20.05.2025
В Минюсте РФ предложили криминализировать неправомерное воздействие на компьютерные данные через DDoS-атаки. В настоящий момент уголовная ответственность за DDoS-атаки напрямую не предусмотрена, но закреплена ответственность за «неправомерный доступ к охраняемой законом компьютерной информации», а также за «создание, использование и распространение вредоносных компьютерных программ». В УК РФ под неправомерным доступом к компьютерной информации понимается получение или использование подобной информации без согласия ее обладателя лицом, которое не наделено необходимыми для этого полномочиями. Речь идет о статьях 272 и 273 УК РФ, которые указывают на блокирование информации, то есть о воздействии на информацию, средства доступа к ней или источник ее хранения, что приводит к невозможности ее нормально использовать в течение определенного времени или постоянно.
DDoS-атаки стали массовым инструментом хактивизма, конкурентной борьбы и политических протестов. Число таких атак растет на 30 % ежегодно. При этом действующая редакция УК РФ не учитывают специфику DDoS-атак, что усложняют квалификацию. Предлагается в качестве временной меры расширить толкование статьи 272 УК РФ. Однако это способно повлечь различные злоупотребления, включая бездействие или преследование за случайные действия.
Возможно в УК РФ появится отдельная статья, четко определяющая DDoS-атаку как умышленную перегрузку инфраструктуры с целью нарушения ее доступности. Для доказательной базы потребуются инструменты фиксации трафика, идентификации бот-сетей и установки источника атаки. Это может повлечь сложности из-за анонимности в сети и использования средств обхода блокировок. Также эксперты отмечают сложность установки умысла незаконных действий, поскольку любой запрос создает нагрузку на сервис.
Судебная практика знает случаи, когда ответственность за DDoS-атаки наступала по ст. 272 УК РФ. Так еще в 2013 году Шпаковский районный суд Ставропольского края требования о передаче денежных средств за прекращение хакерских атак он не счел уголовно наказуемым и привлек к уголовной ответственности только по ст. 272 УК РФ за организацию DDoS-атаки.
IT-Юрист обращает внимание, что на практике понятие неправомерного доступа трактуется еще шире. DDoS-атаки на серверы крупных компаний, которые осуществляются при помощи вредоносных программ с тысяч зараженных компьютеров, базирующихся по всему миру, квалифицируются по ст. 272 УК РФ как неправомерный доступ, повлекший блокирование компьютерной информации.
В то же время следует констатировать, что при DDoS-атаках, когда они осуществляются с зараженных компьютеров ничего об этом не знающих пользователей, имеет место неправомерный доступ к компьютерной информации, принадлежащей владельцам, чьи компьютеры заражены. Блокирование компьютерной информации осуществляется посредством использования зараженных компьютеров, которые одновременно направляют запросы. Имеет место неправомерный доступ к компьютерной информации многих тысяч пользователей, непосредственным результатом которого является модификация компьютерной информации на зараженных компьютерах, и впоследствии это влечет еще одно последствие в виде блокирования компьютерной информации. В силу этого квалификация содеянного по ст. 272 УК РФ является оправданной.
Однако приведенная логика подходит не для всех вариантов DDoS-атак (например, она неприменима, если атака осуществляется без неправомерного использования чужих компьютеров, а такой вариант исключать нельзя). Кроме этого, возникают сложные задачи доказывания заражения тысяч компьютеров. Опыт показывает, что это практически невозможно в ситуациях, когда зараженные компьютеры расположены за пределами Российской Федерации.
Формула, использованная законодателем в ст. 272 УК РФ, имеет уязвимые места и в ряде случаев вынуждает правоприменителя идти на расширительное толкование закона, что, строго говоря, не приветствуется, поскольку чревато запрещенной аналогией закона. Поэтому уголовная ответственность за DDoS-атаки, как отдельный правовой механизм, может быть вполне оправдан.