نگاهی به حملات سایبری و مجازات آنها در قانون جرائم رایانه ای
نگاهی به حملات سایبری و مجازات آنها در قانون جرائم رایانه ای
در این نوشتار قصد داریم به چند ماده قانونی درخصوص حملات سایبری به وب گاه ها و مجازات این جرائم اشاره ای داشته باشیم.
با تصویب قانون جرائم رایانه‌ای در سال 1388، فصل جدیدی از جرائم و مجازات ها برای نوع جدیدی از مجرمان گشوده شد. در فصل دوم این قانون در بخش «تخریب و اخلال در داده ها یا سیستم های رایانه ای و مخابراتی»، چند ماده در مورد اخلال و تخریب داده ها وجود دارد که در ادامه به تشریح آنها می پردازیم.
ماده ۸ـ هرکس به طور غیرمجاز داده های دیگری را از سامانه های رایانه ای یا مخابراتی یا حامل های داده حذف، تخریب، مختل یا غیرقابل پردازش کند، به حبس از شش ماه تا دو سال یا جزای نقدی از ده تا چهل میلیون ریال یا هر دو مجازات محکوم خواهد شد.
در این ماده، چهار عمل حذف، تخریب، اختلال و غیرقابل پردازش کردن داده ها، به عنوان مصادیق مجرمانه ذکر شده اند. مثلا حملات اختلال سرویس توزیع‌شده (DDOS) که از زمان پیدایش اینترنت در دنیای فناوری همیشه مورد استفاده مجرمان سایبری بوده است، در ماده مزبور می‌گنجد. به طورکلی، هر نوع حمله ای از نوع وقفه که موجب بروز اختلال در شبکه و تبادل اطلاعات شود، مشمول این ماده قرار می گیرد.
ماده ۹ـ هر کس به طور غیرمجاز با اعمالی از قبیل وارد کردن، انتقال دادن، پخش، حذف یا متوقف کردن، دست کاری یا تخریب داده ها یا امواج الکترومغناطیسی یا نوری، سامانه های رایانه ای یا مخابراتی دیگری را از کار بیندازد یا کارکرد آنها را مختل کند، به حبس از شش ماه تا دو سال یا جزای نقدی از ده تا چهل میلیون ریال یا هر دو مجازات محکوم خواهد شد.
تفاوت این ماده با ماده 8 این است که در ماده مزبور به از کار افتادن سامانه رایانه ای یا مخابراتی اشاره شده است؛ این در حالی است که اگر تخریب از طریق امواج الکترومغناطیس صورت گیرد، مشمول ماده 9 وگرنه مشمول ماده 8 می باشد. در این ماده به مجازات برای یکی از قدیمی ترین شیوه های حملات جاسوسی اشاره شده است. در زمان جنگ جهانی دوم، شوروی و آمریکا از طریق ایجاد نویزها و امواج الکترومغناطیس سعی در به دست آوردن اطلاعات از یکدیگر داشتند. به عنوان مثال، حمله تزریق اس‌کیوال (SQL Injection) و پخش بدافزارها برای ایجاد اختلال مشمول ماده 9 می باشند. نکته مهم دیگر این است که در مواد فوق، «انگیزه» تاثیری در عمل مجرمانه ندارد؛ بنابراین همه اقسام نفوذگران از قبیل کلاه سفید، کلاه سیاه، کلاه خاکستری و کلاه صورتی مشمول مواد قانونی مذکور قرار می گیرند.
ماده ۱۰ـ هرکس به طور غیرمجاز با اعمالی از قبیل مخفی کردن داده ها، تغییر گذرواژه یا رمزنگاری داده ها مانع دسترسی اشخاص مجاز به داده ها یا سامانه های رایانه ای یا مخابراتی شود، به حبس از نودویک روز تا یک سال یا جزای نقدی از پنج تا بیست میلیون ریال یا هر دو مجازات محکوم خواهد شد.
جرائم سایبری مانند فیشینگ که از طریق آن شخص به رمز عبور کاربر پی می برد یا استفاده از باج افزار (ransomware) که موجب عدم دسترسی کاربر به داده خود می شود، مشمول مقررات این ماده است؛ البته اگر از طریق فیشینگ یا باج افزار، داده های شخص به سرقت برده شود، مشمول ماده دیگری است که در پایان این نوشتار به آن اشاره خواهیم کرد.
ماده ۱۱ـ هرکس با قصد به خطر انداختن آسایش و امنیت عمومی اعمال مذکور در مواد (۸)، (۹) و (۱۰) این قانون را علیه سامانه های رایانه ای و مخابراتی که برای ارائه خدمات ضروری عمومی به کار می روند، از قبیل خدمات درمانی، آب، برق، گاز، مخابرات، حمل‌ونقل و بانکداری مرتکب شود، به حبس از سه تا ده سال محکوم خواهد شد.
در این ماده، به حملاتی که به زیرساخت های حیاتی یک کشور یا خرابکاری (سابوتاژ) سایبری (Cyber Sabotage) صورت می گیرد، اشاره شده است. لازم به ذکر است که در سابوتاژ سایبری، مهاجم قصد اخلال در نظام سیاسی یا امنیت یک کشور را دارد. با توجه به اینکه این حملات قاعدتا با قصد به خطر انداختن آسایش و امنیت عمومی برنامه ریزی می شوند، از عنوان «جرم سایبری» به «جنگ سایبری» تبدیل می شوند و در آنها قصد مهاجم اخلال در امنیت عمومی است. همچنین اگر یک حمله مانند تغییر صفحه نخست یک وب گاه (deface) یا حملات اختلال سرویس توزیع شده به قصد اخلال در امنیت عمومی باشد، مشمول این ماده است. نکته مهم دیگر آن است که اگر حمله ای برای سرقت داده و نه اخلال صورت گیرد، مشمول یکی از دو ماده زیر می باشد که در فصل چهارم این قانون قرار دارند.
ماده ۱۲ـ هرکس به طور غیرمجاز داده های متعلق به دیگری را برباید، چنانچه عین داده ها در اختیار صاحب آن باشد، به جزای نقدی از یک تا بیست میلیون ریال و در غیر این صورت، به حبس از نودویک روز تا یک سال یا جزای نقدی از پنج تا بیست میلیون ریال یا هر دو مجازات محکوم خواهد شد.
چنانچه حمله ای مانند فیشینگ یا هر نوع حمله دیگری به قصد اکتساب مال، منفعت، خدمات یا امتیازات مالی باشد، مشمول ماده زیر است:
ماده ۱۳ـ هرکس به طور غیرمجاز از سامانه های رایانه ای یا مخابراتی با ارتکاب اعمالی از قبیل وارد کردن، تغییر، محو، ایجاد یا متوقف کردن داده ها یا مختل کردن سامانه، وجه، مـال، منفعت، خدمات یا امتیازات مالی برای خود یا دیگری تحصیل کند، علاوه بر رد مال به صاحب آن، به حبس از یک تا پنج سال یا جزای نقدی از بیست تا یکصد میلیون ریال یا هر دو مجازات محکوم خواهد شد.
بنابراین حملاتی که به شیوه مهندسی اجتماعی (social engineering) به سامانه های رایانه ای صورت می گیرند تا داده هایی را به سرقت ببرند، مشمول این ماده می باشند.
منابع: سایبربان
پلیس فتا