Informatikai csalások Marbellában

Az adathalászat mint informatikai csalás (CP 249.1.a cikk): megtévesztés és tévedés nélkül

Az adathalászat (phishing) – olyan üzenetek küldése, amelyek egy megbízható intézménynek kiadva magukat a sértett banki hozzáférési adatainak megszerzésére irányulnak – nem illeszkedik a CP 248.1. cikke szerinti hagyományos csalás tényállásába, amely olyan megtévesztést kíván meg, amely a sértettben közvetlenül olyan tévedést idéz elő, amely saját vagyoni rendelkezésének meghatározó oka. A joggyakorlat pontosította e tényállás sajátos jellegét:

„…ha a mást beleegyezése nélkül vagyonától megfosztó magatartást az informatikai rendszer manipulálásával valósítják meg… a 248.2. cikk szerinti tényállás valósul meg.”

A banki adathalászat esetében a sértett nem tudatosan rendelkezik a vagyonáról: maguk az elkövetők férnek hozzá közvetlenül a számlához, és ők indítják el a jóvá nem hagyott átutalást, miután a kezdeti megtévesztéssel megszerezték a hozzáférési adatokat. Ennek a technikai különbségtételnek – vagyis annak, hogy a sértett részéről nincs önkéntes vagyoni rendelkezés – jelentős gyakorlati következményei vannak, többek között az a közel objektív felelősségi rendszer, amelyet a pénzforgalmi szolgáltatásokról szóló uniós szabályozás ír elő a bankok számára: ezek kötelesek haladéktalanul visszatéríteni az elvont összegeket, kivéve, ha bizonyítják a számlatulajdonos súlyos gondatlanságát.

A „pénzöszvér” (mulero bancario): csalás, pénzmosás vagy orgazdaság

E terület egyik legvitatottabb kérdése annak a személynek a jogi megítélése, aki hamis távmunka-ajánlatok révén beszervezve a bankszámláját bocsátja rendelkezésre az elvont pénz fogadására, majd jutalék fejében külföldre továbbutalja – ő az úgynevezett „pénzöszvér” vagy „kiberpénzöszvér”. A joggyakorlat ingadozott e magatartás minősítésében: az informatikai csaláshoz nyújtott szükségszerű bűnsegély (cooperación necesaria), orgazdaság (receptación) vagy pénzmosás között, és túlnyomórészt ez utóbbi, gondatlan alakzata mellett döntött azokban az esetekben, amikor a pénz bűncselekményből származásának biztos ismerete nem bizonyított, a körülményekből fakadó észszerű gyanú azonban igen:

„…azzal, hogy számláján bűncselekményből származó összeget fogadott be, és annak elrejtéséhez hozzájárult, azt egy személynek továbbutalva… súlyos gondatlanságból elkövetett pénzmosást valósít meg.”

Ez a minősítés lényegesen enyhébb büntetéssel jár, mint az informatikai csalás, ezért következetesen erre törekszünk azok védelmében, akik e hálózatok utolsó láncszemeként, a teljes bűnözői konstrukció tényleges ismerete nélkül vettek részt. Ha pedig semmilyen gyanúra okot adó körülmény nem állt fenn – mert az együttműködési ajánlat észszerűen jogszerűnek tűnt –, a büntetőjogi felelősség teljesen ki is zárható.

Bankkártyák klónozása és csalárd felhasználása (CP 249.1.b cikk)

A CP 249.1.b) cikke önálló tényállásként bünteti azt, aki hitel- vagy betéti kártya, utazási csekk vagy az ezeken szereplő adatok felhasználásával bármilyen műveletet végez a jogosult vagy harmadik személy kárára. Ez a tényállás egyaránt alkalmazandó a kártya mágnescsíkjának vagy chipjének skimming eszközökkel történő fizikai klónozására, valamint a más módon – akár éppen adathalászattal – megszerzett adatok felhasználására, ha azokkal a jogosult beleegyezése nélkül vásárolnak vagy készpénzt vesznek fel. A Tribunal Supremo büntető kollégiumának (Sala Segunda) nem ítélkező teljes ülése 2002. június 28-i megállapodásában (Acuerdo del Pleno no jurisdiccional) megerősítette e tényállás alkalmazását függetlenül attól, hogy a felhasználás bankautomatánál, POS-terminálon vagy e-kereskedelmi platformon történik, feltéve hogy az elkövető tudott arról, hogy a felhasznált adatokra nincs felhatalmazása.

Zsarolóvírus: informatikai szabotázs és kiberzsarolás között

A zsarolóvírus (ransomware) – a sértett rendszereinek vagy fájljainak rosszhiszemű titkosítása, amelynek feloldásáért váltságdíjat követelnek – a Büntető Törvénykönyvben nem rendelkezik külön tényállással, ezért a meglévő tényállások alapján összetett jogi minősítést igényel. Maga a támadás – az adatok titkosítása vagy zárolása – a CP 264. cikke szerinti informatikai rongálásnak minősül, amely minősített esetként büntetendő, ha különösen súlyos kárt okoz, nagy számú rendszert érint, vagy kifejezetten erre a célra tervezett programmal követik el, a CP 264 ter cikke szerint; ha a támadás a rendszer egészének működését hivatott akadályozni, a CP 264 bis cikke alkalmazandó. Ehhez járul – amennyiben a támadást váltságdíj követelése kíséri azzal a fenyegetéssel, hogy az adatokhoz való hozzáférést nem állítják helyre, vagy „kettős zsarolás” esetén azzal, hogy fizetés hiányában nyilvánosságra hozzák őket – a CP 243. cikke szerinti zsarolás (extorsión) lehetséges megvalósulása, az informatikai rongálással eszközcselekményi halmazatban (concurso medial). Az, hogy e tényeket informatikai szabotázsként, csalásként vagy zsarolásként minősítik – mindegyik saját büntetési és eljárási rendszerrel –, a támadás pontos mechanizmusának részletes technikai elemzésén múlik; ezt igazságügyi informatikai szakértőink támogatásával már az első eljárási cselekménytől kezdve elvégezzük.