التخريب الرقمي في ماربيا
التخريب الرقمي والفيروسات والإضرار بالأنظمة المعلوماتية
بعيداً عن تطبيقها على برامج الفدية (ransomware)، الذي تناولناه في المحتوى المتعلق بالاحتيال الإلكتروني، تتسم جرائم الإتلاف المعلوماتي (daños informáticos) المنصوص عليها في المواد من 264 إلى 264 رابعاً (264 quater) من قانون العقوبات الإسباني (Código Penal, CP) بتعقيد فقهي خاص بها، يعترف به الفقه المتخصص نفسه بوصفه من أصعب مجالات التفسير في القانون الجنائي المعلوماتي الإسباني بأسره، ويرجع ذلك إلى حد كبير إلى غياب اجتهاد قضائي راسخ صادر عن Tribunal Supremo (المحكمة العليا الإسبانية) يحدد معايير موحدة. وفي RAKH ABOGADOS نتعامل مع هذا المجال بدعم من خبراء في التحليل الجنائي الرقمي قادرين على إعادة بناء الطبيعة الدقيقة للهجوم بدقة فنية، وهي مسألة تتوقف عليها، في جميع الحالات تقريباً، جدوى الاتهام ذاته.
اشتراط «الجسامة المزدوجة»: مفهوم بلا تعريف قانوني
تعاقب المادة 264.1 من قانون العقوبات مَن يقوم، دون إذن وبصورة جسيمة، بمحو بيانات معلوماتية أو برامج معلوماتية أو مستندات إلكترونية مملوكة للغير، أو إتلافها، أو إفسادها، أو تغييرها، أو حذفها، أو جعلها غير قابلة للوصول، متى كانت النتيجة المترتبة جسيمة. وقد رأى الفقه المتخصص في هذه الصياغة اشتراطاً لـ«جسامة مزدوجة» —في السلوك وفي النتيجة— لم يعرّفه المشرّع في أي موضع، تاركاً تحديده للتفسير القضائي حالةً بحالة. ويُفضي هذا الغموض عملياً إلى قرارات متباينة: فبينما قضت بعض المحاكم الإقليمية (Audiencias Provinciales) بالبراءة في حالات محو بيانات يسهل استرجاعها لعدم بلوغ النتيجة حد الجسامة المطلوب، أدانت محاكم أخرى في ظروف تثير، إذا حُلّلت بدقة فقهية، شكوكاً جدية حول انطباق النص الجنائي عليها. ويُعدّ إخضاع توافر هذا الاشتراط المزدوج للجسامة للمواجهة والنقاش —لا مجرد التحقق من وقوع ضرر ما— أولَ جبهات دفاعنا في هذه الإجراءات وأكثرها فعالية.
إتلاف البيانات (المادة 264 CP) مقابل عرقلة النظام (المادة 264 مكرراً CP)
يميّز القانون بين سلوكين ينبغي عدم الخلط بينهما. فالمادة 264 من قانون العقوبات تحمي سلامة البيانات أو البرامج أو المستندات الإلكترونية في حد ذاتها. أما المادة 264 مكرراً (264 bis)، فتعاقب، على خلاف ذلك، مَن يقوم، دون إذن وبصورة جسيمة، بعرقلة سير عمل نظام معلوماتي مملوك للغير أو قطعه، عن طريق إدخال بيانات أو نقلها، أو بتدمير هذا النظام أو إتلافه أو تعطيله أو إزالته أو استبداله —وهي الصورة النموذجية لهجمات حجب الخدمة (DDoS)، التي تشلّ الخادم بإغراقه بحجم هائل من الطلبات المصطنعة—. ويكشف الاجتهاد القضائي الشحيح المتعلق بهذه الجريمة صعوبة تطبيقها: ففي «قضية Anonymous» الشهيرة، المتعلقة بهجوم حجب خدمة استهدف مواقع إلكترونية مؤسسية، أصدرت المحكمة الجنائية (Juzgado de lo Penal) حكماً بالبراءة، أُيّد في الاستئناف، لعدم ثبوت جسامة العرقلة المسبَّبة ثبوتاً كافياً. ومن ثمّ فإن التحديد الدقيق، عبر الخبرة الفنية، لما إذا كان الهجوم موضوع التحقيق قد بلغ فعلاً حد الجسامة هذا أمرٌ حاسم.
الأفعال التحضيرية المعاقب عليها: إنشاء البرمجيات الخبيثة (malware) وتوزيعها (المادة 264 ثالثاً CP)
تُقدِّم المادة 264 ثالثاً (264 ter) من قانون العقوبات حاجز العقاب إلى لحظة سابقة على الهجوم نفسه: إذ تعاقب بالسجن من ستة أشهر إلى سنتين أو بالغرامة لمدة تتراوح من ثلاثة إلى ثمانية عشر شهراً كلَّ مَن يقوم، دون أن يكون مأذوناً له على النحو الواجب، بإنتاج برنامج معلوماتي صُمّم أو كُيّف أساساً لارتكاب جرائم الإتلاف أو العرقلة المنصوص عليها في المادتين 264 و264 مكرراً، أو باقتنائه لاستعماله، أو باستيراده، أو بتيسيره للغير، أو يقوم بأيٍّ من ذلك بالنسبة إلى كلمة مرور أو رمز دخول أو بيانات مماثلة تتيح الدخول إلى نظام معلوماتي كله أو جزء منه. وهي جريمة مستقلة لا تشترط أن يُستخدم البرنامج الخبيث فعلاً: فمجرد إنشاء البرنامج الضار أو حيازته بقصد استعماله أو توزيعه يكفي لقيام الجريمة، مما يجعل تحليل الغاية التي صُمّم من أجلها —لا النتيجة التي قد يكون أحدثها فحسب— العنصرَ المحوري في الدفاع في هذه الحالات.
الصور المشددة: البنى التحتية الحيوية والصلة بالإرهاب
ترفع المادة 264.2 من قانون العقوبات العقوبة إلى السجن من سنتين إلى خمس سنوات عند توافر أحد الظروف المشددة: ارتكاب الفعل في إطار منظمة إجرامية، أو إحداث أضرار بالغة الجسامة أو إصابة عدد كبير من الأنظمة المعلوماتية، أو الإضرار الجسيم بسير الخدمات العامة الأساسية أو بتوفير السلع الأساسية، أو إصابة النظام المعلوماتي لبنية تحتية حيوية، مع إحداث حالة خطر جسيم على أمن الدولة أو الاتحاد الأوروبي أو إحدى الدول الأعضاء فيه. كما تفرض المادة 264.3 النصف الأعلى من العقوبة في حالات الجسامة الخاصة المرتبطة بهذه الظروف ذاتها. ومن الأهمية بمكان أن المادة 573.2 من قانون العقوبات تجيز تكييف هذه الوقائع ذاتها جريمةً إرهابية متى توافرت الغاية الخاصة التي يشترطها هذا النص، بما يستتبعه ذلك من آثار إجرائية وعقابية، ومنها اختصاص Audiencia Nacional (المحكمة الوطنية الإسبانية). ولذلك فإن التحليل الدقيق لمدى توافر هذه الغاية الإرهابية فعلاً، لا دافع آخر —احتجاجي أو ربحي أو تخريبي عبثي محض—، أمرٌ أساسي لتجنب تكييف قانوني غير متناسب.
المسؤولية الجنائية للشركة (المادة 264 رابعاً CP)
تمدّ المادة 264 رابعاً من قانون العقوبات المسؤولية الجنائية إلى الأشخاص الاعتبارية حين تُرتكب جرائم الإتلاف المعلوماتي باسمها أو لحسابها ولمنفعتها المباشرة أو غير المباشرة، بغرامات قد تصل مدتها إلى خمس سنوات بحسب جسامة الفعل. ويشكّل وجود برنامج للامتثال الجنائي (compliance penal) خاص بالأمن السيبراني —بروتوكولات الدخول، والتدقيق الدوري، وتدريب الموظفين، وقناة الإبلاغ—، كما في سائر الجرائم الاقتصادية، الأداةَ الوقائية والدفاعية الرئيسية للمؤسسة في مواجهة هذه المسؤولية، ولا سيما حين يصدر الهجوم عن موظف أو عن طرف ثالث استغل صلاحيات دخول أتاحتها أوجه القصور في الرقابة الداخلية.
استراتيجيتنا الدفاعية
- الطعن في الجسامة المزدوجة: نُخضع للمواجهة والنقاش، بتقرير خبرة معلوماتية مستقل، جسامةَ السلوك وجسامةَ النتيجة معاً، مع التحقق من مدى سهولة استعادة البيانات أو الأنظمة المتضررة.
- التكييف الصحيح بين الإتلاف والعرقلة: نحدد ما إذا كانت الوقائع تندرج تحت المادة 264 أو المادة 264 مكرراً من قانون العقوبات، بالنظر إلى ما إذا كان الهجوم قد طال البيانات في حد ذاتها أو السير العام للنظام.
- تحليل الغاية من البرنامج في إطار المادة 264 ثالثاً: حين يُنسب إلى الموكّل إنشاء برمجيات خبيثة أو حيازتها، نحلل تصميمها وغايتها الحقيقية، مميّزين بين أدوات الأمن المعلوماتي المشروعة والبرمجيات الخبيثة بالمعنى الدقيق.
- الطعن في التكييف الإرهابي أو المتعلق بالبنى التحتية الحيوية: نتحقق من التوافر الفعلي للظروف المشددة المنصوص عليها في المادتين 264.2 و264.3 من قانون العقوبات، وللغاية الخاصة التي تشترطها المادة 573.2.
هل خضعتم للتحقيق بسبب هجوم معلوماتي، أو بسبب إنشاء برمجيات خبيثة أو توزيعها، أو تعرّضت شركتكم لتخريب رقمي؟ إن التكييف الفني والقانوني الصحيح لهذه الوقائع يقتضي تحليلاً دقيقاً قائماً على الخبرة الفنية. وفي RAKH ABOGADOS نجمع بين الدقة القانونية والخبرة في التحليل الجنائي الرقمي للدفاع عن مصالحكم في جميع أنحاء إسبانيا.
الأسئلة الشائعة والمسرد والمقارنات
الأسئلة الشائعة
ما الفرق بين إتلاف البيانات المعلوماتية وتعطيل نظام بهجوم حجب الخدمة (DDoS)؟
عرض الإجابة في الأسئلة الشائعة ←هل يُعدّ إنشاء برنامج خبيث (malware) أو حيازته جريمةً حتى وإن لم يُستخدم؟
عرض الإجابة في الأسئلة الشائعة ←