Що таке 3 класифікації кіберзлочинів? Адвокат пояснює заходи протидії для кожного випадку

“Кіберзлочинність” – це слово, яке вже добре відоме як загальноприйнятий термін, але на міжнародному рівні воно визначається як “злочин, скоєний з використанням комп’ютерних та телекомунікаційних технологій”. Так звані “хакерські атаки (крекінг)” – це лише деякі з кіберзлочинів, від яких можуть постраждати компанії, і в разі такого злочину необхідно розглянути можливі заходи реагування.

У цій статті ми класифікуємо кіберзлочинність на три загальноприйняті в Україні категорії і пояснюємо, які злочини вони включають і які заходи можна вжити, якщо ви стали жертвою. Ця класифікація важлива, тому що:

• Якщо ви не вважаєте себе “потерпілим” у юридичному сенсі, ви можете “повідомити” про злочин, але може бути важко заохотити поліцію до розслідування за допомогою заяви про злочин або скарги.
• Якщо злочин допускає цивільні заходи, ви можете звернутися до адвоката, щоб визначити злочинця цивільними методами або подати позов про відшкодування збитків від злочинця.
• Якщо ви стали жертвою злочину, для якого немає цивільного рішення, ви повинні заохотити поліцію до розслідування.

Таким чином, “заходи” відрізняються в залежності від категорії.

Три класифікації кіберзлочинів

Як вказано вище, в Україні зазвичай кіберзлочини поділяють на три категорії.

• Комп’ютерні злочини: точне визначення буде наведено нижче, але в загальному це злочини, що заважають діяльності компаній
• Злочини, пов’язані з використанням мережі: злочини, вчинені з використанням Інтернету
• Порушення закону про заборону незаконного доступу: так звані дії незаконного входу в систему

Нижче ми розглянемо кожен з них окремо.

Що таке комп’ютерна злочинність

Що таке злочин завади діяльності через знищення електронного обчислювального обладнання

Дії, що відповідають злочину завади діяльності через знищення електронного обчислювального обладнання, який визначено в Кримінальному кодексі, є типовими для цього виду злочину.

Особа, яка знищує електронне обчислювальне обладнання або магнітний запис, що використовується в діяльності людини, або подає неправдиву інформацію або неправильні інструкції до електронного обчислювального обладнання, що використовується в діяльності людини, або за допомогою інших методів змушує електронне обчислювальне обладнання виконувати дії, що не відповідають його призначенню, або виконувати дії, що суперечать його призначенню, заважаючи тим самим діяльності людини, підлягає покаранню у вигляді ув’язнення на термін до 5 років або штрафу до 1 мільйона єн.

Стаття 224-2 Кримінального кодексу

Це складний для читання текст, але, коротко кажучи, це злочин, який вчиняється, коли:

• знищується комп’ютер, що використовується для діяльності, або дані в ньому
• до комп’ютера, що використовується для діяльності, надсилається неправдива інформація або інформація, яка не передбачена вихідними параметрами

І в результаті цього комп’ютер виконує дії, які не передбачені вихідними параметрами, заважаючи тим самим діяльності.

Типовими прикладами цього є дії, такі як використання уразливостей безпеки або незаконний вхід в чужий обліковий запис для збільшення балансу на онлайн-банківському рахунку. Також до цього відносяться дії, такі як використання уразливостей безпеки або незаконне отримання даних для входу для зміни веб-сайту компанії. Хоча сам акт “незаконного входу” є типом злочину, який порушує “Закон про заборону незаконного доступу”, який буде описано нижче, цей тип злочину охоплює дії, такі як незаконне керування, зміна, видалення або незаконна зміна даних.

Що таке різниця з незаконним доступом?

Також варто зазначити, що цей тип злочину може відбутися навіть без незаконного входу в систему. Типовим прикладом є так звана атака DoS. Це включає в себе відправку великої кількості електронних листів, що призводить до збоїв на поштовому сервері, або виконання великої кількості запитів до веб-сайту, що призводить до збоїв на веб-сервері. Ці дії, якщо розглядати кожен окремий лист або запит, є законними, але коли їх виконується велика кількість, вони викликають непередбачувану роботу сервера (ПК), завдавши шкоди компанії, такі як неможливість використовувати електронну пошту або відкрити веб-сайт. Тому, хоча це не порушення “Закону про заборону незаконного доступу” (Japanese Unauthorised Access Prohibition Law), це відповідає “злочину заважання роботі комп’ютера через знищення та інші дії” (Japanese Computer Damage and Other Business Interference Crime). Крім того, у таких злочинах також може стати проблемою “злочин обману, що заважає бізнесу” (Japanese Business Obstruction by Deception Crime).

Щоб спонукати поліцію до розслідування

Ці дії є злочинами, як зазначено вище, і вони роблять компанію жертвою, тому можливо звернутися до поліції з проханням про розслідування. Однак, на практиці, поліція в Японії не завжди ефективно реагує на такі злочини. Це частково пов’язано з технічними проблемами. Наприклад, вище ми говорили про прості DoS-атаки, але реальні атаки часто відбуваються не з однієї IP-адреси, а з багатьох, тобто вони розподілені. Такі атаки називаються “DDoS”.

Якщо велика кількість електронних листів або запитів надходить з однієї IP-адреси, це явно вказує на те, що це масовий доступ від однієї особи, “неочікувана інформація”. Але якщо IP-адреси розподілені, кожен окремий лист або запит є законним, і без доказів, що вони були здійснені однією і тією ж особою, вони не можуть бути визнані незаконними. Так як же можна довести, що “це масовий доступ або листи від однієї особи” під час суворого кримінального суду? Це дійсно складна проблема для поліції та прокуратури.

Крім того, у кримінальному суді недостатньо просто довести, що “комунікація, яка відповідає злочину (наприклад, масова відправка електронних листів, як у вищезазначеному прикладі), була здійснена з комп’ютера підозрюваного”. У кримінальних справах вимагається встановлення фактів на рівні “хто це зробив”, а не “з якого комп’ютера”. У реальних вироках кримінального суду часто обережно розглядається ця частина, а саме “злочин безперечно був вчинений з комп’ютера підозрюваного, але чи був він дійсно вчинений самим підозрюваним?”. Цей високий поріг доказування, звичайно, важливий для запобігання неправильному звинуваченню, але він також може змусити поліцію та прокуратуру вагатися з розслідуванням кіберзлочинів.

Однак, якщо інцидент трапився недавно, можливо детально проаналізувати серверні логи та інше, щоб виявити докази, що “імовірність того, що це було зроблено однією особою, дуже висока” і “це безперечно було зроблено самим підозрюваним”. Технічне розслідування за допомогою ІТ та юридичний аналіз того, що було виявлено в ході цього розслідування, можуть стати значущими документами. Якщо обидва ці елементи присутні, можна сказати, що є випадки, коли можна спонукати поліцію до розслідування.

Цивільне вирішення є складним

Було б добре, якби були цивільні рішення, на які можна було би покластися без звернення до поліції, але чесно кажучи, цивільні заходи є обмеженими у випадку цього типу злочинів.

Наприклад, у випадку, коли відправлено велику кількість електронних листів, IP-адреса відправника вказана в заголовку електронного листа, тому ви, ймовірно, захочете змусити провайдера розкрити адресу та ім’я абонента, який використовував цю IP-адресу. Однак, за японським цивільним правом, не передбачено права юридично вимагати таке розкриття. У випадку шкоди від образ на Інтернеті, як буде описано нижче, можна використовувати право на вимогу розкриття інформації відправника за законом про обмеження відповідальності провайдера, але коротко кажучи, це право на вимогу розкриття

Призначене лише для комунікації, що має на меті робити публікації, які бачить невизначена кількість людей (типовий приклад – комунікація для публікації образ на Інтернет-форумах, які доступні для невизначеної кількості людей)

і не визнається в інших випадках.

На практиці, у ситуаціях з високотехнологічними кіберзлочинами, часто потрібні більш детальні звіти, ніж у випадку подачі позову, щоб заохотити поліцію до розслідування. Крім того, від першого контакту з поліцією до реального розслідування та арешту може пройти до року. З іншого боку, цивільне вирішення може бути менш трудомістким і швидким… але цей тип злочину, як правило, робить цивільне вирішення неможливим або дуже складним. Якщо злочинця можна ідентифікувати, можна вимагати відшкодування за шкоду, спричинену злочином, наприклад, через збій в веб-сервері, але не існує спеціальних засобів для цього.

Злочини, пов’язані з використанням мережі

Шкода від дифамації в Інтернеті

Це злочини, які вчиняються за допомогою комп’ютерів або мереж, окрім злочинів, пов’язаних з комп’ютерами, про які ми говорили вище. Наприклад, так звана дифамація в Інтернеті не передбачає пошкодження даних, відправлення неочікуваної інформації або виклик непередбачуваної роботи на комп’ютері, але вона вчиняється за допомогою Інтернет-мережі.

Публікації, які можуть бути визнані дифамацією, класифікуються як:

• Незаконні з кримінальної та цивільної точки зору (типовий приклад – дискредитація)
• Незаконні з цивільної точки зору, але не з кримінальної (типові приклади – порушення приватності або порушення прав на зображення)

Якщо вчинок є незаконним з кримінальної точки зору, можна використовувати цивільні засоби, такі як запит на розкриття інформації про відправника відповідно до японського Закону про обмеження відповідальності провайдерів (Provider Liability Limitation Act), для ідентифікації автора публікації, або можна заохотити поліцію до розслідування та арешту автора публікації.

Однак, в залежності від контенту, поліція, як правило, не проводить активне розслідування таких публікацій через так звану “невтручаність у цивільні справи”. Крім того, порушення приватності або прав на зображення не є кримінальними злочинами, тому цивільне вирішення є обов’язковим.

https://monolith.law/practices/reputation[ja]

Шкода від один-на-один комунікації, такої як електронна пошта

Складність полягає в тому, що недоречні повідомлення та інші відправлені за допомогою один-на-один комунікаційних засобів, таких як електронна пошта або приватні повідомлення в Twitter. Типовим прикладом є електронні листи, які містять висловлювання, що можуть бути визнані як погрози або шантаж. Запит на розкриття інформації про відправника відповідно до японського Закону про обмеження відповідальності провайдерів може бути використаний тільки в таких випадках, як:

Комунікація для публікації, яку бачить невизначена кількість людей (типовий приклад – комунікація для публікації дифамації на Інтернет-форумі, який доступний для невизначеної кількості людей)

Тому, що стосується такої комунікації, цивільні рішення взагалі не передбачені, і ми можемо лише сподіватися на розслідування поліцією. Однак, навіть якщо вміст, опублікований на Інтернет-форумі, може бути визнаний як дискредитація, якщо використовується один-на-один комунікаційний засіб, злочин дискредитації не встановлюється. Коротко кажучи, злочин дискредитації встановлюється тільки для дій, вчинених проти невизначеної кількості або багатьох людей. У випадку один-на-один комунікації, дискредитація, як правило, не встановлюється. Ми детально розглядаємо цю проблему в іншій статті.

Шкода від порнографічних зображень або незаконних сайтів

Крім того, злочини, у яких немає жертв, або злочини, у яких компанії, які фактично зазнають збитків, не є жертвами, також включаються до цього типу. Наприклад:

• Публікація ненормативних зображень або відео на так званих дорослих сайтах (публічне відображення порнографічних зображень)
• Реклама незаконних казино
• Шахрайські сайти, які заявляють, що вони продають брендові товари, але насправді не відправляють товари

Це типові приклади.

Наприклад, якщо в жіночій роздягальні компанії відбувається незаконне відеоспостереження, а зображення з відеоспостереження опубліковані в Інтернеті, ці зображення явно порушують приватність (або права на зображення) жінки, яка зображена на них. Однак, як було зазначено вище, порушення приватності (або прав на зображення) не є злочином, і хоча незаконне відеоспостереження є злочином, публікація фотографій, зроблених через незаконне відеоспостереження, не є злочином, тому виникає складне питання, як звернутися до поліції з проханням про розслідування.

Крім того, навіть якщо через існування незаконних казино або шахрайських сайтів продажі вашої компанії знижуються, або довіра до вашої компанії знижується, такі дії, як зазначено вище, є злочинами, які вважаються злочинами заради суспільства, незважаючи на відсутність конкретних жертв (типові приклади – порушення швидкісного режиму або регулювання наркотиків), або вони вважаються злочинами, які визначають лише прямі жертви (наприклад, споживачі, які заплатили гроші на шахрайському сайті) як жертв. Тому, навіть якщо компанія скаржиться на шкоду, вона все одно залишається третьою стороною, яка не є жертвою. Крім того, якщо ви не є “жертвою”, ви не можете навіть розглядати ідентифікацію за допомогою запиту на розкриття інформації про відправника.

Однак, якщо дія порушує інтелектуальні права компанії (такі як торговельні марки або авторські права), наприклад, продаж підроблених брендових товарів, компанія може заохотити поліцію до розслідування як “жертва” або використовувати цивільні засоби для ідентифікації продавця.

Порушення Закону про заборону незаконного доступу

Дії, заборонені Законом про заборону незаконного доступу

Нарешті, це дії, заборонені Законом про заборону незаконного доступу (Японський Закон про заборону незаконного доступу). Закон про заборону незаконного доступу забороняє:

1. Незаконний доступ
2. Сприяння незаконному доступу
3. Незаконне отримання та інші дії

Це заборонено.

З цих, перший, незаконний доступ, включає в себе:

• Підробка: введення чужого ID та пароля та вхід без дозволу як ця особа
• Атака на дірки в безпеці: зловживання дірками в безпеці, вхід як інша особа без введення ID та пароля

Є два типи.

Другий, сприяння незаконному доступу, це дія, коли ви розповідаєте або продаете інформацію про обліковий запис іншої особи (ID, пароль тощо) без дозволу.

Нарешті, третій, незаконне отримання та інші дії, це дія, коли ви змушуєте інших вводити інформацію про свій обліковий запис за допомогою так званих фішингових сайтів або зберігаєте інформацію про обліковий запис, отриману незаконно.

Детальніше про Закон про заборону незаконного доступу описано в статті нижче.

Вирішення поліцією

Якщо ви стали жертвою незаконного доступу, ви також повинні заохотити поліцію до розслідування. Однак, багато випадків є високотехнологічними проблемами, і як і в випадку з комп’ютерними злочинами, які були описані вище, якщо людина, яка має знання та навички в області ІТ та права, не створює звіт тощо, розслідування поліцією фактично не проводиться.

Крім того, якщо можна визначити злочинця, можливо вимагати відшкодування збитків від цього злочинця, але дуже важко визначити злочинця за допомогою цивільних засобів, як і в випадку з комп’ютерними злочинами, описаними вище.