Киберщит по-прежнему не спасает

В соответствии с Госпрограммой «Цифровая экономика Российской Федерации» (утв. Правительством 28.07.2017), развитию цифровой экономики препятствует рост масштабов киберпреступности, в том числе транснациональной. В прошлом году было зарегистрировано уже 90,5 тыс. таких преступлений (2016 год – 65,9 тыс., 2015 год – 43,8 тыс.). Большинство их них - мошенничества и кражи в сети Интернет.

Согласно недавнему опросу Национального агентства финансовых исследований (НАФИ), почти половина из 500 опрошенных компаний сталкивались с различными киберугрозами. Финансовые потери понесли 22% из них. Чаще всего руководители сообщали о заражении вирусами рабочих компьютеров сотрудников, в том числе с последующим вымогательством денег (20%), взломе почтовых ящиков (12%) и кибератаках на веб-сайт компании (10%). С интернет-мошенничеством сталкивались 7% респондентов, несанкционированным доступом к информации - 3%, а с кражей персональных данных клиентов - 2%. Средняя сумма убытков одной компании - 300 тыс. руб., а суммарные финансовые потери бизнеса от кибератак - почти 116 млрд руб.

Расширение сферы безналичных расчетов повлекло за собой возникновение своеобразной криминальной индустрии, необходимой для совершения несанкционированных операций по переводу денежных средств, в том числе с использованием платежных карт. По данным Центробанка (ЦБ) России, в 2017 году количество незаконных операций, совершенных с использованием карт, достигло 317,1 тыс. (в 2016 г. – 296,7 тыс.), а объем материального ущерба - 961,3 млн (в 2016 г. - 1,08 млрд) руб. Средняя сумма одной такой транзакции составила 3 тыс. (в 2016 г. - 3,7 тыс.) руб. Доля трансграничных хищений составила 44% всех несанкционированных операций. Возникают проблемы и у корпоративных клиентов. В прошлом году банки сообщили о 841 покушении на хищение средств с корпоративных счетов с использованием систем дистанционного обслуживания (в 2016 г. - 717) на общую сумму 1,5 млрд (в 2016 г. – 1,8 млрд.) руб. Поскольку компании не ограничены в лимитах операций, масштабы хищений у них от 100 тыс. до 10 млн руб. Не менее половины похищенного было заблокировано до того, как злоумышленники успели вывести денежные средства из банковской системы. Основной целью злоумышленников являются не корпорации, а малый и средний бизнес. Подавляющее большинство несанкционированных транзакций осуществляется посредством сети Интернет или мобильных устройств. В качестве причин таких операций называются воздействие вредоносного кода и побуждение владельца электронного средства платежа к совершению операции путем обмана и злоупотребления доверием.

Иллюстрация предоставлена автором.

Несмотря на столь динамичный прирост числа киберпреступлений, количество лиц, ежегодно привлекаемых к уголовной ответственности за их совершение, остается незначительным. Так, из 15,5 тыс. преступлений в сфере компьютерной информации, зарегистрированных в 2011–2017 гг., нераскрытыми остались 3,2 тыс. При этом правоохранителям удалось выявить всего 3,7 тыс. киберпреступников. Не внушает оптимизма и сложившаяся судебная практика.

По данным Судебного департамента при Верховном Суде России, в период с 2013 г. по 2017 г. за совершение преступлений в сфере компьютерной информации были осуждены немногим более 1,2 тыс. человек. Большая часть из них получила условные сроки лишения свободы.

Не изменила ситуацию и ст. 159.6 (Мошенничество в сфере компьютерной информации), введенная в Уголовный кодекс РФ Федеральным законом от 29.11.2012 № 207-ФЗ. За вышеуказанный период по данной статье было осуждено всего 549 человек. Данное обстоятельство свидетельствует о высокой латентности мошенничеств, совершаемых в российском сегменте сети Интернет.

Для минимизации масштабов киберугроз был принят Федеральный закон от 26.07.2017 №194-ФЗ (вступил в силу 1 января), предусматривающий уголовную ответственность за причинение вреда объектам критической инфраструктуры (КИИ). Согласно новой ст. 274.1 УК РФ, создание киберпрограмм, предназначенных для неправомерного доступа к объектам КИИ, наказывается лишением свободы на срок от двух до пяти лет со штрафом в размере от 600 тыс. до 1 млн руб. В свою очередь, неправомерный доступ к охраняемой законом компьютерной информации, хранящейся в объектах КИИ, наказывается лишением свободы на срок от двух до шести лет со штрафом в размере от 500 тыс. до 1 млн. руб.

В соответствии с Указом Президента РФ от 22.12.2017 №620, ответственной за обнаружение и предотвращение кибератак будет Федеральная служба безопасности (ФСБ). Указ закрепляет за ней полномочия по обеспечению работы Государственной системы обнаружения, предупреждения и ликвидации последствий компьютерных атак на информационные ресурсы (ГосСОПКА), основными задачами которой являются: прогнозирование киберситуации, обеспечение сотрудничества операторов связи и владельцев информационных ресурсов, контроль защищенности информационных ресурсов и установление причин кибератак.

Иллюстрация предоставлена автором.

В свою очередь, Федеральный закон от 23.04.2018 №111-ФЗ (вступил в силу 04.05.2018) устанавливает уголовную ответственность за мошенничество с использованием электронных средств платежа (например, электронных кошельков) и хищение средств с банковского счета. В частности, ч. 3 ст. 158 (кража) и ч. 3 ст. 159.6 (мошенничество в сфере компьютерной информации) УК дополняются новым квалифицирующим признаком в виде хищения чужого имущества с банковского счета, а равно электронных денежных средств. За эти преступления грозит наказание в виде лишения свободы на срок до шести лет. Помимо этого снижаются пороговые значения сумм крупного и особо крупного ущерба для преступлений, предусмотренных статьями 159.3 и 159.6 УК. Крупным будет признаваться ущерб, превышающий 250 тыс., а особо крупным - 1 млн руб. (ранее более 1,5 млн и 6 млн руб. соответственно).

В качестве наиболее эффективных мер по противодействию киберпреступности эксперты Group-IB, ФРИИ и Microsoft выделяют следующие: повышение уровня киберграмотности (осведомленности об угрозах и способах защиты); обязательное раскрытие информации о киберинцидентах; совершенствование как международных процедур взаимной правовой помощи, так и национального законодательства о составах преступлений и процедурах расследования; расширение трехстороннего партнерства бизнеса, представителей рынка кибербезопасности и государства.