Атаки программ-вымогателей: уголовная ответственность в Польше

Программы-вымогатели (ransomware) — это вредоносное ПО, которое шифрует, блокирует или похищает данные, а затем требует оплату в обмен на восстановление доступа, предоставление средств расшифровки либо отказ от публикации украденной информации. Таким образом, атака программы-вымогателя может сочетать несанкционированный доступ к ИТ-системам, вмешательство в компьютерные данные, распространение вредоносного ПО и кибервымогательство.

Для компаний непосредственными последствиями часто становятся простой в работе, утрата доступности данных, нарушение договорных обязательств, риски, связанные с GDPR, и репутационный ущерб. С точки зрения уголовного права соответствующие действия могут образовывать состав нескольких преступлений, предусмотренных Уголовным кодексом Польши, в зависимости от способа проникновения, масштаба ущерба и роли каждого участника. Kopeć & Zaborowski (KKZ) консультирует компании и частных лиц по уголовным делам, связанным с киберпреступностью, мошенничеством и цифровыми доказательствами.

Уголовная ответственность за атаки программ-вымогателей в Польше

Польское законодательство не содержит отдельного состава преступления под названием «атака программы-вымогателя». Уголовная ответственность оценивается на основании положений, касающихся незаконного доступа к компьютерным системам, повреждения данных, нарушения работы ИТ-систем, вымогательства и использования инструментов, предназначенных для совершения киберпреступлений.

Правовая квалификация зависит от обстоятельств дела. Лицо, которое лишь получило доступ к корпоративной сети, может нести ответственность по иным нормам, чем лицо, развернувшее вредоносное ПО для шифрования, ведшее переговоры о выкупе, отмывавшее криптовалюту или публиковавшее украденные файлы.

Основные преступления, связанные с атаками ransomware

• Несанкционированный доступ к информации или системам — статья 267 Уголовного кодекса Польши предусматривает ответственность, в частности, за получение доступа к информации, не предназначенной для виновного, путем преодоления или обхода средств защиты. Она может применяться, если злоумышленники используют похищенные учетные данные, эксплуатируют уязвимости или без разрешения устанавливают средства удаленного доступа.
• Вмешательство в компьютерные данные — статья 268a Уголовного кодекса касается несанкционированного уничтожения, повреждения, удаления, изменения компьютерных данных или воспрепятствования доступу к ним. Эта норма может охватывать шифрование корпоративных файлов и баз данных.
• Нарушение работы ИТ-системы или сети — статья 269a устанавливает ответственность за существенное нарушение функционирования системы ИКТ, информационной системы, сети передачи данных или передачи данных. Это положение особенно актуально, когда программа-вымогатель препятствует нормальной работе предприятия, больницы, логистического оператора или государственного органа.
• Распространение вредоносного ПО или инструментов для киберпреступлений — статья 269b криминализирует изготовление, приобретение, продажу или предоставление устройств либо компьютерных программ, приспособленных для совершения определенных киберпреступлений. Поэтому распространение вредоносного ПО может повлечь ответственность даже в том случае, если распространитель лично не использует ransomware против конечной жертвы.
• Компьютерное мошенничество — статья 287 может применяться, если виновный воздействует на автоматическую обработку, сбор или передачу данных с целью получения имущественной выгоды либо причинения ущерба. Эта норма может иметь значение для атак, связанных с манипуляциями с платежными системами, данными счетов или криптовалютными транзакциями.
• Вымогательство — статья 282 охватывает принуждение другого лица к распоряжению имуществом посредством насилия или незаконной угрозы. Требования выкупа, сопровождаемые угрозами уничтожить данные, продолжить нарушение работы систем или раскрыть конфиденциальные материалы, требуют тщательной оценки в соответствии с этой и другими потенциально применимыми нормами.

Кибервымогательство и программы-вымогатели с двойным вымогательством

Многие современные атаки используют модель «двойного вымогательства». Сначала злоумышленники копируют данные, а затем шифруют их. Требование выкупа подкрепляется угрозой опубликовать данные клиентов, коммерческую тайну, сведения о сотрудниках или внутреннюю переписку.

Правовые последствия могут быть шире, чем при атаке, ограничивающейся шифрованием. Публикация данных или угроза их публикации могут повлечь дополнительные риски, связанные с защитой частной жизни, коммерческой тайной, личными правами, а в зависимости от содержания информации — и с другими преступлениями. Восстановление систем из резервных копий не обязательно устраняет уголовно-правовые риски, если похищенные данные остаются во владении злоумышленников.

Ответственность партнеров ransomware-групп, переговорщиков и криптовалютных посредников

Операции с программами-вымогателями нередко распределяются между несколькими участниками. Одна группа разрабатывает вредоносное ПО, другая получает первоначальный доступ, третья взаимодействует с жертвами, а еще одна перемещает криптовалюту через кошельки, биржи или сервисы микширования.

В соответствии со статьями 18 и 19 Уголовного кодекса Польши ответственность может распространяться на лиц, подстрекающих к преступлению, оказывающих содействие или облегчающих его совершение. Чтобы столкнуться с уголовными обвинениями, не обязательно лично внедрять вредоносное ПО. При этом в каждом случае решающими остаются необходимая форма вины и фактический вклад лица в совершение преступления.

Если средства, полученные в результате атак программ-вымогателей, скрываются, переводятся или конвертируются для сокрытия их преступного происхождения, также может применяться статья 299 Уголовного кодекса Польши, регулирующая отмывание денег.

Уплата выкупа при ransomware-атаке: три исключения, требующие правовой оценки

Польское уголовное право, как правило, не устанавливает автоматической уголовной ответственности жертвы только за уплату выкупа с целью восстановления деятельности компании. Однако три исключения требуют индивидуальной правовой оценки:

1. Риск отмывания денег — ответственность по статье 299 может возникнуть, если лицо сознательно участвует в операциях, направленных на сокрытие преступного происхождения средств.
2. Санкционные ограничения — платеж может быть запрещен, если он приносит выгоду лицу или организации, на которые распространяются применимые ограничительные меры ЕС, включая санкции, связанные с кибератаками, в соответствии с Регламентом Совета ЕС 2019/796.
3. Риски финансирования терроризма — финансирование или поддержка террористической деятельности могут повлечь ответственность по статье 165a Уголовного кодекса Польши при наличии предусмотренных законом условий.

Поэтому выплату не следует рассматривать исключительно как ИТ- или коммерческое решение. Необходимо проверить имеющуюся информацию, по возможности установить личность получателя, оценить санкционные риски, обязанности по уведомлению органов и доказательства, необходимые для производства по делу правоохранительными органами.

Сохранение доказательств и сообщение об атаке программы-вымогателя

Оперативные действия влияют как на расследование, так и на способность компании возобновить работу. Ключевыми доказательствами могут быть требования выкупа, сообщения злоумышленников, адреса криптокошельков, журналы событий, копии затронутых систем, записи о доступе, образцы вредоносного ПО и документы, фиксирующие решения, принятые в ходе инцидента.

Внутренним командам следует избегать необоснованного изменения исходных данных. Компьютерно-техническая экспертиза должна координироваться с реагированием на инцидент, требованиями страховщика, обязанностями по защите данных и возможными уведомлениями государственных органов. Недостаточно документированное реагирование может затруднить установление виновных, возврат активов или подтверждение того, что руководство действовало с надлежащей осмотрительностью.

Дела, связанные с ransomware, часто имеют международный характер. Польские органы могут использовать механизмы трансграничного сотрудничества, включая Конвенцию о киберпреступности, если инфраструктура, криптовалютные биржи или виновные лица находятся за пределами Польши.

Компании, пострадавшие от программ-вымогателей или подозреваемые в распространении вредоносного ПО, могут обратиться за консультацией к адвокату, чтобы получить оценку уголовно-правовых рисков и возможных дальнейших действий. Дополнительная информация о связанных с этим разбирательствах представлена в материалах KKZ о киберпреступности и уголовном преследовании за киберпреступления в Польше.

FAQ — Атаки программ-вымогателей

Запрещены ли программы-вымогатели в Польше?

Да. Хотя отдельного состава преступления «программа-вымогатель» не существует, использование ransomware может образовывать незаконный доступ, вмешательство в компьютерные данные, нарушение работы ИТ-систем, вымогательство, компьютерное мошенничество или другие преступления, предусмотренные Уголовным кодексом Польши.

Может ли распространение вредоносного ПО повлечь уголовную ответственность без фактической атаки?

Да, может. Статья 269b Уголовного кодекса Польши может применяться к предоставлению компьютерных программ или инструментов, приспособленных для совершения определенных киберпреступлений, с учетом обстоятельств дела и умысла соответствующего лица.

Несет ли компания уголовную ответственность, если платит выкуп злоумышленникам?

Сам по себе платеж не создает уголовной ответственности автоматически. Однако до совершения перевода необходимо оценить санкционные риски, а также риски отмывания денег и финансирования терроризма.

Что такое программа-вымогатель с двойным вымогательством?

Это атака, при которой злоумышленники одновременно шифруют системы и похищают данные. Затем они требуют оплату как за расшифровку, так и за отказ от раскрытия украденной информации.

Могут ли злоумышленники, использующие ransomware, быть привлечены к ответственности, если они действуют за пределами Польши?

Потенциально — да. Расследование может включать международное сотрудничество, запросы о предоставлении цифровых доказательств и взаимодействие с иностранными правоохранительными органами — в зависимости от местонахождения виновных, жертв и инфраструктуры.

Какие доказательства следует сохранить после атаки программы-вымогателя?

К значимым материалам относятся требования выкупа, сообщения злоумышленников, системные журналы, записи о доступе, образцы вредоносного ПО, адреса криптокошельков, криминалистические образы и документы о внутренних решениях, принятых в ходе инцидента.

Библиография

• [1] Закон от 6 июня 1997 года — Уголовный кодекс Польши, сводный текст: «Вестник законов» за 2024 год, поз. 17, с изменениями, в частности статьи 18, 19, 165a, 267, 268a, 269a, 269b, 282, 287 и 299.
• [2] Регламент Совета ЕС 2019/796 от 17 мая 2019 года об ограничительных мерах против кибератак, угрожающих Союзу или его государствам-членам.
• [3] Конвенция о киберпреступности, Будапешт, 23 ноября 2001 года, Серия договоров Совета Европы № 185.
• [4] Агентство Европейского союза по кибербезопасности (ENISA), ENISA Threat Landscape 2024.