe și, așa cum s-a întâmplat în cazul incidentului cu biblioteca menționat mai sus, poate fi dificil să se gestioneze situația în mod adecvat fără cunoștințe și expertiză în domeniul IT și al legii.

Ca soluție civilă, dacă se poate identifica autorul, este posibil să se solicite despăgubiri de la acesta. Prin urmare, una dintre opțiuni ar putea fi să consultați un avocat cu experiență în domeniul internetului și al afacerilor.