Przelew wykonany przez system, zmieniony zapis w bazie klientów albo zakup rozliczony przez kasę samoobsługową mogą prowadzić do odpowiedzialności karnej, nawet gdy nikt nie został bezpośrednio wprowadzony w błąd. Skrót 287 kk odnosi się do przepisu o oszustwie komputerowym, który obejmuje bezprawne ingerowanie w automatyczne przetwarzanie danych. Wyjaśniam, jakie zachowania wchodzą w grę, jakie grożą kary i co zrobić po stwierdzeniu takiego incydentu.
Najważniejsze informacje o oszustwie komputerowym
- Art. 287 k.k. dotyczy bezuprawnionej ingerencji w automatyczne przetwarzanie, gromadzenie lub przekazywanie danych.
- Sprawca musi działać w celu osiągnięcia korzyści majątkowej albo wyrządzenia innej osobie szkody.
- Podstawowa kara wynosi od 3 miesięcy do 5 lat pozbawienia wolności.
- Do popełnienia czynu nie zawsze musi dojść do faktycznej wypłaty pieniędzy lub powstania szkody.
- Oszustwo komputerowe różni się od klasycznego oszustwa tym, że atak jest skierowany przede wszystkim na system i dane, a nie na człowieka.
Co dokładnie obejmuje art. 287 k.k.
Przepis penalizuje dwa zasadnicze rodzaje zachowania. Pierwszy polega na bezuprawnionym wpływaniu na automatyczne przetwarzanie, gromadzenie lub przekazywanie danych informatycznych. Drugi obejmuje zmianę, usunięcie albo wprowadzenie nowego zapisu danych.
Nie chodzi więc o każdy błąd w systemie ani o zwykłe naruszenie regulaminu. Znaczenie ma to, czy działanie było podjęte bez upoważnienia i czy sprawca chciał uzyskać korzyść majątkową albo wyrządzić komuś szkodę. W praktyce ocenia się między innymi zakres posiadanych uprawnień, sposób użycia konta, rodzaj zmienionych danych oraz cel działania.
Odpowiedzialność może powstać już w chwili dokonania bezprawnej ingerencji. Nie trzeba udowadniać, że pieniądze rzeczywiście trafiły do sprawcy albo że szkoda osiągnęła określoną wartość. Cel działania jest tu ważniejszy niż końcowy rezultat operacji.
Jakie zachowania mogą wypełniać znamiona przestępstwa
Najprostszy przykład to zmiana danych w systemie bankowym w taki sposób, aby automatycznie zlecił przelew na rachunek sprawcy lub innej wskazanej osoby. Podobnie może zostać ocenione wprowadzenie do systemu fikcyjnego rachunku, dopisanie dodatkowej kwoty wynagrodzenia albo usunięcie informacji o zadłużeniu.
W realiach cyfrowej sprzedaży znaczenie mogą mieć także manipulacje przy kasach samoobsługowych. Zarejestrowanie tańszego produktu, gdy klient zabiera droższy, może być analizowane jako ingerencja w automatyczny proces rozliczenia. Ostateczna kwalifikacja zależy jednak od sposobu działania, zakresu zamiaru i ustaleń dowodowych.
Do tej kategorii mogą należeć również działania polegające na zmianie programu, skryptu albo konfiguracji systemu w celu wykonywania dodatkowych operacji finansowych. Samo posiadanie wiedzy technicznej nie jest przestępstwem. Problem zaczyna się wtedy, gdy ktoś wykorzystuje ją poza zakresem udzielonego upoważnienia.
Brak zgody ma praktyczne znaczenie
Osoba mająca dostęp administracyjny nie otrzymuje automatycznie prawa do dowolnego modyfikowania danych. Z drugiej strony nie każde działanie wykraczające poza oczekiwania pracodawcy od razu wyczerpuje znamiona czynu. Trzeba ustalić, czy sprawca rzeczywiście nie miał uprawnienia do konkretnej operacji, a nie tylko czy jego zachowanie było niepożądane.
To rozróżnienie jest szczególnie istotne w sporach między firmą a informatykiem, administratorem lub wykonawcą usługi. Konflikt umowny, niewłaściwe wykonanie zlecenia albo spór o sposób pozycjonowania strony internetowej nie zawsze powinien być przenoszony na grunt prawa karnego.
Czego nie należy automatycznie kwalifikować z tego przepisu
Oszustwo komputerowe nie jest po prostu nazwą dla każdego oszustwa popełnionego przy użyciu internetu. Jeżeli sprawca wysyła wiadomość phishingową, przekonuje ofiarę do podania kodu i następnie nakłania ją do wykonania przelewu, ocena prawna może opierać się na klasycznym oszustwie, a także na innych przepisach. Sam fakt użycia telefonu, aplikacji lub poczty elektronicznej nie przesądza o zastosowaniu art. 287 k.k.
Najważniejsze pytanie brzmi, czy sprawca zmanipulował człowieka, czy automatyczny proces. W klasycznym oszustwie z art. 286 k.k. pokrzywdzony podejmuje niekorzystną decyzję pod wpływem błędu. Przy oszustwie komputerowym bezprawna ingerencja może odbywać się bez wprowadzania kogokolwiek w błąd.
| Rodzaj zachowania | Typowy punkt ciężkości | Przykładowa kwalifikacja |
|---|---|---|
| Manipulowanie pracownikiem lub klientem | Wprowadzenie człowieka w błąd | Art. 286 k.k. |
| Zmiana danych lub automatycznej operacji | Wpływ na system informatyczny | Art. 287 k.k. |
| Nieuprawnione uzyskanie dostępu | Przełamanie lub ominięcie zabezpieczeń | Możliwe zastosowanie art. 267 k.k. |
| Usunięcie albo uszkodzenie danych | Naruszenie dostępności lub integralności informacji | Możliwe zastosowanie art. 268a k.k. |
W jednej sprawie może pojawić się kilka przepisów jednocześnie. Przykładowo włamanie do systemu, zmiana danych i przejęcie pieniędzy mogą wymagać oceny zarówno sposobu uzyskania dostępu, jak i późniejszej ingerencji w operacje finansowe. O kwalifikacji decydują szczegóły, a nie samo określenie „cyberprzestępstwo”.
Jakie kary grożą za oszustwo komputerowe
Za typ podstawowy czynu przewidziano karę pozbawienia wolności od 3 miesięcy do 5 lat. Sąd nie wymierza jej automatycznie w maksymalnym wymiarze. Znaczenie mają między innymi rozmiar zagrożenia, sposób działania, motywacja, wcześniejsza karalność, czas trwania procederu i zachowanie sprawcy po zdarzeniu.
| Wariant czynu | Możliwe konsekwencje |
|---|---|
| Typ podstawowy | Pozbawienie wolności od 3 miesięcy do 5 lat |
| Wypadek mniejszej wagi | Grzywna, ograniczenie wolności albo pozbawienie wolności do roku |
| Szkoda na rzecz osoby najbliższej | Ściganie następuje na wniosek pokrzywdzonego |
Poza karą sąd może orzec obowiązek naprawienia szkody, zwrot korzyści albo inne środki przewidziane w prawie karnym. Przy poważnych sprawach, zwłaszcza dotyczących znacznej wartości mienia, może pojawić się surowsza kwalifikacja. Wysoka strata nie wystarcza jednak sama w sobie. Trzeba ją powiązać z konkretnym przedmiotem czynu i ustalonym sposobem działania.
Jeżeli sprawca rozpoczął realizację zamiaru, lecz operacja nie doszła do skutku, w grę może wchodzić usiłowanie. Przykładem jest próba wykonania płatności z użyciem zastrzeżonej karty albo próba wprowadzenia zmiany w systemie, którą blokuje zabezpieczenie.
Jak organy ścigania odtwarzają przebieg zdarzenia
W takich sprawach sam zrzut ekranu zwykle nie wystarcza. Policja, prokuratura i biegli mogą analizować logowania, historię zmian, adresy IP, identyfikatory urządzeń, dane z serwerów, historię transakcji oraz korespondencję. Ważne bywa także ustalenie, kto miał dostęp do konkretnego konta i czy dostęp ten został wykorzystany w zwykły, czy nietypowy sposób.
Dowód cyfrowy powinien zachować metadane i ciągłość zabezpieczenia. Dlatego nie zalecam samodzielnego kasowania plików, reinstalowania systemu ani wielokrotnego logowania na zaatakowane konto. Takie działania mogą zatrzeć ślady, które później pozwoliłyby połączyć operację z konkretnym urządzeniem lub osobą.
Przeczytaj również: Praca zdalna czy to oszustwo? Jak rozpoznać fałszywe oferty
Co powinien zrobić pokrzywdzony
- Natychmiast skontaktować się z bankiem i zablokować rachunek, kartę lub dostęp do bankowości elektronicznej.
- Zabezpieczyć wiadomości, potwierdzenia transakcji, numery rachunków, adresy stron i informacje o czasie zdarzenia.
- Nie usuwać podejrzanych wiadomości ani nie resetować urządzenia przed wykonaniem kopii dowodowej.
- Złożyć zawiadomienie na Policji lub w prokuraturze, opisując chronologicznie zdarzenie i wskazując możliwe dowody.
- W przypadku większej szkody rozważyć konsultację z adwokatem lub radcą prawnym zajmującym się sprawami karnymi i dowodami cyfrowymi.
Liczy się szybkość, szczególnie przy przelewach i przejętych kontach. Pierwsze godziny mogą zdecydować o możliwości zablokowania środków, uzyskania danych od banku albo zabezpieczenia logów, które po czasie są trudniejsze do odtworzenia.
Co naprawdę przesądza o odpowiedzialności
Największe znaczenie mają trzy elementy: brak upoważnienia, sposób ingerencji i cel działania. Samo powstanie szkody nie zastępuje dowodu, że oskarżony bezprawnie wpłynął na dane lub automatyczny proces. Również sam fakt posiadania loginu nie dowodzi, że dana osoba wykonała konkretną operację.
W mojej ocenie najczęstszy błąd polega na utożsamianiu każdego incydentu informatycznego z oszustwem komputerowym. Dobra analiza zaczyna się od odtworzenia przepływu danych i uprawnień, a dopiero później przechodzi do wyboru przepisu. Taka kolejność ogranicza ryzyko zarówno zbyt pochopnego oskarżenia, jak i przeoczenia poważnego naruszenia.
Jak czytać ten przepis bez uproszczeń
Art. 287 k.k. chroni nie tylko pieniądze, lecz także wiarygodność automatycznych procesów i danych, na których opierają się banki, sklepy, urzędy oraz przedsiębiorstwa. Nie każda awaria jest przestępstwem, ale celowa i bezuprawniona manipulacja może zostać uznana za czyn karalny nawet wtedy, gdy system ostatecznie zablokował operację.
Jeżeli doszło do podejrzanej zmiany danych, najbezpieczniej szybko zabezpieczyć ślady, ograniczyć dalszy dostęp do systemu i zgłosić sprawę właściwym organom. W sprawach o oszustwo komputerowe technika jest ważna, ale o wyniku często decydują także pozornie proste kwestie, takie jak zakres upoważnienia, czas operacji i kompletność dokumentacji.
