Prawne aspekty zwalczania cyberprzestępczości

Jak pokazują statystyki kryminalne każdego dnia milion osób pada ofiarą cyberprzestępców na świecie, a ogółem już ok. 460 milionów osób padło ofiarą cyberprzestępstw. Najbardziej powszechną i najszybciej rozwijającą się formą oszustw dokonywanych przez cyberprzestępców są wyłudzenia związane z niewłaściwym posługiwaniem się przez internautów danymi z kart kredytowych. Niemal jedna czwarta ludzi korzystających z sieci komputerowych w Europie była ofiarą co najmniej jednego ataku z wykorzystaniem szkodliwego oprogramowania. Specjaliści z Kaspersky Lab[1], każdego dnia wykrywają ponad 200 000 nowych próbek szkodliwego oprogramowania. Zaawansowane mechanizmy wykrywania i blokowania szkodliwego oprogramowania stanowią kluczowe technologie, na których opierają się produkty bezpieczeństwa. Ostatnie lata przyniosły znaczny wzrost zależności człowieka od systemów informatycznych, a to z kolei spowodowało wzrost poziomu zagrożenia dla cyberbezpieczeństwa. Szacuje się, że każdego roku ma miejsce 80-90 milionów ataków w cyberprzestrzeni, a zatem każda minuta przynosi około 400 nowych zagrożeń i większość z nich pozostaje niewykryta. Po erze wirusów, trojanów i spamu  nastała epoka kradzieży danych, złośliwego oprogramowania atakującego urządzenia mobilne, cyfrowego szpiegostwa i terroryzmu. Zakres niebezpieczeństw zwiększa się z powszechnym zastosowaniem nowych technologii, w tym tzw. wearables, „internetu rzeczy”, płatności mobilnych, wirtualnych walut (np. bitcoin)[2] czy ujednoliconej, cyfrowej tożsamości dającej dostęp do usług firm i instytucji publicznych. Amerykanie bardziej niż jakiegokolwiek innego zagrożenia obawiają się, że oni sami lub infrastruktura o krytycznym znaczeniu dla ich kraju padną ofiarą cyberataku. Ataki przy użyciu szkodliwego oprogramowania oznaczają straty finansowe,  wiele osób zmuszonych jest ponieść koszty związane z przywróceniem uszkodzonych urządzeń do działania. Powszechnie uważa się, że szkodliwe oprogramowanie nie powoduje większych problemów niż spowolnienie komputera czy brak możliwości korzystania z Internetu. Jest to błędne przekonanie, ponieważ ataki z wykorzystaniem szkodliwego oprogramowania od dawna kosztują użytkowników ogromne  pieniądze. Ponad połowa naruszeń danych w Europie wynika z błędów organizacyjnych i popełnianych przy zarządzaniu systemem i danymi, a nie jest rezultatem ataków hakerskich, wynika z kolei z badań przeprowadzonych przez centrum CMDS (Center for Media, Data and Society)[3].

Skutki takich działań dzisiejszych cyberprzestepców mogą być niewyobrażalne. W dobie państwa informatycznego[4], w którym najcenniejszą wartością jest informacja są one w stanie uniemożliwiać działania systemów komputerowych sterujących pracą ważnych dla gospodarki państwa różnych infrastruktur[5]. Należy zauważyć, że coraz częściej społeczeństwo informatyczne staje w opozycji do  społeczeństwa obywatelskiego. J. Sobczak[6] twierdzi, że technologie komunikacyjne z jednej strony umacniają społeczeństwo, zaś z drugiej manipulują nim, poprzez różne czasami sprzeczne informacje. Socjolog U. Beck[7] współczesne społeczeństwa nazywa społeczeństwami ryzyka  z powodu ich podatności na wszelkiego rodzaju zagrożenia wynikające z istnienia  nowych technologii informatycznych ale i również ludzi,  którzy te technologie  wykorzystują do przestępstw komputerowych. Z tego względu skutki działań cyberprzestępców można  rozpatrywać w różnych kategoriach, zaś kluczowe będą w aspekcie gospodarczym, ekonomicznym, społecznym i prawnokarnym.

Biorąc pod uwagę aspekt gospodarczy należy zauważyć, że szybki rozwój technologii informatycznych spowodował ogromne zmiany w gospodarce, która w sposób wieloraki oddziaływuje na stopę życiowa społeczeństw, ich dobrobyt jak i na bezpieczeństwo szeroko rozumiane. Ułatwiony dostęp do nowoczesnych technologii informatycznych spowodował przyspieszony rozwój gospodarczy państwa, który coraz częściej wspomagany jest przez coraz to nowsze oprogramowania komputerowe. Niestety, zmiany te niosą zagrożenia  związane z sieciowym przepływem informacji ze strony cyberprzestepców, a straty związane z ich działaniem z roku na rok są coraz większe. Jak pokazują badania, każdego roku wzrastają statystycznie o 26%[8]. Wydłuża się też czas potrzebny na usunięcie skutków udanych ataków informatycznych. Z przeprowadzonych na zlecenie HP analiz firmy Ponemon Institute wynika, że skala cyberprzestępczości oraz koszty ponoszone w wyniku takich działań przez amerykańskie firmy stale rośnie. Według autorów raportu wśród cyberprzestępców postępuje specjalizacja, rozwija się również wymiana informacji między hakerami, dzięki czemu są oni w stanie szybciej obchodzić wdrażane w firmach zabezpieczenia, a także koncentrować swoje działania na wybranych, kluczowych obszarach działalności przedsiębiorców. Przybywa też bardziej zaawansowanych i systematycznie zaplanowanych ataków. Najbardziej kosztowne są obecnie incydenty typu denial-of-service (DoS), ataki prowadzone z wewnątrz organizacji oraz działania wymierzone przeciwko biznesowym aplikacjom internetowym. Czas rozwiązania problemów związanych z jednym tylko, udanym cyberatakiem, wynosi  średnio 32 dni. Łącznie tego typu działania są źródłem 55% wszystkich  związanych z cyberprzestępczością kosztów ponoszonych w skali roku[9]. Dla przedsiębiorców najbardziej kosztowne okazują się incydenty związane z kradzieżą informacji oraz działania powodujące zmniejszenie produktywności lub zakłócenie przebiegu procesów biznesowych. Eksperci Ponemon Institute podkreślają, że mniejsze firmy są narażone na działania cyberprzestępców przynajmniej w takim samym stopniu co duże korporacje. Jednocześnie, w mniejszych firmach straty związane z cyberprzestępczością  przeliczając na liczbę pracowników są znacznie wyższe niż w większych organizacjach, a co za tym idzie także trudniejsze do udźwignięcia. Analitycy podkreślają, że przedsiębiorstwa z sektorów: usług finansowych, obrony, energetyki i użyteczności publicznej ponoszą średnio znacznie wyższe koszty cyberprzestępczości niż firmy z sektora handlu detalicznego, hotelarstwa oraz branży konsumenckiej. Przedsiębiorcy wciąż marginalizują problem zagrożeń w sieci.

Jak wynika z badań TNS OBOP, blisko połowa firm w Polsce nie stosuje żadnych systemów zabezpieczeń chroniących komputery przed dostępem złośliwego oprogramowania. Jeszcze gorzej przedstawia się bilans, jeżeli pod uwagę brane jest  wdrażanie kompleksowej polityki bezpieczeństwa danych przechowywanych na firmowych dyskach. Według G. Data Software, (producenta oprogramowania antywirusowego), proceder wykradania danych jest jednak znaczniej bardziej powszechny, niż wskazywałyby to oficjalne statystyki. Cyberprzestępcy coraz chętniej wykorzystują nieświadomość zagrożeń informatycznych wśród przedstawicieli małych i średnich przedsiębiorstw. Nic więc dziwnego, że co piąta firma pada ofiarą ataku przeprowadzonego za pomocą złośliwego oprogramowania, tracąc w ten sposób poufne informacje lub potencjalne przychody. W Stanach Zjednoczonych, tego typu działania stały się elementem walki konkurencyjnej, w Polsce jak na razie znacznie częściej ma się  do czynienia z atakami przeprowadzanymi przez” indywidualnych” cyberprzestępców. Niemniej jednak należy pamiętać, że kluczowe dla firmy informacje niejednokrotnie stają się również materiałem do dokonywania manipulacji giełdowych, dlatego wyciek lub utrata poufnych informacji, czy to z poczty e-mail, czy też lokalnych dysków, to poważna i niebezpieczna strata dla każdego przedsiębiorstwa[10]. W wielu firmach zaniedbania w systemie bezpieczeństwa powodowane są ograniczeniami budżetu lub nieznajomością samego problemu. Co więcej, w większości małych i średnich przedsiębiorstw, brak stosowania mechanizmów zabezpieczeń dotyczy nie tylko systemów komputerowych, ale także stron klienckich, które coraz częściej mają możliwość bezpośredniego przesyłania danych na serwer. Podziemne fora dyskusyjne to miejsca, gdzie z łatwością można pozyskać popularne narzędzia hakerskie, które są wykorzystywane do przeprowadzania ataków na firmowe komputery. Firma dla wirtualnych przestęców to cel znacznie bardziej atrakcyjny, niż standardowy użytkownik sieci. Siła internetowych gangów tkwi również w strukturze organizacyjnej. Większość z nich ściśle ze sobą współpracuje, używając do przeprowadzania swoich działań legalnych narzędzi internetowych, takich jak wyszukiwarki oraz oprogramowania udostępnianego w modelu Software as a Service. Koronnym przykładem coraz szybciej rozprzestrzeniających się zagrożeń jest również robak Conficker, który wykorzystując niezaktualizowane przez użytkowników luki w zabezpieczeniach systemu Windows. Dostęp do nowoczesnych technologii, nie idzie więc w parze z rozwojem infrastruktury bezpieczeństwa sieci. Niewłaściwe zabezpieczenie firmowego serwera generuje jednak ryzyko dla pozostałych interesariuszy i tak jeżeli np. połączenie między klientem a serwerem nie jest szyfrowane za pomocą protokołu SSL, to przesyłane w ten sposób dane bardzo szybko mogą dostać się w niepowołane ręce. Jeżeli już przedsiębiorcy decydują się na zakup oprogramowania antywirusowego, to zazwyczaj są to klasyczne pakiety antywirusów, przeznaczone dla klientów indywidualnych. Sklepy komputerowe nie oferują natomiast oprogramowania stworzonego z myślą o komputerach firmowych. Chociaż programy antywirusowe z wzmocnieniem w postaci firewall[11] stanowią minimalną podstawę bezpieczeństwa, to jednak bez zaawansowanej heurystyki i kompleksowych rozwiązań przedsiębiorcy są nadal narażeni na zainfekowanie komputerów. W przypadku ochrony antywirusowej kluczową rolę odgrywają takie aspekty jak: wielkość sieci firmowej, czy też wykorzystywane na co dzień węzły sieciowe, które stanowią własne serwery, na których przechowywana jest np. poczta e-mail, a także inne stacje robocze. Dlatego w przypadku firm znacznie lepiej sprawdza się scentralizowana ochrona w obrębie sieci oraz użytkowników wykorzystujących np. laptopy, które łączą się z siecią zdalnie. Istotny jest również fakt, że osoby, które  korzystają z systemu można dowolnie dzielić na grupy, dzięki czemu ochrona antywirusowa jest optymalnie dostosowana do ich potrzeb. Jak wynika z międzynarodowych raportów, na świecie blisko 60 proc. przedsiębiorstw zainfekowanych jest oprogramowaniem typu „malwa re” i w  co drugiej firmie, właśnie z tego powodu spada wydajność, natomiast co czwarta straciła poufne dane. Obecnie zmieniła się orientacja twórców robaków komputerowych. Kiedyś celem było zarażenie komputera wirusem, dziś priorytetem jest kradzież pieniędzy i danych. Bez skutecznej i kompleksowej ochrony antywirusowej firmy działające w Internecie narażają się na ogromne ryzyko. Różnego rodzaju wyniki badań pokazują również, że dobrze działający system chroniący firmową sieć i jej klientów powoduje wzrost wydajności pracy pracowników, a  inwestycje w tego typu rozwiązania po prostu się opłacają na krótszą i dłuższą metę[12]. Światowa gospodarka notuje rocznie z tytułu cyberzagrożeń nawet 575 mld dolarów strat. Ataki w cyberprzestrzeni zmniejszają wartość dodaną, jaką generuje Internet, o 20%. Oznacza to, że nawet 3 bln dolarów mogą być zagrożone do końca 2020 roku. Szacuje się, że cyberprzestępczość obniża globalne PKB o 0,8 pkt. procent, a im kraj jest bogatszy, tym większy jest ten wpływ. Uważa  się, że ponad 50 mld urządzeń do końca 2020 roku będzie miało dostęp do Internetu, ilość ta  automatycznie zwiększa  potencjalne zagrożenie jakie niesie tak zwany „cybergeddon”. Na skalę zjawiska cyberprzestępczości wpływa kilka czynników. Po pierwsze, zainteresowanie mediów i nagłaśnianie przez nie przypadków cyberprzestępstw. Po drugie, zwiększające się  wymagania organów regulacyjnych w zakresie ochrony danych i monitorowania transakcji przyczyniają się do zwiększenia wykrywalności cyberprzestępstw[13]. Po trzecie, na rzeczywisty wzrost przypadków cyberprzestępczości wpływa postęp technologii informatycznych. Cyberprzestępczość ewoluuje, wyprzedzając adekwatne zmiany prawne oraz odpowiednie zabezpieczenia organizacji[14]. Po czwarte, cyberprzestępczości sprzyja zwiększona aktywność pracowników w sieci w tym używanie przez nich portali społecznościowych, takich jak Facebook, Twitter lub LinkedIn, co zwiększa zasięg lub efektywność cyberprzestępczości, np. ułatwia identyfikację osób pracujących w danej organizacji i ich adresów mailowych, a w dalszej kolejności umożliwić instalowanie toksycznego oprogramowania (wirusów, trojanów) na komputerach służbowych tych pracowników[15]. Wreszcie po piąte, na liczbę cyberprzestępstw mają również wpływ niejasności definicyjne. Firmy interpretują inne tradycyjne przestępstwa popełnione z wykorzystaniem komputerów, technologii bądź kradzieżą danych jako cyberprzestępstwa. Branżami, które bardziej są  narażone na ataki cyberprzestępców  są sektory opierające swoją działalność na systemach informatycznych, dysponujące obszernymi bazami danych bądź też podlegające ścisłym regulacjom prawnym, m.in. instytucje finansowe, firmy sektora telekomunikacyjnego oraz technologii i w tych przypadkach negatywne skutki cyberataków są bardzo dotkliwe jak i niebezpieczne. Amerykańskie firmy szacują, że koszty wynikające z samego tylko wycieku danych, takie jak np. wydatki związane z odpowiedzią na te incydenty, oraz koszty kar i postępowań sądowych sięgają setek milionów dolarów. Polskie przedsiębiorstwa najbardziej boją się bezpośrednich skutków cyberataków takich jak kradzieże,  utrata danych osobowych, kradzieże własności intelektualnej i innych danych oraz przerwy w świadczeniu usług. Globalne organizacje postrzegają konsekwencje zjawiska w szerszym niż polskie firmy horyzoncie czasowym: obawiają się przede wszystkim utraty reputacji, wymienione obawy wydają się uzasadnione, biorąc pod uwagę  niewystarczający poziom stosowanych zabezpieczeń. Jedna firma na trzy na świecie nie posiada odpowiednich mechanizmów obronnych przed tym zjawiskiem, a dwie na trzy nie mają systemów jego wykrywania. W Polsce jedynie 23% firm deklaruje regularny monitoring ryzyka związanego z cyberprzestępczością, podczas gdy monitoring ten ma kluczowe znaczenie w wykrywaniu tego typu nadużyć. Dodatkowo jedna/trzecia organizacji w Polsce prowadzi monitoring korzystania przez pracowników z portali społecznościowych, takich jak Facebook czy Twitter, których nieostrożne użytkowanie może narazić organizacje na szereg zagrożeń. Ryzyko cyberataku uzależnione jest m.in. od skali działalności przedsiębiorstwa, ilości operacji, które wykonywane są przez Internet, oraz stopnia jego otwartości w środowisku wirtualnym. Bez względu na branże oraz wielkość budżetów istnieją zabezpieczenia, które mogą istotnie zredukować ryzyko cyberataku.  Do najbardziej narażonych  firm na wszelakie cyberatali szczególnie narażona jest branża finansowa  i  ubezpieczeniowa. Tuż za nimi jest sektor teleinformatyczny, wytwórczy oraz handlu detalicznego. Ponad 400 mld dolarów wynosi globalny koszt przestępstw komputerowych ponoszonych przez podmioty gospodarcze[16].  Podkreśla się, że cyberprzestępczość negatywnie wpływa przede wszystkim na ogólne wyniki finansowe przedsiębiorstw oraz krajowe rynki, ma destrukcyjny wpływ na handel, konkurencyjność, innowację i wzrost światowej gospodarki, a same straty spowodowane cyberprzestępczością mogą skutkować rocznie utratą aż 150 tys. miejsc pracy w Unii Europejskiej i 200 tys. w USA[17]. Państwa o wysokim dochodzie są narażone na straty wyższe średnio o około 0,9 proc. PKB. Na ponad 400 mld dolarów rocznie są szacowane ekonomiczne skutki oddziaływania cyberprzestępczości w skali światowej, co stanowi 15-20 proc. wartości generowanej przez Internet. Kradzież numerów IP oraz poufnych danych biznesowych powoduje jedne z największych strat. Departament handlu USA wyliczył, że amerykańskie firmy rocznie tracą wskutek tego typu cyberprzestepstw 200-250 mld dolarów[18]. Utrata danych inwestycyjnych czy poufnych szczegółów dotyczących negocjacji może zostać natychmiast wykorzystana przez przestępcę. Wykradzione poufne dane mogą posłużyć do manipulowania rynkami lub zostać użyte w obrocie giełdowym. Część strat wynikających z cyberprzestępczości jest bezpośrednio związana z tym, co eksperci nazywają „kosztami naprawy” lub cyfrowym i elektronicznym procesem „czyszczenia”, który jest konieczny po wykryciu ataku. W raporcie McAfee-CSIS[19] zwraca się uwagę, że przestępcy nie są w stanie spieniężyć wszystkich skradzionych informacji, ale w obliczu takiego ryzyka ich ofiary są zmuszone i tak ponosić duże koszty odzyskiwania danych, a także nadszarpniętego wizerunku i zaufania klientów. Internet i firmowe sieci informatyczne coraz częściej stają się narzędziem wykorzystywanym do dokonywania przestępstw i nadużyć przeciwko organizacjom, uważa się, że tego typu działania są po sprzeniewierzeniu aktywów (kradzieże, oszustwa i nadużycia) drugim najczęściej występującym rodzajem przestępstwa gospodarczego. Przedsiębiorstwa powinny być świadome zarówno szans, jak i ryzyka, jakie niesie ze sobą świat wirtualny, tak aby móc czerpać z niego jak najwięcej korzyści, a jednocześnie unikać zagrożeń. Budowanie takiej świadomości w organizacji wymaga wsparcia kierownictwa najwyższego szczebla,  systematycznej edukacji pracowników oraz stosowania odpowiednich zabezpieczeń. Jest to niezbędne minimum w wyścigu zbrojeń pomiędzy cyberprzestępcami a organizacjami w czasach postępu technologicznego i coraz większej aktywności gospodarczej spółek w wirtualnym świecie. Należy wspomnieć, ze gdy rosną straty firm atakowanych przez cyberprzstępców, to jednocześnie koszty przeprowadzenia ataku dla hakerów gwałtownie spadają, jest to wynik rozrastania  się botnetów,  a samo przeprowadzenie ataku DDoS w jest coraz tańsze i łatwiejsze oraz  również łatwy stał się dostęp do narzędzi i exploitów na stronach działających w ukrytej sieci (tzw. „dark net”)[20]. Cyberprzestępczość dotyka wszystkie rynki i gałęzie przemysłu. Najdroższe w skutkach były ataki na sektor globalnych usług finansowych oraz sektor energetyczny. Kolejnym dobrodziejstwem dla cyberprzestępców było ujawnienie narzędzi i danych włoskiej firmy Hacking Team[21]. W upublicznionych danych zawartych było wiele exploitów „zero day” oraz nieznane wcześniej dziury w systemach bezpieczeństwa popularnego oprogramowania[22]. I chociaż producenci tacy jak Adobe czy Microsoft szybko naprawiają ujawnione luki w zabezpieczeniach, to nie wszyscy użytkownicy regularnie aktualizują swoje oprogramowanie i przez to narażeni są na cyberataki. Kraje rozwijające się nie mają wystarczających  możliwości zwalczania cyberataków oraz innych form cyberprzestępczości, dlatego też w tych krajach liczba poszkodowanych jest wyższa. W celu dokonania przestępstw, sprawcy wykorzystują luki prawne i słabość systemów zabezpieczeń, a brak  współpracy pomiędzy krajami rozwiniętymi i rozwijającymi się może prowadzić do powstawania „bezpiecznych przystani” dla osób popełniających cyberprzestępstwa. Coraz częściej cyberataki skierowane są przeciw przedsiębiorstwom i instytucjom prywatnym,  organizacjom politycznym czy partiom politycznym[23]. Rządy wielu państw zaczynają podejmować poważne i systematyczne działania polegające na gromadzeniu i publikowaniu danych dotyczących cyberprzestępczości, aby pomóc przedsiębiorstwom w podejmowaniu lepszych decyzji dotyczących ryzyka i polityk bezpieczeństwa. Potajemne penetrowanie systemów komputerowych w celu kradzieży poufnych danych, paraliżu działania służb publicznych, zniekształcania stron internetowych, czy w końcu przesyłania umownych informacji dla grup przestępczych stało się zjawiskiem nieomalże codziennym, a w skutkach  wręcz katastrofalnym. Przykład stanowi cybernetyczna” święta (dżihad) w Internecie  skierowana przeciw amerykańskim działaniom, przez pakistańskich hakerów w ramach palestyńskiej intifady. Informacje sieciowe dla cyberterrorystów  mają wpływ na rodzaje celów, broni i na metody działania ugrupowań terrorystycznych. Najbardziej niebezpieczne organizacje  wykorzystują technikę informacyjną w celu lepszej organizacji i koordynacji rozproszonych działań. Terroryści wykorzystują potencjał informacji technicznej do tworzenia nowych operacyjnych doktryn i form organizacyjnych. Zauważa się istnienie  powiązanych sieciowo grup terrorystycznych, według J. Arequille i D.F. Ronfeldta[24]., powoduje to powstawanie tzw. wojny sieciowej.