Новые виды компьютерных злоупотреблений и 28 глава уголовного кодекса России

Доклад на VII Международной конференции «Право и Интернет»

Середа Сергей Александрович - преподаватель Кафедры математического обеспечения и технологий программирования Московского государственного университета экономики, статистики и информатики

Статья призвана осветить достаточно серьёзную проблему в отечественной правоприменительной практике – некорректную трактовку и необоснованное расширение сферы применения статей 272 и 273 уголовного кодекса России. Можно выделить две основные причины указанной проблемы, это неполное соответствие 28 главы уголовного кодекса России современным требованиям и объективная необходимость борьбы с правонарушениями в сфере информационных технологий.

Статья 272 УК предусматривает ответственность за деяния, сопряжённые с неправомерным доступом к компьютерной информации, повлекшим за собой уничтожение, блокирование, модификацию либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети. Статьёй 273 УК предусматривается ответственность за создание, использование или распространение программ для ЭВМ или внесение изменений в существующие программы, заведомо приводящих к последствиям, описанным в ст. 272. Указанные последствия: уничтожение, блокирование, модификация либо копирование информации, нарушение работы ЭВМ, системы ЭВМ или их сети в исследованиях по информационной безопасности рассматриваются, как угрозы системе защиты информации и «расшифровываются» при помощи трёх свойств защищаемой информации: конфиденциальности (неизвестности третьим лицам), целостности и доступности (см. табл. 1.)

Таблица 1.

Классификация угроз информационной безопасности

С точки зрения информационной безопасности совершенно очевидно, что указанные действия считаются угрозой информационной безопасности только в том случае, если они производятся неавторизованным лицом, т.е. человеком, не имеющим права на их осуществление. Кроме того, подобные действия считаются несанкционированными, только если доступ к данным во внутренней или внешней компьютерной памяти ограничен при помощи организационных, технических или программных мер и средств защиты.

В противном случае, в качестве злоумышленников фигурировали бы все системные администраторы, настраивающие системы, и авторизованные пользователи, которые могут ошибиться или просто быть слишком любопытными.

Следовательно, согласно положениям теории информационной безопасности (на основе которых и была разработана глава 28 УК РФ) статьи 272 и 273 относятся к действиям над электронными данными, доступ к которым ограничен политикой и системой безопасности информационной системы. Иными словами, виновным в несанкционированном доступе может являться лишь лицо, нарушившее политику информационной безопасности и сознательно обошедшее систему защиты. Таким лицом может являться (в первую очередь) злоумышленник, проникший в систему извне, или авторизованный пользователь системы, проникший на запрещённый для него уровень доступа к данным.

Указанная позиция косвенно подтверждается в формулировке самих статей уголовного кодекса. В частности, статья 272 покрывает лишь случаи неправомерного доступа к охраняемой законом компьютерной информации, а 273 – только случаи несанкционированного уничтожения, блокирования, модификации либо копирования информации, нарушения работы ЭВМ, системы ЭВМ или их сети. Иными словами, если доступ к компьютерной информации правомерен, ответственность по статье 272 наступать не должна, как и ответственность по статье 273 в случае санкционированного уничтожения, блокирования, модификации либо копирования информации или нарушения работы ЭВМ, системы ЭВМ или их сети. А для случая намеренного нанесения ущерба информационной системе со стороны авторизованного пользователя в уголовном кодексе предусмотрена статья 274.

            В то же время, в статьях 272 и 273 используются разные формулировки: «неправомерный доступ» в статье 272 и «несанкционированное уничтожение…» в статье 273. Если термин «несанкционированное» подразумевает отсутствие разрешения, которое должен дать собственник (владелец) информационного ресурса, то термин «неправомерный» подразумевает запрещение доступа непосредственно законодательством, это подтверждается и упоминанием того, что речь идёт об «охраняемой законом компьютерной информации». Если обратиться к закону «Об информатизации, информатизации и защите информации», то в статье 10 (п. 2) указываются два типа охраняемой законом информации «…документированная информация с ограниченным доступом по условиям ее правового режима подразделяется на информацию, отнесенную к государственной тайне, и конфиденциальную». При этом безусловным характером правовой охраны пользуется информация, относящаяся к государственной тайне, тайне следствия, личной и семейной тайне, тайне телефонных переговоров, переписки, почтовых, телеграфных и иных сообщений, а также персональные данные граждан и сведения о сущности изобретения, полезной модели или промышленного образца до официальной публикации информации о них. Информация, относящаяся к служебной или коммерческой тайне охраняется законом только при условии её неизвестности  третьим лицам, отсутствия свободного доступа к ней на законном основании и принятии её обладателем мер к охране её конфиденциальности (согласно статье 139 Гражданского кодекса). Иными словами, доступ к документированной информации, не пользующейся безусловной правовой охраной, при отсутствии мер и средств по её защите со стороны её собственника или владельца является правомерным, а, следовательно, не должен вести к уголовной ответственности. Примерно так можно очертить область применения статей 272 и 273 УК России.

            С другой стороны, в со временем появляются новые виды злоупотреблений, которые не покрываются уголовным кодексом в его нынешнем виде. В частности, это «взлом» компьютерных программ*, недобросовестное пользование услугами Интернет, рассылка нежелательных сообщений («спам») и модификация ПО или данных («перепрошивка») мобильных телефонов. В такой ситуации правоохранительные органы зачастую пытаются «подогнать» указанные злоупотреблений под статьи 272 и 273, так или иначе сводя их к неправомерному доступу к компьютерной информации и несанкционированным действиям с ней. Следует отметить, что в большинстве случаев такая «подгонка» некорректна и неправомерна, однако судебные решения по подобным делам принимаются до сих пор[1]. Рассмотрим схему обвинения для четырёх указанных выше типов злоупотреблений.

            «Взлом» компьютерной программы направлен на обход или преодоление встроенных в неё средств защиты авторских прав с целью бесплатного пользования «взломанной» программой. В принципе, это деяние является уголовно-наказуемым по статье 146, если ущерб от него превысит 50000 рублей. Однако, львиная доля «взламываемых» программ не превышает по стоимости 3000-6000 рублей, что делает «взломщиков» недосягаемыми для уголовного преследования. Для того, чтобы решить эту проблему, сотрудники управления «К» используют следующую логическую цепь:

1.        программа для ЭВМ, записанная на машинный носитель, является компьютерной информацией, следовательно, доступ к программе на машинном носителе подпадает под определение доступа к «информации на машинном носителе, в электронно-вычислительной машине (ЭВМ), системе ЭВМ или их сети»;

2.        в результате запуска программы происходит её воспроизведение, то есть копирование информации, а при внесении изменений в двоичный код программы происходит модификация информации;

3.        поскольку программа для ЭВМ является объектом авторского права, то исключительные права на её воспроизведение и модификацию принадлежат автору;

4.        без разрешения автора воспроизведение и модификация программы являются неправомерными;

5.        следовательно, при воспроизведении и модификации программы для ЭВМ без санкции на это её автора происходит неправомерный доступ к компьютерной информации, влекущий за собой модификацию и копирование информации.

Данная логическая цепь некорректна по нескольким причинам. Во-первых, в статье 272 говорится об информации, записанной на машинный носитель, а компьютерная программа не соответствует определению информации, данному в законе «Об информации, информатизации и защите информации», так как двоичный код, вообще говоря, не является сведениями о лицах, предметах, фактах и т.п., более того, в статье 8 закона «Об авторском праве и смежных правах» указано, что «сообщения о событиях и фактах, имеющие информационный характер» не могут являться объектом авторского права. Во-вторых, в части 2 статьи 1 того же закона явно указано, что регулируемые им отношения никак не относятся к отношениям, регулируемым законом «Об авторском праве и смежных правах», а в 18 закона указано, что «…Право авторства и право собственности на информационные системы, технологии и средства их обеспечения могут принадлежать разным лицам». Таким образом, существует достаточно чёткая граница между информационным и авторским правом и законодатель предпринял ряд усилий, чтобы эта граница не пересекалась.

Кроме того, в статье 17 п. 3 закона говорится «…Информационные системы, технологии и средства их обеспечения включаются в состав имущества субъекта, осуществляющего права собственника или владельца этих объектов. Информационные системы, технологии и средства их обеспечения выступают в качестве товара (продукции) при соблюдении исключительных прав их разработчиков. Собственник информационной системы, технологии и средств их обеспечения определяет условия использования этой продукции». Таким образом, имея право «по своему усмотрению совершать в отношении принадлежащего ему имущества любые действия», как это установлено статьёй 209 Гражданского кодекса России, собственник средств обеспечения информационных технологий (экземпляров программ для ЭВМ), с точки зрения информационного законодательства, всегда имеет право на доступ к ним, в том числе на уничтожение, модификацию или копирование. Если в ряде случаев это нарушает исключительные права автора программы для ЭВМ, то здесь начинает действовать авторское право и автор вправе подать против собственника гражданский иск о восстановлении прав и возмещении ущерба, а при размере ущерба, превышающего 50000 рублей, возможно применение статьи 146 уголовного кодекса. Но применение в этом случае статьи 272 неправомерно.

            По аналогичной схеме по 273-й статье уголовного кодекса привлекаются авторы программ-«взломщиков», которые вносят в защищённую программу изменения, позволяющие использовать её без выплаты автору вознаграждения. В данном случае автор программы-«взломщика» не осуществляет модификацию чужой программы вручную, поэтому единственным вариантом привлечения его к ответственности (если по статье 146 его привлечь невозможно) является отнесение программы-«взломщика» к вредоносному программному обеспечению. Это делается на том же основании, что и в случае с использованием статьи 272: так как право на воспроизведение и модификацию программы для ЭВМ является исключительным и принадлежит автору, то без его разрешения такие действия являются несанкционированными. Почему такие «натяжки» неправомерны уже было показано выше.

            Что касается мошенничества при пользовании услугами доступа к сети Интернет, то при невозможности доказать использование обвиняемым троянских программ для несанкционированного копирования реквизитов для идентификации и аутентификации легального пользователя, чтобы (совершенно правомерно) привлечь его по ст. 273 УК РФ, нередко ему вменяют совершение преступления, подпадающего под действие ст. 272 УК РФ. Для этого мошенническое пользование услугами доступа к сети Интернет квалифицируют как неправомерный доступ к сети ЭВМ, повлекший модификацию компьютерной информации[2], выразившуюся в изменении статистической информации об объеме оказанных услуг, хранящейся на сервере их поставщика. Точно такое же определение дают и при мошенническом пользовании услугами мобильных телефонных сетей (в частности, упоминается «модификация технической и биллинговой информации, содержащейся в центральном контроллере» мобильной сети[3]). Не смотря на то, что суд неоднократно принимал решения о признании вины по сформулированному указанным образом обвинению, применение в подобной ситуации  статьи 272 УК РФ нельзя признать правомерным. Наличие описанного состава преступления может быть признано лишь в том случае, если обвиняемый непосредственно сам осуществил модификацию статистической («биллинговой») информации в ЭВМ поставщика услуг, осуществив к ней неправомерный доступ. В описанных же случаях, непосредственного изменения информации в компьютерной системе поставщика услуг обвиняемым не проводилось (и подобной цели не ставилось): изменение данных производилось самой автоматизированной системой учёта в штатном режиме. Если же признать любые действия, «вводящие в заблуждение» автоматизированные системы учёта, несанкционированным уничтожением, копированием или модификацией информации, то по ст. 272 необходимо проводить и подделку кредитных карт, и использование средств обеспечения анонимности в Интернет, и даже позирование перед цифровой системой видеонаблюдения с изменённой внешностью (например, в парике и с приклеенными усами).

Пока единственным, но очень показательным примером, связанным с массовой рассылкой нежелательных сообщений («спама»), является «дело Челябинского спамера» [5], осуждённого по ст. 273 УК РФ. Существо дела заключается в том, что «спамером» была написана программа на языке Perl, позволяющая отсылать на мобильные телефоны сообщения в формате SMS через Интернет-шлюз мобильного оператора. Указанные программу обвиняемый использовал для массовой рассылки сообщений нецензурного содержания абонентам мобильной сети. Рассылка указанных сообщений была признана «несанкционированным копированием информации» (в мобильные телефоны абонентов) и «нарушением работы ЭВМ, системы ЭВМ или их сети» (т.к. Интернет-сервис отправки SMS-сообщений в течение нескольких часов был перегружен), а программа, позволяющая его выполнять, соответственно, «вредоносной». Несостоятельность утверждения о несанкционированном копировании информации в мобильные телефоны абонентов посредством отправки сообщений формата SMS является тот факт, что «несанкционированность» объясняется нецензурным характером сообщений, т.е. смысловой составляющей компьютерной информации, которая никак не влияет на характер деяния, предусмотренного ст. 273 УК РФ. Иными словами, признав отправку SMS нецензурного содержания актом несанкционированного копирования информации, суд признал таковым отправку сообщения формата SMS любого содержания. Неправомерность же отнесения написанной обвиняемым программы к вредоносным по причине нарушения с её помощью работы ЭВМ, системы ЭВМ или их сети вытекает из того, что в формулировке самой статьи указано «создание программ для ЭВМ…, заведомо приводящих к несанкционированному … нарушению работы ЭВМ, системы ЭВМ». В рассматриваемом случае отсутствует факт создания программы заведомо приводящей к блокированию сервиса по отправке SMS через Интернет: программа была написана для массовой рассылки сообщений, а не для реализации атаки на «отказ в обслуживании». В противном случае, в категорию вредоносных попадают и все клиенты электронной почты, позволяющие осуществлять массовую рассылку сообщений, которая может вызвать перегрузку произвольного почтового сервера.

Отсутствие в статьях главы 28 УК явного упоминания о связи между правами собственности на информационную систему (ресурс) и правомочностью доступа к ней используется при квалификации по ст. 272 УК РФ дел, связанных с разглашением компьютерной информации, составляющей коммерческую тайну. Так, копирование собственником (владельцем) информационной системы хранящейся в ней компьютерной информации, составляющей коммерческую тайну иного лица (не являющегося пользователем системы), приведшее к её разглашению, квалифицируется не только по статье 183, но и по статье 272 УК РФ. В качестве доказательной базы верности применения статьи 272 приводится тот факт, что информация является конфиденциальной (не смотря на упоминавшиеся выше положения статьи 139 Гражданского кодекса), вследствие чего доступ к ней может быть санкционирован только её собственником (владельцем), что позволяет говорить о неправомерности доступа, а поскольку информация является компьютерной, то вменение указанной статьи считается обоснованным.

Данная логическая цепь используется для привлечения к уголовной ответственности по статье 272 УК РФ лиц, создающих «клонированные» телефонные аппараты в сетях стандарта CDMA. В этом случае пара «электронный серийный номер (ESN) + номер абонента сети (MIN)» считается информацией, составляющей коммерческую тайну оператора мобильной сети (или вообще его собственностью[4]), а копирование этой информации в память другого телефонного аппарата – несанкционированным. По нашему мнению, несанкционированным такое копирование можно назвать лишь в том случае, если указанная информация будет скопирована в телефонный аппарат непосредственно из защищённой базы данных оператора мобильной сети, расположенной в принадлежащей ему информационной системе, либо из памяти «клонируемого» телефонного аппарата, без санкции его владельца. В иных случаях, да и то не во всех, можно говорить лишь о разглашении информации, составляющей коммерческую тайну. Очевидно, что неправомерный доступ к информации может быть причиной разглашения информации, составляющей государственную, коммерческую или иную тайну. В то же время, обратное утверждение, о том, что действия, осуществлённые в рамках собственной компьютерной системы и приведшие к разглашению тайны, сами следует квалифицировать, как неправомерный доступ, представляется нам некорректным и противоречащим основным положениям теории информационной безопасности [8].

Описанные выше негативные примеры судебной практики, по нашему мнению, свидетельствуют о наличии трёх проблем:

1.             Слабая проработка существующей законодательной базы, призванной регулировать отношения, связанные с хранением и обработкой компьютерной информации, и несоответствие многих правовых норм положениям теории информационной безопасности.

2.             Недостаточная компетентность сотрудников правоохранительных органов, занимающихся борьбой с «компьютерными» преступлениями или (и) их заинтересованность в неправомерном осуждении правонарушителей по «компьютерным» статьям (что, в свою очередь образует состав преступления по ст. 299 УК РФ «Привлечение заведомо невиновного к уголовной ответственности»).

3.             Отсутствие адвокатов с достаточным уровнем «компьютерной» подготовки, который бы позволил выявлять факты технически некорректно или заведомо ложно сформулированных обвинений по статьям Главы 28 УК РФ.

Соответственно, улучшить существующее положение могут меры, направленные, в первую очередь, на разрешение вышеописанных проблем, а также на информирование общественности о текущей ситуации с правоприменением уголовного кодекса РФ к «компьютерным преступлениям» и предупреждение специалистов по автоматизированной обработке данных о реальной опасности уголовного преследования за неправомерный доступ к компьютерной информации, при выполнении действий, не подпадающими под понятие «несанкционированный доступ», используемое в теории информационной безопасности. По нашему мнению, внесение уточнений в формулировки статей 272 и 273 УК России, которые бы явно ограничивали сферу применения статей случаями «доступа к компьютерной информации лица, не обладающего правами на получение и работу с данной информацией либо компьютерной системой»[4], позволило бы в значительной мере разрешить существующую проблему.

Литература:

1.      Богомолов, М.В. Уголовная ответственность за неправомерный доступ к охраняемой законом компьютерной информации [Текст] / Максим Владимирович Богомолов. – Красноярск, 2002. – Режим доступа к электрон. дан.: http://pu.boom.ru/book/index.html .

2.      Волеводз, А.Г. Противодействие компьютерным преступлениям: правовые основы международного сотрудничества. – М.: Юрлитинформ, 2002.

3.      Дикшев, И. Права вирмейкера как человека и гражданина [Электронный ресурс] ( http://www.securitylab.ru/44101.html )

4.      Комментарий к уголовному кодексу Российской Федерации / под. ред. В.М. Лебедева : 3‑е издание, долн. и испр. / М.: "Юрайт-Издат". – 2004.

5.      Протасов, П.В. Как бы осуждён как бы спамер // Компьютерра, 2004. №25 ( http://www.computerra.ru/offline/2004/549/ )

6.      Расследование неправомерного доступа к компьютерной информации. Учебное пособие. / Под ред. д.ю.н. проф Н.Г. Шурухнова. – М.: Московский университет МВД России, 2004.

7.      Сорокин, А.В. Судебная практика по делам о преступлениях в сфере компьютерной информации [Электронный ресурс] ( http://www.zaural.ru/procur/my_page.htm ).

8.      Черней, Г.А., Охрименко, С.А., Ляху, Ф.С. Безопасность автоматизированных информационных систем. – Кишинёв, Ruxanda, 1996.