Acțiunile interzise prin Legea japoneză privind interzicerea accesului neautorizat

Legea privind interzicerea accesului neautorizat (numele oficial “Legea privind interzicerea și alte aspecte ale accesului neautorizat”) a fost promulgată în februarie 2000 (Gregorian calendar year) și a fost modificată în mai 2012 (Gregorian calendar year), fiind în vigoare în prezent. Această lege, care constă în 14 articole, are ca scop prevenirea criminalității cibernetice și menținerea ordinii în domeniul telecomunicațiilor.

“Legea privind interzicerea și alte aspecte ale accesului neautorizat” (Scop)
Articolul 1 Această lege are ca scop prevenirea infracțiunilor legate de calculatoarele electronice efectuate prin linii de telecomunicații, prin interzicerea accesului neautorizat, stabilirea de sancțiuni penale și măsuri de asistență de către comisiile de securitate publică a prefecturilor pentru a preveni recidiva, și menținerea ordinii în telecomunicații realizate prin funcții de control al accesului, contribuind astfel la dezvoltarea sănătoasă a societății avansate de informații și comunicații.

Ce anume interzice concret Legea privind interzicerea accesului neautorizat? De asemenea, ce exemple concrete există și ce măsuri ar trebui luate în termeni penali și civil? Vom explica aspectele generale ale Legii privind interzicerea accesului neautorizat și măsurile care trebuie luate în cazul în care ați fost victima unui astfel de acces.

Acțiuni interzise de Legea privind interzicerea accesului neautorizat (Legea japoneză privind interzicerea accesului neautorizat)

Legea privind interzicerea accesului neautorizat interzice și pedepsește, în mare, următoarele trei acțiuni:

• Interzicerea accesului neautorizat (Articolul 3)
• Interzicerea acțiunilor care promovează accesul neautorizat (Articolul 5)
• Interzicerea acțiunilor de obținere, păstrare sau solicitare neautorizată a codurilor de identificare ale altor persoane (Articolele 4, 6, 7)

Ce înseamnă accesul neautorizat

Concret, acest lucru este definit în alineatul 4 al articolului 2 ca fiind “acțiuni de impostură” și “acțiuni de atac asupra găurilor de securitate”. Legea japoneză privind interzicerea accesului neautorizat interzice acțiunile de acces neautorizat la computerul altei persoane.

“Acțiunile de impostură” se referă la situația în care, atunci când utilizați un furnizor, trebuie să introduceți un cod de identificare, cum ar fi un ID sau o parolă, pe computer, și în acest moment, introduceți codul de identificare al altei persoane fără permisiunea acesteia.

Este puțin greu de înțeles, dar “al altcuiva” menționat aici se referă la ID-uri și parole care sunt deja create (și utilizate) de alte persoane, iar “acțiunile de impostură” sunt, în termeni simpli, acțiuni de “preluare” a conturilor de pe rețelele sociale, cum ar fi Twitter, pe care alte persoane le folosesc deja.

În general, “impostura” se referă la acțiunea de a crea un nou cont folosind numele și fotografia de profil a altei persoane și de a utiliza rețelele sociale, cum ar fi Twitter, pretinzând că sunteți acea persoană, dar acest lucru este diferit. Detalii despre “impostură” în acest sens sunt explicate în detaliu în articolul de mai jos.

https://monolith.law/reputation/spoofing-dentityright[ja]

“Acțiunile de atac asupra găurilor de securitate” se referă la acțiunea de a ataca găurile de securitate (deficiențele în măsurile de securitate) ale computerului altei persoane și de a face acel computer utilizabil. Folosind programe de atac, se furnizează informații și instrucțiuni care nu sunt coduri de identificare către ținta atacului, se ocolește funcția de control al accesului la computerul altei persoane și se utilizează computerul fără permisiune.

Dacă comiteți aceste acțiuni de acces neautorizat, puteți fi pedepsit cu “închisoare de până la 3 ani sau o amendă de până la 1 milion de yeni” (Articolul 11).

Ce înseamnă acțiunile care încurajează accesul neautorizat

Acțiunile care încurajează accesul neautorizat, interzise de Legea japoneză privind interzicerea accesului neautorizat (Legea interzicerii accesului neautorizat), implică furnizarea către terți, fără permisiunea titularului, a ID-urilor și parolelor altor persoane. Indiferent de mijloacele utilizate, cum ar fi telefonul, e-mailul sau site-urile web, dacă îi înveți pe alții sau anunți că “ID-ul lui ○○ este ××, iar parola este △△”, permițând astfel altor persoane să acceseze datele altcuiva fără permisiune, aceasta constituie o acțiune care încurajează accesul neautorizat.

Dacă comiți o acțiune care încurajează accesul neautorizat, poți fi supus unei pedepse cu închisoarea de până la un an sau o amendă de până la 500.000 de yeni japonezi (Articolul 12, alineatul 2).

De asemenea, chiar dacă ai furnizat o parolă fără a ști că scopul era accesul neautorizat, poți fi supus unei amenzi de până la 300.000 de yeni japonezi (Articolul 13).

Ce înseamnă să obții, să păstrezi sau să ceri în mod necorespunzător codurile de identificare ale altor persoane

Conform Legii japoneze privind interzicerea accesului neautorizat, este interzis să obții, să păstrezi sau să ceri în mod necorespunzător codurile de identificare (ID-uri, parole) ale altor persoane.

Articolul 4: Interzicerea obținerii necorespunzătoare a codurilor de identificare ale altor persoane
Articolul 6: Interzicerea păstrării necorespunzătoare a codurilor de identificare ale altor persoane
Articolul 7: Interzicerea cererii necorespunzătoare a codurilor de identificare ale altor persoane

Un exemplu tipic al acestor acțiuni interzise este “cererea de introducere a datelor”, cunoscută și sub numele de phishing. De exemplu, se pretinde că sunt o instituție financiară, se îndrumă victima către o pagină web falsă care arată exact ca cea reală și se cere victimei să introducă parolele și ID-urile pe această pagină falsă.

Numerele de identificare obținute prin phishing sunt folosite în fraude la licitații, iar depozitele sunt transferate fără permisiunea titularului în alte conturi, ceea ce a dus la o creștere a numărului de fraude.

Pentru aceste acțiuni, se poate aplica o pedeapsă cu închisoarea de până la un an sau o amendă de până la 500.000 de yeni (Articolul 12, alineatul 4).

Ce legi reglementează infracțiunile cibernetice în afara accesului neautorizat

Așa cum am menționat, Legea privind interzicerea accesului neautorizat este o lege destinată să se ocupe de anumite tipuri de așa-numitele infracțiuni cibernetice. În ceea ce privește întregul spectru al “infracțiunilor cibernetice”, există cazuri în care alte legi, cum ar fi Legea japoneză privind sabotajul operațiunilor prin distrugerea calculatoarelor electronice, Legea japoneză privind sabotajul operațiunilor prin fraudă, Legea japoneză privind defăimarea, pot deveni relevante. Detalii despre imaginea de ansamblu a infracțiunilor cibernetice sunt explicate în detaliu în articolul de mai jos.

https://monolith.law/corporate/categories-of-cyber-crime[ja]

Obligațiile administratorului de acces

Legea japoneză privind interzicerea accesului neautorizat nu doar definește actele de acces neautorizat și sancțiunile aferente, dar impune și obligații administratorului de a preveni accesul neautorizat în gestionarea serverelor și a altor dispozitive.

Măsurile de apărare ale administratorului de acces

Articolul 8: Administratorul de acces care a adăugat o funcție de control al accesului la un calculator electronic specific are obligația de a se strădui să gestioneze în mod corespunzător codurile de identificare sau codurile utilizate pentru a verifica această funcție de control al accesului, să verifice în mod constant eficacitatea acestei funcții de control al accesului și, atunci când consideră necesar, să îmbunătățească rapid această funcție și să ia alte măsuri necesare pentru a proteja calculatorul specific împotriva accesului neautorizat.

Este obligatoriu să “gestionați corespunzător codurile de identificare”, “verificați în mod constant eficacitatea funcției de control al accesului” și “îmbunătățiți funcția de control al accesului după cum este necesar”, dar acestea sunt obligații de efort, deci nu există sancțiuni dacă aceste măsuri sunt neglijate.

Cu toate acestea, dacă administratorul observă semne că ID-urile sau parolele au fost compromise, trebuie să efectueze imediat controlul accesului, cum ar fi ștergerea contului sau schimbarea parolei.

Exemple de încălcări ale Legii privind interzicerea accesului neautorizat

Preluarea contului de Twitter al unui elev popular printre fete

Pe 30 ianuarie 2017 (Heisei 29), poliția din prefectura Hyogo a arestat un elev de liceu în clasa a treia (18 ani) din aceeași prefectură, suspectat de încălcarea Legii japoneze privind interzicerea accesului neautorizat. Acesta a preluat contul de Twitter al unui coleg de clasă și a trimis peste 300 de mesaje unor eleve, pretinzând că este persoana respectivă.

Suspectul este acuzat că, între septembrie și noiembrie al anului precedent, a introdus parola în serverul de autentificare al Twitter al unui elev popular printre fete (18 ani), s-a autentificat de 63 de ori și a trimis mesaje obscene unor eleve de la alte școli care îl urmăreau pe contul respectiv, cum ar fi “hai să ne arătăm corpurile” sau “hai să vorbim despre lucruri indecente”.

Acces neautorizat la Facebook și altele

Într-un caz în care a fost acuzat de încălcarea Legii japoneze privind interzicerea accesului neautorizat pentru că a accesat în mod repetat Facebook și alte platforme pentru a obține informații personale, Tribunalul Districtual Tokyo a condamnat pe 3 august 2016 (Heisei 28) un inculpat (29 de ani) la doi ani și șase luni de închisoare. Acesta a accesat în mod neautorizat Facebook și alte platforme ale șapte femei de 238 de ori. Deși nu a divulgat informațiile pe care le-a văzut și nu avea antecedente penale, tribunalul a considerat că nu există loc pentru indulgență în ceea ce privește motivul său de a obține satisfacție atunci când reușește să acceseze în mod neautorizat. Cu toate acestea, având în vedere circumstanțele, i s-a acordat o suspendare a executării pedepsei pentru patru ani.

Obținerea neautorizată a informațiilor despre clienții companiei la care lucra

Pe 12 noiembrie 2009 (Heisei 21), Tribunalul Districtual Tokyo a condamnat un angajat (45 de ani) care se ocupa de dezvoltarea, operarea și suportul pentru utilizatorii sistemului de informații al companiei la care lucra, pentru că a obținut în mod neautorizat și a încercat să vândă informațiile despre clienții pe care compania le deținea și pentru că a furat un CD-R, la doi ani de închisoare cu executare.

Tribunalul a considerat că nu poate fi ignorat faptul că a obținut un profit de aproximativ 350.000 de yeni din vânzarea informațiilor. Chiar dacă nu avea antecedente penale și a fost concediat disciplinar de la locul de muncă, suferind astfel o anumită sancțiune socială, tribunalul a considerat că nu este un caz în care executarea pedepsei ar trebui suspendată.

Sentință de închisoare de 8 ani pentru autorul unui atac cibernetic

Pe 27 aprilie 2017 (Heisei 29), Tribunalul Districtual Tokyo a condamnat un inculpat (32 de ani) la opt ani de închisoare pentru încălcarea Legii japoneze privind interzicerea accesului neautorizat, fraudă prin utilizarea de calculatoare electronice, crearea și utilizarea neautorizată a înregistrărilor electromagnetice private, furnizarea de înregistrări electromagnetice false, și încălcarea Legii japoneze privind undele radio. Acesta a obținut în mod neautorizat codurile de identificare ale serviciilor de internet banking ale mai multor companii prin utilizarea de e-mailuri de tip phishing și viruși de control la distanță, a efectuat autentificări neautorizate și transferuri bancare neautorizate, a obținut adrese de e-mail prin atacuri asupra bazelor de date și a trimis viruși de control la distanță pentru a le face executabile.

A folosit diverse metode pentru a efectua atacuri cibernetice și, în plus, pentru a evita detectarea infracțiunilor sale, s-a conectat la puncte de acces WLAN ale altor persoane folosind chei de criptare obținute în mod neautorizat, a ascuns sursa conexiunii prin utilizarea de servere intermediare și a schimbat adresa de e-mail de contact înainte de transferurile bancare neautorizate. Modul de operare al infracțiunilor sale a fost sofisticat și rău intenționat, iar prejudiciul financiar cauzat de transferurile bancare neautorizate a fost de peste 5,19 milioane de yeni. În plus, a comis aceste infracțiuni imediat după eliberarea condiționată dintr-o condamnare anterioară pentru o infracțiune similară, ceea ce a dus la o pedeapsă severă.

De asemenea, în cazul acestui tip de atac, dacă există un e-mail trimis de infractor, acesta poate fi folosit pentru a identifica infractorul. Cu toate acestea, în general, acest lucru este dificil la nivel civil. Acest aspect este discutat și în articolul de mai jos.

https://monolith.law/reputation/email-sender-identification[ja]

Măsuri în cazul accesului neautorizat

Dacă utilizați e-mailul sau rețelele sociale, puteți fi victima accesului neautorizat de către alte persoane. În acest caz, ce măsuri puteți lua?

Depunerea unei plângeri penale

În primul rând, puteți depune o plângere penală împotriva persoanei care a accesat neautorizat. Accesul neautorizat este o infracțiune, iar persoana care a accesat neautorizat poate fi pedepsită penal. După cum am explicat mai sus, persoana în cauză poate fi condamnată la închisoare pentru o perioadă de până la 3 ani sau la o amendă de până la 1 milion de yeni, iar dacă există persoane care au încurajat acest comportament, acestea pot fi condamnate la închisoare pentru o perioadă de până la 1 an sau la o amendă de până la 500.000 de yeni.

De asemenea, încălcarea legii privind interzicerea accesului neautorizat este o infracțiune care nu necesită plângere, astfel că poliția poate începe investigația și poate aresta suspectul chiar dacă nu există o plângere, dacă află despre acest fapt. În plus, nu doar persoana care a fost victima accesului neautorizat, ci oricine află despre acest fapt poate denunța la poliție.

De asemenea, așa cum am menționat în articolul despre infracțiunea de obstrucționare a activității, infracțiunile care necesită plângere sunt “infracțiuni care nu pot fi urmărite decât dacă victima depune o plângere penală”, dar “nu înseamnă că nu se poate depune o plângere dacă nu este o infracțiune care necesită plângere”. Chiar și în cazul infracțiunilor care nu necesită plângere, victima poate depune o plângere împotriva infractorului.

Chiar dacă este o infracțiune care nu necesită plângere, dacă victima depune o plângere penală, circumstanțele suspectului se înrăutățesc și pedeapsa poate fi mai severă. Dacă vă dați seama că ați fost victima unui acces neautorizat, ar trebui să consultați un avocat și să depuneți o plângere sau o declarație de victimă la poliție. Odată ce poliția acceptă declarația de victimă, aceasta va începe imediat investigația și va aresta sau va trimite suspectul în judecată.

Cererea de despăgubire civilă

În cazul în care ați suferit daune ca urmare a accesului neautorizat, puteți solicita despăgubiri civile de la infractor, în conformitate cu articolul 709 din Codul Civil Japonez.

Codul Civil Japonez Articolul 709
Oricine încalcă drepturile sau interesele protejate de lege ale altei persoane, intenționat sau din neglijență, este responsabil pentru despăgubirea daunelor cauzate de aceasta.

Dacă infractorul a accesat neautorizat și a răspândit informațiile personale obținute în acest mod, a furat articole din jocurile sociale, a accesat datele cardurilor de credit sau ale conturilor bancare, provocând daune materiale, ar trebui să solicitați despăgubiri, cum ar fi daune morale. Desigur, dacă datele cardurilor de credit sau ale conturilor bancare au fost accesate și au apărut daune materiale reale, puteți solicita și despăgubiri pentru acestea.

Totuși, pentru a solicita despăgubiri de la infractor, trebuie să identificați infractorul și să adunați dovezi că acesta a accesat într-adevăr neautorizat, ceea ce necesită cunoștințe foarte specializate. Dacă ați suferit daune ca urmare a accesului neautorizat, este necesar să consultați un avocat cu experiență în problemele de internet și să îi solicitați să se ocupe de procedură.