В современных условиях происходит трансформация общественных отношений, обусловленная процессами цифровизации. Все большее внимание в этой связи уделяется киберпреступности, так как наблюдается неуклонный рост количества совершаемых киберпреступлений, а за счет постоянных изменений их способов совершения возрастает и их общественная опасность.

Ландшафт преступного мира изменился кардинально: появились новые киберугрозы, изменились техники и тактики. Как следствие – с кибератаками или их последствиями в России столкнулись даже те, кто много лет считал, что цифровые угрозы их не касаются. В этих условиях стало очевидно, что отношение к кибербезопасности, законодательная практика информационной безопасности в России должны измениться.

Для начала обратимся к данным мировой аналитики киберпреступности. По статистическим данным HISCOX, в 2023 году последствия влияния компьютерных атак на информационные структуры компаний занимает первое место в Топ-10 бизнес рисков, обогнав возможные потери вследствие экономических изменений, риски по новым контрагентам и изменения в правовом регулировании национального законодательства.

Статистический отчет свидетельствует о том, что наиболее частыми жертвами хакерских атак являются именно небольшой и быстрорастущий бизнес. Такая тенденция обусловлена тем, что эти компании не затрачивают достаточно денежных ресурсов на всестороннее обеспечение информационной безопасности своих систем. Целью подобных атак является, в первую очередь, требование выкупа. И большинство компаний платят, ссылаясь на следующие причины:

• защита собственной репутации, а также пользовательских данных вследствие того, что похищенная информация может оказаться в открытом доступе и повлиять на уровень доверия к компании

• восстановить информационные системы компании и вернуться на рынок, поскольку в большинстве случаев неправомерное воздействие на бизнес полностью останавливает либо существенно затрудняет его деятельность

Переходя в правовую плоскость Российской Федерации, можно отметить несколько статистических источников.

Кроме того, в 2021 году в России зарегистрировано около 518 тыс. киберпреступлений, что на 1,4% больше, чем годом ранее, но сразу в 1,8 раза превосходит показатель 2019 года. Однако такие шокирующие цифры о количестве зарегистрированных преступлений не означают, что злоумышленники были привлечены к уголовной ответственности. По данным Судебного департамента ВС РФ, всего за 2021 год за преступления в сфере компьютерной информации было осуждено лишь 225 человек. За мошенничество с применением информационных технологий в совокупности – 514 человек. Подобные цифры явно не соотносимы с количеством в 518 тыс. зарегистрированных киберпреступлений МВД. Эксперты оценили ущерб России от действий хакеров в 150 млрд рублей по итогам 2021 года.

Кроме того, по данным ЦБ РФ кибермошенники похитили 15,8 млрд рублей у граждан России в 2023 году. Злоумышленникам удалось провести 1,17 млн успешных операций, что на 33% больше, чем в 2022 году. Самым популярным платежным инструментом у мошенников остались банковские карты, через них было похищено 7,12 млрд рублей

Виды киберпреступлений и уголовная ответственность. Квалификация действий.

В современном законодательстве не дается общего понятия киберпреступления. Тем не менее, доктринально под киберпреступлением понимается виновно совершенное общественно опасное уголовно наказуемое вмешательство в работу компьютеров, компьютерных программ, компьютерных сетей, несанкционированная модификация компьютерных данных, а также иные общественно опасные деяния, совершаемые с помощью или посредством компьютеров, компьютерных сетей и программ.

Еще одна актуальная угроза – фишинг. За 2023 год был выявлен 29 221 домен, которые использовали мошенники. По прогнозам специалистов, фишинг, несмотря на релокацию из России на зарубежные хостинги, по-прежнему будет активен. Машинное обучение и искусственный интеллект будет еще чаще использоваться киберпреступниками во всевозможных мошеннических схемах, в частности, при изготовлении аудио-видео deepfake, для составления фишинговых писем и алгоритмов для телефонного мошенничества.

Действующий УК предусматривает следующие составы киберпреступлений:

1. ст. 159.3 «Мошенничество с использованием электронных средств платежа»

2. ст. 159.6 «Мошенничество в сфере компьютерной информации»

3. ст. 272 «Неправомерный доступ к компьютерной информации»

4. ст. 273 «Создание, использование и распространение вредоносных компьютерных программ»

5. ст. 274 «Нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации и информационно-телекоммуникационных сетей»

6. ст. 274.1 «Неправомерное воздействие на критическую информационную инфраструктуру Российской Федерации»

7. ст. 274.2 «Нарушение правил централизованного управления техническими средствами противодействия угрозам устойчивости, безопасности и целостности функционирования на территории Российской Федерации информационно-телекоммуникационной сети "Интернет" и сети связи общего пользования»

Кроме того, в ряде составов совершение деяния с использованием электронных или информационно-телекоммуникационных сетей рассматривается в качестве квалифицирующего признака.

Если рассматривать непосредственно преступления, которые Уголовным кодексом РФ прямо отнесены к преступлениям в сфере компьютерной информации, без определения смежного объекта, то наибольший интерес с правоприменительной точки зрения представляют ст. 272 «Неправомерный доступ к компьютерной информации» и ст. 273 «Создание, использование и распространение вредоносных компьютерных программ». Практика показывает, что довольно часто такие действия правонарушителей судом квалифицируются по совокупности этих двух статей. Верховный Суд РФ в одном из своих постановлений также давал соответствующие разъяснения.

Разберем подробно, за какие действия действующим уголовным законом предусмотрена ответственность.

Во-первых, необходимыми условиями наступления уголовной ответственности по ст. 272 УК РФ являются:

1. Доступ к компьютерной информации должен быть неправомерным. Это значит, что получение или использование такой информации осуществлялось без согласия ее обладателя либо лицом, не наделенным необходимыми для этого полномочиями, либо путем проникновения к источнику хранения информации в компьютерном устройстве, принадлежащем другому лицу, непосредственно или путем удаленного доступа.

2. Информация, к которой был осуществлен неправомерный доступ, попадает под категорию охраняемой законом информации. Перечень такой информации довольно широк, однако, самым распространенным видом является коммерческая тайна. То есть для того, чтобы привлечь нарушителя к уголовной ответственности за неправомерный доступ к компьютерной информации компании, в такой фирме внутренними актами должен быть обязательно введен режим коммерческой тайны. В противном случае состав преступления будет отсутствовать.

3. Неправомерный доступ должен обязательно повлечь за собой указанные в законе последствия, а именно уничтожение, блокирование, модификацию или копирование компьютерной информации.

Наказание за неправомерный доступ в компьютерной информации достаточно дифференцированно: штраф, исправительные или принудительные работы, ограничение или лишение свободы. Самое жесткое наказание предусмотрено частью четвертой, где указано, что если деяние повлекло тяжкие последствия или создали угрозу их наступления, оно наказывается лишением свободы, максимальный срок которой составляет 7 лет.

Статьей 273 УК охватываются действия по созданию, использованию и распространению вредоносных компьютерных программ, заведомо предназначенных для несакционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств ее защиты. На бытовом языке – компьютерных вирусов.

Для привлечения лица к уголовной ответственности по данной статье достаточно установить наличие факта создания части (фрагмента) кода вредоносной компьютерной программы, позволяющего осуществить неправомерный доступ к компьютерной информации.

Следует иметь в виду, что не образует состава преступления использование такой программы лицом:

• на принадлежащих ему компьютерных устройствах либо с согласия собственника компьютерного устройства

• не преследующее цели неправомерного доступа к охраняемой законом компьютерной информации

• не повлекшее несанкционированного уничтожения, блокирования, модификации, копирования компьютерной информации или нейтрализации средств ее защиты (например, в образовательных целях либо в ходе тестирования компьютерных систем для проверки уязвимости средств защиты компьютерной информации, к которым у данного лица имеется правомерный доступ), равно как и создание подобных программ для указанных целей.

Санкция за создание, использование и распространение компьютерных вирусов предполагает наличие таких видов наказаний, как ограничение свободы, принудительные работы с применением дополнительных наказаний в виде штрафа либо лишения права заниматься определенной деятельностью или занимать определенные должности на конкретный срок, а также лишение свободы. Максимальный срок составляет 7 лет лишения свободы.

Киберпреступность – это следствие всеобъемлющей цифровизации современного общества, требующее принятия адекватного противодействия со стороны государства. Она посягает на совершенно разные сферы жизни общества — имущественные права граждан, объекты критической инфраструктуры, права личности, причиняет ущерб коммерческим организациям и государству в целом. При этом действия киберпреступников становятся все более агрессивными, они принимают меры по тщательному сокрытию следов, сохранению анонимности, продумывают свое поведение так, чтобы максимально осложнить сбор доказательств и избежать ответственности. Эти обстоятельства предопределяют правовую и фактическую сложность доказывания по таким делам.

При расследовании киберпреступлений правоохранительные органы сталкиваются с рядом проблем, которые обусловлены их криминалистическими особенностями:

1. Латентный характер преступлений, поскольку киберпреступления совершаются в среде, где существуют различные механизмы анонимности (пароли, шифровки и т.д.). По оценкам экспертов, латентность «компьютерных преступлений» в США достигает 80%, в Великобритании — 85%, в ФРГ — 75%, в России — более 90%. По данным международной службы по обеспечению безопасности в области киберугроз Symantec Security, каждую секунду в мире подвергаются кибератаке 12 человек.

2. Возможность нахождения преступника на большом расстоянии от своей жертвы, зачастую даже на территории другого государства. 

3. Динамичность способов совершения преступлений, поскольку с постоянным развитием информационных технологий преступники постоянно разрабатывают новые схемы и используют новые способы обмана. Практически всегда при совершении киберпреступлений применяются методы цифровой конспирации: шифрование данных, в том числе с использованием специализированных программ для маскировки IP-адресов, выход в Сеть через публичные точки доступа, использование учетных записей и идентифицирующих данных, принадлежащих иным лицам, не осведомленным о таком использовании, и так далее.

4. Большинство потерпевших обращаются в полицию спустя длительное время после совершения киберпреступлений. В соответствии с результатами опросов в 53% случаев с момента совершения преступления до поступления информации о совершенном преступлении проходит более 10 дней, а 73% респондентов отметили запоздалое начало предварительного расследования, когда многие важные доказательства уже утрачены.

5. Сложность выявления и предотвращения киберпреступлений традиционными криминалистическими средствами.Несмотря на сложности выявления и пресечения рассматриваемой категории преступлений, бороться с ними и минимизировать риск атак представляется возможным. Усилить устойчивость бизнеса по отношению к киберугрозам поможет развитие риск-ориентированной культуры, повышение эффективности функций управления киберрисками, а также установление прозрачной коммуникации как между советом директоров и службой киберзащиты, так и при взаимодействии с бизнес-партнерами и третьими лицами, включенными в цифровую платформу компании.

Компаниям необходимо постоянно укреплять и совершенствовать свою инфраструктуру безопасности, используя современные комплексные защитные решения. Также важно создать расширенную систему обнаружения и устранения угроз, которая сможет в автоматическом режиме реагировать на инциденты на всех конечных устройствах. Однако приобретением любого количества продуктов для кибербезопасности в настоящее время защититься от атак практически невозможно. В первую очередь необходимы высококвалифицированные специалисты, способные выявлять атаки и противостоять хакерам.