Dostęp do systemu, dane i podszywanie się

Urządzenia zabrane, hasła wymagane, dostęp odcięty: decyzje w godzinach po wizycie policji

Gdy policja zabiera telefon, laptop albo dysk, najpilniejsze pytanie brzmi, co z hasłami. Wydanie hasła jest decyzją, która ma swoją cenę w każdą stronę. Podanie kodu przyspiesza oględziny, ale oddaje organom całą zawartość urządzenia, także rzeczy niezwiązane ze sprawą: rodzinne rozmowy, dane innych klientów, dokumentację, która jest objęta tajemnicą. Odmowa nie jest przyznaniem się do winy, ale może sprawić, że urządzenie pozostanie zajęte dłużej, a dostęp do danych uzyskają specjaliści techniczni inną drogą.

Kolejna decyzja dotyczy oświadczeń. Osoba, która uważa, że miała prawo wejść do systemu, chce to wytłumaczyć od razu: „przecież miałem hasło”. Ale zdanie wypowiedziane bez dokumentów, w stresie i bez tłumacza zostaje w protokole, a sprawa często dotyczy nie tego, czy hasło działało, tylko czy uprawnienie jeszcze istniało. Wyjaśnienie warto przygotować na piśmie, z dowodami, po rozmowie z obrońcą.

Wreszcie decyzja pracownicza: czy zostać w firmie, czy się zwolnić. Rezygnacja w pośpiechu może wyglądać jak ucieczka, a pozostanie w pracy może narażać na kolejne zarzuty, jeśli dostęp do systemów trwa. Najbezpieczniej poprosić na piśmie o zawieszenie uprawnień do czasu wyjaśnienia, zamiast logować się, żeby „sprawdzić, co się stało”. Każde nowe wejście zostawia ślad w logach i bywa odczytywane jako kolejny dostęp bez uprawnienia.

Warto, aby decyzje podejmować w kolejności od odwracalnych do nieodwracalnych: najpierw zadać pytania, potem zbierać dokumenty, a dopiero na końcu składać oświadczenia. Odwrotna kolejność zamyka drogi, które z początku były otwarte.

Informatyk po rozstaniu z firmą, partner z cudzym hasłem, pracownik z bazą klientów

Do tej strony trafiają osoby, które nie uważają się za przestępców. Informatyk, któremu skończyła się umowa, nadal ma w telefonie zalogowane konto administratora i zagląda tam „tylko po to, żeby przekazać dokumentację”. Później dostaje wezwanie, bo dawny pracodawca zobaczył w dziennikach systemu logowania, o których zapomniał.

Inna sytuacja: partnerzy dzielili hasło do poczty albo do konta w mediach społecznościowych. Po rozstaniu któreś z nich dalej tam wchodzi, by przeczytać wiadomości, zobaczyć zdjęcia, zorientować się, co się dzieje. Dla takiej osoby to dalszy ciąg wspólnego życia; dla osoby, której konto czytano, to wejście bez zgody. Sprawa zaczyna się od zawiadomienia, a nie od włamania.

Jeszcze inna: pracownik handlowy, który przechodzi do konkurencji, wysyła sobie na prywatny adres listę klientów i cenniki „na wszelki wypadek”. Pracodawca odkrywa to dopiero w trakcie audytu. Wreszcie firma, której pracownicy pobierają dane z systemów kontrahentów w sposób, który kiedyś był tolerowany, a dziś jest zgłoszony przez nowego administratora. Wspólne dla tych osób jest to, że nie ukrywały się, bo nie sądziły, że robią coś niedozwolonego.

Zdarza się też, że o sprawie dowiaduje się osoba, która w ogóle nie jest podejrzana: właściciel małej firmy, któremu pracownik wykorzystał konto do czegoś, o czym szef nie wiedział, albo rodzic, którego dziecko zalogowało się do szkolnego systemu cudzym hasłem. Reakcja jest zwykle taka sama: nie rozumiem, co tu jest przestępstwem, skoro nic nie zniszczyłem i niczego nie ukradłem. Ta strona wyjaśnia, dlaczego włoskie przepisy patrzą na sam dostęp, a nie tylko na szkodę.

Co zmienia się w życiu zawodowym i prywatnym po takim zarzucie

Najwcześniejsza zmiana dotyczy dostępu: konto firmowe zostaje zablokowane, urządzenia są odebrane, a pracodawca żąda zwrotu danych. Jeśli osoba pracuje w zawodzie zależnym od zaufania, jak księgowość, obsługa płatności, administracja systemami czy sektor finansowy, samo toczące się postępowanie wystarcza, by nikt nie chciał jej zatrudnić. Referencje przestają przychodzić, a rekruterzy sprawdzają informacje w sieci.

Zajęty sprzęt oznacza utratę pracy zdalnej. Wiele osób nie ma zapasowego laptopa, więc przez cały czas oględzin nie mogą wykonywać zleceń. Zdjęcia rodzinne, dokumenty podatkowe i kontakty zostają w urządzeniu, do którego nie ma dostępu. Warto mieć kopie zapasowe, ale kopie zrobione po wizycie policji mogą być odczytane jako ingerencja, dlatego najpierw trzeba zapytać obrońcę.

Konsekwencje dotykają też finansów: bank może zablokować rachunki powiązane z podejrzanymi operacjami, a firmowa polisa przestaje obejmować osobę objętą postępowaniem. Dla pracownika zagranicznego dodatkowym kłopotem jest świadomość, że postępowanie karne wpływa na sprawy pobytowe i na odnowienie umów; trzeba więc od początku prowadzić rozmowy z pracodawcą na piśmie. W rodzinie ważne jest, kto wie o sprawie i w jakim zakresie, bo nieostrożna rozmowa w gronie znajomych wraca do pracodawcy.

W sprawach tego rodzaju częstą trudnością jest brak oficjalnej informacji. Pracownik dowiaduje się o postępowaniu z zablokowanego konta albo od kolegów, a pismo od organów dociera później. Do tego czasu trzeba samemu zadbać o dokumenty i o spokój w rozmowach z klientami, którzy zadają pytania.

Czego nie robi osoba podejrzana o dostęp do systemu

Zachowania z godzin po zdarzeniu często ważą więcej niż samo zdarzenie. Oto lista tego, czego lepiej nie robić, razem z powodem.

• Nie czyści urządzeń, nie kasuje wiadomości i nie resetuje telefonu. Ślady usunięcia da się odtworzyć i wyglądają gorzej niż treść.
• Nie loguje się ponownie do spornego systemu „na próbę” ani po to, by sprawdzić, czy dostęp jeszcze działa. Każde wejście to kolejny wpis w logach.
• Nie przesyła danych na prywatną pocztę ani do chmury, nawet jako zabezpieczenie własnych dowodów. To najczęściej wzmacnia zarzut.
• Nie rozmawia o sprawie na firmowych komunikatorach; rozmowy są archiwizowane i dostępne dla administratora.
• Nie kontaktuje się z byłym pracodawcą, żeby „załatwić to po cichu”, bo wiadomość może zostać złożona do akt.
• Nie zmienia haseł do cudzych kont ani nie próbuje zablokować dostępu osobie, do której konto należy.
• Nie podpisuje oświadczeń o zwrocie danych, nie przeczytawszy ich w całości; mogą zawierać przyznanie.
• Nie usuwa wpisów w systemach zgłoszeń, w repozytoriach kodu ani w dokumentach współdzielonych. Historia zmian zostaje, a kasowanie jest widoczne.
• Nie zgadza się na „wewnętrzne wyjaśnienie” z przełożonymi bez obrońcy; notatki z takich rozmów trafiają później do zawiadomienia.
• Nie kontaktuje się z klientami, którzy mogą być pokrzywdzeni, aby ich uspokajać; taki kontakt może zostać odczytany jako wpływanie na sprawę.
• Nie podaje haseł osobom, które dzwonią i podają się za organy lub za dział informatyczny; w trakcie sprawy zdarzają się próby wyłudzenia dostępu.

Co zebrać, żeby wykazać, że uprawnienie istniało albo że sprawa nie dotyczy danych

Dowody w sprawach informatycznych są często po stronie samego zainteresowanego, tylko trzeba je znaleźć, zanim znikną.

• Umowa o pracę lub o współpracę, regulamin korzystania z urządzeń i systemów oraz każdy dokument, który określa, do czego miał dostęp.
• Korespondencja, w której przełożony polecał wykonywanie czynności w systemie lub zgadzał się na kopiowanie plików.
• Protokół przekazania obowiązków i sprzętu; jeśli go nie ma, e-mail, w którym przekazano hasła i dostępy.
• Lista kont, urządzeń i usług chmurowych używanych w pracy, razem z datą wyłączenia dostępu, jeśli ją znasz.
• Kopie zapasowe, które zostały zrobione w zwykłym trybie przed zdarzeniem, z datami.
• Opis zdarzeń w kolejności czasowej, spisany dla obrońcy, bez pomijania niewygodnych elementów.
• Dane osób, które mogą potwierdzić zakres uprawnień: współpracownicy, dawni przełożeni, administratorzy.
• Zestawienie wszystkich haseł, tokenów i kluczy, jakie miało się w pracy, bez ujawniania ich w wiadomości; potrzebna jest tylko lista, które dostępy istniały.
• Wydruk lub zrzut ekranu ustawień konta, które pokazują, kiedy i przez kogo uprawnienia były nadawane i odbierane.
• Wiadomości od działu informatycznego o zmianie haseł lub wyłączeniu kont, jeśli takie otrzymano, razem z datami.
• Opis, jakie pliki rzeczywiście zabrano lub skopiowano, wraz z uzasadnieniem, po co; ta informacja musi być szczera i trafić tylko do obrońcy.
• Dane kontaktowe osoby, która zna system od strony technicznej i może spokojnie opisać jego działanie.

Serwer w chmurze, pracodawca w Polsce, pracownik we Włoszech

Sprawy informatyczne rzadko mieszczą się w granicach pojedynczego państwa. Dane znajdują się w chmurze, której serwery stoją gdzie indziej, firma ma biuro w Polsce i we Włoszech, a pracownik loguje się z domu, z hotelu, z samolotu. Gdy pojawia się zarzut, organy mogą zwracać się do kolegów w innym kraju, a wymiana informacji o logowaniach zajmuje czas. Dla zainteresowanego znaczy to, że materiał dowodowy powstaje także poza Włochami i nie zawsze jest widoczny w aktach od razu.

Dokumenty pracownicze, regulaminy i korespondencja z polskim przełożonym trzeba przetłumaczyć przysięgle, a regulamin z innego kraju bywa interpretowany inaczej niż włoski. Warto zebrać także dowody dotyczące polityki firmy: jeśli w Polsce wolno było kopiować pliki na prywatny dysk, ta praktyka ma znaczenie dla oceny świadomości zakazu, choć nie przesądza o niej.

Gdy sprawa dotyczy też polskiego pracodawcy, który prowadzi własne działania, obrońca włoski i polski prawnik powinni ustalić, kto co robi, aby wypowiedzi złożone we Włoszech nie szkodziły w Polsce i odwrotnie. Konsulat nie ocenia zarzutu, ale może pomóc w przekazaniu dokumentów. Zmiana strefy czasowej nie ma znaczenia, za to ma ją różnica rytmu pracy: urzędy w Polsce i we Włoszech odpowiadają w innych porach, więc wiadomości do polskich kolegów trzeba wysyłać z wyprzedzeniem.

Jeśli polski i włoski organ prowadzą równoległe czynności, informacje przepływają między nimi wolniej, niż rodzina się spodziewa. Oznacza to, że wypowiedź złożona we Włoszech może zostać odczytana w Polsce, a ta złożona w Polsce we Włoszech, dopiero po dłuższym czasie, kiedy już się o niej zapomniało, i wtedy bywa przytoczona w zupełnie innym kontekście.

Jak studio przyjmuje sprawy z elementem technicznym

Sprawa zaczyna się od krótkiej rozmowy, w której ustalamy, jakie pismo lub jaka czynność ją wywołały i czy urządzenia są zajęte. Dopiero potem prosimy o dokumenty. Pliki wysyła się zaszyfrowaną pocztą elektroniczną albo w sposób uzgodniony na rozmowie; nie przesyłamy haseł do kont, a jeśli trzeba pokazać ekran, robi się to w trakcie rozmowy na żywo.

W sprawach informatycznych często potrzebny jest biegły techniczny, który obejmuje urządzenia, logi i kopie. Studio współpracuje z konsultantami od cyfrowej kryminalistyki; ich wybór i zakres prac uzgadnia się z klientem przed zleceniem, razem z kosztami. Ocena techniczna bywa kluczowa, bo odpowiada na pytanie, co faktycznie zrobiono, kiedy i z jakiego urządzenia.

Korespondencja prowadzona jest po polsku. Jeśli sprawa dotyczy też polskiej firmy, studio koordynuje działania z polskim prawnikiem wskazanym przez klienta. Studio ma siedziby w Rzymie, Mediolanie i Neapolu, a dane kontaktowe znajdują się w stopce strony. W pilnych przypadkach, na przykład gdy trwa przeszukanie, odpowiadamy także poza godzinami biurowymi.

Gdy chodzi o urządzenia zajęte w trakcie przeszukania, prosimy o zdjęcie protokołu zajęcia i o informację, które sprzęty zostały zabrane, a które nie. Na tej podstawie obrońca ustala, o co wnosić w sprawie ich zwrotu lub kopii, i oceniamy, czy potrzebna jest od razu opinia biegłego. Honorarium za pracę techniczną ustalamy osobno od honorarium obrońcy, aby klient wiedział, za co płaci i na jakim etapie.

Pytania do obrońcy, które pomijają osoby spoza branży prawniczej

W tej dziedzinie zwykłe pytania nie wystarczają, bo kluczowe są szczegóły techniczne. Oto te, które warto zadać.

• Czy zarzut dotyczy samego wejścia do systemu, pozostania w nim wbrew woli uprawnionego, czy pobrania danych? Od tego zależy cała linia obrony.
• Czy zabezpieczenia systemu były takie, że uprawnienie można uznać za wygasłe, i czy można to wykazać dokumentami?
• Jakie urządzenia zajęto, jak długo potrwa ich analiza i czy da się poprosić o kopię potrzebną do pracy?
• Kto będzie badał dane i czy obrona może wyznaczyć własnego biegłego, zanim wynik zostanie utrwalony?
• Czy sprawa dotyczy też odpowiedzialności firmy i czy interesy osoby fizycznej i firmy są zbieżne?
• Czy sprawa jest ścigana z urzędu, czy na wniosek poszkodowanego, i co to zmienia w kwestii ugody?
• Czy zwrot danych lub usunięcie kopii w trakcie postępowania poprawia czy pogarsza sytuację?
• Czy mogę nadal pracować w zawodzie i jak komunikować sprawę klientom i przełożonym?
• Jak ocenia się granicę między tym, co pracownik robił w ramach obowiązków, a tym, co robił na własny rachunek?
• Jakie znaczenie ma to, że hasło działało i nikt go nie zmienił po zakończeniu współpracy?
• Czy zwrot skopiowanych plików przed wszczęciem postępowania wpływa na ocenę sprawy?
• Co oznacza dla mnie, że sprawa toczy się także przeciwko firmie, w której pracuję lub pracowałem?
• Jak przekazywać obrońcy materiały techniczne, żeby nie zmieniać dowodów?

Włoskie wyrażenia, które pojawią się w zawiadomieniu i w aktach

Terminologia informatyczna we włoskich pismach jest dosłowna, ale zmienia sens w kontekście. Oto słowa, które warto znać.

• accesso abusivo a sistema informatico – dostęp do systemu bez uprawnienia, także przez pozostanie w nim wbrew woli uprawnionego.
• sistema informatico protetto da misure di sicurezza – system zabezpieczony hasłem, uwierzytelnieniem lub innym środkiem.
• frode informatica – oszustwo z ingerencją w system lub dane w celu uzyskania korzyści.
• querela – wniosek o ściganie składany przez poszkodowanego; od niego zależy, czy w danym typie sprawa ruszy.
• persona offesa – osoba lub firma pokrzywdzona.
• procedibilità – informacja, czy ściganie następuje z urzędu, czy na wniosek.
• catena di custodia digitale – udokumentowana droga, jaką przeszły dane od zabezpieczenia do analizy; jej luki mogą mieć znaczenie dla obrony.
• consulenza informatico-forense – opinia biegłego od cyfrowej kryminalistyki.
• rogatorie internazionali – wnioski o pomoc prawną wysyłane do innego państwa, gdy dane znajdują się za granicą.
• tribunale monocratico – sąd, w którym orzeka pojedynczy sędzia; rozpatruje sprawy mniejszej wagi.
• reati informatici – zbiorcze określenie przestępstw popełnianych za pomocą systemów i sieci albo przeciw nim.
• misure di sicurezza – zabezpieczenia systemu; od nich zależy, czy dostęp uznaje się za „chroniony”.
• indagini difensive – własne czynności obrony, takie jak zebranie oświadczeń lub dokumentów.
• persona offesa – osoba lub firma pokrzywdzona; to ona, a nie organ, decyduje w niektórych sprawach o dalszym biegu.