Dystrybucja złośliwego oprogramowania (art. 269b KK) – odpowiedzialność karna i obrona

Dystrybucja złośliwego oprogramowania (tzw. malware – wirusów, trojanów, oprogramowania szpiegującego, ransomware) to w polskim prawie nie tylko problem techniczny, lecz przede wszystkim przestępstwo przeciwko ochronie informacji uregulowane w rozdziale XXXIII Kodeksu karnego. Centralnym przepisem jest art. 269b KK, który penalizuje wytwarzanie, pozyskiwanie, zbywanie lub udostępnianie programów komputerowych przystosowanych do popełnienia określonych przestępstw komputerowych. W praktyce zarzut taki pada wobec twórców i sprzedawców narzędzi hakerskich, osób udostępniających ransomware w modelu 'as a service', a niekiedy także wobec administratorów, badaczy bezpieczeństwa czy zwykłych użytkowników, którzy nieświadomie przesłali dalej zainfekowany plik. Ponieważ znamiona tych czynów są nieostre, a granica między legalnym testowaniem zabezpieczeń a przestępstwem bywa cienka, dobór właściwej linii obrony ma realne znaczenie. W tym artykule wyjaśniamy, jakie przepisy wchodzą w grę, jakie kary faktycznie grożą, jak wygląda materiał dowodowy w sprawach informatycznych oraz jak działać po postawieniu zarzutu.

Podstawa prawna – art. 269b KK i pokrewne przestępstwa komputerowe

Najważniejszym przepisem jest art. 269b § 1 KK: karze on tego, kto wytwarza, pozyskuje, zbywa lub udostępnia innym osobom urządzenia lub programy komputerowe przystosowane do popełnienia przestępstwa określonego w art. 165 § 1 pkt 4 KK (sprowadzenie niebezpieczeństwa przez zakłócenie systemów informatycznych), art. 267 § 3 KK (nielegalne uzyskanie informacji – podsłuch, sniffer), art. 268a § 1 albo 2 KK, art. 269 § 1 lub 2 KK oraz art. 269a KK, a także hasła komputerowe, kody dostępu lub inne dane umożliwiające nieuprawniony dostęp do informacji. Malware najczęściej kwalifikuje się właśnie jako 'program przystosowany do popełnienia przestępstwa'. W zależności od skutku dystrybucja i użycie złośliwego oprogramowania może się też wiązać z odpowiedzialnością za niszczenie lub zmianę danych informatycznych (art. 268 i art. 268a KK), za tzw. sabotaż komputerowy, czyli niszczenie danych o szczególnym znaczeniu (art. 269 KK), za zakłócanie pracy systemu lub sieci, np. atak DDoS lub szyfrowanie ransomware (art. 269a KK), a gdy celem jest korzyść majątkowa – za oszustwo komputerowe (art. 287 KK). Sam nielegalny dostęp do systemu penalizuje art. 267 KK.

Jakie kary realnie grożą – bez przesady

Za czyn z art. 269b § 1 KK grozi kara pozbawienia wolności od 3 miesięcy do 5 lat. Za niszczenie lub utrudnianie dostępu do danych z art. 268a § 1 KK grozi kara do 3 lat pozbawienia wolności, a jeśli sprawca wyrządza znaczną szkodę majątkową (art. 268a § 2 KK) – od 3 miesięcy do 5 lat. Sabotaż komputerowy z art. 269 § 1 KK (niszczenie danych o szczególnym znaczeniu dla obronności, bezpieczeństwa, administracji) zagrożony jest karą od 6 miesięcy do 8 lat. Zakłócanie pracy systemu z art. 269a KK to kara od 3 miesięcy do 5 lat. Oszustwo komputerowe z art. 287 § 1 KK to kara od 3 miesięcy do 5 lat, a w wypadku mniejszej wagi – grzywna, ograniczenie wolności albo pozbawienie wolności do roku. Należy podkreślić, że samo zagrożenie ustawowe nie przesądza o realnym wyroku – sąd wymierza karę w granicach przewidzianych przez ustawę, kierując się dyrektywami z art. 53 KK (stopień winy, społeczna szkodliwość, motywacja, dotychczasowy tryb życia, naprawienie szkody). Przy występkach o niewielkiej szkodliwości realne bywa warunkowe umorzenie albo kara wolnościowa.

Kiedy zachowanie nie jest jeszcze przestępstwem – znaczenie zamiaru

Przestępstwa z rozdziału XXXIII KK są umyślne, a art. 269b KK wymaga, by program lub urządzenie było 'przystosowane do popełnienia przestępstwa'. To kluczowy punkt zaczepienia dla obrony. Wiele narzędzi ma podwójne zastosowanie (dual-use): skaner sieci, narzędzie do testów penetracyjnych, debugger czy framework typu Metasploit są legalnie używane przez specjalistów bezpieczeństwa, a stają się 'przystosowane do przestępstwa' dopiero w kontekście celu i sposobu użycia. Sama posiadanie czy napisanie kodu o właściwościach dwojakiego rodzaju nie wyczerpuje znamion, jeśli brak zamiaru wykorzystania go do przestępstwa. Istotne jest też, że karze podlega działanie umyślne – kto nieświadomie przekazał dalej zainfekowany plik (np. przesłał załącznik, nie wiedząc, że zawiera trojana), nie popełnia przestępstwa z art. 269b KK, bo brak po jego stronie zamiaru. Obrona często koncentruje się właśnie na wykazaniu braku świadomości złośliwego charakteru oprogramowania lub braku celu przestępczego, a także na rozgraniczeniu czynu od legalnych badań nad bezpieczeństwem prowadzonych za zgodą właściciela systemu.

Materiał dowodowy w sprawach o malware

Sprawy o dystrybucję złośliwego oprogramowania opierają się przede wszystkim na dowodach cyfrowych, których prawidłowe zabezpieczenie i analiza decydują o wyniku procesu. Typowo są to: zabezpieczone nośniki i kopie binarne dysków (obrazy forensic), logi serwerów i urządzeń sieciowych, analiza próbki malware przez biegłego informatyka, dane od dostawców usług (adresy IP, logi logowania), zawartość kont pocztowych, komunikatorów i portfeli kryptowalut w sprawach ransomware. Dla obrony kluczowe jest sprawdzenie, czy materiał cyfrowy zabezpieczono prawidłowo i czy zachowano tzw. łańcuch dowodowy (chain of custody) – każda przerwa w udokumentowaniu, kto i kiedy miał dostęp do danych, może podważyć ich wiarygodność. Istotne bywa też zbadanie, czy przypisanie czynu konkretnej osobie nie opiera się wyłącznie na adresie IP (który nie identyfikuje jednoznacznie sprawcy – łącze może być współdzielone, zainfekowane lub wykorzystane przez osobę trzecią). Obrońca może wnioskować o powołanie własnego biegłego lub o uzupełnienie opinii, a także kwestionować metodykę badania próbki.

Linie obrony w sprawach o dystrybucję złośliwego oprogramowania

Strategia obrony zależy od dowodów, ale najczęściej buduje się ją wokół kilku osi. Po pierwsze – kwestionowanie znamion: czy dany program rzeczywiście był 'przystosowany do popełnienia przestępstwa', czy ma legalne, podwójne zastosowanie. Po drugie – brak zamiaru i świadomości: wykazanie, że oskarżony nie wiedział o złośliwym charakterze pliku albo nie miał celu przestępczego (np. udostępnił kod w ramach badań naukowych, edukacji lub testów za zgodą właściciela). Po trzecie – podważanie sprawstwa: ustalenie, że przypisanie czynu opiera się na poszlakach (sam adres IP, współdzielone konto), które nie wykluczają działania innej osoby. Po czwarte – zarzuty proceduralne: nieprawidłowe zabezpieczenie dowodów cyfrowych, naruszenie procedury przeszukania i zatrzymania rzeczy, wadliwa opinia biegłego. Po piąte – okoliczności łagodzące i instytucje korzystne dla sprawcy: dążenie do warunkowego umorzenia (art. 66 KK), dobrowolnego poddania się karze (art. 335 i 387 KPK), wykazanie naprawienia szkody i współpracy z organami. Dobór konkretnej linii należy ustalić z obrońcą po analizie akt.

Granica między badaniem bezpieczeństwa a przestępstwem

Polskie prawo nie zawiera ogólnej klauzuli legalizującej 'etyczny hacking'. Oznacza to, że nawet badacz bezpieczeństwa działający w dobrych intencjach może narazić się na zarzut, jeśli uzyskał nieuprawniony dostęp do systemu (art. 267 KK) albo wytworzył lub udostępnił narzędzie objęte art. 269b KK bez właściwej podstawy. Bezpieczne ramy daje wyłącznie pisemna zgoda właściciela systemu na testy penetracyjne (umowa, akceptacja regulaminu programu bug bounty, zakres i metody testów). Działanie w granicach takiej zgody co do zasady wyłącza bezprawność – brak nieuprawnionego dostępu i brak celu przestępczego. Dlatego specjalistom rekomenduje się: dokumentowanie zgody i zakresu testów na piśmie, niewykraczanie poza uzgodniony zakres, zgłaszanie luk odpowiedzialnie (responsible disclosure) i nieudostępnianie publicznie działających exploitów. Jeżeli zarzut już padł, obrona może wykazywać, że działanie mieściło się w granicach zgody i nie miało charakteru przestępczego.

Co zrobić po postawieniu zarzutu lub zatrzymaniu sprzętu

Najważniejsza zasada: nie składaj wyjaśnień przed rozmową z obrońcą. Masz prawo odmówić składania wyjaśnień i odpowiedzi na pytania (art. 175 KPK), a skorzystanie z tego prawa nie może być poczytane na Twoją niekorzyść. Po drugie – nie usuwaj, nie modyfikuj i nie szyfruj danych ani nie 'czyść' urządzeń związanych ze sprawą; takie działanie może zostać uznane za zacieranie śladów i pogorszyć Twoją sytuację. Po trzecie – jeśli organy zabezpieczają sprzęt, zażądaj protokołu zatrzymania rzeczy i sprawdź jego zgodność z rzeczywistym stanem. Po czwarte – zabezpiecz materiały świadczące na Twoją korzyść: umowy o testy bezpieczeństwa, korespondencję, dokumentację projektu, dowody zgody właściciela systemu. Po piąte – jak najszybciej skonsultuj się z adwokatem lub radcą prawnym specjalizującym się w sprawach z zakresu cyberprzestępczości i ustal strategię na każdym etapie postępowania. Im wcześniej obrońca włączy się do sprawy, tym więcej realnych możliwości działania, łącznie z wnioskami dowodowymi i negocjacjami z prokuratorem.