Обвинения в хакерстве в Польше: несанкционированный доступ к системе

Несанкционированный доступ к системе — это вход во всю IT-систему или ее часть без разрешения. В Польше такое поведение обычно называют хакерством или взломом, хотя «хакерство» не является самостоятельным составом преступления. В зависимости от обстоятельств компьютерное вторжение чаще всего может преследоваться по статье 267 Уголовного кодекса Польши.[1]

Для компаний дела об обвинениях в хакерстве в Польше могут быть связаны не только с внешней кибератакой. Уголовно-правовые риски могут возникать из-за действий сотрудников, бывших подрядчиков, сохранивших учетные данные, несанкционированного использования учетных записей администратора, доступа к базам данных клиентов или тестирования на проникновение, проведенного за пределами согласованного объема работ. Ключевой вопрос обычно заключается в том, был ли доступ разрешен в соответствующий момент и применительно к конкретной системе, учетной записи, данным или цели.

Несанкционированный доступ по статье 267 Уголовного кодекса Польши

Статья 267 § 2 Уголовного кодекса предусматривает уголовную ответственность за получение доступа без разрешения ко всей информационной системе или ее части. Преступление может считаться совершенным даже в том случае, если лицо не копировало, не удаляло, не изменяло и не публиковало данные. Самого доступа может быть достаточно, если он был получен без разрешения.

Статья 267 § 1 касается получения информации, не предназначенной для виновного, в том числе путем обхода электронных, магнитных или иных специальных средств защиты. Это может включать взлом пароля, использование украденных учетных данных, эксплуатацию уязвимости, обход многофакторной аутентификации или доступ к защищенной переписке.

Санкция за деяния, предусмотренные статьей 267 § 1 или § 2, включает штраф, ограничение свободы либо лишение свободы на срок до двух лет. В соответствии со статьей 267 § 5 преследование осуществляется по заявлению потерпевшей стороны.[1] На практике это означает, что пострадавшее физическое лицо или организация, как правило, должны подать официальное заявление о привлечении к ответственности.

Что проверяет прокуратура в делах о компьютерном вторжении

В расследованиях, связанных с несанкционированным доступом, прокуратура обычно оценивает технические доказательства вместе с деловым и договорным контекстом. Тот факт, что у лица ранее был доступ к системе, не означает автоматически, что такой доступ оставался законным.

К числу значимых доказательств могут относиться:

• журналы систем, серверов, VPN и приложений;
• записи аутентификации и данные об IP-адресах;
• трудовые договоры, IT-политики и процедуры управления доступом;
• разрешения, предоставленные сотрудникам, поставщикам или внешним консультантам;
• сообщения, касающиеся объема работ или цели доступа;
• криминалистические копии устройств, учетных записей и облачных сред;
• доказательства копирования, изменения, шифрования или вывода данных за пределы системы.

Кибератака может повлечь как уголовно-правовые, так и операционные последствия. Компании может потребоваться обеспечить сохранность доказательств, поддерживать непрерывность бизнеса, оценить последствия с точки зрения защиты данных, уведомить страховщиков и решить, подавать ли заявление о преступлении. Промедление может привести к утрате логов и ослабить возможность установить ответственное лицо.

Три ситуации, которые могут исключать несанкционированный доступ

Польское право не содержит универсального перечня «исключений для хакерства». Был ли доступ разрешен, зависит от фактических обстоятельств. Однако при оценке применимости статьи 267 особенно важны три ситуации.

1. Явное согласие уполномоченного владельца или администратора системы

Доступ не является несанкционированным, если действительное разрешение было предоставлено лицом, имеющим право управлять системой или соответствующими данными. Согласие должно определять, кто может получить доступ к системе, какие учетные записи или среды охватываются разрешением и с какой целью предоставляется доступ. Общее разрешение на использование корпоративных IT-ресурсов не обязательно дает право доступа к кадровым документам, финансовым системам или конфиденциальным базам данных клиентов.

2. Доступ на основании законных полномочий и процессуальных правил

Государственные органы могут получать доступ к данным или системам только при наличии конкретного правового основания и соблюдении применимых процессуальных требований. Оценка зависит от того, какой орган действует, о каких данных идет речь и какие меры используются. Законные следственные действия не следует смешивать с частным мониторингом, несанкционированным наблюдением или неформальным доступом к учетной записи другого лица.

3. Доступ к действительно общедоступной информации

Просмотр информации, намеренно опубликованной без ограничений доступа, отличается от входа в защищенную систему. Однако общедоступный контент не дает права доступа к скрытым панелям, базам данных, исходным средам, административным функциям или техническим ресурсам, не предназначенным для публичного использования. Граница может зависеть от конкретных фактов, особенно если сайт содержит неправильно настроенные, но не публичные ресурсы.

Связанные киберпреступления в Польше

Несанкционированный доступ может сопровождаться другими преступлениями. Статья 268a касается уничтожения, повреждения, удаления, изменения компьютерных данных или воспрепятствования доступу к ним. Статья 269a предусматривает ответственность за серьезное вмешательство в работу информационной системы или сети, включая действия, существенно нарушающие их функционирование. Статья 269b криминализирует производство, приобретение, продажу или предоставление устройств либо программного обеспечения, предназначенных для совершения определенных компьютерных преступлений.[1]

Если доступ используется для получения финансовой выгоды или причинения финансового ущерба путем вмешательства в обработку данных, также может иметь значение статья 287 о компьютерном мошенничестве. Если затронуты персональные данные, компания должна отдельно оценить свои обязанности по Общему регламенту по защите данных (GDPR), включая вопрос о том, требует ли нарушение безопасности персональных данных уведомления надзорного органа или пострадавших лиц.[2]

Действия бизнеса при подозрении на хакерскую атаку или несанкционированный доступ

Организации следует избегать немедленного удаления учетных записей, устройств или логов без предварительного сохранения доказательств. Локализация инцидента необходима, но сохранение доказательств не менее важно для внутренних процедур, страховых требований и возможного уголовного преследования.

1. Сохранить логи, устройства, записи доступа и соответствующую переписку.
2. Ограничить доступ и сбросить учетные данные, если продолжение вторжения возможно.
3. Определить объем затронутых систем, данных и влияние на бизнес.
4. Проверить договоры, разрешения и внутренние IT-политики.
5. Оценить, возникают ли обязанности по уведомлению в соответствии с правилами защиты данных или отраслевыми требованиями.
6. Рассмотреть подачу заявления о привлечении к ответственности и подкрепить его сохраненными доказательствами.

В сложных случаях правовой анализ следует координировать с цифровой криминалистикой. Kopeć & Zaborowski (KKZ) оказывает поддержку бизнесу в уголовно-правовой оценке, кризисном реагировании, внутренних расследованиях и делах, связанных с киберпреступлениями. Данный материал носит информационный характер и не является юридической консультацией.

По уголовным делам, касающимся хакерства или иных киберпреступлений, может быть полезно обсудить ситуацию с адвокатом, получить оценку обстоятельств и рассмотреть возможные дальнейшие шаги. Ранний анализ может быть важен, если доказательства имеют цифровой характер, являются нестабильными или подпадают под обязанности конфиденциальности.

FAQ — Обвинения в хакерстве в Польше

Является ли хакерство отдельным преступлением в Польше?

Нет. «Хакерство» — это общеупотребительный термин. Несанкционированный доступ к системе обычно оценивается по статье 267 Уголовного кодекса Польши, хотя в зависимости от действий и последствий могут применяться и другие нормы.

Может ли сотрудник столкнуться с обвинениями в хакерстве за доступ к корпоративным системам?

Да. У сотрудника может возникнуть уголовно-правовой риск, если доступ выходит за пределы предоставленных полномочий, касается систем, не связанных с его должностными обязанностями, или продолжается после прекращения трудовых отношений либо отзыва разрешения.

Является ли использование чужого пароля уголовным преступлением?

Это возможно. Использование чужих учетных данных без разрешения может представлять собой несанкционированный доступ, особенно если оно позволяет войти в защищенную систему или получить доступ к информации, не предназначенной для данного лица.

Обязательно ли должно произойти копирование данных для применения статьи 267?

Нет. По статье 267 § 2 само получение несанкционированного доступа ко всей информационной системе или ее части может быть достаточным. Копирование, удаление или публикация данных могут повлечь дополнительную ответственность.

Может ли компания заявить о несанкционированном доступе бывшего сотрудника?

Да, если доказательства указывают на то, что бывший сотрудник получил доступ к корпоративным системам после отзыва разрешений или использовал сохраненные учетные данные без полномочий. Особенно важны логи, документы об отключении доступа при увольнении и документация по контролю доступа.

Законно ли тестирование на проникновение в Польше?

Оно может быть законным, если проводится на основании четкого разрешения. Письменное соглашение должно определять системы, даты, методы, разрешенные действия по тестированию, порядок отчетности и экстренные контакты. Тестирование за пределами согласованного объема может создать уголовно-правовой риск.

Библиография

• [1] Закон от 6 июня 1997 года — Уголовный кодекс (Польша), в частности статьи 267, 268a, 269a, 269b и 287; консолидированный текст доступен через Интернет-систему правовых актов (ISAP).
• [2] Регламент (ЕС) 2016/679 Европейского парламента и Совета от 27 апреля 2016 года — Общий регламент по защите данных, в частности статьи 33 и 34.
• [3] Конвенция о киберпреступности, Будапешт, 23 ноября 2001 года, Серия договоров Совета Европы № 185.