Co grozi za rozsyłanie wirusów komputerowych? Odpowiedzialność karna w Polsce

Rozsyłanie wirusów komputerowych, robaków, koni trojańskich, ransomware czy innego złośliwego oprogramowania (malware) nie jest w Polsce traktowane jako niegroźna ciekawostka techniczna, lecz jako przestępstwo zagrożone karą pozbawienia wolności. Wbrew obiegowej opinii odpowiedzialność karną ponosi nie tylko ten, kto faktycznie zaszyfrował cudze dane czy unieruchomił serwer, ale także osoba, która sam wirus stworzyła, udostępniła go w sieci, sprzedała lub pomogła go rozpropagować. Polskie prawo karne reguluje te kwestie głównie w rozdziale XXXIII Kodeksu karnego ("Przestępstwa przeciwko ochronie informacji") oraz w przepisach o przestępstwach przeciwko mieniu. Co istotne, ściganie tych czynów coraz częściej kończy się realnym aktem oskarżenia, ponieważ organy ścigania dysponują dziś wyspecjalizowanymi jednostkami do walki z cyberprzestępczością, a ataki ransomware powodują wymierne, łatwe do udowodnienia szkody. Poniżej wyjaśniamy, jakie dokładnie przepisy wchodzą w grę, jakie kary grożą i kiedy działanie nieumyślne nie podlega karze.

Sabotaż komputerowy i zakłócanie pracy systemu (art. 269 i 269a KK)

Najpoważniejszą kwalifikacją dla osoby rozsyłającej wirusy jest art. 269 Kodeksu karnego, czyli tzw. sabotaż komputerowy. Karze pozbawienia wolności od 6 miesięcy do 8 lat podlega ten, kto niszczy, uszkadza, usuwa lub zmienia dane informatyczne o szczególnym znaczeniu dla obronności kraju, bezpieczeństwa w komunikacji, funkcjonowania administracji rządowej, innego organu państwowego lub instytucji państwowej albo samorządu terytorialnego, albo zakłóca lub uniemożliwia automatyczne przetwarzanie, gromadzenie lub przekazywanie takich danych. Dla typowego ataku na firmę lub osobę prywatną kluczowy jest natomiast art. 269a KK: kto, nie będąc do tego uprawnionym, przez transmisję, zniszczenie, usunięcie, uszkodzenie, utrudnienie dostępu lub zmianę danych informatycznych w istotnym stopniu zakłóca pracę systemu informatycznego, systemu teleinformatycznego lub sieci teleinformatycznej, podlega karze pozbawienia wolności od 3 miesięcy do lat 5. Wirus, który spowalnia firmowy serwer, blokuje pocztę czy unieruchamia stronę internetową (atak typu DoS lub samoreplikujący się robak), wypełnia właśnie te znamiona.

Niszczenie i zmiana danych informatycznych (art. 268 i 268a KK)

Jeśli złośliwe oprogramowanie kasuje, szyfruje lub modyfikuje pliki ofiary, wchodzi w grę art. 268a KK. Stanowi on, że kto, nie będąc do tego uprawnionym, niszczy, uszkadza, usuwa, zmienia lub utrudnia dostęp do danych informatycznych albo w istotnym stopniu zakłóca lub uniemożliwia automatyczne przetwarzanie, gromadzenie lub przekazywanie takich danych, podlega karze pozbawienia wolności do lat 3. Jeżeli sprawca wyrządza znaczną szkodę majątkową, kara rośnie do przedziału od 3 miesięcy do 5 lat. Ten przepis najczęściej obejmuje ataki ransomware, które szyfrują dokumenty i bazy danych firmy. Z kolei art. 268 KK chroni dostęp do konkretnej, istotnej informacji (np. zapis dokumentu), za co grozi grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2, a w razie szkody majątkowej do lat 3. W praktyce prokurator dobiera kwalifikację do skutku ataku: utrata danych to art. 268/268a, paraliż całego systemu to art. 269a.

Tworzenie i udostępnianie wirusów oraz narzędzi hakerskich (art. 269b KK)

Bardzo ważny i często niedoceniany jest art. 269b KK. Zgodnie z nim odpowiedzialność karną ponosi już ten, kto wytwarza, pozyskuje, zbywa lub udostępnia innym osobom urządzenia lub programy komputerowe przystosowane do popełnienia przestępstwa określonego m.in. w art. 267 § 3, art. 268a § 1 albo § 2 w związku z § 1, art. 269 § 1 lub 2 albo art. 269a, a także hasła komputerowe, kody dostępu lub inne dane umożliwiające nieuprawniony dostęp do informacji. Za czyn ten grozi kara pozbawienia wolności od 3 miesięcy do 5 lat. Oznacza to, że samo napisanie i wrzucenie wirusa, trojana czy exploita do sieci, sprzedaż gotowego ransomware czy nawet rozpowszechnianie tzw. zestawów do ataków (malware kits) jest przestępstwem niezależnie od tego, czy ktokolwiek faktycznie poniósł szkodę. To kluczowa różnica wobec wielu innych czynów: tu karany jest sam akt udostępnienia narzędzia.

Nielegalny dostęp do systemu, oszustwo komputerowe i kradzież danych

Rozsyłanie wirusów rzadko jest celem samym w sobie. Najczęściej służy uzyskaniu nieuprawnionego dostępu do cudzego systemu, kradzieży danych lub pieniędzy. Wtedy w grę wchodzą kolejne przepisy. Art. 267 KK (tzw. hacking) penalizuje uzyskanie bez uprawnienia dostępu do informacji nieprzeznaczonej dla sprawcy, m.in. przez przełamanie albo ominięcie zabezpieczeń elektronicznych lub informatycznych, czemu wirusy typu keylogger czy spyware często służą; grozi za to grzywna, ograniczenie wolności albo pozbawienie wolności do lat 2. Gdy złośliwe oprogramowanie służy do wyłudzenia pieniędzy przez ingerencję w dane lub działanie systemu informatycznego, zastosowanie ma art. 287 KK (oszustwo komputerowe), zagrożony karą pozbawienia wolności od 3 miesięcy do 5 lat. Sprawcy ataków ransomware z żądaniem okupu można dodatkowo postawić zarzut wymuszenia rozbójniczego z art. 282 KK. W praktyce akt oskarżenia obejmuje kilka przepisów łącznie (tzw. kumulatywna kwalifikacja), a sąd wymierza jedną karę za pozostające w zbiegu czyny.

Kiedy działanie nieumyślne nie podlega karze (linia obrony)

Przestępstwa cybernetyczne z rozdziału XXXIII KK są przestępstwami umyślnymi. Oznacza to, że dla skazania konieczne jest wykazanie, że sprawca chciał popełnić czyn albo co najmniej godził się na jego skutek (zamiar bezpośredni lub ewentualny). Osoba, która nieświadomie przekazała dalej zainfekowany załącznik, której komputer został przejęty i wykorzystany w botnecie bez jej wiedzy, albo która padła ofiarą phishingu, co do zasady nie popełnia przestępstwa, ponieważ brak jest po jej stronie umyślności. W obronie kluczowe jest więc wykazanie braku zamiaru: dokumentowanie aktualnego oprogramowania antywirusowego, logów świadczących o włamaniu na własne konto, opinii biegłego informatyka potwierdzającej, że urządzenie było zdalnie kontrolowane. Warto też pamiętać, że odpowiedzialność karna jest zindywidualizowana, a prokurator musi udowodnić, że to właśnie oskarżony, a nie inny użytkownik tego samego adresu IP czy urządzenia, jest sprawcą. To częsty punkt zaczepienia w postępowaniu, zwłaszcza przy wspólnych sieciach i niezabezpieczonych routerach.

Odpowiedzialność cywilna i obowiązek naprawienia szkody

Niezależnie od kary kryminalnej sprawca ataku ponosi odpowiedzialność cywilną wobec poszkodowanego. Podstawą jest art. 415 Kodeksu cywilnego, zgodnie z którym kto z winy swej wyrządził drugiemu szkodę, obowiązany jest do jej naprawienia. Firma, która utraciła dane, poniosła koszty odzyskania systemów, przestoju czy zapłaty okupu, może dochodzić tych kwot w procesie cywilnym. Co więcej, w samym procesie karnym pokrzywdzony może złożyć wniosek o orzeczenie obowiązku naprawienia szkody na podstawie art. 46 KK, a sąd, skazując sprawcę, zobowiązuje go do zapłaty na rzecz ofiary. W praktyce sumy te potrafią wielokrotnie przewyższać grzywnę. Jeśli złośliwe oprogramowanie naruszyło dane osobowe (np. wykradło bazę klientów), dochodzi jeszcze odrębna odpowiedzialność administracyjna z RODO oraz ryzyko roszczeń osób, których dane wyciekły, na podstawie art. 82 RODO.

Jak postąpić, gdy padłeś ofiarą lub usłyszałeś zarzuty

Jeśli jesteś ofiarą ataku, zabezpiecz dowody zanim usuniesz wirusa: zrób kopię dysku, zachowaj logi, e-maile z żądaniem okupu, screeny i nie płać okupu bez konsultacji. Zgłoś sprawę na policję lub do prokuratury (zawiadomienie o podejrzeniu popełnienia przestępstwa), a incydent dotyczący danych osobowych dodatkowo do Prezesa UODO w ciągu 72 godzin. Pomocne są też CERT Polska (zespół reagowania na incydenty komputerowe działający w ramach NASK) oraz formularz zgłoszeniowy [email protected]. Jeśli natomiast usłyszałeś zarzuty, nie składaj wyjaśnień bez obrońcy. Skorzystaj z prawa do odmowy składania wyjaśnień (art. 175 KPK) do czasu konsultacji z adwokatem. Wczesny udział obrońcy pozwala zakwestionować sposób zabezpieczenia dowodów elektronicznych, podważyć przypisanie sprawstwa na podstawie samego adresu IP oraz, gdy to zasadne, dążyć do dobrowolnego poddania się karze lub warunkowego umorzenia, jeśli sprawca był wcześniej niekarany, a szkoda została naprawiona.