Вредоносные программы по статье 273 УК РФ и что за них грозит

Написал программу для перебора паролей, выложил на форум готовый стилер, запустил чужой скрипт на рабочем компьютере. Статья 273 УК РФ наказывает всё это ещё до того, как чьи-то данные пострадали.

Что делать, если вас обвиняют по статье 273 УК РФ

Дела по этой статье держатся на технике и экспертизе: изъятые ноутбуки, история браузера, репозитории, переписка в мессенджерах, заключение специалиста о назначении файла. Признать авторство файла на первом объяснении легко, а забрать слова назад потом невозможно. Разбирать материалы, ставить вопросы эксперту и спорить о назначении программы помогает адвокат по уголовным делам.

Что считается вредоносной программой по статье 273 УК РФ

Слова «вредоносная программа» в тексте нормы нет вовсе, оно живёт только в названии статьи. Сама норма говорит о компьютерных программах либо иной компьютерной информации, заведомо предназначенных для строго определённого набора действий. Определение идёт не от того, как файл выглядит и какое имя носит, а от того, для чего он предназначен.

Оговорка про «иную компьютерную информацию» шире, чем кажется. Под неё попадают не только исполняемые файлы, но и скрипты, макросы в документе, наборы эксплойтов, нагрузка внутри картинки.

Назначение задано в норме закрытым списком. Шестого пункта в нём нет, и придумать его нельзя: если программа не предназначена ни для одного из перечисленных действий, состава по статье 273 не будет, какой бы неприятной эта программа ни казалась.

• Несанкционированное уничтожение информации Программа стирает файлы, чистит базу, обнуляет журналы. Сюда относят и вайперы, которые уничтожают данные без всякого требования выкупа.
• Несанкционированное блокирование информации Доступ закрывается для тех, кто имел на него право. Классический пример, шифровальщик: сами файлы на месте, но открыть их нельзя.
• Несанкционированная модификация информации Содержание меняется: подменяются реквизиты в платёжке, правится запись в базе, дописывается строка в журнале событий, встраивается закладка в чужой сайт.
• Несанкционированное копирование информации Данные переносятся на другой носитель или уходят на сторонний сервер. Под этот признак попадают стилеры, кейлогеры и любые программы скрытой выгрузки переписки и паролей.
• Нейтрализация средств защиты информации Отдельный признак, который часто упускают. Речь о программах, которые гасят антивирус, обходят проверку подлинности, снимают ограничения доступа. Здесь последствия для самих данных вообще не нужны.

Слово «несанкционированное» стоит в норме не для красоты. Оно означает, что действие идёт помимо воли того, кто вправе распоряжаться информацией. Программа, которая удаляет данные по команде владельца, чистит собственный кеш или шифрует ваш же диск, ничего несанкционированного не делает.

Почему признак заведомости решает исход дела

Заведомость означает, что человек знал назначение программы к моменту, когда её создавал, передавал или запускал. Это не догадка и не «должен был понимать», а осознание. Именно здесь проходит граница между уголовным делом и обычной работой с кодом.

Практическое значение признака простое. Один и тот же инструмент в руках двух людей даёт разный результат: у одного состав есть, у другого нет. Разбирается это не по названию файла, а по обстановке, в которой человек с ним работал.

1. Что доказывает заведомостьПереписка о продаже и настройке программы, объявления на форумах, инструкции для покупателя, отключение антивируса перед запуском, маскировка файла под безобидный, шифрование трафика до сервера сбора.
2. Что заведомость снимаетДоговор с владельцем системы, техническое задание, служебная задача, публичные правила программы поиска уязвимостей, обычная работа в лаборатории с изолированным стендом.
3. Двойное назначение инструментаСканеры, отладчики, снифферы, средства восстановления паролей используют и специалисты по безопасности, и злоумышленники. Практика смотрит не на сам инструмент, а на то, к какой системе его применили и было ли на это право.
4. Случайный запуск чужого файлаЧеловек, который открыл вложение из письма и заразил свой же компьютер, ничего не создавал и не распространял. Состава нет: он потерпевший, а не обвиняемый.
5. Пересылка файла без пониманияПереслать другу архив, не зная о его содержимом, значит действовать без заведомости. Но если о назначении файла шла речь в переписке, довод про незнание рушится о неё же.

Отсюда и главный практический совет для того, кто работает с кодом. Всё, что подтверждает законную цель, должно существовать в письменном виде до начала работы, а не появляться в объяснениях после изъятия техники. Помогает заранее оформленный договор на работы по тестированию с владельцем системы.

Изъяли технику и спрашивают про написанный вами код?

Юрист оценит, есть ли признак заведомости, и объяснит, что говорить на первом допросе и о чём молчать.

Задать вопрос юристу

Полина Недашковскаяюрист Амулекс

Три самостоятельных деяния внутри статьи 273 УК РФ

В части 1 стоят три глагола, и каждый образует состав сам по себе. Обвинение вправе вменить любой из них отдельно, а бывает, что все три сразу разным людям одной цепочки.

• Создание Написание кода, сборка готовых компонентов в работающий инструмент, доработка чужой программы под новую задачу. Состав считается оконченным с момента, когда программа готова к применению. Передавать её кому-то и запускать не требуется.
• Распространение Любая передача другому лицу: выкладывание в открытый доступ, продажа, отправка в мессенджере, размещение на файлообменнике, публикация ссылки. Бесплатность и отсутствие выгоды состав не убирают.
• Использование Запуск программы по назначению против чужой системы. Здесь чаще всего появляется совокупность со статьёй 272 УК РФ, потому что запуск обычно приводит к уничтожению, блокированию, модификации или копированию информации.

Из формулы «состав окончен раньше последствий» вытекает и неприятный вывод для защиты. Довод «программа никому не навредила» на квалификацию по части 1 не влияет, он работает только как обстоятельство при назначении наказания.

Части статьи 273 УК РФ и наказание по каждой из них

Частей три, и разброс наказаний между ними большой. Каждая следующая добавляет к базовому составу своё обстоятельство, а третья опирается уже на реальные последствия.

• Часть 1, базовый состав Ограничение свободы до четырёх лет, принудительные работы до четырёх лет либо лишение свободы на тот же срок. Лишение свободы норма даёт со штрафом до 200 тысяч рублей или в размере дохода за период до восемнадцати месяцев, и оговорки «или без такового» здесь нет: выбрав лишение свободы, суд назначает штраф обязательно.
• Часть 2, группа, служебное положение, крупный ущерб или корысть Ограничение свободы до четырёх лет; принудительные работы до пяти лет с запретом занимать определённые должности или заниматься определённой деятельностью до трёх лет или без такового; лишение свободы до пяти лет со штрафом от 100 до 200 тысяч рублей либо в размере дохода за период от двух до трёх лет или без такового и с тем же запретом или без такового. Крупным считается ущерб свыше одного миллиона рублей.
• Часть 3, тяжкие последствия Деяния части 1 или части 2, если они повлекли тяжкие последствия либо создали угрозу их наступления. Наказание одно, лишение свободы до семи лет. Содержание понятия «тяжкие последствия» закон не раскрывает, и оценивает его суд по обстоятельствам конкретного дела.

Оговорка «или без такового» в части 2 стоит у каждого дополнительного наказания, и это меняет смысл. Штраф и запрет занимать должности там право суда, а не обязанность. В части 1 у штрафа при лишении свободы такой оговорки нет, и назначить его придётся.

Угроза наступления тяжких последствий стоит в части 3 рядом с самими последствиями. Значит, реального вреда может и не быть: достаточно, чтобы созданная обстановка позволяла ему наступить. Спорить с этим приходится через экспертизу и через доводы о том, что угроза была умозрительной.

• Категория преступления Части 1 и 2 относятся к преступлениям средней тяжести, часть 3 к тяжким. Категорию задаёт максимум санкции по статье 15 УК РФ, а не тот срок, который в итоге получил конкретный человек.
• Сроки давности Шесть лет по частям 1 и 2, десять лет по части 3. Отсчёт по статье 78 УК РФ идёт со дня совершения деяния, а течение срока приостанавливается, если человек уклоняется от следствия или суда.
• Возраст ответственности Шестнадцать лет по части 1 статьи 20 УК РФ. В перечне составов, за которые отвечают с четырнадцати, статьи 273 нет, хотя школьники с готовым стилером из телеграм-канала попадают в эти дела регулярно.
• Кто расследует Следователи органов внутренних дел: статьи 272-274 отнесены к их подследственности пунктом 3 части 2 статьи 151 УПК РФ. По части 5 той же статьи следствие вправе вести и следователь органа, выявившего преступление. Дознание по статье 273 не проводится.
• Какой суд рассматривает дело Районный суд. Часть 1 статьи 273 прямо названа среди исключений в части 1 статьи 31 УПК РФ, поэтому мировому судье дело не подсудно ни по одной части.
• Конфискация полученного Статья 273 названа в пункте «а» части 1 статьи 104.1 УК РФ. Деньги и имущество, полученные от продажи программы, суд обращает в доход государства. Это не наказание, а отдельная мера, и к сроку она не прибавляется.

Арест в санкции назван, но назначить его суд не может: этот вид наказания в действие не введён. Статья 4 Федерального закона от 13 июня 1996 года № 64-ФЗ «О введении в действие Уголовного кодекса Российской Федерации» отложила арест до отдельного федерального закона, и он до сих пор не принят.

Чем статья 273 УК РФ отличается от статьи 272

Обе статьи стоят в одной главе и в обиходе зовутся одинаково, взломом. Но защищают они разное. Статья 272 наказывает проникновение в чужую информацию, статья 273 наказывает сам инструмент и работу с ним.

На практике статьи часто идут вместе. Человек написал программу, запустил её против чужого сервера и скопировал базу. Написал и запустил, это статья 273, скопировал базу, это статья 272. Обвинение предъявляет оба состава, и спор идёт уже о том, не вменяют ли одно и то же дважды.

Рядом стоят ещё две нормы. Статья 274.1 УК РФ отвечает за критическую информационную инфраструктуру, и программы, заведомо предназначенные для воздействия на неё, идут по ней, а не по статье 273. Часть 6 статьи 272.1 УК РФ наказывает создание ресурсов для незаконного оборота персональных данных, то есть площадок, а не инструментов.

Когда вместо статьи 273 вменяют мошенничество по статье 159.6

Статья 159.6 УК РФ наказывает хищение чужого имущества или приобретение права на него путём ввода, удаления, блокирования, модификации компьютерной информации либо иного вмешательства в работу средств её обработки и сетей. Ключевое слово здесь хищение: норма защищает имущество, а не данные.

1. Программа написана, но денег никто не терялРаботает только статья 273. Хищения нет, значит нет и предмета мошенничества.
2. Через программу списали деньги со счётаПоявляется статья 159.6. Само создание и использование программы при этом не растворяется, и следствие обычно предъявляет совокупность.
3. Программу продали, а применял её покупательПродавцу вменяют распространение по статье 273, покупателю добавляют то, что он сделал дальше. Корыстная заинтересованность продавца при этом переводит его деяние в часть 2.
4. Обманули человека, а программа была ни при чёмЕсли деньги перевели добровольно после разговора по телефону, это обычное мошенничество по статье 159 УК РФ. Вмешательства в компьютерную информацию там нет.

Разница видна и в наказании. Верхняя планка статьи 159.6 доходит до десяти лет лишения свободы по части 4, а в базовом составе назван арест до четырёх месяцев, который не назначается, и строже всего там принудительные работы до двух лет. Поэтому спор о квалификации в этих делах идёт всерьёз и стоит подсудимому реальных лет, а ведёт его юрист по делам о мошенничестве.

Чем рискует разработчик, тестировщик и исследователь безопасности

Это самая болезненная часть статьи. Норма написана так, что под неё попадает не только автор шифровальщика, но и специалист, который пишет тот же код в учебных или исследовательских целях. Отдельного исключения для науки, обучения и проверки защищённости в статье 273 нет.

Довод «я исследователь» сам по себе не работает по двум причинам. Первая: норма привязывает состав к назначению программы, а не к намерениям автора. Вторая: цель не входит в число обязательных признаков части 1, поэтому её отсутствие состава не убирает.

1. Работайте только внутри письменного периметраДоговор или заявка на тестирование с перечнем систем, адресов, сроков и допустимых действий. Устное «посмотри, что у нас с безопасностью» через полгода конфликта не доказывается ничем.
2. Не выносите рабочий инструмент за пределы стендаПока код лежит в изолированной лаборатории, речь идёт о создании. Как только он ушёл коллеге в мессенджер или в публичный репозиторий, добавляется распространение, а это самостоятельное деяние.
3. Проверьте, что именно вы публикуетеРазбор уязвимости с описанием механики и готовый работающий инструмент оцениваются по-разному. Второе следствие видит как распространение, и спорить об этом придётся через экспертизу.
4. Не подтверждайте находку выгруженными даннымиСкриншот интерфейса показывает уязвимость не хуже, а выгрузка базы добавляет к делу копирование информации и статью 272 УК РФ.
5. Держите отдельную учётную запись и отдельную машинуПри изъятии техники исследуется всё устройство целиком. Смешанные личные и рабочие материалы на одном ноутбуке превращают понятную задачу в спор о том, что здесь чьё.
6. Помните про служебное положениеДля штатного администратора и специалиста по безопасности та же самая программа означает часть 2 статьи 273, потому что использование служебного положения стоит там квалифицирующим признаком.

Что делать, если по статье 273 пришли с обыском

Что делать компании, если по её сети пустили вредоносную программу

1. Сохраните следы до восстановления системОбразы дисков, журналы событий, сетевые логи, письма с вложением. Восстановление из резервной копии часто стирает всё, на чём потом строится дело.
2. Зафиксируйте, что случилось с даннымиЧто зашифровано, что удалено, что изменено, что выгрузили наружу. Для статьи 273 это не обязательный признак, но именно от этого зависит, пойдёт ли рядом статья 272 и какая часть будет вменена.
3. Посчитайте ущерб по документамПростой, работа привлечённых специалистов, восстановление, закупка оборудования, договорные санкции перед клиентами. Сумма свыше одного миллиона рублей переводит деяние в часть 2 статьи 273.
4. Подайте заявление в полициюЗаявление принимают в дежурной части любого отдела, отказать в приёме не вправе. Просите талон-уведомление и приложите к заявлению техническое описание события и расчёт ущерба.
5. Проверьте собственную сторонуЕсли инцидент случился из-за нарушения правил эксплуатации системы своим же работником, рядом появляется статья 274 УК РФ. Она адресована как раз тем, кто отвечал за систему изнутри.
6. Не расплачивайтесь молчаПеревод выкупа данные не возвращает, а следы теряет. К инциденту добавляются ещё и вопросы о происхождении денег.

Рядом с уголовной ответственностью есть и административная, но она про другое. Статьи 13.12 и 13.13 КоАП РФ наказывают нарушение правил защиты информации и работу без лицензии в этой области, статья 13.14 КоАП РФ отвечает за разглашение информации с ограниченным доступом. Статью 273 они не заменяют: там речь о порядке работы с защитой, а не об инструменте для взлома, и разбирают такие материалы как дело об административном правонарушении.

Образцы документов по делу о вредоносной программе

Часто задаваемые вопросы

Опытный адвокат по уголовным делам

Проведёт консультацию и защитит ваши интересы.

Получить консультацию

Полина Недашковскаяюрист Амулекс