Malware, DDoS-támadások és kritikus infrastruktúrák

Informatikai szabotázs Marbellában

Szöveg

Informatikai szabotázs, vírusok és informatikai rendszerek károsítása

A spanyol Büntető Törvénykönyv (Código Penal, CP) 264–264 quater. cikkében szabályozott informatikai rongálás (daños informáticos) – a zsarolóvírus-támadásokra (ransomware) való alkalmazásán túl, amellyel az informatikai csalásokról szóló tartalmunkban már foglalkoztunk – sajátos dogmatikai összetettséggel bír: maga a szakirodalom is a spanyol informatikai büntetőjog egyik legnehezebben értelmezhető területének tartja, nagyrészt azért, mert hiányzik a Tribunal Supremo (a spanyol Legfelsőbb Bíróság) egységes szempontokat rögzítő, kiforrott ítélkezési gyakorlata. A RAKH ABOGADOS ügyvédi irodánál e területen igazságügyi informatikai szakértők támogatásával dolgozunk, akik műszaki pontossággal képesek rekonstruálni a támadás pontos jellegét – a gyakorlatban szinte minden esetben ezen múlik, hogy a vád egyáltalán megállja-e a helyét.

A „kettős súlyosság” követelménye: törvényi meghatározás nélküli fogalom

A CP 264.1. cikke azt bünteti, aki engedély nélkül és súlyos módon más számítógépes adatait, programjait vagy elektronikus dokumentumait törli, károsítja, rongálja, megváltoztatja, megsemmisíti vagy hozzáférhetetlenné teszi, ha az előidézett eredmény súlyos. A szakirodalom e megfogalmazásban a – magatartásra és eredményre egyaránt vonatkozó – „kettős súlyosság” követelményét azonosította, amelyet a jogalkotó sehol nem határozott meg, így annak tartalmát az eseti bírói értelmezésre bízta. Ez a határozatlanság a gyakorlatban eltérő döntésekhez vezet: míg egyes tartományi bíróságok (Audiencias Provinciales) könnyen helyreállítható adatok törlése esetén felmentő ítéletet hoztak, mert az eredmény nem érte el a súlyossági küszöböt, mások olyan körülmények között ítéltek el, amelyek dogmatikai alapossággal vizsgálva komoly kétségeket vetnek fel a tényállásszerűséget illetően. E kettős súlyossági követelmény fennállásának vitatása – és nem csupán annak megállapítása, hogy valamilyen kár keletkezett – az első és leghatékonyabb védelmi vonalunk ezekben az eljárásokban.

Adatrongálás (CP 264. cikk) és rendszerakadályozás (CP 264 bis. cikk) elhatárolása

A törvénykönyv két magatartást különböztet meg, amelyeket nem szabad összekeverni. A CP 264. cikke magukat az adatokat, programokat vagy elektronikus dokumentumokat, azok integritását védi. A CP 264 bis. cikke ezzel szemben azt bünteti, aki engedély nélkül és súlyos módon akadályozza vagy megszakítja más informatikai rendszerének működését adatok bevitelével vagy továbbításával, illetve a rendszer megsemmisítésével, károsításával, használhatatlanná tételével, eltávolításával vagy lecserélésével – ennek tipikus esete a szolgáltatásmegtagadással járó (DDoS) támadás, amely tömeges mennyiségű szimulált kéréssel bénítja meg a szervert. Az e tényállással kapcsolatos szűkös ítélkezési gyakorlat jól mutatja alkalmazásának nehézségét: a közismert „Anonymous-ügyben”, amely intézményi weboldalak elleni szolgáltatásmegtagadásos támadásra vonatkozott, a büntető egyesbíróság (Juzgado de lo Penal) felmentő ítéletet hozott, amelyet a fellebbezési eljárásban helybenhagytak, mivel az okozott akadályozás súlyossága nem nyert kellő bizonyítást. Ezért döntő jelentőségű, hogy szakértői pontossággal megállapítsuk, a vizsgált támadás valóban elérte-e ezt a súlyossági küszöböt.

Büntetendő előkészületi cselekmények: kártevő programok (malware) létrehozása és terjesztése (CP 264 ter. cikk)

A CP 264 ter. cikke a büntetendőség határát már a támadást megelőző időpontra hozza előre: hat hónaptól két évig terjedő szabadságvesztéssel vagy három hónaptól tizennyolc hónapig terjedő napitételes pénzbüntetéssel bünteti azt, aki megfelelő felhatalmazás nélkül olyan számítógépes programot állít elő, szerez be használat céljából, hoz be külföldről vagy bocsát harmadik személyek rendelkezésére, amelyet elsősorban a CP 264. és 264 bis. cikkében meghatározott rongálási vagy akadályozási bűncselekmények elkövetésére terveztek vagy alakítottak át, illetve olyan jelszót, hozzáférési kódot vagy hasonló adatot, amely lehetővé teszi egy informatikai rendszer egészéhez vagy egy részéhez való hozzáférést. Önálló bűncselekményről van szó, amely nem követeli meg, hogy a kártevő programot ténylegesen fel is használják: a káros program puszta létrehozása, felhasználási célú birtoklása vagy terjesztése már megvalósítja a tényállást. Ezért ezekben az esetekben a védelem központi eleme annak elemzése, hogy a programot milyen célra tervezték – és nem csupán az, hogy esetlegesen milyen eredményt idézett elő.

Minősített esetek: kritikus infrastruktúrák és kapcsolat a terrorizmussal

A CP 264.2. cikke két évtől öt évig terjedő szabadságvesztésre emeli a büntetést, ha valamely minősítő körülmény fennáll: bűnszervezet keretében történő elkövetés, különösen súlyos kár okozása vagy nagyszámú informatikai rendszer érintettsége, az alapvető közszolgáltatások működésének vagy az alapvető szükségleti cikkekkel való ellátásnak a súlyos sérelme, illetve valamely kritikus infrastruktúra informatikai rendszerének érintettsége, ha ezzel az állam, az Európai Unió vagy valamely tagállam biztonságára nézve súlyos veszélyhelyzetet idéznek elő. A CP 264.3. cikke ezenfelül a büntetési tétel felső felének alkalmazását írja elő az ugyanezen körülményekhez kapcsolódó különösen súlyos esetekben. Különösen lényeges, hogy a CP 573.2. cikke lehetővé teszi ugyanezen cselekmények terrorcselekményként való minősítését, ha fennáll az e rendelkezés által megkövetelt különös célzat – az ezzel járó eljárásjogi és büntetési következményekkel együtt, ideértve az Audiencia Nacional (a spanyol központi büntetőbíróság) hatáskörét is. Annak alapos vizsgálata, hogy valóban terrorista célzat áll-e fenn, és nem más – tiltakozó, haszonszerzési vagy pusztán vandál – indíték, elengedhetetlen az aránytalan jogi minősítés elkerüléséhez.

A vállalat büntetőjogi felelőssége (CP 264 quater. cikk)

A CP 264 quater. cikke kiterjeszti a büntetőjogi felelősséget a jogi személyekre, ha az informatikai rongálás bűncselekményeit a nevükben vagy megbízásukból, közvetlen vagy közvetett előnyükre követik el; a cselekmény súlyától függően legfeljebb ötévnyi napitételes pénzbüntetés szabható ki. A kiberbiztonságra vonatkozó külön büntetőjogi megfelelési (compliance) program – hozzáférési protokollok, rendszeres auditok, a munkavállalók képzése, bejelentési csatorna – a többi gazdasági bűncselekményhez hasonlóan a szervezet legfontosabb megelőző és védekezési eszköze e felelősséggel szemben. Ez különösen akkor lényeges, ha a támadás egy munkavállalótól vagy olyan harmadik személytől ered, aki a belső kontroll hiányosságai folytán megszerzett hozzáféréseket használta ki.

Védekezési stratégiánk

A kettős súlyosság vitatása: független informatikai szakértői véleménnyel vitatjuk mind a magatartás, mind az eredmény súlyosságát, és megvizsgáljuk, mennyire könnyen állíthatók helyre az érintett adatok vagy rendszerek.
Helyes minősítés a rongálás és az akadályozás között: megállapítjuk, hogy a tények a CP 264. vagy 264 bis. cikke alá tartoznak-e, aszerint, hogy a támadás magukat az adatokat vagy a rendszer egészének működését érintette.
A program céljának elemzése a 264 ter. cikk alapján: ha a vád kártevő szoftver létrehozását vagy birtoklását rója fel, megvizsgáljuk annak felépítését és valódi rendeltetését, elhatárolva a jogszerű informatikai biztonsági eszközöket a tényleges kártevő programoktól.
A terrorcselekményként vagy kritikus infrastruktúra elleni cselekményként való minősítés vitatása: ellenőrizzük, hogy a CP 264.2. és 264.3. cikkében szabályozott minősítő körülmények, valamint a CP 573.2. cikke által megkövetelt különös célzat ténylegesen fennállnak-e.

Informatikai támadás, kártevő program létrehozása vagy terjesztése miatt nyomozás indult Ön ellen, vagy vállalkozását informatikai szabotázs érte? E tények helyes műszaki és jogi minősítése alapos szakértői elemzést igényel. A RAKH ABOGADOS a jogi alaposságot az igazságügyi informatikai szakértelemmel ötvözi, hogy egész Spanyolországban megvédje az Ön érdekeit.

Gyakori kérdések

Mi a különbség a számítógépes adatok károsítása és egy rendszer DDoS-támadással történő megbénítása között?

Válasz a Gyakori kérdések között →

Bűncselekmény-e kártevő program (malware) létrehozása vagy birtoklása, ha azt nem is használják fel?