Киберпреступление. Законодательство о киберпреступлениях в зарубежных странах Способы борьбы на государственном уровне

Согласно которому в стране вводится строгая уголовная ответственность за создание и распространение вредоносных программ для кибератак. Если закон будет принят, то с 1 января 2017 года опасных хакеров будут сажать в тюрьму.

В настоящий момент преступления в сфере информационных технологий подпадают под действие трех статей Уголовного кодекса под номерами 272-274.

Туда входят неправомерный доступ к компьютерной информации,создание, использование и распространение вредоносных компьютерных программ, а также нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей.

Тем не менее в законопроекте указана острая необходимость появления отдельной статьи на фоне возросшего числа кибератак, направленных на дестабилизацию политической, финансовой и других сфер функционирования страны.

Таким образом, в УК может появиться новая статья под номером 274.1 — «Неправомерное воздействие на критическую информационную инфраструктуру Российской Федерации».

В пояснительной записке к законопроекту есть расшифровка статьи — «создание и (или) распространение компьютерных программ либо иной компьютерной информации, заведомо предназначенных для неправомерного воздействия на критическую инфраструктуру Российской Федерации».

Преступнику грозит штраф в размере от 500 тыс. до 1 млн руб., либо принудительные работы до пяти лет, либо лишение свободы на тот же срок.

В случае возникновения особо тяжких последствий осужденный будет лишен свободы на срок от 5 до 10 лет и потеряет право занимать некоторые должности.

Ведущий вирусный аналитик ESET Russia рассказал «Газете.Ru», что подобные меры можно считать адекватными, если предположить, что злоумышленники будут четко осознавать ответственность и возможные последствия.

«Киберпространство — одна из сфер противостояния между государствами», — сообщил Баранов. — Логично, что осуществляемые там преступления подлежат соответствующей правовой оценке».

Тем не менее аналитик отметил, что не всегда удается отследить таких преступников, чтобы привлечь их к ответственности, так как современные хакеры могут маскировать инфраструктуру атак.

«Находясь на территории одной страны, они используют серверы других государств, что позволяет сбить со следа аналитиков», — пояснил эксперт.

Под один реестр

Пакет законопроектов «О безопасности критической информационной инфраструктуры (КИИ) РФ», включающий ужесточение ответственности за хакерские преступления, был внесен в из-за роста объема финансового ущерба, причиненного кибератаками.

Согласно пояснительной записке, сумма средств, потерянных в результате воздействия вредоносных программ за последние годы, составила от $300 млрд до $1 трлн. Это составляет от 0,4 до 1,4% общемирового ежегодного ВВП.

Отмечается, что применение подобных программ против КИИ может вызвать серьезные последствия, вплоть до катастрофы. В качестве характерных примеров авторы законопроекта вспоминают остановку центрифуг на иранской атомной станции из-за вируса в 2010 году и прекращение работы нескольких крупных финансовых учреждений Южной Кореи в 2013-м.

Одним из направлений работы в сфере обеспечения безопасности КИИ указывается создание специального реестра всех значимых объектов критической информационной инфраструктуры, в котором они будут распределены по категориям.

Владельцы таких объектов будут обязаны самостоятельно следить за функционированием систем безопасности на объекте, а также оказывать содействие по обнаружению и ликвидации киберугроз и их последствий.

Вопрос государственной важности

В настоящий момент тема информбезопасности остро стоит на повестке дня. С 5 декабря 2016 года вступила в силу обновленная Доктрина информационной безопасности России, которая подробно описала все современные вызовы, с которыми сталкивается страна, а также наметила курс на борьбу с ними.

На фоне сообщений о высокой вероятности хакерских атак на крупнейшие финансовые структуры России обеспечением информационной безопасности активно займется и Центробанк.

Ранее сообщила, что во втором квартале 2016 года число пользователей, подвергшихся попытке заражения вредоносным программным обеспечением для кражи денег через системы онлайн-банкинга, выросло на 16%. В связи с этим планирует уже с 2017 года начать проверку безопасности интернет-банкинга.

Совет Федерации одобрил законопроект о внесении в Уголовный кодекс изменений, включающих обновление главы 28 «Преступления в сфере компьютерной информации».

Статья 272 «Неправомерный доступ к компьютерной информации» ранее делилась на две части и предусматривала до 2 лет лишения свободы за индивидуальное правонарушение и до 5 ― за групповое. В новой редакции эта статья состоит из четырех частей, рассматривая отдельно случаи с отягчающими обстоятельствами: корыстная заинтересованность или причинение крупного ущерба (свыше 1 млн. руб., до 4 лет); тяжкие последствия или их угроза (до 7 лет). Потолок штрафа для ОПГ был также повышен до 500 тыс. руб.

Понятие «компьютерная информация» трактуется в примечании к статье как «сведения (сообщения, данные), представленные в форме электрических сигналов, независимо от средств их хранения, обработки и передачи». Несовершенство этой формулировки вызвало нарекания даже у комментаторов из Верховного суда РФ, но корректировать ее не стали. Эксперты сетуют также, что из определения «неправомерный доступ» изъяли столь важное свидетельство вторжения, как «нарушение работы ЭВМ, системы ЭВМ или их сети». Прежняя формулировка позволяла проводить по статье 272 все дела о DDoS-атаках, а теперь тот же Павел Врублевский имеет реальный шанс выйти сухим из воды, передает securelist .

Название статьи 273 было несущественно изменено − «Создание, использование и распространение вредоносных компьютерных программ». К сожалению, из ее текста тоже изъята фраза «нарушение работы ЭВМ, системы ЭВМ или их сети». Однако в определении вредоносной программы появилось такое ее назначение, как «нейтрализация средств защиты компьютерной информации». Как и в предыдущей статье, правонарушения, повлекшие тяжкие последствия, здесь рассматриваются особо. Нижний предел максимального срока, назначаемого вирусописателям и их клиентам, повышен до 4 лет, верхний остался прежним (7 лет).

Поскольку новая редакция главы 28 упразднила устаревший термин «ЭВМ», статья 274 теперь называется «Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей». Такое правонарушение, причинившее крупный ущерб, теперь наказывается более сурово ― штрафом до 500 тыс. руб. или лишением свободы на срок до 2 лет. Если действия правонарушителя повлекли тяжкие последствия, ему грозит тюремный срок до 5 лет (на 1 год больше, чем ранее).

Остается надеяться, что изъяны, допущенные в обновленных статьях главы 28 УК РФ, равно как и те, которые обнаружатся в ходе их применения, не помешают вершить правосудие либо будут исправлены в рабочем порядке.

В кластере по информационной безопасности при Российской ассоциации электронных коммуникаций (РАЭК) обсудили поправки в Уголовный кодекс (УК), повышающие ответственность за компьютерные преступления, сообщила агентству RNS Ирина Левова из Института исследований интернета. В обсуждении участвовали представители МВД, ФСБ, Microsoft , «Лаборатории Касперского», Group-IB, РАЭК и др.

Поправки, продолжала Левова, должны уточнить составы киберпреступлений: статьи УК (272, 273, 274) устарели, не учитывают новейших технологических особенностей киберпреступлений, наказания стали несоразмерны тяжести преступлений. Примеры преступлений, которые не подпадают под действующие статьи УК, приводит сотрудник компании, участвующей в разработке поправок: это и DDoS-атаки, и взлом личной почты, и воровство фотографий со смартфона.

Андрей Ярных из «Лаборатории Касперского» подтвердил, что работа над поправками в УК идет, но содержания их не раскрыл.

У РАЭК нет полномочий вносить поправки, но ассоциация может направить их депутатам или Минкомсвязи, говорит директор РАЭК Сергей Плуготаренко – и предупреждает, что работа предстоит большая.

Профилактика

Поправки в УК проблемы не решат, говорит Дмитрий Кузнецов из Positive Technologies: «Уголовный закон в США грозит киберпреступнику десятками лет заключения, но на уровень киберпреступности это не влияет». Карательные меры неэффективны, уверен он: раскрываемость крайне низка, преступления часто трансграничны, так что основное для законодателей – предупреждение киберпреступности и реакция на нее.

Работу над статьями УК о киберпреступности ведет и группа, в которой участвуют Сбербанк , МВД и Центробанк, рассказывает человек, близкий к одной из этих организаций. Предлагается передать ст. 159.6 (киберпреступления) из состава мошенничества в состав кражи (ст. 158), говорит сотрудник центрального аппарата МВД: «Это правильно по сути, поскольку хищение денежных средств с применением компьютерных технологий – разновидность кражи со взломом, причем обычно в особо крупных размерах и организованной группой».

ЦБ, МВД и финансисты действительно приняли участие в разработке законопроекта, который квалифицирует киберпреступления в финансовой сфере как кражу, говорит представитель ЦБ, сейчас наказание за киберпреступления в финансовой сфере не соответствует ущербу – похитители миллионов рублей могут отделаться условным сроком. ЦБ поддержал законопроект, в котором есть эти две новеллы: считать киберпреступление в финансовой сфере кражей; увеличить наказание за киберпреступления до 5–10 лет лишения свободы.

Гендиректор и основатель Group-IB Илья Сачков говорит, что мало ужесточать законы о киберпреступности в России, часто киберпреступления совершаются международными группами и для их поимки нужно действовать сообща с другими странами. Необходимо также обучать судей технологической тематике, продолжает Сачков, нужно увеличить оперативный состав МВД для работы с киберпреступниками и очень важно привлекать к ответственности несовершеннолетних киберпреступников – сейчас закон практически не дает такой возможности.

Информационные технологий содержат большой арсенал средств для обмана, краж, других противоправных действий. Киберпреступность – это незаконная деятельность, совершаемая с помощью электронных устройств (компьютеров, планшетов, смартфонов) через коммуникационные сети, в числе которых главное место занимает Интернет .

Состав преступления

В киберпространстве орудием нарушителя является умное устройство, чаще всего его роль выполняет компьютер. Объектом преступления является информация и её безопасность. Мотивами правонарушителя бывают разными:

• умышленное нанесение ущерба репутации потерпевшего лица, организации, страны;
• причинение психического или физического, финансового вреда прямого или косвенного;
• получение незаконной прибыли путём нарушения авторских прав или распространения детской порнографии и т. д.

В качестве косвенных орудий преступления используются: программы-взломщики, вирусы, контент различного содержания, который распространяется через мобильные средства связи (sms или mms, Bluetooth), электронную почту, веб-доски объявлений, чаты и группы в соцсетях.

Киберпреступление, по мнению экспертов ООН, – это любое противозаконное действие, которое совершается в виртуальном пространстве (электронной среде, содержащей информацию о лицах, фактах, событиях в различном формате).

Кибепреступностью называются все правонарушения, сделанные в рамках коммуникационной сети или компьютерной системы, а также против компьютерной системы и сети .

Примеры противозаконных виртуальных деяний:

• Хакерская атака для взлома аккаунта соцсети, электронного кошелька, сервера банка для получения доступа к секретным сведениям и кражи денег.
• Киберсталкинг – слежка, преследования, домогательства, вымогательство, запугивание через глобальную сеть.
• Кибертерроризм – использование телекоммуникационных и компьютерных технологий (чаще всего Интернет) для организации и проведения террористических атак.
• Тайпсквоттинг – регистрация похожих на адреса сайтов популярных магазинов и банков доменных имён для заманивания посетителей и заработке на показах рекламы или кражи паролей.

Конвенция Совета Европы относит все незаконные действия в виртуальном пространстве к 4 группам:

1. Противоправные деяния против конфиденциальности, доступности и целостности компьютерных систем и данных. Сюда относят по большей части несанкционированное вмешательство.
2. Действия, связанные с компьютерами (подлог, мошенничество) – изменение информации на недостоверную, стирание.
3. Противоправные поступки, связанные с контентом (содержанием) информации – распространение, изготовление, хранение детских порнографических материалов.
4. Правонарушения против авторского и смежного права.

Впервые понятие виртуальных правонарушений появилось в США в начале 1960 гг. Со временем преступления в сфере компьютерной информации (далее КИ) приобрели глобальный масштаб и стали совершаться по всему миру.

В прошлом году в докладе Правительству РФ генпрокурор Ю.Чайка отметил взрывной рост киберпреступности и минимальный процент раскрываемости – 8%. Сотрудники МВД отмечают, что больше половины экономических правонарушений совершается через интернет.

Информационные преступления пользуются популярностью у аферистов из-за трудности установления личности мошенника и его местонахождения. По сведениям аналитиков Сбербанка, за текущий год мировая экономика понесла ущерб от кибератак в размере более 1 трлн долларов. Для сравнения, ежегодный оборот от международной наркоторговли достигает около 500 млрд долларов.

Борьба с нарушителями в киберпространстве

Основные проблемы, с которыми сталкиваются органы правопорядка, противодействуя преступникам:

• нехватка кадров, разбирающихся в сфере IT;
• отсутствие места преступления в классическом понимании термина и отлаженных механизмов, а также методик расследования;
• сложность выявления преступных деяний и своевременного реагирования.

Традиционная методика расследования правонарушений в России предполагает допрос свидетелей, а также потерпевших. Затем сразу проводится осмотр места преступления, выемка и исследование документов, а также обыск. В случае кибермошенничества в сети Интернет все эти действия сложны для исполнения.

К примеру, мошенники открывают онлайн-магазин, предлагающий по дешёвке Айфоны. Аферисты собирают деньги с доверчивых покупателей и пропадают. Потерпевшие обращаются в органы МВД. При проведении расследования выясняется, что сайт и контактные данные оформлены на несуществующих лиц или номинала, страдающего алкогольной зависимостью, компания и адрес торговой точки фиктивные и зарегистрированы за границей. В итоге следствие заходит в тупик. Конечно, так случается не всегда. Правоохранители учатся, приобретают специальные программы и другие инструменты для предупреждения и быстрого реагирования на преступления.

Расследованием правонарушений в области IT-технологий занимается отдел по борьбе против информационной безопасности – «К». В сферу внимания его сотрудников относятся противозаконные деяния в IT-отрасли, а также незаконный оборот спецтехнических и радиоэлектронных средств. Отдел «К» относится к самым засекреченным подразделениям МВД.

Законодательная база

Наказания за кибернарушения предусматривает глава 28 УК РФ. Она содержит 3 статьи, которые относятся к противоправным деяниям в сфере компьютерной информации – речь идёт о любых сведениях, существующих в виде электрических сигналов, независимо от средств их обработки, хранения или передачи:

• Статья 272 УК РФ – утверждает наказание за незаконное получение доступа к КИ, который привёл к блокированию, копированию, уничтожению или изменению данных. Уголовная ответственность предусмотрена вплоть до лишения свободы на срок до 7 лет.
• Статья 273 УК РФ – разработка, распространение, использование вредоносных программ. Срок наказания до 7 лет.
• Статья 274 УК РФ – нарушение требований к эксплуатации устройств для хранения, передачи и обработки данных компьютеров и телекоммуникационных информационных сетей. Предусматривает лишение свободы на срок до 5 лет.

, модификацию либо копирование компьютерной информации, -

наказывается штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо лишением свободы на тот же срок.

2. То же деяние, причинившее крупный ущерб или совершенное из корыстной заинтересованности, -

наказывается штрафом в размере от ста тысяч до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до двух лет, либо исправительными работами на срок от одного года до двух лет, либо ограничением свободы на срок до четырех лет, либо принудительными работами на срок до четырех лет, либо лишением свободы на тот же срок.

(в ред. Федерального закона от 28.06.2014 N 195-ФЗ)

3. Деяния, предусмотренные частями первой или второй настоящей статьи, совершенные группой лиц по предварительному сговору или организованной группой либо лицом с использованием своего служебного положения , -

наказываются штрафом в размере до пятисот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до трех лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет, либо ограничением свободы на срок до четырех лет, либо принудительными работами на срок до пяти лет, либо лишением свободы на тот же срок.

4. Деяния, предусмотренные частями первой , второй или третьей

Примечания. 1. Под компьютерной информацией понимаются сведения (сообщения, данные), представленные в форме электрических сигналов, независимо от средств их хранения, обработки и передачи.

2. Крупным ущербом в статьях настоящей главы признается ущерб, сумма которого превышает один миллион рублей.

Статья 273. Создание, использование и распространение вредоносных компьютерных программ

(в ред. Федерального закона от 07.12.2011 N 420-ФЗ)

1. Создание, распространение или использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации, -

наказываются ограничением свободы на срок до четырех лет, либо принудительными работами на срок до четырех лет, либо лишением свободы на тот же срок со штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев.

2. Деяния, предусмотренные частью первой настоящей статьи, совершенные группой лиц по предварительному сговору или организованной группой либо лицом с использованием своего служебного положения, а равно причинившие крупный ущерб или совершенные из корыстной заинтересованности, -

наказываются ограничением свободы на срок до четырех лет, либо принудительными работами на срок до пяти лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового, либо лишением свободы на срок до пяти лет со штрафом в размере от ста тысяч до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от двух до трех лет или без такового и с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового.

3. Деяния, предусмотренные частями первой или второй настоящей статьи, если они повлекли тяжкие последствия или создали угрозу их наступления, -

наказываются лишением свободы на срок до семи лет.

Статья 274. Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей

(в ред. Федерального закона от 07.12.2011 N 420-ФЗ)

1. Нарушение правил эксплуатации средств хранения, обработки или передачи охраняемой компьютерной информации либо информационно-телекоммуникационных сетей и оконечного оборудования, а также правил доступа к информационно-телекоммуникационным сетям, повлекшее уничтожение, блокирование, модификацию либо копирование компьютерной информации , причинившее крупный ущерб , -

наказывается штрафом в размере до пятисот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев, либо исправительными работами на срок от шести месяцев до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо лишением свободы на тот же срок.

2. Деяние, предусмотренное частью первой настоящей статьи, если оно повлекло тяжкие последствия или создало угрозу их наступления, -

наказывается принудительными работами на срок до пяти лет либо лишением свободы на тот же срок.