Правові аспекти протидії фішингу: досвід Європейського Союзу

Ключевые слова: киберпространство; кибербезопасность; киберпреступность; онлайн-мошенничество; фишинг; антифишинговые инструменты; уголовное право; Европейский Союз.

Постановка проблеми

Стрімке розширення загроз національній безпеці у XXI ст. покладає на органи держаної влади завдання щодо їх попередження, виявлення та нейтралізації. Серед найбільш небезпечних загроз для України - кіберзлочинність, яка реалізується через мережу Інтернет. І це зрозуміло. На сучасному етапі і у подальшій перспективі розвиток як окремих суспільств і держав, так і загалом світу буде здійснюватися відповідно до концепції інформаційного суспільства, що пов'язана з використанням інформаційних і телекомунікаційних технологій у придбанні, зберіганні та обробці інформації у повсякденному житті [2; 42].

Актуальність нашого дослідження обумовлена вразливістю кіберпростору^{1 Донедавна терміни з префіксом «кібер» мало вживалися в українському законодавстві. Нато-мість широко використовувалося поняття «інформаційна безпека». Від початку російсько- українського конфлікту у законодавстві почало застосовуватися як поняття «інформаційна безпека» («Доктрина інформаційної безпеки України», 2017) [24], так і «кібербезпека» («Стра-тегія кібербезпеки України», 2016) [59]. При цьому вказані акти не пояснюють зміст відповід-них понять, не розкривається і співвідношення між ними, що шкодить як нормотворчій, так правозастосовній та інтерпретаційно-правовій діяльності. Зважаючи на прагнення України набути членства в Європейському Союзі, доцільно у вітчизняному законодавстві оперувати поняттями «кіберпростір» та «кібербезпека, що більшою мірою відповідає європейському під-ходу до правового регулювання відповідних відносин.} та його базової інфраструктури до різного роду кібератак (порушення корпоративної безпеки, фішинг, вимагання в соціальних мережах тощо), які перетворилися на одну з найнебезпечніших загроз для особистої, національної, регіональної і глобальної безпеки. Так, станом на 2012 р. кібератаки коштували 114 мільярдів доларів США щороку, а з урахування часу, витраченого на відновлення нормальної роботи на усунення, загальна вартість кібератак досягне приголомшливих 385 мільярдів доларів [34, с. 973]. Крім того, слід брати до уваги, що оскільки кібератаки дешевші, зручніші та менш ризикові, ніж фізичні атаки, сьогодні в кіберпросторі вчиняється значна частка традиційних злочинів (виробництво та розповсюдження дитячої порнографії, банківські та фінансові шахрайства, порушення інтелектуальної власності, злочини з криптовалютою тощо), які спричиняють украй негативні гуманітарні, економічні та правові наслідки [46, с. 4017].

Кібербезпека більше не є проблемою винятково комп'ютерної безпеки. У її забезпеченні зацікавлені усі держави, оскільки від її стану залежить, чи буде продовжувати ефективно функціонувати кіберпростір у ситуації кібератаки.

Тож держави вимушені виокремлювати в рамках політики національної безпеки такий її підвид, як кібербезпеку, а також вдаватися до формування відповідних структурних підрозділів в органах безпеки.

Попри те, що тематика кібербезпеки в Україні все частіше артикулюється на найвищому державному рівні, наукові дослідження, а також реальні заходи в цій сфері все ще залишаються багато в чому фрагментарними та несистемними [26, с. 120] і далеко не завжди враховують підходи Європейського Союзу в питаннях запровадження правової відповідальності за кіберзлочини.

Аналіз останніх досліджень і публікацій

Проблематика кібербезпеки привертає значну увагу науковців з кінця ХХ ст. Дослідження в цій сфері традиційно мають міждисциплінарний характер. До наукових розвідок, присвячених правовим проблемам кібербезпеки, можна віднести публікації зарубіжних (H. Bruijn [8], K. E. Eichensehr [27], U. Gorham-Oscilowski [32], P. T. Jaeger [32], J. Jang-Jaccard [34], M. Janssen [8], C. Leuprecht [40], S. Nepal [34], D. C. Schleher) [51] і вітчизняних (О. А. Баранов [3], Д. В. Дубов [26], Б. А. Кормич [37], В. А. Ліпкан [47]) авторів.

Мета та завдання дослідження. Метою статті є визначення ключових стратегічних проблем і шляхів їх вирішення задля розбудови ефективних механізмів забезпечення кібербезпеки в частині протидії злочинам фішингу. Відповідно до мети визначаються такі завдання: визначити типи та вплив кібератак; визначити фішинг як одну з найважливіших загроз кібербезпеки; проаналізувати таксономію різних типів фішингових атак та засобів захисту користувачів від них; визначити сучасні підходи Європейського Союзу в питанні запровадження кримінальної відповідальності за фішинг; підвищити рівень обізнаності громадськості у питаннях кримінально-правової ідентифікації фішингу.

Виклад основного матеріалу

Вибух інформаційних технологій стрімко змінює всі аспекти сучасного соціального, політичного, культурного та економічного життя. Глобальне медіа-агентство We Are Social та розробники платформи для управління соціальними мережами Hoot Suite на початку 2019 р. представили звіти, відповідно до яких наприкінці 2018 р. користувачами інтернету були 4,021 млрд осіб (53 % від населення планети), тоді як в 2015 р. доступ до Мережі мали 3,2 млрд людей (43 %), а в 1995 р. цей показник становив лише 1 % [52]. В Україні інтернет-аудиторія в 2018 р. становила 70% від населення (лише за 2018 р. вона зросла на 11 %) [57].

Аналіз, проведений на замовлення агентства Culumus Media в 2019 р., демонструє вражаючі обсяги інформації, що транслюються з соціальних мереж, e-commerce-сайтів, месенджерів та інших ресурсів в інтернеті кожну хвилину [49]. Зважаючи на отримані дані, а також позитивну динаміку зростання кількості користувачів інтернету, можна впевнено стверджувати, що людство стрімко просувається до формування дійсно глобального інформаційного суспільства. У такому суспільстві життя як окремого індивіда, так і різних соціальних груп, суспільства, держави і світу в цілому буде залежати від стану кіберпро- стору, його безпеки і надійності. Це пов'язано з тим, що відкритий та вільний кіберпростір розширює свободу і можливості людей, збагачує суспільство, створює новий глобальний інтерактивний ринок ідей, досліджень та інновацій, стимулює відповідальну та ефективну роботу влади [59].

Однак глобальні технологічна та інформаційна революції, як і будь-які інші соціальні явища, окрім позитивного впливу на суспільний розвиток мають і зворотній бік - мова йде про їхні негативні наслідки, які породили чимало проблем і небажаних явищ та процесів. Йдеться не лише про виникнення глобального цифрового розриву між розвиненими країнами та рештою світу, який носить інтегральний характер і включає в себе розриви в економіці, освіті, рівні життя, доходах, харчуванні і т. ін. [29]. Не менш негативний, руйнівний характер мають кіберзлочинність, кібертероризм та інші явища, що становлять безпосередню загрозу національній безпеці держави [9]. Слід зазначити, що хоча кібербезпека є однією з найважливіших проблем, поінформованість громадськості щодо неї залишається обмеженою і поверховою.

Інтернет дав потужний поштовх для розвитку масової комунікації, торгівлі та обміну інформацією. Разом з тим сьогодні він є тією сферою, де здійснюється чимало правопорушень. Знеособлений характер цифрової інфраструктури зробив крадіжку ідентичності природним і надзвичайно привабливим проєктом [60, с. 186]. Кіберзлочинці активно використовують різні засоби викрадення інформації, зокрема фішинг.

Питання фальшивої ідентичності в інтернеті - це стара проблема, яка досі не отримала універсально правового розв'язання попри те, що захист конфіденційності є ключовою політичною метою Ради Європи і Європейського Союзу (право на конфіденційність закріплено ст. 8 Європейської конвенції про права людини [28], статтями 7, 8 Хартії основних прав Європейського Союзу [10] та Директивами 95/46 / ЄС та 97/66 / ЄС) [18].

Онлайн-сервіси стали невід'ємною складовою нашого життя: вони суттєво спрощують доступ до інформації користувачам і зменшують експлуатаційні витрати надавачам послуг. Однак користування онлайн-сервісом потребує певного рівня технічних навичок, якими володіють далеко не усі користувачі Інтернету. Саме категорія таких неосвічених, наївних користувачів часто стає жертвою фішингу, який є одним з найбільш поширених злочинів в Інтернеті.

Фішинг («^kishing») також відомий як «підробка бренда» («brand spoofing») або шахрайство з платіжними картами («carding»), - це відносно новий (порівняно з вірусними атаками і хакерством) різновид кіберзлочину, метою якого є викрадення шляхом застосування комбінації різних методів соціальної інженерії та підробки вебсайтів конфіденційної інформації економічного характеру (таких особистих даних, як ім'я, дата народження, адреса, номер телефону, номер страхового свідоцтва, номери кредитної і медичної карток, обліковий запис і паролі, інформація про банківський рахунок, номер посвідчення водія) для скоєння у подальшому крадіжок, шахрайства чи інших злочинів [60, с. 187; 61, с. 290; 41].

Рис. 1. Класифікація фішинг-атак [Наведено за: 33].

Небезпечність фішингу обумовлена передусім шкодою - він завдає пряму фінансову шкоду, а також породжує «кризу довіри»^{2 Загальновідомо, що довіра є визначальним фактором успіху електронного банкінгу [35; 30].} до операцій в інтернеті, адже через суттєві втрати від фішинг-атак окремі фінансові інститути відмовляються від оплати і покладають відповідальність на клієнта [5], підриває маркетингові зусилля і загальний імідж компаній (на фінансові установи (банки та кредитні спілки) зазвичай спрямовано 60-80 % фішинг-атак), - яку він завдає електронній комерції, а також стрімким його поширенням унаслідок феноменальної прибутковості інвестицій у фішинг^{3 Проведений аналіз засвідчує, що на відправку 10 000 000 електронних листів у місяць фішинг-шахраї витрачають 160 доларів. Навіть якщо на ці листи дадуть відповідь лише 0,001 % людей, прибуток шахраїв становитиме майже 125 000 доларів [53, с. 5].}. Існує думка, що за прибутковістю глобальна кіберзлочинність випереджає навіть торгівлю наркотиками [43, с. 41]. В окремих випадках фішинг-атаки можуть нести загрозу також національним інтересам^{4 Так, під час президентської виборчої кампанії 2019 р. під удар фішинг-атак потрапили сервери та персональні комп'ютери співробітників ЦВК України. У липні 2017 р. зловмисники нама-галися скомпрометувати робочі станції працівників на атомних електростанціях, розсилаючи націлені фішингові листи. У травні 2016 р. мала місце спроба фішингової атаки на поштові системи Християнсько-демократичного союзу - політичної партії Ангели Меркель. У березні 2016 р. під час президентської кампанії в США було «зламано» обліковий запис електронної пошти в Google голови виборчого штабу кандидата в президенти Х. Клінтон Дж. Подести.}, регіональній і міжнародній безпеці^{5 розіслали фітингові листи понад ста тисячам науковців по всьому світу. Жертвами атаки стали понад 140 університетів та 30 компаній в США, та 176 університетів у 21 іншій країні. У аме-риканських установ було викрадено близько 31 терабайта даних, вартістю близько 3,4 млрд доларів.}. Також є ще один момент, який змушує говорити про небезпечність даного правопорушення, - кіберзлочини, зокрема фішинг, є різновидом організованої злочинності [7].

Пересічному інтернет-користувачу розпізнати фішинг-атаку буває досить складно через його довірливість^{6 Аналіз взаємозв'язку між демографією та сприйнятливістю до фішингу свідчить про те, що жертвами фішингу частіше стають жінки, аніж чоловіки (чоловіки мають більше шансів пра-вильно розрізнити фішинг та законні вебсайти, ніж жінки (75,5 % правильно проти 64,4 % правильно)), а молодь (18-25 р.) більш чутлива до фішингу, ніж інші вікові групи. Також потенційними жертвами фішингу є люди з вадами зору, оскільки вони виключно покладаються на слухові сигнали, отримані від екранного зчитувача [55; 56].} і погану обізнаність з методами і тактиками фішингу, які постійно оновлюються (спам дедалі частіше поєднується зі зловмисним програмним забезпеченням) [38].

Науковці Університету Карнегі Меллон (Carnegie Mellon University) встановили наступні причини вразливості людей до фішингу. По-перше, інтернет-ко- ристувачі схильні оцінювати законність вебсайту за його «зовнішнім виглядом», який шахраї легко дублюють. По-друге, багато користувачів не розуміють і не довіряють показникам безпеки у веббраузерах. По-третє, хоча деякі споживачі знають про фішинг, ця обізнаність не зменшує їх вразливості або не надає корисних стратегій для виявлення фішинг-атак. По-четверте, сприйняття серйозності наслідків фішингу не породжує належну поведінку користувачів [55; див. також: 23; 25; 62].

Рис. 2. Етапи фішинг-атак [Наведено за: 44 ].

Розрізняють чотири основні методи, що застосовуються фішерами.

«Dragnet Method», який передбачає використання спам-електронні листи, вебсайти, спливаючі вікна або підроблені рекламні банери з фальсифікованою корпоративною ідентифікацією (наприклад, товарні знаки, логотипи і фірмові найменування), які адресовані великій кількості людей (наприклад, клієнтам банку або членам організації конкретного сайт-аукціону). Цей метод не передбачає виявлення заздалегідь конкретних потенційних жертв, оскільки адресати беруться з випадкової бази даних.

«Rod-and-Reel method» (spear-phishing). Цільовий фішинг більш небезпечний, оскільки спрямований на конкретну цільову жертву (використовує людський фактор, здатність людини приймати необдумані і спонтанні рішення), стосовно якої спеціально збирається інформація аби зробити адресоване їй послання більш переконливим. Структура даного фішингу більш складна і складається з таких послідовних кроків: 1) планування (проведення розвідки, аналіз вразливості, вибір хитрощів); 2) підготовка (складання листа, розробка засобів атаки); 3) атака (відправка листа, впровадження шкідливого ПЗ); 4) збір (збір інформації шкідливим ПЗ, отримання і аналіз інформації); 5) шахрайство (використання інформації, продаж інформації, шантаж); 6) завершення (ліквідація доказів, позбавлення переслідувачів, оцінка ефективності) [63, с. 99].

«Lobsterpot Method». Він полягає у створенні вебсайтів, схожих на законні корпоративні вебсайти, які вузько визначають клас жертв фішерами. Менший клас потенційних жертв визначений заздалегідь, але не викликає реакції жертви. Достатньо того, що потерпілий сприйняв підроблений вебсайт як легальний і надав інформацію про особисті дані. У рамках цього методу підробка відбувається на рівні протоколу. Мета шахрая полягає або в отриманні доступу до захищеного сайту, або в маскуванні його справжньої особи. При цьому шахрай може викрасти адресу жертви, фальсифікуючи інформацію про маршрутизацію повідомлення, щоб здавалося, що воно прийшло з акаунта жертви замість його власного [50].

«Gillnet phishing Method». На відміну від попередніх методів «Gillnet phishing» меншою мірою зорієнтований на соціальну інженерію. Фішери вводять шкідливий код в електронні листи та вебсайти.

Розмірковуючи над програмою захисту від фішинг-атак, слід зазначити, що зосередження уваги лише на технічному оснащенні системи захисту інформації є помилкою, оскільки успішність даних злочинів обумовлена насамперед людським фактором. Хоча у науковій літературі наведено численні технічні рішення щодо попередження та нейтралізації фішинг-атак, слід погодитися з тим, що жодне із запропонованих рішень не стало «срібною кулею» у боротьбі проти фішингу [54].

Серед заходів, спрямованих на захист від фішинг-атак, передусім слід вказати на заходи організаційного характеру, які повинні бути спрямовані зокрема на навчання користувачів, підвищення їхньої обізнаності. На необхідності запровадження громадської інформаційно-просвітницької кампанії та пропаганді кращих практик у сфері кібербезпеки Європейська Рада наголошувала ще в 2001 р. [13]. Дана рекомендація залишається актуальною та практично значущою і сьогодні. У регламенті ЄС 2019/881 наголошується, що створене в 2004 р. Європейське агентство з мережевої та інформаційної безпеки (ENISA) має регулярно проводити просвітницькі та публічні освітні кампанії, спрямовані на кінцевих користувачів^{7 Контекстуальне навчання, тренінги та інтерактивні ігри покращують здатність користувачів уникати фішинг-атак [39].}, тим самим сприяючи більш безпечній поведінці людей в інтернеті та їхній цифровій грамотності, підвищенню обізнаності про потенційні кіберзагрози, включаючи такі онлайн-злочини, як фішинг-атаки, ботнети, фінансові та банківські шахрайства, випадки шахрайства з даними, а також сприяти багатофакторній автентифікації, анонімності та захисту даних (п. 40 Регламенту) [48].

При організації просвітницьких заходів слід зважати на те, що у світі налічується не менше 2,2 млрд осіб з порушенням зору або сліпоти. У цьому зв'язку особливої актуальності набуває проблема забезпечення доступності засобів антифішингу для людей із вадами зору для взаємодії з цими інструментами. інформаційна безпека фішинг атака

Проблема кіберзлочинності виглядає сьогодні набагато серйознішою, аніж це інколи здається, оскільки вона носить транскордонний характер. Спроба окремих держав запровадити кримінальне покарання за фішинг на національному рівні не вирішує проблему, оскільки для фішерів, які працюють по всьому світу, нескладно оминути національні бар'єри. Саме тому протидія кіберзло- чинності потребує значних зусиль не лише окремих держав, але й міжнародних організацій (Європейського Союзу, Ради Європи, Інтерполу та ін.), які здатні забезпечити координацію спільних зусиль держав з розробки відповідного законодавства, ведення багатосторонніх переговорів з питань співробітництва, обміну інформацією і доказами, розслідування, конфіскації активів, консультацій з приводу політики, технічної допомоги, матеріально-технічного забезпечення тощо [1; 4; 5].

Існують певні проблеми щодо запровадження кримінально-правової відповідальності за фішинг-атаки, оскільки фішинг взагалі не є окремим злочином відповідно до матеріального кримінального права^{8 Сьогодні лідером у правовій протидії фішингу є США, антифішингове законодавство яких формувалося на початку ХХІ ст. Двадцять три штати і Гуам мають закони, що спеціально спрямовані на фішингові схеми. В інших штатах діють закони, що стосуються комп'ютерних злочинів, шахрайських дій або крадіжки особистих даних, які також можуть застосовуватися до фішингових злочинів. США, як і інші країни, зіткнулися з криміналізацією даного злочину, оскільки проблема фішингу має здебільшого вирішуватися технологічними засобами, аніж пра-вовими [58].}. Це певне «парасолькове» поняття, яке охоплює низку розпочатих чи завершених злочинів [36]. Фішинг- атаки з точки зору кримінального права можуть відповідати різним категоріям злочинів (вимагання, шахрайство, шантаж, правопорушення, що пов'язані з обробкою персональних даних).

Співробітництво держав на міжнародному рівні з питань протидії кіберзло- чинності розпочалося наприкінці ХХ ст. 9-10 грудня 1997 р. під час роботи саміту G8 на рівні міністрів юстиції і внутрішніх справ у Вашингтоні було сформульовано спільну позицію держав-учасниць, яку викладено у комюніке щодо Плану боротьби зі злочинами у сфері високих технологій [14]. Того ж року було створено форум з інтернет-злочинності, учасниками якого були співробітники поліції, міністерств внутрішніх справ і захисту даних, представники інтернет-індустрії.

Перші кроки на шляху формування Європейським Союзом власної політики в сфері забезпечення мережевої та інформаційної безпеки (всебічної стратегії безпеки електронних мереж, включаючи практичні заходи щодо впровадження) було зроблено в 2001-2002 рр. Європейською Радою, Радою ЄС, Європейською Комісією та Європейським Парламентом у зв'язку з тим, що на рівні Союзу не відбувався процес зближення кримінального права в цій сфері, що породжувало проблеми із розслідуванням кіберзлочинів. Така ситуація вочевидь не стримує тих, хто планує злочини в кіберпросторі. Було визнано за необхідне поширити кримінальне законодавство держав-членів на дії, що призводять до несанкціонованого доступу до комп'ютерних мереж, зокрема до порушення безпеки особистих даних [13; 17].

У 2001 р. Європейська Рада доручила Європейській Комісії розробити перелік національних заходів, зокрема Комісія мала сформулювати пропозиції щодо законодавства ЄС в сфері кіберзлочинності [13]. Було також створено форум ЄС, в рамках якого мали відбуватися дискусії між правоохоронними органами, промисловцями, інтернет-провайдерами, операторами зв'язку, громадськими організаціями, представниками споживачів, органами захисту даних та іншими зацікавленими суб'єктами з метою пошуку оптимального балансу між захистом основних прав і свобод людини, зокрема права на недоторканність приватного життя, необхідністю боротьби з кіберзлочинністю і фінансовим тягарем, що покладається на постачальників послуг [12].

Однак суттєвого прогресу в цьому напрямі не було досягнуто, і в 2005 р. Рада ЄС вимушена була звернути увагу на те, що суттєві прогалини та розбіжності в кримінальному законодавстві держав-членів перешкоджають боротьбі з кіберзлочинністю та ускладнюють ефективне співробітництво поліції та судів у сфері нападів на інформаційні системи [16]. Попри усвідомлення необхідності уніфікації кримінального законодавства в частині протидії кіберзлочинності реального прогресу в цьому напрямі Європейський Союз так і не досягнув (див. Звіт Європейської Комісії про шахрайство щодо безготівкових платіжних засобів в ЄС: виконання Плану дій 2004-2007 років [11]), на що вказує Директива ЄС 2019/713, в пункті 13 якої зазначено, що потрібен загальний кримінально-правовий підхід щодо складових елементів злочинної поведінки, які сприяють або готують шлях до фактичного шахрайського використання безготівкового платіжного засобу. У даній Директиві європейський законодавець не обмежується лише постановкою загальної мети. Директива вимагає, по-перше, використання кримінального законодавства для надання правового захисту платіжним інструментам, в яких використовуються спеціальні форми захисту від імітації або зловживання, з метою спонукання операторів надавати такі спеціальні форми захисту для випущених ними платіжних інструментів (п. 12)^{9 Дану вимогу було закріплено ще раніше у Директиві ЄС 2016/1148 (вимога, адресована усім державам-членам щодо наявності мінімальних можливостей та стратегій, що забезпечують високий рівень безпеки мережевих та інформаційних систем на їхній території., а також вимоги до операторів основних послуг та до постачальників цифрових послуг, щоб сприяти культурі управління ризиками та забезпечити повідомлення про найбільш серйозні випадки) [21] та у п. 96 Директиви ЄС 2015/2366: для обмеження ризиків, пов'язаних із фішинг та іншими шахрайськими діями, необхідно безпечне використання персоналізованих даних щодо безпеки.}, по-друге, пропонує розуміти під поняттям «злочинна поведінка» також поведінку, спрямовану на збирання та володіння платіжними інструментами з наміром вчиняти шахрайство, наприклад, шляхом фішингу, скімінгу або спрямування чи перенаправлення користувачів платіжних послуг на імітаційні вебсайти та їх розповсюдження, наприклад, шляхом продажу інформації про кредитні картки в Інтернеті (п. 13), і, по-третє, стосовно кримінальних злочинів, зазначених у Директиві, поняття умислу застосовується до всіх елементів, що складають ці кримінальні правопорушення відповідно до національного законодавства; умисний характер діяння, а також будь-які знання або цілі, що необхідні як елемент правопорушення, можуть бути виключені з об'єктивних фактичних обставин; кримінальні злочини, які не потребують умислу, не охоплюються цією Директивою (п. 12) [22].

Приклади антифішингового законодавства [Наведено за: 6, с. 557]