Analiza infraciunilor cuprinse n Legea 161/2003

Infraciuni contra confidenialitii i integritii datelor i sistemelor informatice

Infraciuni informatice
Aspecte de procedur

2. INFRACIUNI CUPRINSE N LEGEA 161/2003

Infraciuni contra confidenialitii i integritii datelor i sistemelor informatice Accesul ilegal la un sistem informatic Interceptarea ilegal a unei transmisii de date informatice Alterarea integritii datelor informatice Perturbarea funcionrii sistemelor informatice Operaiuni ilegale cu dispozitive sau programe informatice

Infraciuni informatice Falsul informatic Frauda informatic

Pornografia infantil prin intermediul sistemelor informatice

2. INFRACIUNI CUPRINSE N LEGEA 161/2003

Caracteristicile informaiei n format electronic

CONFIDENIALITATE

INFORMAIA n format electronic

INTEGRITATE

DISPONIBILITATE

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Accesul ilegal la un sistem informatic

Art. 42

a)

Accesul, fr drept, la un sistem informatic constituie infraciune i se

pedepete cu nchisoare de la 3 luni la 3 ani sau cu amend;

b) Fapta prevzut la alineatul (1) svrit n scopul obinerii de date informatice se pedepsete cu nchisoare de la 6 luni la 5 ani; c) Dac fapta prevzut la alin. (1) sau (2) este svrit prin nclcarea msurilor de securitate, pedeapsa este nchisoarea de la 3 la 12 ani.

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Accesul ilegal la un sistem informatic Interesul juridic protejat
Este reprezentat de valoarea social numit sistem informatic i de relaiile sociale care iau natere n legtur cu utilizarea sistemelor automate de prelucrare a datelor n societate. Totodat, se asigur inviolabilitatea spaiului informatic. Ali autori vorbesc chiar de ocrotirea domiciliului informatic. Bineneles, n termenul de spaiu informatic intr i datele informatice, aa cum vor fi ele definite ulterior. Interesul juridic protejat este i acela al proprietarului, deintorului sau utilizatorului de drept (legal) al sistemului informatic, dar i al proprietarului, deintorului ori utilizatorului de drept al datelor informatice, stocate sau vehiculate n respectivul sistem informatic.

Subiecii infraciunii
Subiect activ poate fi orice persoan responsabil penal, textul legal neprevznd o calitate special pentru aceasta. Practica judiciar a demonstrat, ns, c marea majoritate a celor care comit aceste infraciuni au cunotine n domeniul IT, iar un anumit procent sunt familiarizai cu spargerea msurilor de securitate. Cei mai ntlnii sunt inamicii din interior, persoane care lucreaz cu tehnica de calcul n cadrul organizaiilor n care i desfoar activitatea. Subiect pasiv va fi persoana fizic sau juridic proprietar sau deintoare de drept a sistemului informatic vizat ori a datelor informatice obinute neautorizat.

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Accesul ilegal la un sistem informatic Elementul material Accesul, n nelesul dat de lege, desemneaz intrarea n tot sau numai ntr-o parte a sistemului informatic. Metoda i mijloacele de comunicare nu prezint importan.

n forma sa cea mai simpl, accesul fr drept la un sistem informatic presupune o interaciune a fptuitorului cu tehnica de calcul vizat prin intermediul echipamentelor sau diverselor componente ale sistemului vizat (surs de alimentare, butoane de pornire, tastatur, mouse, joystick). Va exista acces ilegal n form simpl i n cazul n care intrusul, manipulnd propriile echipamente periferice, de la distan, gsete i utilizeaz o cale extern de intrare ntr-un alt sistem de calcul. Este cazul tipic al accesrii unei alte staii de lucru aflate ntr-o reea. Pentru obinerea accesului, fptuitorul va ncerca o gam variat de procedee tehnice, cum ar fi: atacul prin parol, atacul de acces liber, atacul care exploateaz slbiciunile tehnologice, atacul IP ori atacul prin deturnarea sesiunii TCP etc..

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Accesul ilegal la un sistem informatic

Un tip interesant de acces ilegal, din ce n ce mai utilizat astzi inclusiv n Romnia, l reprezint atacurile prin inginerie social. Acestea au devenit mai frecvente i mai periculoase pe msur ce tot mai muli utilizatori se conecteaz la Internet i la reele interne.

Un exemplu frecvent de inginerie social este ca un hacker s trimit mesaje email ctre utilizatori (sau pur i simplu s foloseasc telefonul) pentru a-i anuna pe acetia c el este administratorul sistemului. Deseori, mesajele solicit utilizatorilor s-i trimit parola prin email ctre administrator, fiindc sistemul este ntr-o pan sau va fi dezafectat temporar.

Atacurile prin inginerie social se bazeaz cel mai mult pe lipsa cunotinelor utilizatorilor n materie de calculatoare i reele i ignorana acestora n ceea ce privete securitatea IT&C. Cea mai bun reet mpotriva acestor atacuri o reprezint educaia utilizatorilor.

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Accesul ilegal la un sistem informatic

Practica a demonstrat c, n marea majoritate a cazurilor de acces fr drept, fptuitorul acioneaz pentru obinerea de date informatice, care poate s nsemne: captarea vizual a acestor date pe monitor; intrarea n posesia unei imprimate alfanumerice (foaia de hrtie tiprit); rularea unor programe sau aplicaii care gestioneaz date informatice (ex. programe de administrare a bazelor de date ntr-o instituie, programe de pot electronic etc.).

Prin obinerea de date informatice se nelege inclusiv copierea acestora pe supori externi de stocare (Floppy Disk, CD, Memory Stick, Card etc.)

n general, proprietarii, deintorii sau utilizatorii de drept aleg s-i protejeze sistemele informatice prin msuri standard de securitate. Protecia poate fi fizic (izolarea tehnicii de calcul ntr-o incint securizat, asigurarea cu dispozitive mecanice cu cheie sau cifru metalic, controlul manual al sursei de curent etc.) sau logic (prin parole, coduri de acces sau criptare).

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Accesul ilegal la un sistem informatic

Atacurile prin parol sunt printre cele mai preferate de ctre hackeri pentru abordarea (accesarea) reelelor de calculatoare. Metode: 1.Ghicirea sau deducerea numelui utilizator (username) ori parolei. Adesea sunt cutate informaii n imediata apropiere a computerului (post-it lipit pe monitor sau noti ascuns n birou). De asemenea, observarea atent a mediului de lucru ori familial asociat proprietarului ori deintorului sistemului informatic poate oferi indicii care s conduc la conturarea unei posibile parole (ex. numele animalului de companie, numele partenerului de via, date de natere, copii sau rude, evenimente semnificative, locaii cu valoare sentiemental etc.) 2.Folosirea unor aplicaii specializate, dedicate, care s proceseze automat variante aleatoare sau ordonate ale numelui utilizator ori parolei. n majoritatea cazurilor, aceste programe folosesc baze de date tip dicionar (de unde i denumirea de atacuri prin dicionar)

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Accesul ilegal la pota electronic

Pota electronic (EMAIL) este o facilitate de comunicare oferit cetenilor graie interconectrii sistemelor informatice i cuplarea acestora la diferite tipuri de reele care suport protocoale necesare schimbului de mesaje electronice.
Pota electronic serviciul care const n transmiterea printr-o reea public de comunicaii electronice a unor mesaje n format text, voce, sunet sau imagine, care pot fi stocate n reea sau n echipamentul terminal al destinatarului pn la recepionarea de ctre destinatar (Art. 2 din Legea 506/2004 privind prelucrarea datelor cu caracter personal i protecia vieii private n sectorul comunicaiilor electronice )

10

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Interceptarea ilegal a unei transmisii de date informatice

Art. 43

(1) Interceptarea, fr drept, a unei transmisii de date informatice care nu este public i care este destinat unui sistem informatic, provine dintr-un asemenea sistem sau se efectueaz n cadrul unui sistem informatic constituie infraciune i se pedepsete cu nchisoare de la 2 la 7 ani. (2) Cu aceeai pedeaps se sancioneaz i interceptarea, fr drept, a unei emisii electromagnetice provenite dintr-un sistem informatic ce conine date informatice care nu sunt publice.

11

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Interceptarea ilegal a unei transmisii de date informatice

Interesul juridic protejat Este reprezentat de relaiile sociale referitoare la telecomunicaii i comunicaiile informatice, n general, respectiv la comunicaiile de date (informatice) care nu sunt publice, n special. Subiecii infraciunii Subiectul activ poate fi orice persoan responsabil penal. n general, acesta este comun tuturor infraciunilor informatice. n cazul de fa, fptuitorul trebuie neaprat s foloseasc (n mod direct) anumite echipamente electronice special destinate interceptrilor n mediul IT, fr ca deinerea unor cunotine specifice n domeniu s aib vreo relevan. Cu alte cuvinte, poate fi cazul unui lucrtor al statului care are ca sarcin interceptarea unei comunicaii de date, dar utilizeaz o aplicaie dedicat (program informatic) ce i permite s capteze i s recompun pachetele de date, ns (din punct de vedere tehnic) respectivul s nu aib cunotine de IT. Subiectul pasiv va fi persoana fizic sau juridic deintoare de drept a sistemului informatic ori a componentelor de legtur (transmisiuni) ntre dou sau mai multe sisteme informatice. n mod adiacent, subiect pasiv va fi deintorul de drept al datelor informatice interceptate sau persoana vizat n mod direct de prelucrarea automat a acestor date.

12

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Interceptarea ilegal a unei transmisii de date informatice Elementul material Prin interceptare (n sens tehnic) se nelege aciunea de a capta, cu ajutorul unui dispozitiv electronic special fabricat n acest scop sau a unui computer, impulsurile electrice, variaiile de tensiune sau emisiile electromagnetice care tranziteaz n interiorul unui sistem informatic sau se manifest ca efect al funcionrii acestuia ori se afl pe traseul de legtur dintre dou sau mai multe sisteme informatice care comunic.
Interceptarea pachetelor reprezint una dintre aciunile cel mai dificil de realizat, i este, de asemenea, o ameninare serioas la adresa comunicaiilor prin reele (Internet, Intranet). Fiecare pachet de date trimis printr-o reea poate tranzita un numr mare de calculatoare i reele nainte de a ajunge la destinaie. Prin intermediul unui interceptor de pachete, hackerii pot intercepta pachetele de date (inclusiv cele cu mesaje de login, transmisii ale identificatorilor numerici ai crilor de credit, pachete email etc.) care se deplaseaz ntre diferite locaii din Internet. Dup ce intercepteaz un pachet, hackerul l poate deschide i poate fura numele hostului, al utilizatorului, precum i parola asociat pachetului. Hackerii folosesc unul dintre cele mai comune tipuri de interceptri de pachete naintea unor atacuri IP. Experii n materie de securitate au numit interceptarea pachetelor ca spionaj n reea (network snooping) sau supraveghere ascuns (promiscous monitoring).

13

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Interceptarea ilegal a unei transmisii de date informatice

Interceptarea informatic se poate realiza, n mod direct, prin interaciunea fptuitorului cu componentele externe ale sistemului informatic (cabluri, comutatoare, routere, computere etc.). Spre exemplu, comunicaia ntre dou computere ntr-o reea local LAN (Local Area Network) a unei instituii poate fi interceptat de un intrus dup ce acesta se conecteaz fizic la traseul de cablu al reelei vizate, prin secionarea firelor i legarea acestora (n paralel) cu cablul conectat la propriul computer unde va recepiona fluxul de date informatice.

14

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Interceptarea ilegal a unei transmisii de date informatice Indirect sau de la distan, interceptarea poate s ia forma utilizrii unor aplicaii specializate (aa-numitele sniffere a mirosi) care sunt capabile s monitorizeze traficul pachetelor ntr-o reea i s salveze datele de interes n cadrul unor fiiere de tip log.
n general, sniffer-ele sunt utilizate de administratorii de reea sau de Internet Service Provideri (ISP) pentru realizarea analizei de trafic n cadrul unei reele n scop tehnic, de mentenan. Totodat, acestea sunt folosite de ctre administratorii reelelor unor instituii pentru monitorizarea comunicaiilor (interne sau externe) ale angajailor, adesea pentru a prentmpina scurgerile de informaii, desfurarea de activiti ilegale n cadrul sistemului (de ex. descrcarea de programe supuse proteciei copyright-ului, expunerea de materiale cu coninut pornografic infantil etc.) ori chiar pentru ca managementul s aib o reprezentare ct mai exact a timpului petrecut de subordonai n reea ori n Internet.

15

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Interceptarea ilegal a unei transmisii de date informatice

Pentru a descoperi ce se afl ntr-un sistem informatic, persoanele interesate au la dispoziie i o alt nou metod, creia nu-i rezist nici un Firewall, antivirus sau alt program de securitate informatic. n esen, se pot decoda sunetele produse de butoanele tastaturii.

Pn n acest moment, n Romnia nu s-a instrumentat un astfel de caz. 16

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Interceptarea ilegal a unei transmisii de date informatice

O alt metod de interceptare indirect sau de la distan o constituie folosirea programelor tip keylogger, adware, spyware. Programele de tip Adware i Spyware se ncarc automat n PC-ul personal n momentul vizitrii unei anumite pagini Web. Scopul lor este de a nregistra traseul online i transmite napoi celor care le-au trimis (de obicei este vorba despre companii care fac comer prin Internet, firme de marketing i publicitate) date i informaii despre preferinele utilizatorului n materie de pagini Web, coninut, tematic etc. Un program Keylogger este o aplicaie specializat care nregistreaz fiecare tast pe care o apas un utilizator i trimite informaiile ctre persoana care a instalat programul. Acest software poate extrage informaii extrem de folositoare pentru un hacker, cum ar fi numrul crii de credit, rapoarte ale companiei, informaii secrete dintr-o instituie sau date cu caracter financiar.
Acest tip de interceptare se manifest i n Romnia pe scar larg, att la nivel individual, ct i organizat.

17

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Interceptarea ilegal a unei transmisii de date informatice

Aplicaiile tip KEYLOGGER performante au posibilitatea de a capta, stoca i transmite persoanei interesate i alte informaii despre utilizatorul vizat, cum ar fi: Paginile Web vizitate (coninut, dat, or) Coninutul mesajelor iRC (internet Relay Chat), precum i corespondenii Programele i aplicaiile descrcate din Internet Numele utilizator i parolele de login pe paginile securizate de Internet Vizualizri ale ecranului (la anumite momente de timp)

18

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Interceptarea ilegal a unei transmisii de date informatice

n alin. 2 este prevzut o modalitate asimilat de svrire a infraciunii, respectiv interceptarea, fr drept, a unei emisii electromagnetice provenite dintr-un sistem informatic ce conine date informatice care nu sunt publice. Aceasta presupune captarea emisiilor parazite ori a cmpurilor electromagnetice prezente (pe o anumit distan determinat tiinific) n jurul oricrui dispozitiv tranzitat de impulsuri electrice sau electromagnetice.
Astzi este de notorietate modalitatea modern prin care persoane interesate pot capta, cu ajutorul unor dispozitive speciale, radiaiile electromagnetice existente n imediata vecintate a monitorului computerului int, pe care le traduc transformndu-le n impulsuri electrice i, mai apoi, n caractere alfanumerice. (Tehnologia de protecie a sistemelor de calcul mpotriva captrii emisiilor se numete TEMPEST Transient ElectroMagnetic Pulse Emanation Standardizing i este n curs de implementare la nivelul instituiilor civile ori militare care vehiculeaz informaii clasificate naionale sau UE/NATO).

19

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Interceptarea ilegal a unei transmisii de date informatice

O cerin a existenei infraciunii este aceea ca fptuitorul s fi acionat fr drept. Practica a artat c actul va fi legitim dac persoana care procedeaz la interceptare: are dreptul de a dispune de datele cuprinse n pachetele de transmisie (este cazul proprietarilor sau deintorilor sistemelor informatice); dac acioneaz n baza unui contract, la comanda sau cu autorizaia participanilor la procesul de comunicaie (este cazul administratorilor de reea, furnizorilor de servicii internet ISP); dac datele sunt destinate uzului propriu sau marelui public; dac, pe fondul unei dispoziii legale specifice, supravegherea este autorizat n interesul securitii naionale sau pentru a permite serviciilor speciale ale statului s aduc la lumin infraciuni grave (este cazul organelor specializate care dein aparatur corespunztoare i sunt abilitate prin lege).

20

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Alterarea integritii datelor informatice

Art. 44 (1) Fapta de a modifica, terge sau deteriora date informatice ori de a restriciona accesul la aceste date, fr drept, constituie infraciune i se pedepsete cu nchisoare de la 2 la 7 ani. (2) Transferul neautorizat de date dintr-un sistem informatic se pedepsete cu nchisoare de la 3 la 12 ani.

(3) Cu pedeapsa prevzut la alin (2) se sancioneaz i transferul neautorizat de date dintr-un mijloc de stocare a datelor informatice.

21

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Alterarea integritii datelor informatice

Interesul juridic protejat Este reprezentat de fascicolul de relaii sociale care iau natere n jurul datelor i informaiilor stocate sau tranzitate n form electronic. Interesul juridic protejat va fi acela al proprietarului sau deintorului de drept al datelor informatice pentru ca acesta s fie n msur s dispun efectiv de respectivele informaii. Subiecii infraciunii

Subiectul activ (autorul) poate fi orice persoan fizic responsabil penal. n general, dup cum am mai vzut, autorul este o persoan cu cunotine n domeniul calculatoarelor sau al electronicii, dei exist i unele cazuri (mai rar, ns) n care acest aspect nu are nici o relevan.
Subiectul pasiv al infraciunii este persoana fizic sau juridic deintoare de drept a datelor i informaiilor care constituie obiectul material al infraciunii.

22

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Alterarea integritii datelor informatice Elementul material
Actele prin care se realizeaz elementul material al infraciunii implic efecte negative asupra strii datelor, mai ales n ceea ce privete capacitatea lor de a funciona n maniera prevzut de persoana care dispune de ele. Sunt, deci, excluse modificrile, tergerile etc. care nu au asemenea consecine, adic, spre exemplu, care merg pn la a perfeciona programul sau datele din punct de vedere al finalitii lor subiective. Modificarea const n aciunea fptuitorului de a introduce noi secvene sau de a terge anumite poriuni ale datelor informatice, avnd ca rezultat noi date informatice, diferite de cele iniiale i neconforme cu valoarea de adevr pe care ar trebui acestea s le reprezinte. Prin tergere se nelege aciunea de eliminare n tot sau n parte a reprezentrii binare a datelor informatice vizate din medii de stocare tip HardDisk, CD, floppy-disk, memory-stick etc., ceea ce conduce implicit la dispariia respectivelor date. tergerea de date echivaleaz oarecum cu distrugerea de obiecte materiale. Poate fi vorba ns i de distrugerea suportului de date, de supraimprimarea pe benzi, platane magnetice, discuri optice (tip CD-RW), memorii flash etc. tergerea reprezentrilor binare nseamn anularea valorilor de 0 i 1, respectiv producerea de modificri asupra tensiunilor corespunztoare. Trebuie reinut, ns, faptul c tergerea datelor informatice nu nseamn ntotdeauna i eliminarea lor definitiv. Cel mai adesea, tergerea de date este rezultatul unor comenzi software tip DELETE sau FORMAT. n acel moment, datele care sunt organizate n calculator sub form de fiiere vor continua s existe fizic n mediile de stocare ns sistemul va trata respectivele locaii drept libere pentru viitoare supraimprimri. Astfel, pn cnd sistemul nu va ocupa locaiile respective cu alte informaii, datele iniiale (presupuse terse) vor putea fi recuperate. Dei se crede c n urma comenzii FORMAT un disc magnetic este formatat, iar datele imprimate sunt automat distruse, tehnic acest lucru se ntmpl abia dup executarea a apte astfel de operaiuni. 23

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Alterarea integritii datelor informatice

Deteriorarea nseamn alterarea coninutului binar al datelor informatice, prin inserii controlate sau aleatoare de secvene 0 i 1(octei) astfel nct noua secven rezultat s nu mai poat avea un corespondent logic n realitate.

ntr-un sens mai grav, distrugerea de date poate fi rezultatul unor atingeri concrete ale unor instalaii informatice prin acte de terorism, acte specifice de sabotaj, elaborate sau foarte simple, precum i tergerea de date cu magnei sau prin inserarea de programe incidente, bombe logice etc.
Din punct de vedere tehnic, una dintre cele mai simple modaliti de distrugere a datelor este plasarea unui magnet (destul de puternic) n imediata vecintate sau n contact cu un mediu de stocare electronic sau magnetic (platanele HardDisk-ului, folia magnetic a Floppy-disk-ului, chipul unei memorii flash etc.).

24

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Alterarea integritii datelor informatice

Exist restricionare a accesului atunci cnd autorul face s dispar datele fr ca ele s fie n fapt terse ca rezultat al operrii unor instruciuni corespunztoare. Datele nu mai sunt accesibile persoanelor autorizate i, n consecin, acestea nu se pot servi de ele.

Restricionarea accesului la datele informatice este rezultatul uneia sau mai multor aciuni exercitate de ctre fptuitor asupra sistemelor de calcul sau mediilor de stocare, astfel nct utilizatorul de drept s nu le mai poat regsi n forma lor iniial ori prin procedurile standard de operare a sistemelor de calcul. n cazul restricionrii fizice, fptuitorul acioneaz direct pentru blocarea accesului la resursele unui sistem prin dezafectarea componentelor periferice gen tastatur sau mouse. n cazul restricionrii logice, spre exemplu, fptuitorul poate modifica tabela de alocare a fiierelor FAT File Allocation Table - o component a sistemului de operare care aloc fiecrui fiier unul sau mai multe poriuni pe suportul de stocare prin menionarea unor adrese corespunztoare de regsire.
Un exemplu actual de restricionare l reprezint atacurile informatice la adresa paginilor Web, care au ca rezultat imposibilitatea de afiare a paginii sau chiar blocarea ntregului site Web, privnd att proprietarii sau deintorii de drept, ct mai ales vizitatorii de coninutul informaional.

25

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Alterarea integritii datelor informatice

Prin transfer neautorizat se nelege mutarea fr drept a reprezentrii binare a informaiilor din mediul de stocare curent (autorizat) pe un alt suport de stocare extern sau chiar n interiorul aceluiai sistem informatic, dar n alt locaie. Migrarea datelor de pe un sistem informatic cu o anumit configuraie hardware sau software pe un alt sistem cu o configuraie diferit poate determina disfuncionaliti, iar informaia s nu se mai regseasc n formatul cu care utilizatorul era obinuit. Totui, de cele mai multe ori, asemenea incidente sunt ntmpltoare i in mai mult de profesionalismul celui care execut operaiunea dect de o eventual intenie criminal. Relocarea datelor poate avea un anumit impact asupra integritii datelor informatice. Este cazul unor baze de date relaionale, n care informaiile finale sunt structurate dup o anumit ordine logic, iar la nivel fizic datele primare se regsesc dup algoritmi bine stabilii n funcie de poziionarea lor n mediul de stocare. O eventual relocare a unora dintre aceste date poate avea ca rezultat imposibilitatea programului (sau aplicaiei principale) de a le mai identifica, ceea ce va avea efect asupra integritii informaiilor finale, din punct de vedere al formatul ateptat de utilizator.

26

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Alterarea integritii datelor informatice

Practica judiciar existent n materie relev faptul c cele mai periculoase instrumente care altereaz datele informatice sunt programele tip Virus, Vierme sau Cal Troian, care se reproduc i/sau ruleaz n alte programe ori fiiere de date ca programe de distrugere.

27

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Alterarea integritii datelor informatice

Virus informatic program informatic (cod executabil) care infecteaz sisteme informatice sau mijloace opto-electronice de stocare a datelor i au capacitatea de a se replica. Vierme informatic program informatic duntor (cod executabil) care exploateaz vulnerabiliti ale sistemelor informatice int pentru a le infecta, avnd capacitatea de a se auto-replica n toate nodurile reelei din care face parte. Exist viermi informatici care au i ncrctur duntoare, fiind programai (prin script-ul iniial) s execute anumite comenzi sau operaiuni asupra sistemelor infectate, programelor sau aplicaiilor instalate ori chiar asupra datelor informatice stocate. Un caz tipic de ncrctur duntoare este backdoor (aplicaie care se instaleaz fr tirea utilizatorului i utilizeaz resursele sistemului infectat, facilitnd accesarea ori operarea de comenzi de la distan. Troian program informatic duntor camuflat ntr-o aplicaie pe care utilizatorul alege sau este obligat s o instaleze ntr-un sistem informatic i care, ulterior, se manifest (acioneaz) conform instruciunilor propriului script. n marea lor majoritate, troienii faciliteaz hackerilor accesul n sistemele penetrate, transformarea acestora n roBOI, furtul de date personale ori financiare, instalarea i rularea de aplicaii, ncrcarea sau transferul de fiiere, interceptarea transmisiilor de date (keylogging), perturbarea funcionrii sistemului etc.

28

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Alterarea integritii datelor informatice Latura subiectiv Infraciunea de alterare a datelor informatice se realizeaz cu intenie direct sau indirect.

n majoritatea cazurilor, autorul caut s duneze. Intenia de a scoate dintr-un asemenea act un profit ilicit nu este necesar i ea nu este tipic acestei forme de comportament delictual. Este, totui, posibil s existe o motivaie indirect lucrativ, de exemplu dorina de a face ru unui concurent.
Practica a demonstrat c, cel mai adesea, daunele informatice sunt motivate de dorina de rzbunare a unui angajat al crui contract de munc a fost reziliat sau este pe cale de a fi. Motivaiile politice sau ideologice sunt i ele caracteristice, spre exemplu n actele teroriste. n fine, dorina de a atrage atenia publicului sau unor organizaii nu este rar.

29

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Perturbarea funcionrii sistemelor informatice

Art. 45

Fapta de a perturba grav, fr drept, funcionarea unui sistem informatic, prin introducerea, transmiterea, modificarea, tergerea sau deteriorarea datelor informatice sau prin restricionarea accesului la date informatice constituie infraciune i se pedepsete cu nchisoare de la 3 la 15 ani.

30

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Perturbarea funcionrii sistemelor informatice

Interesul juridic protejat l constituie buna funcionare a sistemelor informatice n societate i fiabilitatea acestora n raport cu nevoia social pentru care au fost implementate. Subiecii infraciunii Subiectul activ (autorul) poate fi orice persoan responsabil penal, n sensul meniunilor fcute pn n prezent. Participaia este posibil n toate formele sale: coautorat, instigare ori complicitate.

Subiectul pasiv este persoana fizic sau juridic deintoare de drept a sistemului informatic a crui funcionare este perturbat.
31

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Perturbarea funcionrii sistemelor informatice Elementul material se realizeaz prin orice aciune de a perturba grav funcionarea unui sistem informatic. Textul legal precizeaz i modalitile prin care se realizeaz elementul material al laturii obiective, i anume: introducerea, transmiterea, modificarea, tergerea sau deteriorarea, precum i restricionarea accesului la date informatice.
Introducerea de date informatice. Datele pot fi introduse n mod direct, de la tastatur, ori prin transfer de pe un mijloc extern de stocare. De la tastatur (sau din mouse), atacatorul poate accesa anumite zone rezervate ale echipamentului de calcul (cum ar fi: zona de BIOS - Basic Input Output System, care controleaz activitatea Unitii Centrale de Prelucrare) sau ale sistemului su de operare. Datele greite pot afecta progresiv i funcionarea altor componente, mai ales n condiiile unei reele. Poate fi cazul operatorului unui sistem informatic de control al activitii unei hidrocentrale, care introduce de la tastatur o serie de parametri ce sunt n mod greit interpretai de programul sau aplicaia de baz, rezultatul fiind funcionarea haotic a sistemului ori blocarea anumitor segmente de execuie. Transmiterea de date informatice se realizeaz de la distan, folosind facilitile oferite de conectarea sistemului vizat la o reea informatic (de tip LAN local sau WAN de larg utilizare). Cel mai adesea, este vorba despre plasarea in sistemul informatic vizat de virui, viermi sau cai troieni. Transmiterea se poate realiza prin: transferul (copierea) n sistemul informatic vizat de fiiere sau programe infectate de pe supori externi; transmiterea de mesaje email avnd ca ataament fiiere infectate; descrcarea de fiiere sau programe purttoare de cod maliios din Internet. 32

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Perturbarea funcionrii sistemelor informatice

Deosebit de des ntlnit este cazul persoanei care, indiferent de motiv, trimite prin intermediul Internetului un numr mare de mesaje (fr ncrctur viral) ctre sistemul informatic al unei instituii, supra-aglomernd porturile de date i blocnd accesul acestuia n exterior. Un astfel de exemplu este Denial of Service (refuzarea serviciului) n care o resurs de pe Internet, cum ar fi un server sau un site Web nu mai funcioneaz corespunztor deoarece atacatorii lanseaz un atac ce vizeaz suprancrcarea intei cu att de multe solicitri false, nct sistemul nu mai poate s le administreze i este copleit. Cel mai comun tip de atac DoS are ca efect mpiedicarea accesului utilizatorilor de Internet la un anumit site Web, ceea ce poate avea ca rezultat pierderi financiare imense n contextul unei organizaii ale crei afaceri depind de Internet.

33

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Perturbarea funcionrii sistemelor informatice

O alt modalitate prin care un atacator poate s preia controlul asupra unui sistem informatic sau s introduc aplicaii maliioase este prin intermediul Codului Mobil. Acesta este un software ce se transfer n mod uzual ntre sistemele informatice, nodurile unei reele sau prin intermediul memoriilor Flash USB, fr o aciune direct ori chiar fr cunotina utilizatorului. Exemple de cod mobil sunt: scripturile Java, controalele ActiveX, animaiile Flash, filmele Shockwave sau elementele de tip Macro din cadrul suitei Microsoft Office. Codul mobil poate fi descrcat i executat ntr-un sistem informatic prin email sau chiar n corpul unei pagini HTML.

34

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Perturbarea funcionrii sistemelor informatice

Condiia de baz pentru ca operaiunile enumerate mai sus s fie considerate fapte penale este acionarea fr drept. Va aciona ndreptit, spre exemplu, persoana fizic sau juridic, care, n baza unui contract specific ncheiat cu proprietarul sau deintorul de drept al sistemului informatic, execut o operaiune de Ethical Hacking Penetrare cu Acord prin care se determin vulnerabilitile sistemului i se propun mijloace adecvate de securitate, provocnd o perturbare (chiar grav) a funcionrii respectivului ansamblu informatic.

De asemenea, sintagma grav nu este clar cuantificabil prin norma de incriminare, ns las la latitudinea organelor de anchet (n cursul cercetrii penale) ori a judectorilor (pe timpul procesului penal) s aprecieze valoarea pagubelor produse ori a nivelului de pericol social. Distincia se poate face inclusiv innd cont de rolul sau importana sistemului informatic vizat n viaa social (exemplu: sistemul informatic al Serviciului Naional de Urgen 112 n raport cu sistemul informatic reeaua local LAN a unei coli).

35

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Perturbarea funcionrii sistemelor informatice Posibile scenarii care pot avea la baz o eventual perturbare grav a funcionrii sistemelor informatice

36

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Operaiuni ilegale cu dispozitive sau programe informatice

Art. 46 (1) Constituie infraciune i se pedepsete cu nchisoare de la 1 la 6 ani:

a) fapta de a produce, vinde, importa, distribui sau pune la dispoziie, sub orice form, fr drept, un dispozitiv sau program informatic, conceput sau adaptat n scopul svririi uneia din infraciunile prevzute de art. 42 45; b) fapta de a produce, vinde, importa, distribui sau pune la dispoziie, sub orice form, fr drept, o parol, cod de acces sau alte asemenea date informatice care permit accesul total sau parial la un sistem informatic n scopul svririi uneia din infraciunile prevzute de art. 42 45;
(2) Cu aceeai pedeaps se sancioneaz i deinerea, fr drept, a unui dispozitiv, program informatic, parol, cod de acces sau dat informatic, dintre cele prevzute n alin. (1) n scopul svririi unei din infraciunile prevzute n art. 42 45.

37

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Operaiuni ilegale cu dispozitive sau programe informatice

Interesul juridic protejat este reprezentat de relaiile sociale referitoare la ncrederea n datele, dispozitivele i programele informatice, n sensul utilizrii corecte i legale a acestora, precum i n desfurarea corect i legal a operaiunilor comerciale n legtur cu acestea. Subiecii infraciunii Subiectul activ (autorul) poate fi orice persoan fizic responsabil penal. Participaia este posibil n toate formele sale: coautorat, instigare ori complicitate. Subiectul pasiv al infraciunii este persoana fizic sau juridic deintoare de drept a sistemului informatic, susceptibil a i se aduce atingere prin svrirea faptelor incriminate, dar i proprietarul ori deintorul dreptului de autor pentru produsele hardware ori software modificate sau adaptate n scop infracional. Va fi subiect pasiv i persoana fizic sau juridic deintoare de drept sau proprietar (nu neaprat utilizator) a parolelor, codurilor de acces sau alte asemenea date informatice care au fost n mod fraudulos utilizate pentru a permite accesul ntr-un sistem informatic.

38

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Operaiuni ilegale cu dispozitive sau programe informatice

Elementul material este reprezentat de aciunea de a produce, vinde, importa, distribui sau pune la dispoziie unul sau mai multe dispozitive ori programe informatice, special concepute sau adaptate n scopul svririi uneia din infraciunile informatice menionate mai sus.
Producerea unui dispozitiv informatic const n efectuarea unor activiti de ordin tehnic prin care anumite componente electronice sunt astfel mbinate i interconectate nct produsul obinut s poat interaciona (direct sau de la distan) cu un sistem informatic sau s devin o parte integrant a acestuia. Spre exemplu, confecionarea unui dispozitiv electronic cu ajutorul cruia pot fi interceptate transmisiile de pachete de date ntr-o reea de calculatoare. Crearea unui program informatic presupune elaborarea unei schie logice a programului n funcie de scopul urmrit i transcrierea instruciunilor ntr-un limbaj de programare (cod main Assembler, C++, Pascal, Visual Basic, Java etc.) pentru a putea fi nelese i ulterior executate de ctre sistemul informatic vizat. Un exemplu n acest sens poate fi conceperea, cu ajutorul limbajului de programare de nivel nalt C++, a unui program care, pus n execuie pe un computer, permite accesul unei persoane neautorizate la resursele sale ori la ntregul sistem informatic la care este conectat, prin efectuarea unei operaiuni de identificare a parolei ori codului de acces. Cele mai periculoase programe informatice sunt, ns, cele care genereaz virui informatici, cai troieni sau bombe logice.

39

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Operaiuni ilegale cu dispozitive sau programe informatice Legiuitorul dorete, totodat, s incrimineze i fapta aceluia care, dei nu are nici o contribuie la crearea dispozitivului sau programului informatic, l import, l distribuie ori l pune la dispoziia persoanei care acioneaz n mod nemijlocit asupra sistemului informatic. n acelai timp, vor fi sancionate i producerea, vnzarea, importul, distribuirea ori punerea la dispoziia persoanelor neautorizate a parolelor, codurilor de acces sau oricror alte date informatice care permit accesul, total sau parial, la un sistem informatic. Deinerea de astfel de dispozitive sau programe informatice considerat infraciune si pedepsit ca atare. este, la rndul su,

40

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Falsul informatic

Art. 48 Fapta de a introduce, modifica sau terge, fr drept, date informatice ori de a restriciona, fr drept, accesul la aceste date, dac fapta are ca rezultat obinerea de date necorespunztoare adevrului, n scopul de a fi utilizate n vederea producerii unei consecine juridice, constituie infraciune i se pedepsete cu nchisoare de la 2 la 7 ani.

41

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Falsul informatic

Interesul juridic protejat este consituit din relaiile sociale referitoare la ncrederea public n sigurana i fiabilitatea sistemelor informatice, la valabilitatea i autenticitatea datelor informatice, a ntregului proces modern de prelucrare, stocare i tranzacionare automat a datelor de interes oficial sau privat. Subiecii infraciunii Subiectul activ (autorul) poate fi orice persoan responsabil penal. Manipulrile frauduloase de acest gen sunt, n general, realizate de ctre iniiai n tiina calculatoarelor ori de persoane care, prin natura serviciului, au acces la date i sisteme informatice. Participaia este posibil n toate formele sale: coautorat, instigare ori complicitate. Subiectul pasiv. n cazul acestei infraciuni, subiectul pasiv va fi persoana fizic sau juridic prejudiciat n propriile interese i fa de care se produc consecine juridice (de ordin patrimonial, moral ori social) n urma contrafacerii datelor informatice. Subiect pasiv adiacent (secundar) va fi proprietarul, deintorul de drept ori utilizatorul autorizat al sistemului informatic.
42

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Falsul informatic

Elementul material se realizeaz printr-o aciune alternativ de introducere, modificare sau tergere de date informatice, ori de restricionare a accesului la aceste date.
Actele prin care se realizeaz elementul material al infraciunii implic efecte negative asupra strii datelor n ce privete capacitatea lor de a funciona i atesta fapte ori situaii de maniera prevzut de persoana care dispune de ele, ajungndu-se la o situaie care corespunde fabricrii unor documente false sau falsificrii unor documente autentice. Cu titlu de exemplu, falsificarea datelor informatice s-ar putea realiza sub urmtoarele forme: inserarea, modificarea sau tergerea de date n cmpurile unei baze de date existente la nivelul unui centru de eviden informatizat a persoanei, unei bnci sau societi de asigurri etc. prin aciunea direct a fptuitorului asupra tastaturii ori prin copierea datelor de pe un suport de stocare extern; alterarea documentelor stocate n format electronic, prin modificarea sau tergerea direct a cuvintelor etc.

43

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Falsul informatic

n practic, falsul informatic se poate manifesta ca:

Simularea potei electronice;

Simularea hyperconexiunilor; Simularea Web-ului.

Toate aceste metode sunt des ntlnite n Romnia. Folosite ingenios alturi de ingineria social, aceste metode sunt cunoscute n criminalitatea informatic drept ameninri de tip PHISHING. intele acestora nu sunt nicidecum organizaii ori instituii (financiare), ci doar utilizatorii Internet-ului care, din ignoran sau necunoatere, cad victime acestor neltorii i furnizeaz date personale, detalii despre conturi bancare ori informaii confideniale.

44

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Falsul informatic

EMAIL Spoofing (Simularea potei electronice) n marea majoritate a aciunilor de inducere n eroare a utilizatorilor de bun credin, atacatorii informatici folosesc mesaje bine elaborate pe care le comunic victimelor prin intermediul serviciului de pot electronic. Aceste mesaje sunt deseori ntlnite n cazul SPAM-ului sau atunci cnd, din diferite motive, autorul caut s i ascund adevrata identitate sau s se substituie altei persoane. Pentru a spori ncrederea cititorilor n aceste mesaje, este absolut necesar ca adresele de email folosite s fie ct mai credibile i mai apropiate ca form de cele ale persoanelor (fizice sau juridice) pe care intenioneaz s le substituie. n acest fel a aprut metoda cunoscut sub numele de Simulare Email (orig. Email Spoofing), care este destul de simplu de realizat i const n modificarea unor cmpuri de date cu ocazia crerii unor conturi de pot electronic folosind facilitile oferite de clienii de email, precum Microsoft Outlook, Mozzila Thunderbird etc., sau chiar de servicii de webmail (Yahoo, Gmail, Hotmail, AOL etc.).

45

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Falsul informatic

Phishing

46

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Falsul informatic

Phishing

47

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Frauda informatic

Interesul juridic protejat l constituie relaiile sociale care protejeaz patrimoniul unei persoane, atunci cnd prezena respectivei persoane n spaiul cibernetic se cuantific ntr-un anumit volum de date stocate ntr-un sistem informatic sau vehiculate ntr-o reea. Subiecii infraciunii Subiectul activ (autorul) poate fi orice persoan responsabil penal. Manipulrile frauduloase de acest gen sunt, ca i n cazul anterior, realizate adesea de iniiai n domeniul calculatoarelor ori de persoane care, prin natura serviciului, au acces la date i sisteme informatice. Participaia este posibil n toate formele sale: coautorat, instigare ori complicitate. Subiectul pasiv va fi persoana al crei interes patrimonial a fost prejudiciat prin aciunea fptuitorului. i de aceast dat, subiect pasiv adiacent va fi proprietarul, deintorul de drept sau utilizatorul legal al unui sistem informatic.

48

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Frauda informatic

Elementul material al infraciunii se realizeaz printr-o aciune alternativ de introducere, modificare sau tergere de date informatice ori de restricionare a accesului la respectivele date sau de mpiedicare n orice mod a funcionrii unui sistem informatic.

mpiedicarea funcionrii sistemului informatic vizat presupune nfptuirea oricrui act de natur a duce la imposibilitatea utilizrii, parial sau total, temporar sau permanent, a respectivului sistem. Spre exemplu, fptuitorul acioneaz la o anumit dat i la o anumit or asupra sistemului informatic al Bursei, reuind s paralizeze tranzaciile electronice de aciuni, ceea ce are repercusiuni serioase asupra afacerilor i ctigurilor entitilor aflate n plin proces de vnzare-cumprare.

49

2. INFRACIUNI CUPRINSE N LEGEA 161/2003 Frauda informatic

n mediul informatic, frauda poate avea mai multe forme i adesea se poate confunda cu nelciunea tradiional, mijlocul de realizare fiind computerul. Dat fiind mediul informatic n care acestea sunt iniiate i derulate, am considerat necesar sa le amintesc n acest context, astfel: Bait and switch (momete i schimb); Scrisorile nigeriene sau Frauda 419; Facturarea fals; Frauda salam; nfiinarea de firme fantom;

50