勒索软件攻击：波兰的刑事责任

勒索软件是-类恶意软件，可对数据进行加密、阻断访问或非法窃取，随后要求支付赎金，以换取恢复访问权限、提供解密工具，或承诺不公开被盗信息。因此，-次勒索软件攻击可能同时涉及未经授权访问信息技术系统、干扰计算机数据、传播恶意软件以及网络勒索等行为。

对企业而言，直接后果通常包括业务停摆、数据不可用、合同履行受阻、与《通用数据保护条例》（GDPR）相关的风险以及声誉受损。从刑法角度看，相关行为可能触犯《波兰刑法典》中的多项罪名，具体取决于入侵方式、损害规模以及各参与者所扮演的角色。Kopeć & Zaborowski（KKZ）为涉及网络犯罪、欺诈和数字证据的刑事案件中的企业及个人提供法律服务。

波兰勒索软件犯罪的刑事责任

波兰法律并未设立-个专门称为“勒索软件攻击”的独立罪名。是否承担刑事责任，需依据有关非法访问计算机系统、破坏数据、干扰信息技术系统运行、敲诈勒索以及使用网络犯罪工具的规定进行判断。

法律定性取决于具体事实。仅进入企业网络的人，可能适用与部署加密恶意软件、协商赎金、清洗加密货币或公开被盗文件的人不同的法律规定。

与勒索软件攻击相关的主要刑事犯罪

• 未经授权访问信息或系统–《波兰刑法典》第267条规定，以破解或绕过安全措施等方式获取并非供行为人使用的信息，可构成犯罪。攻击者使用被盗凭证、利用系统漏洞或未经授权安装远程访问工具的情形，均可能适用该条款。
• 干扰计算机数据–《刑法典》第268a条涉及未经授权毁坏、损害、删除、修改计算机数据，或妨碍访问计算机数据的行为。对企业文件和数据库进行加密可能属于该条款的规制范围。
• 扰乱信息技术系统或网络–第269a条处罚严重干扰信息通信技术系统、信息系统、数据通信网络或数据传输的行为。当勒索软件导致企业、医院、物流运营商或公共机关无法正常运作时，该规定尤为相关。
• 传播恶意软件或网络犯罪工具–第269b条将制造、取得、出售或提供专门用于实施特定网络犯罪的设备或计算机程序规定为犯罪。因此，即使传播者未亲自对最终受害者部署勒索软件，传播恶意软件也可能产生刑事责任。
• 计算机诈骗–如行为人为获取财产利益或造成损害，而影响数据的自动处理、收集或传输，《刑法典》第287条可能适用。该条款可能与操纵支付系统、账户数据或加密货币交易有关的攻击相关。
• 敲诈勒索–第282条规定，以暴力或非法威胁迫使他人处分财产的行为构成犯罪。若索要赎金时伴有毁坏数据、持续干扰系统运行或披露敏感资料的威胁，则需根据该条及其他可能适用的规定进行审慎评估。

网络勒索与“双重勒索”勒索软件

许多当前的攻击采用“双重勒索”模式。攻击者首先复制或窃取数据，随后对数据进行加密。其索要赎金时，会威胁公开客户记录、商业秘密、员工数据或内部通信内容。

与仅涉及数据加密的案件相比，其法律后果可能更为广泛。公开数据或威胁公开数据，可能引发与隐私、商业秘密、人格权相关的额外法律风险；视具体内容而定，还可能涉及其他刑事犯罪。即使受害者通过备份恢复了系统，只要被盗数据仍由攻击者持有，刑事风险也不-定随之消失。

勒索软件合作伙伴、谈判人员及加密货币中介的责任

勒索软件犯罪活动通常由多个参与者分工完成：-方开发恶意软件，另-方获取初始访问权限，还有-方与受害者沟通，另-方则通过钱包、交易所或混币服务转移加密货币。

根据《刑法典》第18条和第19条，刑事责任可延伸至教唆、帮助或便利犯罪实施的人员。-个人即使未亲自部署恶意软件，也可能面临刑事指控。但在每个案件中，行为人所需具备的主观故意及其对犯罪的实际贡献仍是关键。

如对源自勒索软件犯罪的资金进行隐匿、转移或兑换，以掩盖其犯罪来源，《刑法典》第299条关于洗钱的规定也可能适用。

支付勒索软件赎金：需要法律评估的三类例外情形

波兰刑法通常不会仅因受害者为恢复企业运营而支付赎金，就自动追究其刑事责任。然而，以下三类例外情形需要根据个案进行法律评估：

1. 洗钱风险–如行为人明知相关交易旨在掩盖资金的犯罪来源，仍参与其中，则可能依据第299条承担责任。
2. 制裁限制–如果付款使受到适用的欧盟限制性措施制裁的个人或实体受益，则该付款可能被禁止，其中包括依据欧盟理事会条例（EU）2019/796实施的网络相关制裁。
3. 恐怖主义融资风险–如满足法定条件，为恐怖活动提供资金或支持恐怖活动，可能触发《刑法典》第165a条规定的责任。

因此，支付赎金不应仅被视为信息技术或商业决策。付款前需要核查现有情报、尽可能确认收款方身份、评估制裁风险、报告义务，以及为执法程序保存所需的证据。

勒索软件攻击后的证据保全与报告

迅速采取行动既会影响调查，也会影响企业恢复运营的能力。关键证据可能包括勒索信、攻击者通信记录、加密货币钱包地址、系统日志、受影响系统的副本、访问记录、恶意软件样本，以及事件期间作出的决策记录。

内部团队应避免在无必要的情况下修改原始数据。取证工作必须与事件响应、保险要求、数据保护义务以及向主管机关进行潜在通报的需要相协调。应对过程记录不充分，可能导致更难识别犯罪者、追回资产，或证明管理层已尽到适当的注意义务。

勒索软件案件通常具有跨国性质。如基础设施、加密货币交易所或犯罪者位于波兰境外，波兰主管机关可利用跨境合作机制，包括《网络犯罪公约》规定的合作机制。

受到勒索软件攻击影响，或被怀疑涉及恶意软件传播的企业，可咨询律师，以评估刑事法律风险及可采取的后续措施。有关相关程序的更多信息，请参阅KKZ关于网络犯罪以及波兰网络犯罪刑事追诉的资料。

常见问题 – 勒索软件攻击

勒索软件在波兰是否违法？

是。尽管波兰没有单独的“勒索软件罪”，但部署勒索软件可能构成非法访问、干扰计算机数据、扰乱信息技术系统、敲诈勒索、计算机诈骗或《刑法典》规定的其他犯罪。

未发生实际攻击，传播恶意软件也会承担刑事责任吗？

有可能。根据具体事实及相关人员的主观故意，《刑法典》第269b条可能适用于提供专门用于实施特定网络犯罪的计算机程序或工具的行为。

企业支付勒索软件赎金是否需要承担刑事责任？

付款不会自动产生刑事责任。但在进行任何转账前，必须评估制裁、洗钱和恐怖主义融资风险。

什么是“双重勒索”勒索软件？

这是-种攻击模式，犯罪者既加密系统，也窃取数据，随后要求支付赎金以换取解密，并承诺不披露被盗信息。

如果勒索软件攻击者在波兰境外，是否仍可对其提起刑事追诉？

存在这种可能。调查可能涉及国际合作、调取数字证据的请求以及与外国执法机关的协作，具体取决于犯罪者、受害者和相关基础设施所在地。

遭受勒索软件攻击后应保全哪些证据？

相关材料包括勒索信、通信记录、系统日志、访问记录、恶意软件样本、加密货币钱包地址、取证镜像，以及事件期间作出的内部决策记录。

参考文献

• [1] 1997年6月6日颁布的《波兰刑法典》，统-文本：《法律公报》2024年第17项，经修订；尤其包括第18条、第19条、第165a条、第267条、第268a条、第269a条、第269b条、第282条、第287条和第299条。
• [2] 2019年5月17日欧盟理事会条例（EU）2019/796：关于针对威胁欧盟或其成员国的网络攻击采取限制性措施的规定。
• [3] 《网络犯罪公约》，2001年11月23日于布达佩斯签署，欧洲委员会条约系列第185号。
• [4] 欧盟网络安全局（ENISA），《ENISA 2024年威胁态势报告》。