MALWARE - ЗЛОЧИН І КАРА

Більшість злочинів, скоєних в Інтернеті, так чи інакше пов'язані з використанням шкідливого програмного забезпечення. Оскільки такі дії є переважно суспільно-небезпечними, створення шкідливих програм і їх експлуатація тягнуть за собою певні кримінально-правові наслідки. У зв'язку з цим, необхідним стає аналіз чинного законодавства в цій сфері та його відповідність поточному рівню розвитку суспільних відносин.

Зазначу, що метою цієї статті є розгляд шкідливого програмного забезпечення в першу чергу з точки зору кримінально-правової відповідальності за її створення та використання в Україні; виявлення певних неточностей регулювання такої відповідальності і можливі шляхи їх усунення.

Визначення поняття.

Згідно із загальноприйнятим підходом, шкідлива програма (шкідливе програмне забезпечення; malware, malicious software - «зловмисне програмне забезпечення») - будь-яке програмне забезпечення, метою якого є отримання несанкціонованого доступу до обчислювальних ресурсів ЕОМ, або інформації, що зберігається на ЕОМ, для заподіяння шкоди шляхом копіювання, спотворення або видалення інформації, або ж зміни прав доступу до інформації. Може проявлятися у вигляді виконуваного коду, скрипта, активного контенту або іншого програмного забезпечення.

Ключовим моментом є отримання «несанкціонованого» доступу до ресурсів та/або інформації без відома користувача або власника системи. На рівні міжнародних актів у сфері інформаційної безпеки, зокрема в Директиві ЄС про атаки на інформаційні системи, епітет «неправомірний» (див. Несанкціонований) розглядається як доступ/втручання/перехоплення даних, який здійснюється особою, не уповноваженою власником або іншим правовласником системи або її частини, або не допускається відповідно до національного законодавства (країн-учасниць ЄС - прим.)

Крім того, таке втручання характеризується «злим умислом» - умислом (за нашим законодавством - виключно прямим) спрямованим на порушення роботи комп'ютера або отримання доступу до інформації. За цим критерієм можливо розмежування шкідливого ПО від дефектного ПО, яке може заподіяти ненавмисний шкоду внаслідок помилок, що не були виправлені до випуску програми. Дефектне ПО є легальним.

Таким чином, malware - це найбільш широкий термін, який вживається для різних форм шкідливого програмного забезпечення, створення і застосування яких є протиправним, характеризується умислом на нанесення шкоди і не санкціоновано суб'єктом, на якого спрямована атака.

У Кримінальному кодексі України передбачена окрема стаття (ст. 361-1 КК), що встановлює відповідальність за створення з метою використання, розповсюдження або збуту, а також розповсюдження або збут шкідливих програмних чи технічних засобів, призначених для несанкціонованого втручання в роботу електронно-обчислювальних машин (комп'ютерів), автоматизованих систем, комп'ютерних мереж або мереж електрозв'язку.

На рівні підзаконних нормативних актів термін «програмний засіб» визначається як:

а) 2000 рік - взаємопов'язана сукупність програм, процедур, правил, документів і даних, що стосуються функціонування обчислювальної системи (що є, по суті, визначенням програмного забезпечення); [Постанова КМУ Про затвердження Порядку локалізації програмних продуктів (програмних засобів) для виконання Національної програми інформатизації від 16.11.1998 № 1815]

б) 2009 рік - як комп'ютерна програма, взаємопов'язана сукупністю комп'ютерних програм, процедур, правил, документації та даних (комбінація розуміння ПС як відокремленої програми, і як ПЗ) [Постанова КМУ Про затвердження загальних вимог до програмних продуктів, які закуповуються та створюються на замовлення державних органів від 12.08.2009 № 869].

Відповідно, під програмним засобом розуміється як одна комп'ютерна програма, так і програмне забезпечення в цілому.

Відповідно до Закону «Про авторське право і суміжні права» комп'ютерна програма - це набір інструкцій у вигляді слів, цифр, коду, схем, символів чи в будь-якому іншому вигляді, виражені у формі, придатній для зчитування комп'ютером, які приводять його в дію для досягнення певної мети або результату (це поняття охоплює як операційну систему, так і прикладну програму, виражені у вихідному або об'єктному кодах).

При такому підході з обсягу предмета злочину, передбаченого ст. 361-1 КК за формальними ознаками «випадає» один з найбільш доступних і поширених способів злому сайтів - SQL ін'єкція. Суть таких ін'єкцій - впровадження в дані (передані через GET, POST запити або значення Cookie) довільного SQL коду. Якщо сайт вразливий і виконує такі ін'єкції, то це може дати можливість атакуючому виконати довільний запит до бази даних (наприклад, прочитати вміст будь-яких таблиць, видалити, змінити або додати дані), отримати можливість читання та/або запису локальних файлів і виконання довільних команд на сервері, що атакується.

SQL ін'єкція не є комп'ютерною програмою, а є тільки модифікованим запитом до бази даних, яка може бути можлива через некоректну обробку вхідних даних, що використовуються в SQL-запитах, зокрема, через відсутність фільтрації вхідних параметрів.

Однак, оскільки об'єктом посягання є комп'ютерна інформація та право власності на неї, то очевидно, що така дія не «випадає» з кримінально-правового регулювання в цілому, і при належній мірі суспільної небезпеки та розміру заподіяного збитку повинна бути кваліфікованою за ч. 1 або ч. 2 ст. 361 КК.

Тут важливо зазначити, що диспозиція ст. 361-1 КК в принципі не передбачає варіант «використання шкідливого програмного засобу», а тільки «створення з метою використання», «поширення» або «збут» такого ПЗ. Таким чином, безпосереднє використання суб'єктом ним же створеної шкідливої програми і отримання з її допомогою несанкціонованого доступу до інформації або порушення роботи комп'ютера утворює сукупність злочинів (ст. 371-1 і ст. 371 КК).

Російський законодавець обрав дещо інший, більш широкий, підхід: ст. 273 КК РФ передбачає відповідальність за створення, розповсюдження чи використання комп'ютерних програм або іншої комп'ютерної інформації (під це визначення потрапляє в тому числі SQL ін'єкція), свідомо призначених для несанкціонованого знищення, блокування, модифікації, копіювання комп'ютерної інформації або нейтралізації засобів захисту комп'ютерної інформації.

«Використання» в КК РФ практично тотожно «поширенню» в КК України: введення цих програм в ЕОМ, систему ЕОМ або їх мережі («закладка» в ПЗ), самовідтворення, а також продаж, обмін, дарування або безоплатна передача іншим особам.

У той же час, в КК РФ передбачена відповідальність за неправомірний доступ тільки до охоронюваної законом комп'ютерної інформації (для якої в спеціальних законах встановлено спеціальний режим її правового захисту, наприклад - державна, службова і комерційна таємниця, персональні дані і т.д.). Це певним чином звужує коло кримінально-караних посягань, в порівнянні з нашим законодавством, однак, в цілому відображає суспільну небезпеку несанкціонованого доступу конкретно до такого виду інформації.

Вважається, що обидва підходи в принципі «покривають» весь масив суспільно-правових відносин, що виникають навколо створення і використання шкідливих програм і проявляються в схожих наслідках для суб'єктів злочинів.

Зверну увагу на те, що відповідно до ч.1 ст.477 Кримінального процесуального кодексу України, кримінальне провадження щодо несанкціонованого втручання в роботу ЕОМ (ч.1 ст. 361 КК) без обтяжливих обставин здійснюється у формі приватного обвинувачення. Це означає, що відкрити кримінальне провадження слідчий або прокурор можуть виключно на підставі заяви потерпілого. Звичайно, це виправдано з точки зору характеру об'єкта злочину (право власності на інформацію) і його приналежності до приватної сфери. Однак, особисто у мене виникає питання, чи повною мірою це відповідає рівню суспільної небезпеки діяння, особливо беручи до уваги активний технологічний розвиток цієї сфери і потенційну загрозу, яку ця дія в собі несе. «Лазівкою» в регулюванні можна назвати той факт, що однією з обтяжливих обставин є «значна шкода», яка у цьому випадку полягає у заподіянні матеріальних збитків обсягом 60 900, 00 грн. (до кінця 2015 року). Можливість інкримінування нематеріальної шкоди (оціночне поняття) для правоохоронних органів залишається важелем впливу на цю сферу суспільних відносин.

Визначення поняття «шкідливий» також представляє інтерес, так як воно є обов'язковою характеристикою програмного засобу як предмета злочину. На думку Верховного Суду України (висловлену в узагальненні судової практики з розгляду справ, передбачених Розділом 16 КК) шкідливий - здатний забезпечити несанкціонований доступ до інформації, а також змінити, знищити, пошкодити, заблокувати інформацію - комп'ютерну або ту, яка передається по мережах електрозв'язку.

В Угоді про співробітництво держав-учасниць СНД у боротьбі зі злочинами в сфері комп'ютерної інформації підписаній від 01.06.2001 шкідлива програма - створена або існуюча програма зі спеціально внесеними змінами, що свідомо приводить до несанкціонованого знищення, блокування, модифікації або копіювання інформації, порушення роботи ЕОМ, системи ЕОМ або їх мережі.

Вважається, що в такому визначенні відображено безпосередній об'єкт посягання - відносини в сфері комп'ютерної інформації, права власності на неї, однак відсутність термінологічної послідовності, легального визначення поняття «шкідливості» в тексті закону, а також відсутність чітких критеріїв віднесення програми до шкідливої ​​може привести до різниці тлумачень положень кримінального кодексу. В цілому, для того, щоб твердження про шкідливість програми мало юридичну силу, необхідно проведення програмно-технічної експертизи з дотриманням всіх встановлених чинним законодавством формальностей.

Наступним проблемним моментом являється «несанкціоноване втручання» в роботу електронно-обчислювальних машин (комп'ютерів), автоматизованих систем, комп'ютерних мереж або мереж електрозв'язку. Нагадаю, що несанкціонований в міжнародному праві - той, який здійснюється особою, не уповноваженою власником або іншим правовласником системи або її частини, або не допускається відповідно до національного законодавства. У нашому законодавстві легальне визначення «несанкціонованого» втручання, яке в повній мірі б підходило під тлумачення диспозиції статті, відсутнє. Наприклад, в контексті втручання в роботу телекомунікаційних мереж несанкціонований - той, який приводить до витоку інформації (однак, при такому розумінні відбувається невиправданий повтор характеристик в ст. 361 і 361-1 КК). В цілому, для нас характерно розуміння несанкціонованих дій як таких, які проводяться з порушенням порядку доступу до інформації; іншими словами - доступ до інформації особи, яка не має на це прав.

В даному контексті необхідно торкнутися теми білого (етичного) хакінгу. Термін "етичний хакінг" також відомий, як тестування на проникнення (пентестінг). Етичний хакер - експерт, який шукає уразливості в системі безпеки, що можуть бути використані зловмисниками, від імені та за замовленням власників такої системи. Для перевірки системи безпеки, етичні хакери використовують ті ж методи і засоби, що і зловмисники, але при цьому етичні хакери зобов'язані повідомляти знайдені вразливості.

Проблемність цього аспекту полягає в тому, що, оскільки склад злочину, передбачений ст. 361-1 КК є за своїм характером формальним, суб'єкт повинен нести кримінальну відповідальність з моменту створення програми, яка потенційно «здатна забезпечити несанкціонований доступ до інформації» навіть без настання наслідків у вигляді отримання такого доступу. Звичайно, суть у назві місії створення: якщо програма написана для проведення тесту на проникнення відповідно до замовлення певної компанії, відповідальність не повинна наступати, оскільки доступ до інформації буде санкціонованим. Так, наприклад, багато компаній і організації (Adobe, Apple, Вконтакте, Банк Англії) регулярно оголошують про проведення відкритих програм винагород за уразливість. Один з найбільш повних переліків - The Bug Bounty List - представлений компанією bugcrowd (https://bugcrowd.com/list-of-bug-bounty-programs).

Однак, хто заважає суб'єкту згодом перепродати таке програмне забезпечення або використовувати самостійно для отримання несанкціонованого доступу. У зв'язку з цим виникає питання, яку форму вираження об'єктивної сторони злочину слід вибрати (чи включається «створення», або тільки «збут», або «поширення») і що вважати моментом закінчення злочину.

Крім того, в світі існує певного роду бізнес з пошуку і продажу вразливостей. Так, наприклад, французька компанія Vupen вже кілька років відкрито продає експлоїти розвідувальним агентствам і державним спецслужбам. На офіційному сайті Vupen Security зазначено, що фірма надає замовникам «послуги з використання експлойтів з метою нападу» (offensive exploit services). Оскільки така активність з боку приватних компаній або фізичних осіб підпадає під дію кримінального кодексу, залишається лише одне - замовниками Vupen Security є державні агентства, правоохоронні органи і розвідувальні служби, оскільки тільки вони мають право легально використовувати такі експлоїти.

Vupen - не єдиний брокер експлойтів на світовому ринку. Крім неї, купівлею експлоїтів у незалежних хакерів з метою перепродажу займаються деякі інші компанії, в тому числі Netragard, Endgame, Northrop Grumman і Raytheon. Також, окремими лабораторіями тестування програмного забезпечення можуть проводитися інтернет-аукціони, основним товаром яких є уразливості, знайдені "продавцями" в програмному забезпеченні (приклад: шведська компанія WSLabi).