Hành vi bị cấm theo 'Luật cấm truy cập trái phép của Nhật Bản'

Luật cấm truy cập trái phép (tên chính thức là “Luật về việc cấm hành vi truy cập trái phép”) đã được ban hành vào tháng 2 năm 2000 (năm Heisei 12) và được sửa đổi vào tháng 5 năm 2012 (năm Heisei 24), hiện đang có hiệu lực. Đây là một luật nhằm mục đích ngăn chặn tội phạm mạng và duy trì trật tự liên quan đến việc truyền thông điện tử, bao gồm tổng cộng 14 điều.

“Luật về việc cấm hành vi truy cập trái phép” (Mục đích)
Điều 1: Mục đích của luật này là cấm hành vi truy cập trái phép, đồng thời quy định về hình phạt và các biện pháp hỗ trợ từ Ủy ban Công an tỉnh để ngăn chặn sự tái phạm, nhằm ngăn chặn tội phạm liên quan đến máy tính được thực hiện thông qua đường dây truyền thông điện tử và duy trì trật tự liên quan đến việc truyền thông điện tử được thực hiện bằng chức năng kiểm soát truy cập, nhằm đóng góp vào sự phát triển lành mạnh của xã hội thông tin cao cấp.

Vậy cụ thể, Luật cấm truy cập trái phép cấm những hành vi nào? Và trong thực tế có những ví dụ nào, và chúng ta nên thực hiện những biện pháp nào trong phạm vi hình sự và dân sự? Chúng tôi sẽ giải thích về tổng quan của Luật cấm truy cập trái phép, cũng như các biện pháp khi bạn trở thành nạn nhân của hành vi truy cập trái phép.

Hành vi bị cấm theo Luật cấm truy cập trái phép Nhật Bản

Theo Luật cấm truy cập trái phép Nhật Bản, có ba hành vi chính bị cấm và bị xử phạt, bao gồm:

• Cấm hành vi truy cập trái phép (Điều 3)
• Cấm hành vi thúc đẩy hành vi truy cập trái phép (Điều 5)
• Cấm hành vi trái phép như thu thập, lưu trữ, yêu cầu nhập mã nhận dạng của người khác (Điều 4, 6, 7)

Hành vi truy cập trái phép là gì?

Điều 2, khoản 4 của Luật cấm truy cập trái phép Nhật Bản quy định cụ thể về “hành vi giả mạo” và “hành vi tấn công lỗ hổng bảo mật”. Theo đó, hành vi truy cập trái phép vào máy tính của người khác bị cấm.

“Hành vi giả mạo” là hành vi nhập mã nhận dạng (như ID, mật khẩu) của người khác mà không có sự cho phép của chủ sở hữu khi sử dụng dịch vụ nhà cung cấp.

Điều này có thể hơi khó hiểu, nhưng “mã nhận dạng của người khác” ở đây nghĩa là ID và mật khẩu mà người khác đã tạo (và sử dụng). “Hành vi giả mạo” nói cách khác, là hành vi “chiếm đoạt” tài khoản mạng xã hội như Twitter mà người khác đang sử dụng.

Thông thường, “hành vi giả mạo” được hiểu là hành vi tạo tài khoản mới bằng cách sử dụng tên hoặc hình ảnh của người khác và sử dụng mạng xã hội như Twitter dưới danh nghĩa của người đó. Tuy nhiên, đây là một khái niệm khác. Chúng tôi đã giải thích chi tiết về “hành vi giả mạo” trong bài viết dưới đây.

https://monolith.law/reputation/spoofing-dentityright[ja]

“Hành vi tấn công lỗ hổng bảo mật” là hành vi tấn công vào lỗ hổng bảo mật (những thiếu sót về biện pháp an toàn) của máy tính của người khác để có thể sử dụng máy tính đó. Hành vi này thực hiện bằng cách sử dụng chương trình tấn công để cung cấp thông tin hoặc lệnh không phải là mã nhận dạng cho máy tính mục tiêu, vượt qua chức năng kiểm soát truy cập của máy tính đó và sử dụng máy tính mà không cần sự cho phép.

Nếu bạn thực hiện những hành vi truy cập trái phép này, bạn có thể bị phạt tù dưới 3 năm hoặc phạt tiền dưới 1 triệu yên (Điều 11).

Hành vi thúc đẩy hành vi truy cập trái phép là gì?

Hành vi thúc đẩy hành vi truy cập trái phép, bị cấm theo Luật cấm truy cập trái phép Nhật Bản, là hành vi cung cấp ID và mật khẩu của người khác cho bên thứ ba mà không có sự cho phép của chủ sở hữu. Dù thông qua điện thoại, email, trang web, nếu bạn thông báo cho người khác rằng “ID của ○○ là ××, mật khẩu là △△” và làm cho người khác có thể truy cập vào dữ liệu của người khác mà không cần sự cho phép, bạn sẽ vi phạm hành vi thúc đẩy truy cập trái phép.

Nếu bạn thực hiện hành vi thúc đẩy hành vi truy cập trái phép, bạn có thể bị phạt tù dưới 1 năm hoặc phạt tiền dưới 500.000 yên (Điều 12, khoản 2).

Lưu ý, ngay cả khi bạn cung cấp mật khẩu mà không biết mục đích là để truy cập trái phép, bạn vẫn có thể bị phạt tiền dưới 300.000 yên (Điều 13).

Hành vi trái phép như thu thập, lưu trữ, yêu cầu nhập mã nhận dạng của người khác là gì?

Theo Luật cấm truy cập trái phép Nhật Bản, hành vi thu thập, lưu trữ, yêu cầu nhập mã nhận dạng (ID, mật khẩu) của người khác một cách trái phép bị cấm.

Điều 4: Cấm hành vi thu thập trái phép mã nhận dạng của người khác
Điều 6: Cấm hành vi lưu trữ trái phép mã nhận dạng của người khác
Điều 7: Cấm hành vi yêu cầu nhập trái phép mã nhận dạng của người khác

Hành vi đại diện cho những hành vi bị cấm này là “hành vi yêu cầu nhập”, hay còn gọi là hành vi phishing. Ví dụ, hành vi này dẫn nạn nhân đến một trang web giả mạo giống hệt trang web của một tổ chức tài chính và yêu cầu nạn nhân nhập ID và mật khẩu của họ vào trang web giả mạo đó.

Các hành vi lừa đảo như sử dụng số nhận dạng thu được từ hành vi phishing để thực hiện lừa đảo đấu giá, hoặc việc tiền gửi bị chuyển một cách trái phép vào tài khoản khác, đang gia tăng.

Nếu bạn thực hiện những hành vi này, bạn có thể bị phạt tù dưới 1 năm hoặc phạt tiền dưới 500.000 yên (Điều 12, khoản 4).

Luật nào quản lý tội phạm mạng không liên quan đến hành vi truy cập trái phép?

Như vậy, Luật cấm truy cập trái phép Nhật Bản là luật pháp được thiết lập để đối phó với một số loại tội phạm mạng. Nói về “tội phạm mạng” toàn diện, có những vấn đề liên quan đến các luật khác như tội phạm gây rối loạn công việc bằng cách phá hủy máy tính điện tử, tội phạm gây rối loạn công việc bằng cách lừa dối, tội phạm phỉ báng danh dự, v.v. Chúng tôi đã giải thích chi tiết về bức tranh toàn diện của tội phạm mạng trong bài viết dưới đây.

Nghĩa vụ của người quản lý truy cập

Luật cấm truy cập trái phép của Nhật Bản không chỉ định rõ hành vi truy cập trái phép và hình phạt, mà còn đặt ra nghĩa vụ cho người quản lý trong việc ngăn chặn truy cập trái phép vào máy chủ và các thiết bị tương tự.

Biện pháp phòng vệ do người quản lý truy cập thực hiện

Điều 8: Người quản lý truy cập, người đã thêm chức năng kiểm soát truy cập vào máy tính điện tử cụ thể, phải nỗ lực quản lý đúng đắn mã nhận dạng hoặc mã được sử dụng để xác nhận chức năng kiểm soát truy cập đó, luôn kiểm tra hiệu lực của chức năng kiểm soát truy cập, và khi cần thiết, nhanh chóng nâng cao chức năng đó và thực hiện các biện pháp cần thiết khác để bảo vệ máy tính điện tử cụ thể khỏi hành vi truy cập trái phép.

Việc “quản lý đúng đắn mã nhận dạng”, “luôn kiểm tra hiệu lực của chức năng kiểm soát truy cập”, và “nâng cao chức năng kiểm soát truy cập khi cần thiết” đều được yêu cầu, nhưng vì đây là nghĩa vụ nỗ lực, nên không có hình phạt nếu không thực hiện các biện pháp này.

Tuy nhiên, nếu có dấu hiệu rằng ID hoặc mật khẩu đã bị rò rỉ, người quản lý phải nhanh chóng thực hiện kiểm soát truy cập, như xóa tài khoản hoặc thay đổi mật khẩu.

Ví dụ về vi phạm Luật cấm truy cập trái phép

Chiếm đoạt tài khoản Twitter của học sinh nam nổi tiếng với học sinh nữ

Vào ngày 30 tháng 1 năm 2017 (năm 2017 theo lịch Gregory), cảnh sát tỉnh Hyogo đã bắt giữ một học sinh nam lớp 3 trung học (18 tuổi) ở tỉnh này vì nghi ngờ vi phạm Luật cấm truy cập trái phép Nhật Bản khi anh ta chiếm đoạt tài khoản Twitter của một học sinh nam cùng lớp và giả mạo người này để gửi hơn 300 tin nhắn cho các học sinh nữ.

Nghi can bị bắt vì từ tháng 9 đến tháng 11 năm trước, anh ta đã đăng nhập vào máy chủ xác thực Twitter của một học sinh nam (18 tuổi) nổi tiếng với học sinh nữ bằng cách nhập mật khẩu, đăng nhập tổng cộng 63 lần, và gửi tin nhắn khiêu dâm như “Hãy cùng nhau khoe cơ thể” và “Hãy nói chuyện dâm dục” cho các học sinh nữ ở các trường khác đang theo dõi tài khoản này.

Truy cập trái phép vào Facebook và các nền tảng khác

Vào ngày 3 tháng 8 năm 2016 (năm 2016 theo lịch Gregory), Tòa án quận Tokyo đã tuyên phạt một bị cáo (29 tuổi) 2 năm 6 tháng tù giam vì vi phạm Luật cấm truy cập trái phép Nhật Bản khi anh ta lặp đi lặp lại việc truy cập trái phép vào Facebook và các nền tảng khác để lấy thông tin cá nhân. Tuy nhiên, tòa án đã xem xét việc bị cáo không tiết lộ thông tin mà anh ta đã xem lén, không có tiền án và các tình huống khác, và đã quyết định hoãn thi hành án trong 4 năm.

Truy cập trái phép thông tin khách hàng của công ty nơi làm việc

Vào ngày 12 tháng 11 năm 2009 (năm 2009 theo lịch Gregory), Tòa án quận Tokyo đã tuyên phạt một nhân viên công ty (45 tuổi), người đã phụ trách phát triển, vận hành hệ thống thông tin của công ty và hỗ trợ người dùng thông thường, 2 năm tù giam vì anh ta đã truy cập trái phép và cố gắng bán thông tin khách hàng mà công ty đang giữ và đã ăn cắp CD-R.

Tòa án không thể bỏ qua việc anh ta đã thu được lợi nhuận gần 350.000 yên từ việc bán thông tin. Mặc dù không có tiền án và đã bị công ty sa thải như một hình phạt xã hội, tòa án vẫn quyết định không hoãn thi hành án.

Phạt tù 8 năm cho kẻ tấn công mạng

Vào ngày 27 tháng 4 năm 2017 (năm 2017 theo lịch Gregory), Tòa án quận Tokyo đã tuyên phạt một bị cáo (32 tuổi) 8 năm tù giam vì vi phạm Luật cấm các hành vi truy cập trái phép Nhật Bản, lừa dối sử dụng máy tính điện tử, tạo ra và cung cấp hồ sơ điện từ trái phép, cung cấp hồ sơ điện từ trái phép, và vi phạm Luật sóng vô tuyến Nhật Bản. Anh ta đã sử dụng email phishing và virus điều khiển từ xa để truy cập trái phép vào mã nhận dạng ngân hàng trực tuyến của nhiều công ty, thực hiện truy cập trái phép và chuyển tiền trái phép, và ngoài ra, anh ta còn tấn công cơ sở dữ liệu để lấy địa chỉ email và gửi virus điều khiển từ xa để tạo ra tình trạng có thể thực thi.

Anh ta đã sử dụng nhiều phương pháp để tấn công mạng, và để tránh bị phát hiện, anh ta đã sử dụng khóa mã hóa mà anh ta đã lấy trái phép từ trước để kết nối với điểm truy cập LAN không dây của người khác, đôi khi còn thông qua máy chủ trung gian để che giấu nguồn kết nối, và trước khi chuyển tiền trái phép, anh ta thay đổi địa chỉ email liên lạc. Tổng thiệt hại tài chính do chuyển tiền trái phép là hơn 5,19 triệu yên, và ngay sau khi được tạm thả do tiền án trước đó cùng loại, anh ta đã tiếp tục phạm tội, dẫn đến mức án nặng như vậy.

Nếu trong quá trình tấn công như vậy, có email mà tội phạm đã gửi, có thể xác định tội phạm bằng cách sử dụng email đó làm điểm khởi đầu. Tuy nhiên, ở mức độ dân sự, điều này thường khá khó khăn. Chúng tôi đã đề cập đến điểm này trong bài viết dưới đây.

Biện pháp khi bị truy cập trái phép

Khi sử dụng email hoặc SNS, có thể bạn sẽ bị truy cập trái phép từ người khác. Trong trường hợp này, bạn có thể xử lý như thế nào?

Khởi tố hình sự

Đầu tiên, bạn có thể khởi tố hình sự người đã truy cập trái phép. Truy cập trái phép là một tội phạm và người đã truy cập trái phép sẽ phải chịu trách nhiệm hình sự. Như đã giải thích ở trên, người đó có thể bị phạt tù dưới 3 năm hoặc phạt tiền dưới 1 triệu yên, và nếu có người đã hỗ trợ hành vi đó, họ có thể bị phạt tù dưới 1 năm hoặc phạt tiền dưới 500.000 yên.

Tuy nhiên, vi phạm luật cấm truy cập trái phép là một tội không cần tố giác, nên cảnh sát có thể bắt đầu điều tra và bắt giữ tội phạm ngay cả khi không có tố giác. Ngoài ra, không chỉ người bị truy cập trái phép, mà bất kỳ ai biết về sự việc cũng có thể tố giác với cảnh sát.

Như đã đề cập trong bài viết về tội cản trở công việc, tội cần tố giác là “tội phạm mà không thể khởi tố nếu không có tố giác hình sự từ nạn nhân”, nhưng điều đó không có nghĩa là “không thể tố giác nếu không phải là tội cần tố giác”. Ngay cả trong trường hợp của tội không cần tố giác, nạn nhân cũng có thể tố giác tội phạm.

Ngay cả khi là tội không cần tố giác, nếu nạn nhân tố giác hình sự, tình cảnh của bị can sẽ trở nên tồi tệ hơn và có thể bị phạt nặng hơn. Nếu bạn nhận ra rằng bạn đã bị truy cập trái phép, hãy thảo luận với luật sư và nộp đơn tố giác hoặc báo cáo thiệt hại cho cảnh sát. Khi nhận được đơn tố giác, cảnh sát sẽ tiến hành điều tra ngay lập tức và bắt giữ hoặc chuyển giao bị can.

Yêu cầu bồi thường dân sự

Trong trường hợp bị thiệt hại do truy cập trái phép, bạn có thể yêu cầu bồi thường dân sự từ người gây hại dựa trên Điều 709 của Bộ luật Dân sự Nhật Bản.

Bộ luật Dân sự Điều 709
Người đã vi phạm quyền của người khác hoặc lợi ích được bảo vệ theo pháp luật do cố ý hoặc sơ suất phải chịu trách nhiệm bồi thường thiệt hại phát sinh từ việc đó.

Nếu người gây hại truy cập trái phép và phát tán thông tin cá nhân thu được từ đó, hoặc nếu họ ăn cắp các mục trong trò chơi xã hội, hoặc nếu họ truy cập vào dữ liệu thẻ tín dụng hoặc tài khoản ngân hàng và gây ra thiệt hại về tài sản, hãy yêu cầu bồi thường thiệt hại, bao gồm cả tiền đền bù tinh thần. Tất nhiên, nếu dữ liệu thẻ tín dụng hoặc tài khoản ngân hàng của bạn bị truy cập và gây ra thiệt hại về tài sản thực tế, bạn cũng có thể yêu cầu bồi thường cho những thiệt hại đó.

Tuy nhiên, để yêu cầu bồi thường thiệt hại từ người gây hại, bạn phải xác định được tội phạm và thu thập bằng chứng rằng họ thực sự đã truy cập trái phép, vì vậy bạn cần có kiến thức chuyên môn cao. Nếu bạn bị thiệt hại do truy cập trái phép, bạn cần tìm kiếm sự tư vấn của một luật sư có kinh nghiệm về vấn đề mạng và yêu cầu họ thực hiện các thủ tục.