Интернет и киберпреступность

На сегодняшний день конвенцию подписали 46 стран (Convention on Cybercrime CETS No. 185, по состоянию на: 26 марта 2009 г.), но ратифицировали ее лишь 24 страны. Важно отметить также, что в число стран, не подписавших конвенцию, вошли Китай, несколько латиноамериканских государств и Россия. Все эти страны можно отнести к крупнейшим в мире источникам вредоносного кода. Соединенное Королевство пока не ратифицировало конвенцию, но ожидается, что это будет сделано в 2009 году (Hansard [дебаты Палаты общин], 27 января 2009 г.).  
Личная безопасность в интернете

Дискуссия о том, какие меры необходимы для решения проблемы киберпреступности, разгорелась еще жарче после опубликования в августе 2007 года отчета Комитета Палаты лордов по науке и технике о личной безопасности в интернете. В отчете содержалась критика правительства Соединенного Королевства за перекладывание основной ответственности за безопасность работы в интернете на индивидуальных пользователей. По мнению авторов отчета, такой подход «укрепляет восприятие интернета как «дикого запада», где царит беззаконие». В отчете говорится об интернете как об «игровой площадке для киберпреступников» и подчеркивается, что «многие организации, имеющие прямое отношение к интернету, могли бы делать больше для обеспечения личной безопасности пользователей в интернете». В число таких организаций включены производители аппаратного и программного обеспечения, интернет-провайдеры, компании онлайн-бизнеса, банки, полиция и правительство.

Комитет предложил, чтобы все заинтересованные стороны разделили ответственность за безопасность в интернете. В частности, предлагалось обязать компании сообщать об утечках данных (например, в случае взлома одного из серверов компании) всем, чьи интересы могут быть при этом затронуты. По мнению авторов отчета, интернет-провайдеры должны принимать меры в случаях, когда для подключения к интернету через данного провайдера используются зараженные компьютеры. Производители программного обеспечения должны нести ответственность за пробелы в защите своих продуктов, а правительство должно разработать систему сертификации качества приложений и онлайн-контента. По мнению парламентского комитета, банкам следует нести ответственность за убытки, понесенные в результате онлайн-мошенничества. Комитет также рекомендовал правительству страны довести до конца процесс ратификации Европейской конвенции о киберпреступности.

В своем ответе, опубликованном в октябре 2007 года, правительство отвергло многие рекомендации комитета. В результате в июле 2008 года Комитет по науке и технике Палаты лордов опубликовал повторный отчет, в который он снова включил многие из своих рекомендаций, отметив при этом «несколько более позитивный подход к реализации рекомендаций комитета» со стороны министров правительства, а также признание министров, что отчет «помог продвинуться в решении проблемы».  
Преступление и наказание

Очевидно, что само по себе наличие законодательства, посвященного отдельным видам преступной деятельности, не способно решить проблему киберпреступности. Необходимо также, чтобы полиция понимала проблему и имела соответствующие ресурсы для борьбы с ней. К сожалению, в годы, последовавшие за принятием Закона о неправомерном использовании компьютерных технологий, немногие из полицейских властей за пределами большого Лондона обладали достаточными знаниями и квалификацией для борьбы с компьютерными преступлениями. Лишь когда стало ясно, что киберпреступность — это проблема, которая никуда не исчезнет, были выделены ресурсы на создание специализированного органа для решения этой проблемы.

Добавлено (18.05.2011, 20:25:40) 
--------------------------------------------- 
В апреле 2001 года было создано Национальное подразделение по борьбе с преступлениями в сфере высоких технологий (National Hi-Tech Crime Unit, NHTCU). Перед подразделением была поставлена задача дать скоординированный ответ киберпреступности, и оно работало в тесном сотрудничестве со специалистами из различных агентств, в том числе из Национального отдела по расследованию преступлений (National Crime Squad), Королевской налогово-таможенной службы (HM Revenue and Customs) и национальной службы уголовных расследований (National Criminal Intelligence Service.

Подразделение добилось определенных успехов. В частности, в ходе совместной операции с российскими правоохранительными органами были арестованы российские хакеры, угрожавшие онлайн-букмекерам DdoS-атаками (распределенными атаками с целью вызвать отказ в обслуживании) (The Register, 21 июля 2004 г.). Кроме того, были арестованы лица, пытавшиеся в октябре 2004 года украсть деньги со счетов в лондонском отделении японского банка Sumitomo Mitsui (The Register, 19 марта 2009 г.).

В апреле 2006 года функции подразделения перешли к Агентству по борьбе с организованной преступностью (Serious Organised Crime Agency, SOCA). Результатом стали опасения, что на борьбу с киберпреступностью будет выделяться меньше ресурсов, поскольку она составляет лишь малую часть задач, решаемых агентством (Цели SOCA).

В апреле 2007 года были изменены правила раскрытия информации о банковском мошенничестве. После принятия в 2006 году Закона о мошенничестве банки и финансовые компании стали первой инстанцией, куда следовало сообщать о случаях мошенничества с пластиковыми картами, чеками и системами онлайн-банкинга. Официально заявленной целью этого изменения было уменьшение бюрократической волокиты. При этом высказывались опасения, что в результате часть информации о подобных инцидентах будет замалчиваться.

Ответом на эти опасения стали изменения, которые, как многие надеются, позволят привлечь большее внимание властей к проблеме киберпреступности. Первое — это создание в 2009 году Центрального полицейского подразделения по борьбе с электронными преступлениями (Police Central ecrime Unit — PCeU). Этот орган не берет на себя функции Агентства по борьбе с организованной преступностью или других полицейских подразделений. Его задача — координировать усилия по борьбе с киберпреступностью и обеспечить «возможность расследования на национальном уровне наиболее серьезных электронных преступлений» (Программное заявление PCeU). Второе изменение, которое также планируется на конец 2009 года (Hansard [дебаты Палаты общин], 26 февраля 2009 г.), — это создание Национального центра сбора информации о мошенничестве (National Fraud Reporting Centre), который позволит общественности и компаниям малого бизнеса сообщать о случаях мошенничества, не требующих немедленной реакции, через интернет или по телефону.

Конечно, даже при наличии развитой правовой системы и правоохранительных органов, специально сформированных для борьбы с киберпреступностью, преступники могут быть арестованы и преданы суду лишь в случае, если имеются достаточные доказательства их вины. А добыть их бывает непросто. К сожалению, далеко не все готовы признать, что стали жертвой киберпреступников, особенно если подобное признание может повредить репутации компании. 
Применение гражданского права для борьбы с киберпреступностью  
В июле 2006 года мы писали (viruslist.ru, 8 августа 2006 г.) о «зеленом докладе» (консультативном документе с предложениями о принятии новых законодательных актов), опубликованном министерством внутренних дел Соединенного Королевства и озаглавленном «Новые способы борьбы с организованной и экономической преступностью».

В этом документе правительство предлагало устранить «лазейки в уголовном законодательстве с целью поимки тех, кто входит в организованные преступные группировки» с помощью гражданских судов, в том числе путем применения постановлений о превентивных мерах против организованной преступности:

Суды могли бы издавать подобные постановления в случаях, когда, по их мнению, имеется значительная вероятность того, что:

* действия субъекта способствовали  или могли способствовать совершению серьезного преступления  
* условия постановления соразмерны деянию, против которого они направлены, и необходимы для предотвращения подобных деяний в будущем.

Несоблюдение условий постановления должно было стать уголовным преступлением.

В своем окончательном варианте эти предложения вошли в изданный в 2007 году Закон о серьезных преступлениях (Serious Crime Act), целью которого было обеспечить «наилучшие возможные средства, которые позволят нашим правоохранительным органам оставаться на шаг впереди тех, кто совершает серьезные преступления,...и усилить их способность принимать строгие меры против преступников и подрывать их деятельность» (Пресс-релиз министерства внутренних дел от 30 октября 2007 г.).  
Неустойчивое равновесие между безопасностью и свободой

На первый взгляд, Закон о серьезных преступлениях — во всех отношениях прекрасное решение, дающее полиции возможность «обнаруживать, срывать и предотвращать серьезные преступления» (Пресс-релиз министерства внутренних дел от 30 октября 2007 г.). Однако некоторые представители общественности высказывали опасения относительно последствий принятия закона для обеспечения гражданских свобод — не в последнюю очередь потому, что требования к доказательствам виновности, предъявляемым в гражданском суде, ниже, чем соответствующие требования в уголовном суде, а вероятность судебных ошибок, соответственно, выше.

Дискуссия о новом законе получила новый импульс в начале этого года, когда в прессе появились сообщения о том, что полиции разрешено взламывать компьютеры подозреваемых без судебного ордера (The Sunday Times, 4 января 2009 г.; The Independent, 5 января 2009 г.).

Как показывает дискуссия в Германии вокруг так называемого «федерального троянца» (BundesTrojan) (viruslist.com, 27 февраля 2008 г.), Соединенное Королевство — не единственная страна, где остро стоит проблема поиска баланса между личной свободой и безопасностью. Однако никакое решение этой дилеммы до сих пор общественности не представлено.  
Перспективы на будущее

Очевидно, что киберпреступность никуда не исчезнет. В этом нет ничего удивительного. Киберпреступность — не только побочный продукт эпохи интернета, но и часть общего криминального ландшафта. Если что-то можно использовать, то кто-то обязательно найдет возможность использовать это во зло. Компьютерные технологии и интернет — не исключение. Преступность неискоренима, поэтому борьба с киберпреступностью — вопрос не столько «победы в войне», сколько ограничения риска, связанного с работой в интернете.

Для управления этим риском мировому сообществу, несомненно, необходима правовая система вкупе с приспособленными для решения этой задачи и эффективными правоохранительными структурами. Нет сомнения в том, что за последнее десятилетие правоохранительные органы приобрели значительный опыт борьбы с преступлениями в сфере высоких технологий, в том числе и в рамках совместных операций на территории нескольких стран. Для эффективной борьбы с киберпреступностью необходимо дальнейшее сотрудничество, в частности, распространение международного законодательства за пределы развитых стран, а также создание «кибер-Интерпола», который был бы способен преследовать киберпреступников, невзирая на геополитические границы. Это могло бы значительно облегчить борьбу с киберпреступностью.

Но правоохранительные органы — лишь часть решения. Необходимо также, чтобы отдельные пользователи и компании понимали, в чем состоит опасность, и имели достаточные знания и инструментарий, чтобы свести к минимуму риск стать жертвой киберпреступников. Это особенно важно для пользователей, которые зачастую несведущи в технике и плохо понимают, какие потенциальные проблемы таят в себе онлайн-покупки, интернет-банкинг и социальные сети. Проблему усугубляет также растущее число пользователей, соединяющихся с интернетом впервые. Необходимо выработать разнообразные творческие подходы для повышения уровня понимания обществом проблем, связанных с киберпреступностью и методов, позволяющих уменьшить риск до минимума.

«Информационная супермагистраль» по своей сути ничем не отличается от любой дороги общего пользования. Необходимы качественные дороги, безопасные машины, четкие дорожные знаки и умелые водители. Другими словами, необходимо сочетание специализированного законодательства, эффективного полицейского надзора и общественной осведомленности.