Käytiin tuossa aamukahvilla kollegan kanssa väittelyä tällaisesta aiheesta:
Oletetaan, että jossain on nettisaitti, jossa on maksullista sisältöä. Nettisaitilla on kuukausimaksu, jonka jälkeen saitin sisältö on vapaasti selattavissa ja käytettävissä.
Jos yritän arvata jonkun henkilön käyttäjätunnuksen ja salasanan, syyllistyn tietomurron yritykseen. Jos arvaus osuu oikeaan, syyllistyn tietomurtoon. Tästä oltiin yhtä mieltä.
Erimielisyyttä tuli siitä, onko netissä julkaistujen käyttäjätunnusten ja salasanojen käyttäminen tietomurto vaiko eikö. Jos siis löydän netistä käyttäjätunnuksen ja salasanan, joilla pääsee esimerkiksi Helsingin Sanomien maksulliseen osuuteen, syyllistynkö tietomurtoon näitä tunnuksia käyttäessäni?
Oletetaan, että jossain on nettisaitti, jossa on maksullista sisältöä. Nettisaitilla on kuukausimaksu, jonka jälkeen saitin sisältö on vapaasti selattavissa ja käytettävissä.
Jos yritän arvata jonkun henkilön käyttäjätunnuksen ja salasanan, syyllistyn tietomurron yritykseen. Jos arvaus osuu oikeaan, syyllistyn tietomurtoon. Tästä oltiin yhtä mieltä.
Erimielisyyttä tuli siitä, onko netissä julkaistujen käyttäjätunnusten ja salasanojen käyttäminen tietomurto vaiko eikö. Jos siis löydän netistä käyttäjätunnuksen ja salasanan, joilla pääsee esimerkiksi Helsingin Sanomien maksulliseen osuuteen, syyllistynkö tietomurtoon näitä tunnuksia käyttäessäni?
Vastaukset 11
Vanhimmat
Rikosnimikkeistä ei ole tietoa, mutta varmaa on että kyse on aina rikoksesta jos tekoon ei ole tosiasiallista oikeutta. On aivan yhdentekevää mistä saat tunnukset. Jos sinulla ei ole oikeutta tunnuksia käyttää, kyseessä on rikos jos tunnuksia käytät. Tunnukset voivat olla vaikka automaattisesti täyttyvät tai tietokoneeseen liitettyyn post-it lappuun kirjoitetut, mutta niiden oikeudeton käyttäminen on rikos.
Jos löydät minun kodin avaimen jossa on osoite tai minun auton avaimet jossa on rekisterinumero niin onko sinulla oikeus käyttää kotiani tai autoani? Ei.
"Rikosnimikkeistä ei ole tietoa, mutta varmaa on että kyse on aina rikoksesta jos tekoon ei ole tosiasiallista oikeutta. On aivan yhdentekevää mistä saat tunnukset. Jos sinulla ei ole oikeutta tunnuksia käyttää, kyseessä on rikos jos tunnuksia käytät."
Mutta entä jos joku on laittanut tunnuksensa nettiin sitä varten, että niitä saa käyttää? Tai joku, joka on saanut ne vääryydellä tietoonsa, on laittanut ne nettiin, ja sanoo, että käyttäkää vapaasti. Eihän satunnainen nettisurffari voi tietää, onko tunnusten luovuttaja oikeasti niiden omistaja.
Löydän netistä tiedon, että sivulle www.sivu.com pääsee tunnuksella admin ja salasanalla 123. Jos menen näille sivuille kyseisillä tunnuksilla, en mielestäni tee rikosta, koska vielällä salasanansa nettiin, joku on antanut halukkaille luvan käyttää omaa tunnustaan. Minä en voi tietää, onko tunnusten julkaisija niiden laillinen omistaja, tai onko tunnusten paljastaminen www.sivu.comin sääntöjen mukaista, mutta eipä näillä seikolla ole mitään merkitystä.
Tietomurto rikosnimikkeenä edellyttää sitä, että henkilö TIETÄÄ olevansa menossa saitille ilman lupaa. Netistä saaduilla käyttäjätunnuksilla saitille menevä EI TIEDÄ, tekeekö hän jotain luvatonta vai eikö. Ehkä tunnuksia jakanut hekilö on www.sivu.comin ylläpitäjä, joka haluaa vierailijoita sivuilleen. Ehkä tunnuksien luovuttaminen eteenpäin on luvallista.
Mielestäni mitään rikosta ei siis tapahtu, mikäli netistä löytämillään salasanoilla pääsee jollekin sivulle.
I rest my case.
Ben.
Rikoslaki määrittelee tietomurron seuraavasti:
Joka käyttämällä hänelle kuulumatonta käyttäjätunnusta taikka turvajärjestelyn muuten murtamalla oikeudettomasti tunkeutuu tietojärjestelmään, jossa sähköisesti tai muulla vastaavalla teknisellä keinolla käsitellään, varastoidaan tai siirretään tietoja, taikka sellaisen järjestelmän erikseen suojattuun osaan, on tuomittava tietomurrosta sakkoon tai vankeuteen enintään yhdeksi vuodeksi.
Tietomurrosta tuomitaan myös se, joka tietojärjestelmään tai sen osaan tunkeutumatta teknisen erikoislaitteen avulla oikeudettomasti ottaa selon 1 momentissa tarkoitetussa tietojärjestelmässä olevasta tiedosta.
Yritys on rangaistava.
Rikoslakiuudistusta käsitelleen hallituksen esityksen mukaan:
"Jos tunnuksen 'lainaaminen' ja sen avulla pääsyn hankkiminen suojattuihin tietoihin olisi tapahtunut tunnuksen oikean haltijan luvalla, tunkeutumista ei voitaisi pitää oikeudettomana, vaan tilannetta olisi arvosteltava samoin kuin toisen nimen kirjoittamista asiakirjaan tämän luvalla."
Siten maksullisen nettisaitin käyttäminen toisen käyttäjän suostumuksella ja hänen antamallaan tunnuksella ei täytä tietomurron tunnusmerkistöä.
Tunnusten jakelija syyllistyy siinä kyllä todennäköisesti muuhun laittomuuteen ja sama voi koskea sitä lainaajaakin.
"Siten maksullisen nettisaitin käyttäminen toisen käyttäjän suostumuksella ja hänen antamallaan tunnuksella ei täytä tietomurron tunnusmerkistöä."
Mutta lainaajahan ei välttämättä tiedä, onko henkilö, joka tunnukset antaa, niiden oikea omistaja. Kuitenkin voidaan lähteä siitä, että tunnus ja salasana ovat vain oikean käyttäjän tiedossa, joten lainaaja voi olettaa, että tunnusten antaja on todella myös niiden omistaja.
"Tunnusten jakelija syyllistyy siinä kyllä todennäköisesti muuhun laittomuuteen ja sama voi koskea sitä lainaajaakin."
En usko. Tunnusten jakelija voi syyllistyä sopimusrikkomukseen (...siis jos kyseinen saitti nimenomaisesti kieltää tunnusten jakelemisen), mutta tuskin hän mitään lakia siinä rikkoo. Lainaajan osalta taas on melko vaikea osoittaa mitään rikosta tai rikkomusta, koska hän ei missään vaiheessa ole mitään sivuston käyttösopimusta edes nähnyt/hyväksynyt. Näin ollen hänen ja nettisivuston välillä ei ole mitään sopimusta, jota hän voisi edes rikkoa (...tämä siis esimerkiksi siinä tilanteessa, että sopimusteksti kieltää lainatuilla tunnuksilla sivustolle tulemisen).
Tunnusten käyttäjän on kohtuullisella varmuudella varmistettava, että niiden lainaaja on niiden omistaja. Samahan koskee muutakin lainaamista. Ei käyttäjä voi olla välinpitämätön sen suhteen onko lainaksi antajalla oikeus lainata niitä.
"Tunnusten käyttäjän on kohtuullisella varmuudella varmistettava, että niiden lainaaja on niiden omistaja."
Mitenkäs tuo käytännössä onnistuu? Jos luet jostain nettisaitilta, että jollekin sivulle pääsee tietyillä tunnuksilla, niin miten voit selvittää, onko viestin kirjoittaja sivujaan mainostava ylläpitäjä, tunnuksien omistaja, jolla on oikeus jakaa tunnuksia, vai ilkeämielinen hakkeri, joka on saanut tunnukset tietoonsa? Et millään.
Lainattuja tunnuksia käyttävä voi mielestäni tehdä seuraavat oletukset:
1. tunnusten oikea omistaja on ainoa, joka tietää tunnuksen ja salasanan.
2. mikäli tunnusten omistaja on laittanut tunnuksensa nettiin, hän antaa kenelle tahansa luvan käyttää niitä.
3. mikäli tunnusten takaa löytyvä nettisivu päättää jakaa jotain sanktioita, ne kohdistuvat pelkästään tunnusten oikeaan omistajaan (...esim. tunnusten poistaminen).
4. lainattujen tunnusten käyttäminen ei ole tietomurto, eikä mikään muukaan rikos/rikkomus, koska tunnusten omistaja on omat tunnuksensa julkaissut. Esimerkiksi tietomurto määritellään lakitekstissä näin:
"joka käyttämällä hänelle kuulumatonta käyttäjätunnusta taikka turvajärjestelyn muuten murtamalla oikeudettomasti tunkeutuu tietojärjestelmään"
Mikäli tunnusten omistaja on antanut tunnuksensa yleiseen käyttöön, ei lainaaja käytä "hänelle kuulumatonta käyttäjätunnusta".
5. mikäli tunnukset jakoon laittanut henkilö on hakkeri, tai oikeiden tunnusten omistajan ilkeä naapuri, tai muuten vaan tunnukset vääryydellä haltuunsa saanut hekilö, tutkitaan sitä, olisiko lainaajan pitänyt tietää, etteivät tunnukset kuulu oikeasti ne jakoon laittaneelle henkilölle. Jos tunnukset ovat esimerkiksi löytyneet nettisivulta www.varastettujasalasanoja.com, niin syyte tietomurrosta voi napsahtaa. Jos tunnukset ottaa käyttöön vilpittömässä mielessä, rikoksen tunnusmerkistö ei täyty.
Jos et tiedä, niin et käytä. Homma on näin yksinkertaista. Tietenkin vain kohtuullista varmuutta edellytetään, ei absoluuttista.
Sinulle tuntematon henkilö X sanoo nettifoorumilla, että tulkaa katsomaan hänen lomakuviaan osoitteeseen www.henkilöX.fi/lomakuvat. Tunnus on "Admin" ja salasana "123". Saatko mennä katsomaan kuvia?
Sinulle tuntematon henkilö X sanoo, että hän on ostanut kuukauden käyttöaikaa maksulliselta nettisaitilta www.maksullinensaitti.com. X sanoo, että käykää katsomassa saittia jos siltä tuntuu, tunnus on "henkiloX" ja salasana "123". Saatko mennä saitille?
Molemmissa tapauksissa saat. Voit olettaa, että koska käyttäjätunnus ja salasana ovat tiedossa, henkilö on niiden oikea omistaja (...tämän saman olettamuksenhan tekevät myös ne nettisaitit -> mikäli tunnus ja salasana on tiedossa, nettisaitti olettaa, että henkilö on niiden omistaja, ja päästää läpi tunnusten kyselystä).
Käyttämällä lainattuja tunnuksia et riko nettisaitin kanssa tehtyä käyttösopimusta, koska sinun kanssasihan sellaista ei ole edes tehty.
Ja käyttämällä lainattuja tunnuksia et myöskään tee tietomurtoa, sillä tietomurrossa sinulla pitäisi olla käytössä sinulle kuulumattomat tunnukset -> koska voit olettaa, että tunnusten antaja on niiden oikea omistaja, sinulla ei ole sinulle kuulumattomia tunnuksia käytössäsi, vaan olet ihan laillisesti saitilla.
Olet turvassa myös siinä tapauksessa, että tunnusten antaja osoittautuu hakkeriksi. Koska sinulla ei ollut mitään syytä epäillä tunnusten lainaajan vilpittömyyttä, ei sinua myöskään voida syyttää esimerkiksi tietomurrosta.
Miksi luottaisit tuossa tuntemattomaan henkilöön?
Netissä ei voi tuntea kaikkia, joiden kanssa on tekemisissä. Täytyy vain luottaa omaan arvostelukykyyn. Jos joku haluaa antaa tunnuksensa jonkun toisen käyttöön, niin mikäs siinä. Jos hän tietää tunnuksen ja salasanan, niin hän luultavasti on niiden oikea omistaja. Kuten sanottu, tuon tunnus salasana -yhdistelmän avullahan ne maksulliset sivustotkin varmistuvat henkilön olevan oikealla asialla.