從法律層面看WannaCry類惡意軟體的因應之道

由資訊科技業的「碼農」轉行到司法界工作的大叔,目前工作上常用資訊科技來抓壞人。

前言

本週最重大的資安事件新聞,應該就是勒贖軟體WanaDecrypt0r 2.0了(本文就以「勒贖軟體」一詞來統稱這一類的木馬程式)。以下就是本文參考的幾篇文章及報導:

在看過以上的新聞報導之後,可以知道勒贖軟體實際上已經發展了一段時間,而且已經從一開始的「技術展示」,發展到與資金流(比特幣)結合的層次。

再者,以往的病毒或是木馬軟體是透過社交工程的方式,被動的等待使用者點擊惡意網址而植入木馬,現在這波勒贖軟體則是利用系統漏洞主動出擊,已經是防不勝防了;因此,本次受災的範圍已經不只拘限在個人,而是專找「具經濟效益」的企業級電腦用戶。

除了技術面,還有法律面

但是這幾年間這麼常見的勒贖軟體資安事件,都只停留在口耳相傳、街坊傳聞,最多就是發展到新聞報導、引用外電的層次;更進一步的進展,就是開始採購以及安裝防毒軟體、買外接硬碟勤做備份等自保的處理方式。

再者,由上述的媒體報導可以得知,大多數的電腦用戶第一個反應是:「要怎麼防駭?中了勒贖軟體要怎麼解鎖?」,而不是:「我在法律上權益是否受損?有沒有機會抓到駭客並繩之以法?」。

況且,在電腦、手機日益普及,FinTech發展日新又新,這類的「災情」恐怕只會漸漸的「平民化」。所以筆者個人認為,除了上述媒體報導的日常自保程序外,一般電腦使用者以及MIS、IT人員如果能夠瞭解一下現行的法律規定,就會知道自身在法律上有何權利應該要維護;在以後遇到這類資案事件時,除了事後防毒防駭勤備份之外,第一時間應該要怎麼處理,才能進行後續法律權益保障的程序。

就我國現行法令,對於這一類駭客攻擊的「擄檔勒贖」事件,是有相關的處罰規定。就先讓我們看看現行的刑法中對於妨害電腦使用的規定有哪些。

第358條
無故輸入他人帳號密碼、破解使用電腦之保護措施或利用電腦系統之漏洞,而入侵他人之電腦或其相關設備者,處3年以下有期徒刑、拘役或科或併科10萬元以下罰金。

第359條
無故取得、刪除或變更他人電腦或其相關設備之電磁紀錄,致生損害於公眾或他人者,處5年以下有期徒刑、拘役或科或併科20萬元以下罰金。

第360條
無故以電腦程式或其他電磁方式干擾他人電腦或其相關設備,致生損害於公眾或他人者,處3年以下有期徒刑、拘役或科或併科10萬元以下罰金。

第361條
對於公務機關之電腦或其相關設備犯前三條之罪者,加重其刑至二分之一。

第362條
製作專供犯本章之罪之電腦程式,而供自己或他人犯本章之罪,致生損害於公眾或他人者,處5年以下有期徒刑、拘役或科或併科20萬元以下罰金。

第363條
第358條至第360條之罪,須告訴乃論。

不同的違法層次

上述的法律規定,筆者嘗試以白話來做「分解動作說明」:第一階段,如果駭客用了你不知道的方法獲取了你的帳號密碼,或是利用電腦系統的漏洞(例如,這次的勒贖軟體利用了Windows系統port445的漏洞),在沒有正當理由的情況下、以你不知道的方式,或是以你的帳號密碼進入了你的電腦系統,不必再有額外多餘的動作,就可能違反了上述第358條的規定。

第二階段,在進入電腦系統後,更進一步的複製了你電腦內的檔案(無論檔案的內容型態)到其他地方(隨身碟、燒錄光碟、甚至是網路傳輸等)、或刪掉了你的電腦檔案,甚至是修改掉檔案的內容(即便是改了1個位元都算是變更),更惡劣的就是上述的加密勒贖,都屬於違反上述第359條的規定。

而第360條規定,則是用來處罰像是分散式封包阻斷攻擊(DDoS)的駭客;第361條規定,是加重處罰妨害公務機關使用電腦的行為,而第362條則是規範處罰製作病毒程式、勒贖軟體等惡意電腦程式的人。

而上述各種妨害電腦使用的處罰規定,除了侵害公務機關的駭客行為外,都必須有告訴人或被害人提出告訴,檢警調機關才會進行調查,這就是上述法條第363條的規定;換句話說,如果你的電腦、或是公司的電腦確定被駭客入侵並加密檔案,進而要求匯款解密,但是你或是公司不提出告訴,司法機關是根本無法啟動調查程序的。

上面所講的駭客這種將檔案加密勒贖的行為,已經非常可能構成了我國上述刑法「妨害電腦使用罪」章的各相關法律規定,如果情節夠嚴重,是要抓起來關到生蝨母的。

告?不告?這是個問題

所以拙見以為,新聞媒體經常報導、甚至建議的「從備份系統還原」等程序,也是一般MIS或是IT人員最常有的直覺反應;雖然這樣可以讓電腦儘速恢復工作,但基本上也是在幫駭客滅證。

因此,遇到被駭客加密勒贖時,如果只打算摸摸鼻子認輸,那就算了,不必刻意「保全證據」;但如果考慮採取法律行動,第一時間最重要的作法,應該是把遭駭的硬碟取出以便保全證據,另外換上新的硬碟做系統復原復工後,拿著被駭的硬碟去提告,以便啟動國家機器幫你調查。

有人說「被告不明」的話是要怎麼抓,但你如果提告,至少讓國家機器有機會去抓真實的駭客。如前面所述,侵入私人的電腦做壞事屬於「告訴乃論」罪;如果沒人提告,國家機器是不會啟動的。

因此,即便最後查到的結果是因為沒有管轄權以致於沒辦法處罰,那至少也會在最後結案的公文書中交代調查過程,讓你知道駭客是從哪裡冒出來的,而這樣或許可以讓你更精確的避免掉下次的駭客攻擊。


喜歡我們的文章嗎?按讚立即加入粉絲團 :)

獎勵作者

歡迎您以點數獎勵作者:

關於點數的獲得與使用方式,請參閱說明