Egy CyberLeek néven ismert fenyegető szereplő hackelési és adatzsarolási tevékenységek sorozatával hívta fel magára a figyelmet, és a most keringő kérdés gyakorlatias: ha a nyomozók végül azonosítják és letartóztatják ezt a személyt, valójában mekkora börtönbüntetésre számíthat? A válasz hasznos betekintést nyújt abba, hogyan működnek a gyakorlatban a zsarolóvírusos zsarolás büntetőjogi vádjai, és miért jóval magasabb az ilyen szereplők jogi kockázata, mint amit sok zsarolási tárgyalás hétköznapi, már-már üzletszerű hangvétele sugallna.

Ki a CyberLeek, és mivel vádolják

A CyberLeeket olyan szereplőként írják le, aki állítólag hackelési behatolásokhoz, üzleti titkok ellopásához és áldozat szervezetekkel szembeni zsarolási követelésekhez kapcsolódik – ez az a sokrétű kampány, amely egyre gyakoribbá vált az adatlopó csoportok körében. Ez a támadási stílus a fájlok egyszerű titkosítása és a visszafejtési kulcsért cserébe követelt váltságdíj helyett jellemzően azt foglalja magában, hogy betörnek egy hálózatba, csendben lemásolják az érzékeny vagy védett adatokat, majd azzal fenyegetőznek, hogy kiszivárogtatják vagy eladják azokat, hacsak nem fizetnek. Ez a kombináció – jogosulatlan hozzáférés plusz lopás plusz fenyegetés – pontosan az, ami egyetlen behatolást különálló büntetőjogi vádak halmazává alakít.

Milyen vádakkal és milyen börtönbüntetéssel néznek szembe valójában az ilyen hackerek

Ha elkapnak valakit, akit egy olyan művelet vezetésével vádolnak, mint a CyberLeeké, az ügyészek általában nem egyetlen vádat emelnek. A jogosulatlan számítógépes hozzáférés külön vádolható a védett üzleti információk ellopásától, és maga a zsarolási követelés – azaz azzal való fenyegetés, hogy ellopott adatokat hoznak nyilvánosságra vagy adnak el, hacsak az áldozat nem fizet – önálló bűncselekménynek számít. Mivel ezek a bűncselekmények külön-külön vádolhatók, majd egymás után letöltendő büntetésként is kiszabhatók, a több vádpontban elítélt személy összesített kitettsége jelentős lehet, még akkor is, ha önmagában egyetlen vádpont szerényebb büntetést von maga után. Az ügyészeknek emellett mozgásterük van abban, hogy mennyire agresszívan folytatnak egy ügyet, és a végső kimenetel nagyban függ olyan tényezőktől, mint az áldozatok száma, az okozott pénzügyi kár nagysága, hogy az ellopott adatok tartalmaztak-e üzleti titkokat vagy személyes adatokat, valamint hogy a vádlott együttműködik-e a nyomozókkal.

Hogyan zajlanak jellemzően a zsarolóvírusos büntetőeljárások

Az olyan becenévtől, mint a CyberLeek, a tényleges tárgyalóteremig eljutni gyakran a legnehezebb rész. Sok zsarolóvírusos és zsarolási szereplő olyan joghatóságokból dolgozik, ahol korlátozott a kiadatási együttműködés, többrétegű infrastruktúrát használnak személyazonosságuk elrejtésére, és kriptovalutára támaszkodnak a kifizetések begyűjtésében – mindez lassítja vagy megnehezíti a büntetőeljárást. Amikor az ügyek mégis előrehaladnak, a vádlottak végső büntetését gyakran kevésbé az elméleti maximális kitettség, mint inkább a vádalkuk, a kártérítési megállapodások és a bűnüldöző szervekkel való együttműködés határozza meg. Ez kulcsfontosságú oka annak, hogy a döntéshozók egyre inkább vizsgálják a váltságdíj-kifizetések körüli ösztönzőket. Egyes kormányok már most fontolgatják a zsarolóvírusos kifizetések tilalmát annak érdekében, hogy elvágják azt a pénzügyi csatornát, amely ezeket a műveleteket nyereségessé teszi, azzal érvelve, hogy a kifizetés csökkentése csökkenti a motivációt.

A valós esetek mindkét oldalt megvilágítják. Egy példában egy amerikai kormányzati ügynökség állítólag körülbelül 1 millió dollárt fizetett egy Kairos néven ismert adatzsaroló csoportnak, miután nagy mennyiségű adatot loptak el – emlékeztetve arra, hogy még a jól ellátott szervezetek is néha a fizetést választják a hosszú távú nyilvánosság helyett. Máshol egy adatvédelmi incidens következményei messze túlmutathatnak az azonnali áldozat szervezeten: a Beacon Mutual elleni zsarolóvírus-támadás több mint 130 000 ember személyes adatait tette ki, köztük több ezer állami alkalmazottét is, megmutatva, hogy egyetlen sikeres behatolás milyen jogi, pénzügyi és reputációs következményeket generálhat, amelyek jóval a váltságdíjról hozott döntés után is fennmaradnak.

Mit jelent ez az adatzsarolás által megcélzott szervezetek és magánszemélyek számára

A szervezetek számára a CyberLeek-forgatókönyv arra emlékeztet, hogy a zsarolási követelések nem csupán üzleti kellemetlenségek, amelyeket csendben rendezni kell. Ezek bűncselekmények, és a bűnüldöző szervek egyre inkább annak is tekintik őket, olyan ügyeket építve fel, amelyekben a hackelési, üzletititok-lopási és zsarolási vádak összekapcsolódnak. Azoknak a magánszemélyeknek, akiknek személyes adatai egy ilyen adatvédelmi incidensben érintettekké válnak, a gyakorlati kockázat kevésbé a végső büntetőeljárásról szól, hanem inkább arról, hogy mi történik az adataikkal addig: személyazonosság-lopásnak, adathalászatnak és fiókátvételi kísérleteknek való kitettség, miközben a nyomozás – gyakran hónapokig vagy évekig – zajlik.

Főbb tanulságok

A CyberLeek állítólagos tevékenysége, valamint a meredek zsarolóvírusos zsarolás büntetőjogi vádjainak lehetősége, ha a mögötte álló személyt valaha is elkapják, rávilágít egy tágabb pontra: a zsaroláson alapuló kiberbűnözés valódi jogi következményekkel jár, még akkor is, ha a bűnüldözés időbe telik. A szervezeteknek adatzsarolási kísérleteket bűncselekményként kell kezelniük, amelyek bűnüldöző szervek bevonását igénylik, nem pedig magántárgyalásként, és az incidens által érintett magánszemélyeknek szorosan figyelemmel kell kísérniük fiókjaikat, és erős, egyedi hitelesítő adatokat kell használniuk mindenhol, ahol adataik napvilágra kerülhettek. A megelőzés marad a legmegbízhatóbb védekezés: az erős hálózati biztonság, a gyors incidensbejelentés és az óvatos adatmegosztási gyakorlat mind csökkenti annak esélyét, hogy valaki a következő esettanulmány legyen egy ilyen történetben.