Co grozi za tworzenie i rozpowszechnianie złośliwego oprogramowania?

Pisanie wirusów, trojanów czy programów typu ransomware nie jest w Polsce jedynie kwestią etyki - to czyn zabroniony, za który Kodeks karny przewiduje karę pozbawienia wolności. Odpowiedzialność dotyczy nie tylko samego ataku, ale też wcześniejszych etapów: wytworzenia, pozyskania i udostępnienia narzędzi przeznaczonych do popełnienia przestępstw komputerowych. Obok sankcji karnej sprawca naraża się na roszczenia cywilne poszkodowanych oraz - jeśli doszło do wycieku danych osobowych - na konsekwencje wynikające z RODO.

Przepisy karne o przestępstwach komputerowych

Polski Kodeks karny chroni informację w rozdziale XXXIII. Najistotniejsze przepisy to: art. 267 (bezprawne uzyskanie dostępu do informacji, nielegalny podsłuch), art. 268 i 268a (niszczenie, utrudnianie dostępu do danych), art. 269 (sabotaż komputerowy wobec danych o znaczeniu dla obronności, bezpieczeństwa, administracji), art. 269a (zakłócanie pracy systemu, np. atak DDoS) oraz art. 269b - który wprost penalizuje wytwarzanie, pozyskiwanie, zbywanie lub udostępnianie programów komputerowych przystosowanych do popełnienia tych przestępstw, a także haseł i kodów dostępu. To właśnie art. 269b jest podstawą odpowiedzialności twórcy malware.

Jakie kary grożą sprawcy

Za udostępnianie złośliwego oprogramowania z art. 269b KK grozi kara pozbawienia wolności (w typie podstawowym do kilku lat). Surowość zależy od skutku i kwalifikacji - sabotaż komputerowy z art. 269 KK jest zagrożony karą od 6 miesięcy do 8 lat. Sąd bierze pod uwagę rozmiar szkody, liczbę poszkodowanych i działanie w zorganizowanej grupie. Warto pamiętać, że przygotowywanie narzędzi jest karalne nawet wtedy, gdy do faktycznego ataku jeszcze nie doszło.

Odpowiedzialność cywilna i ochrona danych

Niezależnie od procesu karnego, ofiary ataku mogą dochodzić odszkodowania na zasadach ogólnych Kodeksu cywilnego (art. 415 i nast.) za szkodę wyrządzoną czynem niedozwolonym - obejmuje to koszty przestojów, odzyskiwania danych i naprawy systemów. Gdy atak doprowadził do naruszenia ochrony danych osobowych, administrator ma obowiązki zgłoszeniowe wobec Prezesa UODO, a sprawca może odpowiadać dodatkowo. Współpraca międzynarodowa organów ścigania, oparta m.in. na konwencji budapeszteńskiej Rady Europy o cyberprzestępczości, zwiększa realne ryzyko wykrycia.