Е. А. Русскевич

Компьютерные преступления:
квалификационные алгоритмы и тренды

Учебное пособие

---

ebooks@prospekt.org

Информация о книге

УДК 343:004(075.8)

ББК 67.408:32.81я73

Р89

Автор:

Русскевич Е. А., доктор юридических наук, доцент, профессор кафедры уголовного права Московского государственного юридического университета имени О. Е. Кутафина (МГЮА).

Рецензенты:

Кадников Н. Г., доктор юридических наук, профессор, профессор кафедры уголовного права Московского университета МВД России имени В. Я. Кикотя;

Ефремова М. А., доктор юридических наук, доцент, заведующий кафедрой уголовно-правовых дисциплин Казанского филиала Российского государственного университета правосудия.

В учебном пособии освещены вопросы законодательного определения и применения норм об ответственности за преступления в сфере компьютерной информации (гл. 28 УК РФ). В работе рассмотрены теоретические позиции по разрешению отдельных проблем квалификации компьютерных преступлений. Особое внимание уделено анализу судебно-следственной практики по ст. 272–274.2 УК РФ. На этой основе автором выделены сложившиеся квалификационные алгоритмы и тренды по делам о компьютерных преступлениях.

Пособие содержит необходимые материалы для изучения дисциплины «Преступления против информационной безопасности».

Законодательство приведено по состоянию на 1 июля 2024 г.

Издание предназначено для обучающихся по направлению подготовки 40.04.01 «Юриспруденция» (квалификация (степень) «магистр»). Может оказаться полезным для студентов и аспирантов, работников IT-компаний, сотрудников правоохранительных органов и судей.

УДК 343:004(075.8)

ББК 67.408:32.81я73

© Русскевич Е. А., 2024

© ООО «Проспект», 2024

ПРЕДИСЛОВИЕ

Современная цифровая преступность представляет собой нарастающую угрозу для охраняемых законом общественных отношений. Поступательная «оцифровка» традиционных преступлений и появление посягательств на совершенно новые интересы и блага (цифровая личность, цифровые права, цифровое имущество и т. п.) символизируют совершенно новую веху в развитии не только науки уголовного права, но и криминологии. Последняя уже в значительной степени сконцентрировала свое внимание на виртуальной или сетевой преступности, пытаясь выявить и осмыслить совокупность причин и условий, ее порождающих, что, в свою очередь, позволило бы построить систему и предложить стратегию предупреждения. Однако, пожалуй, окончательного решения не найдено. Ясно одно: цифровизация и последовательный уход современного человека в виртуальное пространство поставили перед уголовным правом и криминологией беспрецедентную по сложности задачу. Исключительная изменчивость технологий, а равно их всепроникающий характер сводят любые попытки государственного контроля практически к нулевому значению. В этих условиях невозможно просто приспособить ранее известные модели предупреждения преступности, необходимы принципиально новые решения.

Предотвращение неправомерного воздействия на компьютерную информацию и компоненты информационно-коммуникационной инфраструктуры прежде всего реализуется за счет разработки и внедрения механизмов программно-технической защиты, в том числе от небрежного поведения субъектов, допущенных к эксплуатации компьютерного оборудования. Кроме того, важнейшей проблемой предупреждения цифровой преступности является выстраивание четкого и адекватного механизма ответственности профессиональных субъектов за несоблюдение установленных стандартов информационной защиты при осуществлении коммерческой или иной деятельности. И здесь речь идет не только о программистах и системных администраторах. Проблема имеет гораздо более масштабный характер. В современных условиях компетенции цифровой безопасности являются крайне значимыми в деятельности многих других субъектов. Исчерпывающе определить их круг невозможно. Таковым может быть признан любой работник организации, взаимодействующий на том или ином уровне с информационной инфраструктурой организации. Чем сложнее это взаимодействие, тем больше потребность в индивидуально-профилактическом воздействии.

Настоящее учебное пособие посвящено вопросам квалификации преступлений в сфере компьютерной информации (компьютерным преступлениям). Данные деяния являются основой всей цифровой преступности. В условиях стремительного развития и внедрения технологий тема реализации ответственности за компьютерные преступления из довольно периферийного направления научных исследований приобрела совершенно особое значение. В пользу этого говорит и принятие Пленумом Верховного Суда Российской Федерации постановления № 37 от 15.12.2022 «О некоторых вопросах судебной практики по уголовным делам о преступлениях в сфере компьютерной информации, а также иных преступлениях, совершенных с использованием электронных или информационно-телекоммуникационных сетей, включая сеть „Интернет“».

Учебное пособие ориентировано не столько на общетеоретические вопросы законодательного определения и квалификации преступлений в сфере компьютерной информации, сколько на конкретные правоприменительные особенности (алгоритмы) и подходы (тренды). По этой причине работа изобилует многочисленными примерами из практики.

Автор выражает глубокую признательность Николаю Григорьевичу Кадникову и Марине Александровне Ефремовой за их согласие выступить рецензентами, внимательное изучение работы и ценные замечания.

СТАТИСТИКА

(Сведения о статистических показателях компьютерных преступлений [глава 28 УК РФ] по данным ГИАЦ МВД России)

§ 1. ЦИФРОВИЗАЦИЯ, ПРЕСТУПНОСТЬ И УГОЛОВНЫЙ ЗАКОН

Цифровизация оказала значительное влияние на преступность, ее структуру и динамику. Здесь можно выделить несколько ключевых изменений. Прежде всего она обусловила появление совершенно новых — немыслимых ранее — преступлений в сфере компьютерной информации. Довольно часто используется также другой термин — компьютерные преступления. Их особенностью является специфический объект посягательства — общественные отношения в сфере обращения компьютерной информации и функционирования объектов информационно-телекоммуникационной инфраструктуры. Само по себе появление компьютерных преступлений было закономерным и лишь подтверждает известный тезис об исторической изменчивости преступности в целом.

Другим фундаментальным изменением стало то, что физические способы совершения многих традиционных преступлений стали замещаться цифровыми. Этот процесс можно условно обозначить как компьютеризацию или цифровизацию традиционной преступности. Информационно-телекоммуникационные сети (в т. ч. Интернет) открыли перед злоумышленниками невиданные возможности для преступной деятельности. Затронуло это прежде всего преступления, связанные с распространением вредоносной информации и предметов, запрещенных в обороте. Однако же на этом «оцифровка преступности» не остановилась, и в настоящее время одной из главных проблем являются хищения, совершаемые в системах дистанционного банковского обслуживания (прежде всего через банковские мобильные приложения). Так, согласно данным Центрального банка Российской Федерации, в 2023 г. количество операций без согласия клиента составило 1165,99 тыс. единиц (+11,48% в сравнении с 2022 г.) с общим объемом 15 791,41 млн руб. При этом в 2023 г. количество мошеннических операций с использованием платежных карт было самым высоким среди остальных типов операций и составило 984,77 тыс. единиц1.

На протяжении последних лет наблюдается устойчивый рост преступлений, совершаемых с использованием цифровых технологий. Так, в 2017 г. было зарегистрировано 90 597 таких преступлений, в 2018 г. — 174 674 (+92.8%), в 2019 г. — 294 409 (+68,5%), в 2020 г. — 510 396 (+73,4%), в 2021 г. — 517 722 (+1,5%), в 2022 г. — 522 065 (+0,8%), в 2023 г. — 676 951 (+29,7%)2.

Причины такой «миграции» преступности в цифровую среду вполне понятны. С одной стороны, продолжающееся сращивание жизни человека с компонентами цифрового пространства (мессенджеры, банковские и иные приложения, маркетплейсы, «умные» дома, «умные» вещи (Internet of Things), удешевление технологий, их все большая доступность. В результате люди становятся все более зависимыми от технологий, и этим пользуются преступники.

С другой стороны, злоумышленников привлекает высокий уровень анонимности цифровой среды, ее трансграничность, возможность совершать посягательства сразу в отношении многих (сотен, тысяч и даже миллионов) потерпевших (гипертаргетированность). Сейчас уже довольно сложно найти преступление, которое хотя бы теоретически не могло бы быть совершено в цифровой среде.

Цифровые преступления являются транснациональной проблемой. Еще на заре формирования так называемого «информационного общества» эксперты признавали, что оно не имеет политических, социальных и экономических границ. В связи с этим считается практически общепринятым, что эффективное противодействие цифровой преступности возможно только путем объединения усилий всего мирового сообщества, которое должно установить единые основы юрисдикции и правила международного сотрудничества государств в этой сфере3.

Следует сразу указать, что общего (универсального) соглашения, регулирующего противодействие преступлениям в сфере информационно-коммуникационных (цифровых) технологий, до настоящего времени не существует. Как справедливо пишет Т. Л. Тропина, имеющиеся международные инструменты, направленные на обеспечение кибербезопасности, характеризуются мозаичностью, являются фрагментарными и скорее конкурируют между собой, чем способствуют гармонизации уголовного и уголовно-процессуального законодательства государств4. В этом же ключе В. С. Овчинский резюмирует, что международно-правовые механизмы, позволяющие отстаивать суверенное право государств на регулирование информационного пространства, в том числе в национальном сегменте сети Интернет, не установлены. Большинство государств (в том числе Россия) вынуждены «на ходу» адаптировать государственное регулирование сферы информации и информационных технологий к новым обстоятельствам5.

Советом Европы разработан ряд инструментов для гармонизации законодательства в сфере киберпреступности. Однако самый значимый и известный из них — Конвенция «О преступности в сфере компьютерной информации» (Будапешт, 23.11.2001)6. Конвенция делит преступления на 4 группы и в каждой предусматривает несколько составов преступлений:

• преступления против конфиденциальности, целостности и доступности компьютерных данных и систем: 1) противозаконный доступ; 2) противозаконный перехват; 3) воздействие на данные; 4) воздействие на функционирование системы; 5) противозаконное использование устройств;

• правонарушения, связанные с использованием компьютерных средств: 1) подлог с использованием компьютерных технологий; 2) мошенничество с использованием компьютерных технологий;

• правонарушения, связанные с содержанием данных: 1) преступления, связанные с детской порнографией;

• правонарушения, связанные с нарушением авторского права и смежных прав.

Европейская конвенция о киберпреступности в качестве обязательной меры также предполагает установление уголовной ответственности юридических лиц. При этом условиями наступления ответственности организации названы: 1) совершение противоправных действий в целях получения выгоды для юридического лица; 2) действия должны быть выполнены лицом, занимающим руководящий пост (обладающим управленческими и (или) представительскими функциями); 3) действия должны быть сопряжены с использованием полномочий по представлению юридического лица, принятию решений или осуществлению контроля за его деятельностью. Конвенция также предписывает устанавливать ответственность юридических лиц и в случаях совершения противоправных действий иным работником под руководством лица, занимающего руководящий пост в организации.

Согласно ст. 13 Конвенции, к физическим лицам, совершившим преступления, предусмотренные конвенцией, должны применять эффективные, соразмерные и убедительные наказания, включая лишение свободы. К юридическим лицам возможно применение мер и неуголовного характера, включая денежные санкции.

Отдельно Будапештская конвенция о преступности в сфере компьютерной информации обязывает страны-участницы квалифицировать как преступные действия подстрекательство к совершению любого из предусмотренных ею преступлений, соучастие в нем либо покушение. При этом установление ответственности за подстрекательство и соучастие является обязанностью государства-подписанта конвенции, а криминализация покушения является правом.

В настоящее время Конвенция Совета Европы «О преступности в сфере компьютерной информации» 2001 г. является, пожалуй, самым проработанным и значимым международным документом, направленным на объединение усилий мирового сообщества в борьбе с преступностью в информационном пространстве7. Несмотря на то что Россия все еще не присоединилась к ней, можно вполне уверенно утверждать, что наиболее существенные ее положения уже фактически имплементированы в отечественное уголовное законодательство. Вместе с тем, на наш взгляд, подписание данной конвенции вывело бы на качественно другой уровень международное уголовное преследование лиц, совершивших киберпреступления.

Соглашение о сотрудничестве в области обеспечения международной информационной безопасности Шанхайской организации сотрудничества от 16.06.2009 содержит лишь общее определение информационной преступности, к которой данный документ также предлагает отнести использование информационных технологий для совершения таких преступлений, как мошенничество, вымогательство, контрабанда, незаконная торговля наркотиками, распространение детской порнографии и др.8 К основным угрозам международной информационной безопасности соглашение относит: 1) разработку и применение информационного оружия, подготовку и ведение информационной войны; 2) информационный терроризм; 3) информационную преступность; 4) использование доминирующего положения в информационном пространстве в ущерб интересам и безопасности других государств; 5) распространение информации, наносящей вред общественно-политической и социально-экономической системам, духовной, нравственной и культурной среде других государств; 6) угрозы безопасному, стабильному функционированию глобальных и национальных информационных инфраструктур, имеющие природный и (или) техногенный характер.

С 2001 г. в рамках Содружества Независимых Государств действовало Соглашение о сотрудничестве государств — участников СНГ в борьбе с преступлениями в сфере компьютерной информации9. Основными целями сотрудничества в рамках данного соглашения являлось обеспечение эффективной борьбы с преступлениями в сфере компьютерной информации и создание правовых основ сотрудничества правоохранительных и судебных органов стран-участников соглашения в борьбе с ними.

С 12.03.2020 вступило в силу Соглашение о сотрудничестве государств — участников СНГ в борьбе с преступлениями в сфере информационных технологий (заключено в г. Душанбе 28.09.2018)10. Данное соглашение пришло на смену Соглашению СНГ 2001 г.

В соответствии с положениями Соглашения государства-подписанты должны признать в соответствии с национальным законодательством в качестве уголовно наказуемых следующие деяния в сфере информационных технологий:

а) уничтожение, блокирование, модификация либо копирование информации, нарушение работы информационной (компьютерной) системы путем несанкционированного доступа к охраняемой законом компьютерной информации;

б) создание, использование или распространение вредоносных программ;

в) нарушение правил эксплуатации компьютерной системы лицом, имеющим к ней доступ, повлекшее уничтожение, блокирование или модификацию охраняемой законом компьютерной информации, если это деяние причинило существенный вред или тяжкие последствия;

г) хищение имущества путем изменения информации, обрабатываемой в компьютерной системе, хранящейся на машинных носителях или передаваемой по сетям передачи данных, либо путем введения в компьютерную систему ложной информации, либо сопряженное с несанкционированным доступом к охраняемой законом компьютерной информации;

д) распространение с использованием информационно-телекоммуникационной сети Интернет или иных каналов электрической связи порнографических материалов или предметов порнографического характера с изображением несовершеннолетнего;

е) изготовление в целях сбыта либо сбыт специальных программных или аппаратных средств получения несанкционированного доступа к защищенной компьютерной системе или сети;

ж) незаконное использование программ для компьютерных систем и баз данных, являющихся объектами авторского права, а равно присвоение авторства, если это деяние причинило существенный ущерб;

з) распространение с использованием информационно-телекоммуникационной сети Интернет или иных каналов электрической связи материалов, признанных в установленном порядке экстремистскими или содержащих призывы к осуществлению террористической деятельности или оправданию терроризма.

Следует отметить, что данные соглашения, имея рекомендательный характер, оставляют национальному законодателю возможность учитывать присущие той или иной стране особенности. Так, например, в итоговом документе Тринадцатого Конгресса Организации Объединенных Наций по предупреждению преступности и уголовному правосудию (Доха, 12–19 апреля 2015 г.) в качестве рекомендации специально указано, что в области киберпреступности государствам-членам следует руководствоваться сбалансированным правовым подходом, который предусматривает признание в качестве конкретных преступлений основных деяний против конфиденциальности, целостности и доступности компьютерных данных и компьютерных систем, при одновременном рассмотрении вопроса о применимости к деяниям, совершенным в режиме онлайн, положений, касающихся таких общеуголовных преступлений, как хищение, мошенничество, фальсификация и преступления против личности11.

Ответственность за преступления в сфере компьютерной информации впервые была определена в действующем Уголовном кодексе Российской Федерации 1996 г. В первоначальной редакции глава 28 УК РФ предусматривала три традиционных компьютерных преступления: неправомерный доступ к компьютерной информации (ст. 272 УК РФ), создание, использование и распространение вредоносных компьютерных программ (ст. 273 УК РФ) и нарушение правил эксплуатации средств хранения, обработки или передачи компьютерной информации (ст. 274 УК РФ). Позднее (в 2017 и 2022 г.) глава была дополнена нормами об ответственности за неправомерное воздействие на критическую информационную инфраструктуру Российской Федерации (ст. 274.1 УК РФ) и нарушение правил централизованного управления техническими средствами противодействия угрозам устойчивости, безопасности и целостности функционирования на территории Российской Федерации информационно-телекоммуникационной сети Интернет и сети связи общего пользования (ст. 274.2 УК РФ). Есть основания полагать, что предусмотренный главой 28 УК РФ перечень преступлений в сфере компьютерной информации со временем будет только расширяться.

Следует выделить и еще один значимый аспект развития преступности в цифровой среде. Он обусловлен расширением оборота криптовалют, их проникновением в повседневную жизнь граждан и деятельность хозяйствующих субъектов. Принимая во внимание их экономическую ценность, относительную неурегулированность отношений, отсутствие наработанных практик защиты, закономерно, что в настоящее время наблюдается неуклонный рост преступных посягательств, совершаемых с использованием, в отношении или по поводу криптовалют. Уже сейчас можно говорить о выделении своего рода криптовалютной преступности.

Российское уголовное законодательство не определяет использование цифровых технологий как универсальное обстоятельство, отягчающее наказание в соответствии со ст. 63 УК РФ. Указание на использование электронных сетей или информационно-телекоммуникационных сетей (включая сеть Интернет) как на отягчающий (квалифицирующий) признак преступления содержится лишь в отдельных статьях Особенной части УК РФ. За последние годы сохраняется тенденция последовательного расширения перечня таких статей.

В действующей редакции УК РФ указание на цифровой способ совершения преступления имеется в нормах об ответственности за доведение до самоубийства (ст. 110 УК РФ), склонение к совершению самоубийства или содействие совершению самоубийства (ст. 110.1 УК РФ), организацию деятельности, направленной на побуждение к совершению самоубийства (ст. 110.2 УК РФ), клевету (ст. 128.1 УК РФ), понуждение к действиям сексуального характера (ст. 133 УК РФ), вовлечение несовершеннолетнего в совершение действий, представляющих опасность для жизни несовершеннолетнего (ст. 151.2 УК РФ), незаконные организацию и проведение азартных игр (ст. 171.2 УК РФ), манипулирование рынком (ст. 185.3 УК РФ), публичные призывы к осуществлению террористической деятельности, публичное оправдание терроризма или оправдание терроризма (ст. 205.2 УК РФ), незаконные приобретение, передачу, сбыт, хранение, перевозку, пересылку или ношение оружия, основных частей огнестрельного оружия, боеприпасов (ст. 222 УК РФ), незаконные приобретение, передачу, сбыт, хранение, перевозку, пересылку или ношение взрывчатых веществ или взрывных устройств (ст. 222.1 УК РФ), незаконные приобретение, передачу, сбыт, хранение, перевозку, пересылку или ношение крупнокалиберного огнестрельного оружия, его основных частей и боеприпасов к нему (ст. 222.2 УК РФ), незаконное производство, сбыт или пересылку наркотических средств, психотропных веществ или их аналогов, а также незаконный сбыт или пересылку растений, содержащих наркотические средства или психотропные вещества, либо их частей, содержащих наркотические средства или психотропные вещества (ст. 228.1 УК РФ) и др.

С недавнего времени признаки цифрового преступления приобрело убийство, причинение тяжкого, средней тяжести и легкого вреда здоровью, а также побои. При этом внесенные изменения от 08.08.2024, содержание которых в целом сводится к установлению более строгой ответственности за соответствующие деяния с публичной демонстрацией в сети Интернет, не затрагивают самого способа преступного посягательства, а в больше степени выражают признак обстановки12 и в какой-то степени мотивации субъекта. С учетом направленности реформы удивительно, что она не затронула такие составы, как хулиганство и вандализм.

Уже сейчас можно указать на то, что новые редакции квалифицированных составов традиционных насильственных преступлений с высокой вероятностью породят множество вопросов в части квалификации. Так, особую актуальность имеет определение пределов объективной стороны насильственного преступления, сопряженного со «стримом», в аспекте оценки действий лица, осуществляющего такую трансляцию, но не применяющего насилия к потерпевшему.

В науке высказываются разные суждения относительно того, как должен меняться уголовный закон в условиях цифровизации. Довольно активно насаждается представление о необходимости его дополнения специальными нормами об ответственности за преступления, совершаемые в цифровой среде (кибервымогательство, киберхулиганство, кибертерроризм и т. п.). Такие предложения по казуальному уточнению совершения преступления специфическим способом — путем использования цифровых технологий — не учитывают интерпретационного потенциала уголовного закона. Следует с удовлетворением констатировать, что УК РФ в большей части свободен от казуистики и оперирует конструкциями, пригодными для того, чтобы охватить всю совокупность конкретных форм общественно опасного поведения личности, имеющих между собою общие черты. Подобную абстрактность следует, пожалуй, оценить положительно. Приспосабливание уголовного закона к условиям информационного общества не должно быть связано с конструированием многочисленных «виртуальных копий», «цифровых двойников» традиционных уголовно-правовых запретов. Такая модернизация отечественного уголовного законодательства неминуемо приведет к избыточному дублированию его положений, выражающемуся в наличии значительного количества норм, конкурирующих друг с другом исключительно на стыке проблемы разграничения виртуального и реального в праве.

§ 2. НЕПРАВОМЕРНЫЙ ДОСТУП К КОМПЬЮТЕРНОЙ ИНФОРМАЦИИ (СТ. 272 УК РФ)

2.1. Охраняемая законом компьютерная информация как предмет неправомерного доступа

Предметом неправомерного доступа по ст. 272 УК РФ является охраняемая законом компьютерная информация. Ее определение содержится в примечании к статье и в целом не вызывает значимых затруднений на уровне правоприменения (хотя в науке не прекращаются дискуссии по поводу использования такого признака, как «электрические сигналы»13).

В соответствии с примечанием 1 к ст. 272 УК РФ под компьютерной информацией понимаются сведения (сообщения, данные), представленные в форме электрических сигналов, независимо от средств их хранения, обработки и передачи.

Как предмет преступного посягательства компьютерная информация представлена сведениями, сообщениями и данными, воспринимаемыми человеком непосредственно в процессе взаимодействия с объектами информационно-коммуникационной инфраструктуры (doc-, pdf-, rtf-, jpg-файлы и др.), а также информацией сугубо технической, предназначенной для обеспечения функционирования самого оборудования. Во втором случае идет речь о программном обеспечении устройства, так называемых служебных файлах. Эту информацию пользователь, что называется, не видит, но ее значимость от этого не уменьшается. Надлежащее и бесперебойное функционирование компьютерного оборудования, как известно, полностью зависит от программного обеспечения.

Применительно ко второму виду компьютерной информации в судебно-следственной практике сложился тренд по применению ст. 272 УК РФ в случаях неправомерного изменения (модификации) программных файлов в игровых консолях, ТВ-приставках и т. п. Довольно часто такие действия оцениваются по совокупности со ст. 273 УК РФ.

К., находясь по месту проживания, осуществляя неправомерный доступ к компьютерной информации, содержащейся в игровой консоли Sony PlayStation, с использованием своих специальных познаний, а также вредоносных компьютерных программ, предназначенных запускать нелицензионную продукцию, полученную из неофициальных источников, в обход средств защиты разработчиков внес не санкционированные производителем изменения в программное обеспечение указанной игровой приставки14.

Вместе с тем в одном из последних решений Верховный Суд РФ такой подход поставил под сомнение. Главным аргументом послужило то, что материалами дела не установлено, какие именно специальные средства защиты информации были преодолены виновным при осуществлении неправомерного доступа и модифи

...