Новая 273-я статья

[A. 876]

Раз у нас уж тут сошлись якодзуны-юристы, то хочу предложить обсудить вот такой вопрос.

Читаем новую редакцию273й статьи УК.

Статья 273. Создание, использование и распространение вредоносных компьютерных программ

(в ред. Федерального закона от 07.12.2011 N 420-ФЗ)

1. Создание, распространение или использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации, -

наказываются ограничением свободы на срок до четырех лет, либо принудительными работами на срок до четырех лет, либо лишением свободы на тот же срок со штрафом в размере до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до восемнадцати месяцев.

2. Деяния, предусмотренные частью первой настоящей статьи, совершенные группой лиц по предварительному сговору или организованной группой либо лицом с использованием своего служебного положения, а равно причинившие крупный ущерб или совершенные из корыстной заинтересованности, -

наказываются ограничением свободы на срок до четырех лет, либо принудительными работами на срок до пяти лет с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового, либо лишением свободы на срок до пяти лет со штрафом в размере от ста тысяч до двухсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от двух до трех лет или без такового и с лишением права занимать определенные должности или заниматься определенной деятельностью на срок до трех лет или без такового.

3. Деяния, предусмотренные частями первой или второй настоящей статьи, если они повлекли тяжкие последствия или создали угрозу их наступления, -

наказываются лишением свободы на срок до семи лет.

--

Конкретно интересует вот это - "Создание, распространение или использование компьютерных программ либо иной компьютерной информации".

Что имеется в виду под иной компьютерной информацией ?

Навскидку я могу подвести под это определение следующие вещи - фишинг и ddos.

[ktotama 45]

Сейчас мысль посетила, что те, чьи компьютеры используют соответствующее ПО не по своей воле, то есть их скорее можно назвать "не использующие", а "используемые", все равно волей-неволей подпадают под понятие использующих.

В соседней ветке о софистике вспомнили.

А как известно и согласно другой статье, незнание закона не освобождает от ответственности. В том числе и от непредумышленных действий. И статья про Халатность есть.

То есть с их компьютеров может и распространяться вредоносное ПО, и плодиться-модифицироваться новое, если его первоначальным автором так задумано, причем возможно даже с малопрогнозируемым кодом. И фактически, каждое ими использование их ПК - является использование и тп ими этого изначально не их, но ставшим уже невольно их соответствующего ПО.

[SDA 750]

варез, т.е. использование любой иной (не обязательно дестуктивной/вредоносной) компьютерной информации, позволяющей преодолеть защиту, образует состав преступления. Это в понимании ст. 273 с точки зрения УК.

http://www.advodom.ru/practice/cybercrime-4.php

[A. 876]

к черту варез - фишинг и ддос подпадают ?

[ktotama 45]

к черту варез - фишинг и ддос подпадают ?

Как мне думается, ддос - да. А фишинг по текущей редакции статьи 273 - увы нет. В перечислении нет слова "доступ". Но в УК есть статья о мошенничестве.

[Valery Ledovskoy 1082]

Я не юрист, но если мыслить логически, то:

DDoS - это тип атаки. Атака - это действие, процесс, но никак не "иная информация". Разве что считать информацией те запросы, которые в большом количестве обрушиваются на сайт. Но тут нужно ещё доказать, что это информация. Формально запрос содержит в себе информацию (параметры запроса), а как на это посмотрит закон...

Фишинг же по сути является программой. Ибо это специально подготовленный веб-сайт, на котором крутится фишинговая страница, которая не что иное как программа, написанная на языке HTML + (в зависимости от ситуации), JavaScript, Perl, PHP и пр. И эта программа отправляет вводимые приватные данные злоумышленнику.

[Зайцев Олег 402]

1. Создание, распространение или использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации, -

Я навскидку вижу ситуацию - офисный планктон, читающий скан журнала "Хакер" или его аналог на рабочем месте и пересылающие его друг другу (оно даже тянет на "группой лицу по предварительному сговору"). И это с одной строны хорошо - я расследовал десятки случаев всевозможного "западлостроения" в виде задания различных хитрых настроек, использования разных фокусов для обхода средств защиты без применения малварей в чистом виде (смешно, но прямое попадае начитавшегося такой литературы студента-практиканта в КВС страшнее Stuxnet). Т.е. как я понимаю, под эту формулировку попадает любая инструкция и любой алгоритм, нацеленный на ту самую блокировку, удаление и т.п. информации. Ну и естественно все ломалки паролей, генераторы пакетов, с натяжкой - декомпиляторы, дизассемблеры, читы для сетевых игр, крякеры и патчеры ... Однако такая общность формулировки позволяет понимать под ней что угодно.

[ktotama 45]

Поясню свою точку зрения:

Создание, распространение или использование компьютерных программ либо иной компьютерной информации,

а именно каких компьютерных программ или информации:

заведомо предназначенных для несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств защиты компьютерной информации

DDOS - говорим о состоявшемся или нет

Чтобы DDOS состоялся - для этого злоумышленникам нужен предварительный комплекс мероприятий. То есть без этих мероприятий DDOS'a не будет как факта

Соответственно для осуществления его сути, то есть прекращения доступа к интернет-сайту, а еще лучше поломки RAID-массива сервера или просто жесткого диска без массива, желательно даже механической, и чтобы данные на нем накрылись медным тазом (и данные эти могут быть без бэкапа), необходимо

Создание, распространение или использование компьютерных программ либо иной компьютерной информации, заведомо предназначенных для несанкционированного уничтожения, блокирования или нейтрализации средств защиты компьютерной информации

А уже по факту состоявшегося DDOS можно говорить о Порче чужого имущества, Воспрепятствовании деятельности; вплоть до Подавления свободы слова.

То есть уже сам факт подготовки DDOS, то есть написание программы для "тихого" поражения других компьютеров, то есть создание бот-сети для атак, но еще не осуществление их - уже преступление.

Теперь по поводу фишинга:

Создание, распространение или использование компьютерных программ либо иной компьютерной информации,

подходит под описание, а последующее уточнение "а именно" - нет.

Поскольку только скопировали банковскую страничку, но не создавали программы или информации для копирования - все в свободном доступе для этого.

Таким образом фишинг в текущей редакции статьи - только мошенничество. Если, конечно, далее не последовало большее.

Про баннеры-вымогатели будем говорить? Да, подпадают под эту статью, и не только. Тут и Мошенничество, и Вымогательство.

[Mr. Justice 771]

Понятие компьютерной информации раскрывается в примечаниях к ст. 272 УК РФ. Вот оно:

Примечания. 1. Под компьютерной информацией понимаются сведения (сообщения, данные), представленные в форме электрических сигналов, независимо от средств их хранения, обработки и передачи.

2. Крупным ущербом в статьях настоящей главы признается ущерб, сумма которого превышает один миллион рублей.

[Shell 301]

сведения (сообщения, данные), представленные в форме электрических сигналов,

тоесть, сведения об эксплуатации критической уязвимости пока не попадают?

[SDA 750]

Я не юрист, но если мыслить логически, то:

DDoS - это тип атаки. Атака - это действие, процесс, но никак не "иная информация". Разве что считать информацией те запросы, которые в большом количестве обрушиваются на сайт. Но тут нужно ещё доказать, что это информация. Формально запрос содержит в себе информацию (параметры запроса), а как на это посмотрит закон...

Фишинг же по сути является программой. Ибо это специально подготовленный веб-сайт, на котором крутится фишинговая страница, которая не что иное как программа, написанная на языке HTML + (в зависимости от ситуации), JavaScript, Perl, PHP и пр. И эта программа отправляет вводимые приватные данные злоумышленнику.

DDoS - это запросы бот-сети из компов зараженных злонамеренной программой. Вот за заражение и последующий "профит" от DDoS (блокирование), и будет состав вины.

По поводу фишинга, как злонамеренной программы в принципе согласен, подходит если это правильно (в рамках 272 УК) обосновать.

[ktotama 45]

тоесть, сведения об эксплуатации критической уязвимости пока не попадают?

смотря кому будут адресованы - для этого, или для противодействия этому

[Mr. Justice 771]

Сейчас мысль посетила, что те, чьи компьютеры используют соответствующее ПО не по своей воле, то есть их скорее можно назвать "не использующие", а "используемые", все равно волей-неволей подпадают под понятие использующих.

В соседней ветке о софистике вспомнили.

А как известно и согласно другой статье, незнание закона не освобождает от ответственности. В том числе и от непредумышленных действий. И статья про Халатность есть.

То есть с их компьютеров может и распространяться вредоносное ПО, и плодиться-модифицироваться новое, если его первоначальным автором так задумано, причем возможно даже с малопрогнозируемым кодом. И фактически, каждое ими использование их ПК - является использование и тп ими этого изначально не их, но ставшим уже невольно их соответствующего ПО.

Несмотря на то, что оффтопик отвечу. Состав этого преступления предполагает наличие вины в форме прямого умысла.

Наличие прямого умысла означает, что лицо осознавало общественную опасность своих действий (бездействия), предвидело возможность или неизбежность наступления общественно опасных последствий и желало их наступления. (ч. 2 ст. 25 УК РФ)

[Mr. Justice 771]

Фишинг же по сути является программой. Ибо это специально подготовленный веб-сайт, на котором крутится фишинговая страница, которая не что иное как программа, написанная на языке HTML + (в зависимости от ситуации), JavaScript, Perl, PHP и пр. И эта программа отправляет вводимые приватные данные злоумышленнику.

Фишинг - это разновидность мошенничества, то есть это не программа, а деяние. Программу вряд ли можно рассматривать в качестве фишинга.

[Mr. Justice 771]

тоесть, сведения об эксплуатации критической уязвимости пока не попадают?

Прошу прощения, не совсем понимаю смысл вопроса. Видимо устал сегодня и голова соображает плохо. Если речь идет о создании и использовании вредоносного ПО на основе сведений об эксплуатации критической уязвимости, то, думаю, это можно квалифицировать как преступление, предусмотренное ст. 273 УК РФ.

[Valery Ledovskoy 1082]

Фишинг - это разновидность мошенничества, то есть это не программа, а деяние. Программу вряд ли можно рассматривать в качестве фишинга.

А фишинговый сайт можно рассматривать как целый комплекс программ...

[K_Mikhail 807]

А фишинговый сайт можно рассматривать как целый комплекс программ...

Не занимайся казуистикой из умных слов на подобие "комплекс программ". А то ещё разработку CMS под 273 и прочие сопы-пипы подведёшь.

[Valery Ledovskoy 1082]

А то ещё разработку CMS под 273 и прочие сопы-пипы подведёшь.

Да весь Интернет - это одна потенциально опасная программа на базе вражеских корневых серверов

[Mr. Justice 771]

А фишинговый сайт можно рассматривать как целый комплекс программ...

Валерий, ты не понял. Фишинг -это действие, а не объект. Фишинг - это преступление, а программа (сайт) это то с помощью чего оно совершается.

[K_Mikhail 807]

Да весь Интернет - это одна потенциально опасная программа на базе вражеских корневых серверов

Да-да, забанить Интернет, не забыв разместить там свою"официальную группу".

P.S. Сорри, пооффтопили малость.

[Valery Ledovskoy 1082]

Фишинг - это преступление, а программа это то с помощью чего оно совершается.

Но если программа вредоносная (такая, как фишинговый сайт), то под закон попадает не только фишинг как действие, но и создание и распространение (передача ссылок) на вредоносную программу как другое действие (ст. 273).

[Mr. Justice 771]

Но если программа вредоносная (такая, как фишинговый сайт), то под закон попадает не только фишинг как действие, но и создание и распространение (передача ссылок) на вредоносную программу как другое действие (ст. 273).

В логике это называется подмена тезиса. Конечно, создание вредоносной программы - это тоже преступление, но это не означает, что фишинг является программой, а не действием.

[A. 876]

Вот смотрите тут какое дело.

Если фишинг - это мошенничество (какая там, 158ая?), а он всегда в России трактовался именно как мошенничество - то получается что за него потенциально светит срок бОльший, чем если бы он шел по 273й

[ktotama 45]

Вот смотрите тут какое дело.

Если фишинг - это мошенничество (какая там, 158ая?), а он всегда в России трактовался именно как мошенничество - то получается что за него потенциально светит срок бОльший, чем если бы он шел по 273й

смотря в каких случаях

Статья 159. Мошенничество

1. Мошенничество, то есть хищение чужого имущества или приобретение права на чужое имущество путем обмана или злоупотребления доверием, -

наказывается штрафом в размере до ста двадцати тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного года, либо обязательными работами на срок до трехсот шестидесяти часов, либо исправительными работами на срок до одного года, либо ограничением свободы на срок до двух лет, либо принудительными работами на срок до двух лет, либо арестом на срок до четырех месяцев, либо лишением свободы на срок до двух лет.

2. Мошенничество, совершенное группой лиц по предварительному сговору, а равно с причинением значительного ущерба гражданину, -

наказывается штрафом в размере до трехсот тысяч рублей или в размере заработной платы или иного дохода осужденного за период до двух лет, либо обязательными работами на срок до четырехсот восьмидесяти часов, либо исправительными работами на срок до двух лет, либо принудительными работами на срок до пяти лет с ограничением свободы на срок до одного года или без такового, либо лишением свободы на срок до пяти лет с ограничением свободы на срок до одного года или без такового.

3. Мошенничество, совершенное лицом с использованием своего служебного положения, а равно в крупном размере, -

наказывается штрафом в размере от ста тысяч до пятисот тысяч рублей или в размере заработной платы или иного дохода осужденного за период от одного года до трех лет, либо принудительными работами на срок до пяти лет с ограничением свободы на срок до двух лет или без такового, либо лишением свободы на срок до шести лет со штрафом в размере до десяти тысяч рублей или в размере заработной платы или иного дохода осужденного за период до одного месяца либо без такового и с ограничением свободы на срок до полутора лет либо без такового.

4. Мошенничество, совершенное организованной группой либо в особо крупном размере, -

наказывается лишением свободы на срок до десяти лет со штрафом в размере до одного миллиона рублей или в размере заработной платы или иного дохода осужденного за период до трех лет либо без такового и с ограничением свободы на срок до двух лет либо без такового.

[ShIvADeSt 15]

Значит ли этот закон, что теперь авторов винлоков будет ожидать реальный срок или штраф и ими уже будут заниматься соотв органы, которые ранее игнорировали их, так как ущерб был незначительный? Ведь суть винлоков в том, что они осуществляют блокирование доступа.