Текст книги "Международные основы и стандарты информационной безопасности финансово-экономических систем"

– QSS – компьютерный саботаж с программным обеспечением: стирание, повреждение, ухудшение или подавление компьютерных данных или программ без права на то.

К прочим видам компьютерных правонарушений (QZ) в классификаторе отнесены следующие:

– QZB – использование электронных досок объявлений (BBS) для хранения, обмена и распространения материалов, имеющих отношение к преступной деятельности;

– QZE – хищение информации, составляющей коммерческую тайну: приобретение незаконными средствами или передача информации, представляющей коммерческую тайну без права на то или другого законного обоснования, с намерением причинить экономический ущерб или получить незаконные экономические преимущества;

– QZS – использование компьютерных систем или сетей для хранения, обмена, распространения или перемещения информации конфиденциального характера.

Некоторые специалисты по компьютерной преступности в особую группу выделяют методы манипуляции, которые имеют специфические жаргонные названия:

– временная бомба – разновидность логической бомбы, которая срабатывает при достижении определенного момента времени;

– асинхронная атака (asynchronous attack) состоит в смешивании и одновременном выполнении компьютерной системой команд двух или нескольких пользователей;

– моделирование (simulation modelling) используется как для анализа процессов, в которые преступники хотят вмешаться, так и для планирования методов совершения преступления. Таким образом, осуществляется «оптимизация» способа совершения правонарушения.

2.2. Киберпреступность как вид преступной деятельности в сфере компьютерной информации

Развитие киберпреступности привело в разных странах к расширению классификаций. В наше время выделяют несколько видов киберпреступлений. Выделим наиболее важные и распространенные из них:

– хакерство;

– распространение вирусов;

– компьютерное мошенничество;

– распространение спама.

Хакерство. Хакер – весьма высокой квалификации специалист по информационным технологиям, человек, который понимает самые основы работы компьютерных систем и использует свои знания в корыстных целях. В информационном мире хакеров оценивают неоднозначно. Как правило, их деятельность оценивают либо сугубо отрицательно, либо сдержанно положительно. Между этими оценками проходит граница, которая позволяет разделить компьютерных специалистов на два лагеря: собственно хакеры и кракеры. И те и другие занимаются поиском слабых мест в вычислительных системах и осуществлением атак на них. Главное же различие между ними заключается в цели проведения этих операций. Основная задача хакера состоит в том, чтобы, исследуя вычислительную систему, найти слабые места в ее системе безопасности, далее информировать пользователей и разработчиков системы с целью последующего устранения найденных слабых мест. Задача же кракера – несанкционированный доступ к чужой информации с целью получения выгоды, иначе говоря, кража.

Рассмотрим более интересующий нас с правовой точки зрения вид киберпреступников – кракеров. На данный момент выделяют три вида кракеров:

– вандалы – самая известная и немногочисленная часть кракеров. Их основная цель – взломать систему и разрушить ее. Эта стадия характерна для новичков и, как правило, быстро проходит, если кракеру удается усовершенствоваться;

– шутники – наиболее безобидная часть кракеров, основная цель которых – популярность. Они взламывают системы и вносят туда различные эффекты. На сегодняшний день это самый распространенный класс кракеров;

– взломщики – профессиональные кракеры, пользующиеся наибольшим почетом и уважением в кракерской среде. Их основной задачей является взлом компьютерных систем с целью кражи или подмены информации.

Распространение вирусов. Вирусы – одна из самых актуальных проблем нашего времени. На сегодняшний день выделяют следующие виды вирусов:

– загрузочные вирусы – наиболее опасные. Вирус заражает системные файлы, файлы com и bat. Единственный способ избавиться от вируса – форматирование диска;

– программные вирусы – заражают exe-файлы программ, выводя их из строя. Наиболее безобидный тип вируса, если не учитывать одно обстоятельство: в системе Windows 2000 файл ntoskrnl.exe является основным запускающим файлом;

– вирусы, заражающие документы, – заражают все, что считается документами. Как правило, это файлы Microsoft Office, различные файлы Интернета и т. д.

Современные вредоносные программы. Еще недавно вирусы и прочие вредоносные программы создавались только для развлечения в основном школьниками и студентами, но теперь это уже не хулиганство, а криминал, с помощью которого добываются большие деньги. В 1995 г. 70 % вирусов были написаны хулиганами, а 30 % – мошенниками, в 2004 г. – только 10 % созданы хулиганами, а 60 % – мошенниками и 30 % – киберпреступниками. В 2005 г., по оценке специалистов, доля вредоносных программ, созданных киберпреступниками, достигла уже 75 %, ущерб, наносимый этими программами, весьма велик. В 2004 г. они нанесли макроэкономике ущерб в 18 млрд дол. Эта тотальная криминализация Интернета направлена против корпоративных информационных ресурсов. Все чаще приходят сведения о группах хакеров, которые снимали десятки миллионов долларов со счетов в банках. Это делается с помощью троянских программ, которые в странах, где распространен интернет-банкинг, передают своим «хозяевам» номер кредитной карточки владельца зараженного компьютера. Ущерб наносится и другими способами. Сначала злоумышленники приобретают акции определенной компании, а потом зараженные хакерами компьютеры рассылают спам с фальшивыми положительными новостями о ней, что вызывает рост стоимости акций, после чего они сбрасываются мошенниками. Зараженные компьютеры все чаще используются, чтобы целенаправленно атаковать сайт определенной компании, а потом эту компанию шантажируют, предлагая прекратить атаку в обмен на деньги. Раньше атакам подвергались в основном локальные пользователи, сейчас же главными жертвами нападений становятся корпоративные пользователи и предприятия. Разрабатываются специальные троянские программы для атаки конкретных бизнеспроцессов. Злоумышленники знают, что любая корпоративная сеть защищена антивирусами, и с учетом наличия антивирусов создаются вирусы, способные пробить эту защиту. Достаточно иметь несколько тысяч компьютеров для осуществления подобной атаки. Заражение компьютеров сегодня все чаще происходит не с помощью электронной почты, а с помощью комбинации технологий заражения: e-mail + We b , или только с помощью Интернета.

Прогнозы разработчиков антивирусов. Прогнозы разработчиков антивирусов неутешительны. Впереди нас ждет дальнейшая криминализация, войны вирусописателей и хакеров, их структуры станут организованными. Кроме того, по мнению специалистов, объектами вирусных атак станут карманные персональные компьютеры и смартфоны. Сейчас эти устройства не так часто страдают от нападений не потому, что технически это невозможно. Просто пока их еще количественно недостаточно для проведения масштабного воровства информации и мошенничества. Но как только критическая масса станет больше и смартфонами будет пользоваться не несколько процентов всех пользователей мобильных телефонов, а половина, нас ждут и кражи конфиденциальной информации, и спам, и прочие традиционные элементы информационного криминала. По мнению Евгения Касперского, ситуация будет намного хуже нынешней, так как, хотя пользователей компьютеров много, они все-таки в основной массе понимают необходимость защиты от вирусов, в корпоративном секторе этими вопросами занимаются соответствующие технические службы. В то же время карманными персональными компьютерами и смартфонами, как и мобильными телефонами, будут пользоваться самые неискушенные пользователи. Еще хуже обстоит ситуация с технологией «Умный дом», подразумевающей, что все устройства современного офисного здания и квартиры подключены к сети. Вирусы для таких систем могут быть намного опаснее, чем для обыкновенного компьютера, поскольку через Интернет будут управляться системы обеспечения жизнедеятельности людей в здании, лифты, автоматические двери и все оборудование.

Комплексная защита предприятия. Есть несколько простых правил, которые могут существенно повысить уровень защищенности корпоративной сети. Необходимо максимально быстро устанавливать обновления по безопасности и отказаться от тех продуктов по безопасности, которые уже больше не поддерживаются. Нужно разработать комплексную систему антивирусной защиты и выбрать поставщиков антивирусных решений и программного обеспечения. В выборе поставщика главное – знать, насколько он может обеспечить поддержку, и понять, есть ли у него решения для всех платформ и типов устройств корпоративной сети вашей компании. Необходимо создать методику испытаний и провести сравнительные испытания антивирусных продуктов разных производителей для вашей среды – ваших приложений и программного обеспечения. При этом нужно привлекать к такому тестированию специалистов компаний-производителей. Остановиться можно на двух-трех продуктах разных производителей и использовать их для разных участков защиты информационной инфраструктуры. В любом случае важно, чтобы получившийся комплекс защиты был единым. Если в нем окажутся слабые места, то считать информационную инфраструктуру защищенной будет нельзя.

Идеал антивируса. Идеальный антивирус должен обнаруживать все вредоносные и потенциально вредоносные программы, не имея при этом ложных срабатываний. Важно, чтобы его работа была незаметна – он должен обладать удобным интерфейсом, не должен использовать ресурсы процессора, занимать оперативную память и задавать вопросы пользователю. С известными вредоносными программами все антивирусы справляются отлично, для этого используя сигнатурный поиск. Главная проблема в том, что вирусов становится все больше, и новые появляются буквально каждый час. Для обнаружения новых экземпляров нужно использовать эвристические анализаторы, которые пытаются эмулировать действие программы и понять, осуществляет ли она вредоносные действия. Generic – детектирование, основанное на анализе кода уже известных версий «червей» и поиске аналогичных функций в иных файлах, позволяет обнаруживать похожие, однотипные вирусы. Но все это по отдельности не помогает полностью защититься от вредоносного программного обеспечения. Комплексно это может сделать система проактивной защиты.

Проактивная защита. Проактивная защита дает возможность обнаружить вредоносное программное обеспечение, созданное после системы проактивной защиты. Другими словами, проактивная защита создана, чтобы обнаруживать еще неизвестное вредоносное программное обеспечение. По оценке специалистов, существует шесть инструментов проактивной защиты. Это эвристический анализатор, безопасность на основе политик, система обнаружения вторжений Intrusion Prevention System (IPS), защита от переполнения буфера (Buffer Overrun Protection), поведенческие блокираторы и статистические методы. Эвристический анализатор – известная и хорошо зарекомендовавшая себя технология, не требующая частого обновления. Но, к сожалению, такие системы обнаруживают всего 25–30 % вирусов и при этом высок показатель ложных срабатываний при повышении уровня детектирования. Это похоже на работу радиолокатора. Можно сделать его настолько чувствительным, что он будет обнаруживать помимо опасных объектов и все остальное, но это не даст возможности выявить опасность. Кроме того, эвристические анализаторы требуют больших затрат процессорного времени.

Политика безопасности может быть использована в любой компании. Грамотная политика позволяет практически без финансовых затрат в несколько раз снизить риски информационных угроз, она не зависит от типа используемого оборудования и программного обеспечения. Можно запретить сотрудникам открывать вложения в письмах, ограничивать доступ к электронной почте и интернет-сайтам и т. д. Однако при этом подходе невозможно подсчитать уровень обнаружения вредоносного программного обеспечения. В сущности, жесткий набор методов, которые нужно постоянно обновлять и менять, аналогичен сигнатурному методу программ-антивирусов. Но только если база данных по вирусам может обновляться сколь угодно часто, то постоянно менять правила работы сотрудников – вряд ли удачное решение.

У системы предотвращения вторжений IPS есть свой плюс: это хорошая технология для защиты от атак хакеров и бесфайловых вирусов, но IPS неприменима для обнаружения других типов вредоносного программного обеспечения и требует обновления сигнатур атак. Однако эта технология отлично себя зарекомендовала в продуктах для защиты рабочих станций и интернет-шлюзов.

Защита от переполнения буфера на 100 % предотвращает ущерб от вредоносного программного обеспечения, использующего уязвимость «переполнение буфера». Она не требует обновления, здесь практически исключены ложные срабатывания, но ее нельзя использовать для обнаружения других типов вредоносного программного обеспечения. Все современные процессоры поддерживают эту технологию на аппаратном уровне. Она востребована для защиты рабочих станций, интернет-шлюзов и других серверов, которые имеют прямой выход в Интернет.

Поведенческие блокираторы имеют довольно высокий уровень обнаружения (до 60–70 %) и могут обнаруживать любой тип вредоносного программного обеспечения, не требуя больших затрат процессорного времени и других ресурсов. Однако у них бывают ложные срабатывания, так как существует много программ, похожих по своим действиям на вирусы. Поведенческие блокираторы задают много вопросов пользователям с просьбой принимать решения, и для них требуется иметь функцию «откат» (восстановление изменений, сделанных обнаруженным вредоносным кодом, до момента детектирования на этапе сбора информации). Они применимы только на рабочих станциях, когда возможно исполнение подозрительной программы. На почтовых, файловых серверах и шлюзах подозрительные программы не должны запускаться в принципе, и поведенческий блокиратор не будет востребован там, где идет постоянный трафик. На основании различной статистики и анализа почтовых сообщений можно остановить эпидемию в самом начале. Один из признаков опасности – массовая рассылка или прием одинаковых вложений, одинаковых писем с различными вложениями, наличие двойного расширения у вложений.

Кооперация. Проактивные методы часто противопоставляют сигнатурным. У тех и у других есть свои плюсы и минусы. В табл. 1 можно увидеть сравнение этих методов. Ни одна из технологий отдельно не дает оптимального уровня обнаружения вредоносных программ без ложных срабатываний. Лишь комплексный подход и объединение различных технологий дадут необходимый результат. Поэтому нужно строить антивирусную защиту не по принципу «сигнатуры или поведенческий блокиратор», а по системе «сигнатуры и поведенческий блокиратор».

Таблица 1

Сравнение проактивных и сигнатурных методов[10]10
  См.: Восканян М. Современные вирусные угрозы: тенденции и прогнозы // Intelligent Enterprise: сайт. URL: http://www.iemag.ru/analitics/detail.php?ID=16095 (дата обращения: 22.02.2013).


[Закрыть]

Компьютерное мошенничество. По данным криминалистов, в Рунете растет количество мошенников, а именно мошеннических писем в спаме. За год их доля выросла с 11 до 18,2 %. Мошенники также изобретают новые способы обмана и выманивания денег у доверчивых пользователей Интернета. В наши дни «реальному» мошенничеству уступило место виртуальное. С развитием новых технологий и средств массовой информации все больше людей рискуют попасться на удочку мошенников. Чтобы этого избежать, для начала нужно обозначить границы проблемы и ознакомиться с самыми популярными способами обмана в Сети.

Почтовые мошенники. Этот способ мошенничества возможен в результате непредвиденных утечек информации, в результате которых ваш e-mail становится известен мошенникам. Возможно, этим способом промышляют также некоторые недобросовестные системные администраторы спонсорских проектов. Как бы то ни было, но письма, перечисленные ниже, приходят именно в те почтовые ящики, которые активно используются в работе со спонсорами.

Ложные письма от администрации платежной системы (e-gold, Moneybookers, PayPal). На ваш почтовый ящик отправляется письмо, в котором, например, говорится, что для улучшения использования сервиса e-gold принято решение использовать программное обеспечение для совершения операций через систему. К письму прилагается вложение – якобы это самое программное обеспечение, или в письме может быть ссылка, по которой нужно зайти в свой аккаунт «для скачивания программы». На самом деле во вложении содержится вирус, а если в письме есть ссылка, то она ведет не на сайт e-gold, а на сайт мошенников, и цель всей этой комбинации – узнать ваши логин и пароль в платежной системе. Могут быть и другие варианты писем якобы от службы технической поддержки e-gold о замораживании вашего аккаунта (причем обратный адрес может быть весьма правдоподобен: [email protected] и т. п.), в которых вам настоятельно рекомендуется под тем или иным предлогом зайти в свой аккаунт по ссылке в письме и ввести в поля формы свои данные.

«Ошибочно» присланное письмо о переводе денег. Текст может быть примерно таким: «Дорогой господин такойто, согласно нашей договоренности я выслал на ваш счет 10 тыс. дол., вы можете в этом убедиться, в прилагаемом вложении – скрин платежа». Понятно, что на самом деле во вложении находится вирус и необходимо просто удалить такое письмо из почтового ящика.

Мифическая лотерея Yahoo! или MSN. Довольно часто участники спонсорских программ получают письма о выигрыше в мифической лотерее Yahoo! или MSN, для получения которого необходимо сначала заплатить некоторую сумму за какую-нибудь услугу. Разумеется, никакой лотереи не существует, а задумано все это с целью получения финансовой выгоды за счет наивного обывателя.

«Волшебные кошельки». Аферисты этого типа используют несколько способов:

– рассылают спам на все форумы и гостевые книги подряд, независимо от их тематики. Они пишут о том, как можно моментально сказочно разбогатеть, если отослать немного денег на несколько кошельков WebMoney. Эта афера построена по принципу пирамиды. Кошельки, на которые вам предлагается перевести деньги, принадлежат тем людям, которые находятся на более высоких ступенях пирамиды. Вам предлагается продолжить эту цепочку, начав так же выкладывать спам на форумы и гостевые книги в надежде, что кто-нибудь переведет деньги на эти кошельки, одним их которых будет ваш;

– придуман еще один вариант этого обмана: форумы или специально созданные сайты, на которых якобы сообщается, какие кошельки возвращают вам деньги, а какие нет;

– в одном из оплачиваемых писем, присылаемых почтовыми спонсорами, или на сайтах систем автоматической рекламы можно встретить историю «обиженного уволенного программиста WebMoney», в отместку системе рассказывающего секрет об одном «волшебном» кошельке, который при пересылке на него денег возвращает их отправителю в двукратном размере. К сожалению, находятся люди, для которых неочевидно, что упоминаемый кошелек принадлежит этому самому «программисту», и позволяют ему нажиться за свой счет.

Взлом WebMoney Кошельков и Яндекс. Деньги. Суть этого обмана чем-то похожа на «волшебные кошельки». Псевдохакер уверяет вас в том, что он обнаружил уязвимость в защите платежной системы, например в WebMoney или Яндекс. Деньги, и создал (нашел) WebMoney (Яндекс) кошелек, отправив деньги на который, вы получите их обратно в увеличенном количестве. Электронные кошельки хорошо защищены и взлом их очень сложен, к тому же уголовно наказуем. Поэтому даже если кому-то и удастся взломать их, вряд ли он будет об этом рассказывать.

Продажа программ для заработка. Стандартный вид интернет-мошенничества. Вам пытаются продать то, что, по словам продавца, должно приносить деньги, но, когда вы покупаете товар, оказывается, что вас обманули и продали нечто непонятное. Вот несколько распространенных программ:

– генератор WebMoney – программа, которая якобы генерирует деньги на WMR или WMZ кошельки. Также встречаются программы-генераторы карт WebMoney;

– автосборщик бонусов – программа, которая сама собирает бонусы с различных сайтов и отправляет их вам на кошелек. Такие программы либо продают, либо позволяют скачать бесплатно;

– программа для взлома WebMoney – как уже говорилось, взломать систему WebMoney даже опытному хакеру практически невозможно. Поэтому если вы нашли бесплатную программу для взлома WebMoney, не скачивайте ее. В лучшем случае там будет очередной обман, в худшем – вирусы и троянские программы, которые заразят ваш компьютер.

Какой вывод можно сделать из вышесказанного? Чтобы не попасть в неприятную историю, нужно прежде всего быть осторожным и придерживаться следующих рекомендаций зарубежных специалистов:

1. Старайтесь не открывать сайты платежных систем по ссылке (например, в письмах). Обязательно проверяйте, какой URL стоит в адресной строке или посмотрите в свойствах ссылки, куда она ведет. Вы можете попасть на сайтобманку, внешне очень похожий, практически неотличимый от сайта платежной системы. Расчет в этом случае на то, что вы введете на таком сайте свои данные и они станут известны мошенникам.

2. Никогда никому не сообщайте ваши пароли. Вводить их можно и нужно только на самих сайтах платежных процессоров, но никак не на других ресурсах.

3. Не храните файлы с секретной информацией на доступных или недостаточно надежных носителях информации. Всегда делайте несколько копий таких файлов на разных носителях.

4. Обязательно делайте резервные копии ключей или программ в тех процессорах, в которых это предписывается.

5. Если вам предлагают удаленную работу и при этом просят оплатить регистрационный взнос в качестве гарантии за пересылку данных и т. п. – не попадайтесь на эту ловушку. Настоящие работодатели никогда не просят денег с соискателей – они сами платят за работу.

6. Предложения типа «вышлите туда-то небольшую сумму и вскоре вы будете завалены деньгами» – это предложения от участников финансовых пирамид. Не отвечайте на них, в пирамидах выигрывают только их создатели.

7. Письма о проблемах с вашим счетом в какой-либо платежной системе, требующие перехода на сайт и каких-либо действий от вас, отправляйте в корзину не глядя. Техническая поддержка платежных систем никогда не рассылает таких писем.

8. Не давайте деньги в кредит неизвестным вам лицам – в Интернете не существует гарантий возврата кредитов.

9. В 99 % случаев платежи, которые вы делаете онлайн, отменить нельзя. Поэтому семь раз подумайте, прежде чем раз заплатить за товар или услугу.

Распространение спама. 3 мая 1978 г. Гари Туэрк (Gary Thuerk), работник рекламной службы компании Digital Equipment Corporation, оправил сообщение 393 пользователям Arpanet, став первым человеком в истории, разославшим спам. Спам – это массовая рассылка коммерческой, политической и иной рекламы или иного вида сообщений лицам, не выражавшим желания их получать. Несмотря на столь раннее появление, лишь с 1994 г., когда Интернет стал коммерческой сетью, спам приобрел по-настоящему глобальный характер. Если в 1996 г. объемы спама едва превышали 10 % от общего почтового трафика, то в октябре 2008 г. они составили 96 %. Хотя в 2010 г. показатели снизились, почтовый трафик остается замусоренным более чем на 80 %.

Существует несколько видов спама:

– реклама – некоторые компании, занимающиеся легальным бизнесом, рекламируют свою продукцию с помощью спама. Характерными чертами такой рекламы являются низкая стоимость и большой охват потенциальных клиентов. Но такая реклама может вызвать и отвращение у покупателей;

– реклама незаконной продукции – с помощью спама рекламируют продукцию, о которой нельзя сообщать другим способом, например порнографию, контрафактные товары, незаконно полученную закрытую информацию;

– антиреклама – запрещенная законодательством о рекламе информация, например, порочащая конкурентов и их продукцию. Также может распространяться с помощью спама;

– «нигерийские письма» – так называется спам, используемый мошенниками, чтобы выманивать деньги у получателя письма;

– фишинг – мошенничество, целью которого является доступ к конфиденциальным данным пользователя – логинам и паролям. Для защиты от фишинга производители основных интернет-браузеров договорились о применении одинаковых способов информирования пользователей о том, что они открыли подозрительный сайт. Такая возможность соответственно называется «антифишинг»;

– DoS и DDoS-атаки – это атаки на вычислительную систему с целью выведения ее из строя. Если атака проводится одновременно с большого числа компьютеров, то ее называют DDoS-атака.

Виды DoS-атак:

– ошибка в программном коде, приводящая к обращению к неиспользуемому фрагменту адресного пространства, выполнению недопустимой инструкции или другой необрабатываемой исключительной ситуации, когда происходит аварийное завершение программы-сервера – серверной программы;

– недостаточная проверка данных пользователя, приводящая к бесконечному либо длительному циклу или повышенному длительному потреблению процессорных ресурсов (вплоть до исчерпания процессорных ресурсов) либо выделению большого объема оперативной памяти (вплоть до исчерпания доступной памяти);

– флуд – атака, связанная с большим количеством обычно бессмысленных или сформированных в неправильном формате запросов к компьютерной системе или сетевому оборудованию, имеющая своей целью или приведшая к отказу в работе системы из-за исчерпания системных ресурсов – процессора, памяти или каналов связи;

– атака второго рода – атака, которая стремится вызвать ложное срабатывание системы защиты и таким образом привести к недоступности ресурса[11]11
  См.: DoS-атака // Википедия: свободная энциклопедия: сайт. URL: http://ru.wikipedia.org/wiki/DoS-атака (дата обращения: 22.02.2013).


[Закрыть].

Спам является источником целого ряда серьезных проблем. Выливаются в существенные суммы порождаемые спамом лишний трафик, за который приходится платить пользователю электронной почты, нагрузка на сервера, от которой страдают почтовые провайдеры и локальные сети организаций, затраты рабочего времени сотрудников. В силу своей анонимности он является отличным инструментом для мошенничества, рекламы нелегальных, поддельных и контрафактных товаров, распространения порнографии и других преступлений. Кроме того, спам является средством доставки вредоносного кода. При этом вредоносная программа может находиться как в приложении к письму, так и на сайте, который откроется по ссылке из спам-письма. Помимо этого, спамом как платформой часто пользуются фишеры, чтобы заманить пользователей на поддельные сайты, созданные для хищения конфиденциальной информации. Также стоит учесть и экономический аспект. В 2009 г. потери российской экономики от спама составили около 14,1 млрд руб. (доходы же российских спамеров составили 3,744 млрд руб.).

Основная трудность в борьбе со спамом заключается в том, что спам – явление международное. Законы же против спама имеют территориальные границы и могут различаться не только в разных странах, но и в пределах одной страны, или вовсе отсутствовать. Конечно, такое положение затрудняет привлечение преступников к ответственности.

Первым государством, которое прибегло к законодательным ограничениям, касающимся распространения спама, стали США. С 1998 г. в различных штатах стали появляться специальные законы о спаме. Они предусматривают обязательность идентификации отправителя и наличия механизма отписки (т. е. отказа от дальнейшего получения сообщений), а также запрещение фальсификации заголовков писем. В основном эти законы направлены против коммерческого спама, но в ряде штатов запрещен и некоммерческий спам. За нарушение данных законодательных ограничений была установлена уголовная (штраф до 10 тыс. дол. или лишение свободы на срок до пяти лет) и гражданско-правовая ответственность (возмещение получателю по 500 дол. за каждое сообщение и провайдеру до 25 тыс. дол. за день рассылки). В 2001 г. в США был принят первый федеральный закон – Unsolicited Commercial Electronic Mail Act of 2001 (UCEMA). Он давал пользователям право исключать свои электронные адреса из списков рассылки маркетинговых компаний, которые впредь будут обязаны сообщать об этом праве и включать в текст письма адрес, по которому с ними можно связаться. Компании, которые не будут соблюдать новое законодательство, могут подвергнуться штрафу в размере от 50 до 500 тыс. дол.

Примеру США последовали и другие страны. Естественно, антиспамовые законы разных государств различаются. Но, несмотря на это, многие базируются на следующих ключевых моментах:

– принцип opt-in (рассылка не должна приходить пользователю, если он на нее не подписывался);

– принцип opt-out (пользователь должен всегда иметь возможность отписаться от рассылки);

– в письме должен быть четко указан отправитель, корректно заполнено поле «From», не должна быть подделана информация об источнике сообщения и о прохождении его через почтовые сервера;

– заголовок сообщения должен отражать содержание письма, в рекламных письмах должна стоять соответствующая пометка;

– в письме должны быть контакты отправителя, в частности действительный обратный адрес;

– не должно использоваться программное обеспечение для сбора адресов.

Принцип opt-in – наиболее важный элемент антиспамовых законов – принят почти везде. Однако существуют различия и ограничения. Так, в Великобритании антиспамовые прецедентные меры касаются только писем, посланных на частные адреса пользователей, т. е. спам, отправленный на рабочие адреса, не подпадает под действие антиспамового закона. В Германии разрешены рекламные рассылки в случае, если пользователь в прошлом что-то покупал у компании-рекламодателя.

Один из наиболее известных законов против спама – американский Controlling the assault of non-solicited pornography and marketing act (CAN-SPAM Act of 2003), подписанный Президентом США Дж. Бушем 16 декабря 2003 г. Согласно ему, незапрошенная коммерческая рассылка должна быть соответствующим образом помечена (в теме письма должна быть пометка «AD», от аdvertisement – реклама), должна включать физический адрес компании-отправителя и давать получателю возможность отписаться. Также закон запрещает сбор адресов электронной почты путем просмотра веб-узлов и автоматический подбор адресов методом подстановки. Наказанием за нарушение CAN-SPAM Act может быть штраф (до 6 млн дол.) и даже тюремное заключение (до пяти лет). Однако в данном законе отсутствует принцип opt-in: предварительное согласие пользователя на получение рассылки не требуется. Иначе говоря, фактически разрешено отправлять любое количество сообщений электронной почты, если они имеют корректный обратный адрес и соответствуют принципу opt-out. Но даже несмотря на это, закон довольно эффективен. Первый приговор частному лицу с использованием CAN-SPAM Act был вынесен в 2005 г. Джереми Джейнсу, которого осудили на девять лет лишения свободы.