Khi nào truy cập trái phép hệ thống vi phạm pháp luật?

Theo Điều 289 Bộ luật Hình sự, hành vi này có thể cấu thành Tội xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác nếu đáp ứng các dấu hiệu luật định.

Truy cập trái phép hệ thống được hiểu như thế nào?

Về bản chất, truy cập trái phép không chỉ đơn giản là “đăng nhập vào một hệ thống mà không được phép”. Điểm quan trọng là hành vi cố ý xâm nhập trái phép vào mạng máy tính, mạng viễn thông hoặc phương tiện điện tử của người khác bằng cách vượt qua cơ chế kiểm soát hoặc sử dụng phương thức không được chủ thể có quyền cho phép.

Điều 289 liệt kê các phương thức như:

·         Cố ý vượt qua cảnh báo

·         Vượt qua mã truy cập

·         Vượt qua tường lửa

·         Sử dụng quyền quản trị của người khác

·         Sử dụng phương thức khác để xâm nhập trái phép

Sau đó, hành vi xâm nhập phải gắn với một trong các hậu quả hoặc mục đích được điều luật quy định như chiếm quyền điều khiển, can thiệp vào chức năng hoạt động, lấy cắp, thay đổi, hủy hoại, làm giả dữ liệu hoặc sử dụng trái phép dịch vụ.

Nghị quyết 08/2021/NQ-UBTVQH15 còn giải thích rằng trường hợp “lấy cắp dữ liệu” có thể bao gồm việc chiếm đoạt dữ liệu chứa bí mật kinh doanh, kể cả việc nghe, đọc, ghi chép, chụp ảnh, ghi âm hoặc ghi hình dữ liệu đó.

Những trường hợp nào có thể bị xem là vi phạm pháp luật?

1. Cố ý vượt qua cơ chế bảo vệ để vào hệ thống của người khác

Đây là trường hợp điển hình. Người thực hiện biết hệ thống có cơ chế hạn chế truy cập nhưng vẫn cố ý vượt qua cảnh báo, mã truy cập, tường lửa hoặc sử dụng quyền quản trị của người khác để xâm nhập.

Điểm cần phân biệt là “không được phép” và “có lỗi kỹ thuật” không hoàn toàn giống nhau. Một lỗi cấu hình khiến người dùng vô tình truy cập nhầm chưa mặc nhiên đồng nghĩa với hành vi phạm tội; Điều 289 đặt trọng tâm vào yếu tố cố ý trong hành vi xâm nhập.

2. Xâm nhập để chiếm quyền điều khiển hệ thống hoặc thiết bị

Nếu sau khi xâm nhập, người thực hiện chiếm quyền điều khiển hệ thống hoặc phương tiện điện tử của người khác, hành vi có thể thuộc phạm vi Điều 289.

Ví dụ về bản chất pháp lý có thể là việc chiếm quyền điều khiển một hệ thống mà người thực hiện không có quyền quản trị, thay đổi quyền truy cập hoặc kiểm soát hoạt động của thiết bị.

3. Xâm nhập và can thiệp vào chức năng hoạt động

Trường hợp người xâm nhập không chỉ vào hệ thống mà còn can thiệp vào chức năng hoạt động của phương tiện điện tử cũng nằm trong nhóm hành vi được Điều 289 quy định.

Nếu hành vi gây gián đoạn hoặc làm rối loạn hoạt động của hệ thống, tùy tình tiết, còn có thể liên quan đến các quy định khác của Bộ luật Hình sự về cản trở hoặc gây rối loạn hoạt động của mạng máy tính, mạng viễn thông, phương tiện điện tử.

4. Xâm nhập để lấy cắp, thay đổi, hủy hoại hoặc làm giả dữ liệu

Truy cập trái phép trở nên đặc biệt nghiêm trọng khi nhằm vào dữ liệu của hệ thống.

Các hành vi được Điều 289 đề cập gồm:

·         Lấy cắp dữ liệu

·         Thay đổi dữ liệu

·         Hủy hoại dữ liệu

·         Làm giả dữ liệu

Vì vậy, không nên hiểu rằng chỉ khi hệ thống bị phá hỏng hoặc gây thiệt hại tài sản thì mới có thể phát sinh trách nhiệm hình sự. Điều 289 quy định nhiều dạng hành vi khác nhau và không đặt một ngưỡng thiệt hại chung cho trường hợp cơ bản tại khoản 1.

5. Xâm nhập để sử dụng trái phép dịch vụ của hệ thống

Điều 289 cũng bao quát trường hợp người thực hiện xâm nhập trái phép rồi sử dụng các dịch vụ mà mình không có quyền sử dụng. Đây là một điểm quan trọng vì hành vi vi phạm không nhất thiết phải thể hiện bằng việc lấy dữ liệu hoặc phá hoại hệ thống.

Không phải mọi lần truy cập không được phép đều mặc nhiên là tội phạm

Cần phân biệt giữa truy cập không được chủ hệ thống cho phép, vi phạm quy định nội bộ hoặc hợp đồng và hành vi đủ yếu tố cấu thành tội phạm.

Để xem xét trách nhiệm hình sự theo Điều 289, cần đối chiếu cụ thể các dấu hiệu của điều luật, trong đó có yếu tố cố ý xâm nhập trái phép và hành vi chiếm quyền điều khiển, can thiệp chức năng, lấy cắp, thay đổi, hủy hoại, làm giả dữ liệu hoặc sử dụng trái phép dịch vụ.

Chẳng hạn, một chuyên gia an toàn thông tin được chủ hệ thống cho phép kiểm thử bảo mật trong phạm vi xác định thì về nguyên tắc không thể chỉ vì họ sử dụng kỹ thuật vượt qua cơ chế bảo vệ mà kết luận ngay đó là “xâm nhập trái phép”. Yếu tố quyền được phép kiểm thử và phạm vi ủy quyền là vấn đề quan trọng để đánh giá tính trái phép của hành vi.

Ngược lại, nếu đã hết thời hạn hoặc vượt quá phạm vi được ủy quyền nhưng vẫn cố ý tiếp tục xâm nhập, việc đánh giá pháp lý có thể thay đổi tùy hành vi cụ thể.

Mức độ xử lý phụ thuộc vào tính chất và hậu quả của hành vi

Đối với trường hợp cơ bản theo khoản 1 Điều 289, người phạm tội có thể bị phạt tiền từ 50 triệu đồng đến 300 triệu đồng hoặc phạt tù từ 1 năm đến 5 năm. Các tình tiết như có tổ chức, lợi dụng chức vụ quyền hạn, thu lợi bất chính, gây thiệt hại, xâm nhập vào một số hệ thống đặc biệt hoặc tái phạm nguy hiểm có thể dẫn đến khung hình phạt nặng hơn.

Ngoài Điều 289, nếu việc truy cập trái phép được thực hiện nhằm chiếm đoạt tài sản, sử dụng trái phép thông tin hoặc gây rối loạn hoạt động hệ thống, hành vi còn có thể được xem xét theo các tội danh khác tùy tình tiết cụ thể. Bộ luật Hình sự có quy định riêng về sử dụng mạng máy tính, mạng viễn thông hoặc phương tiện điện tử để thực hiện hành vi chiếm đoạt tài sản, cũng như về cản trở hoặc gây rối loạn hoạt động của hệ thống.

Tóm lại, truy cập trái phép hệ thống có nguy cơ trở thành hành vi vi phạm pháp luật khi việc truy cập được thực hiện không có quyền hoặc sự cho phép hợp pháp, đặc biệt là cố ý vượt qua cơ chế bảo vệ và thực hiện các hành vi mà Điều 289 hoặc quy định pháp luật khác cấm. Việc có cấu thành tội phạm hay không phải được xác định dựa trên phương thức xâm nhập, mục đích, hành vi thực tế, dữ liệu hoặc hệ thống bị tác động và các tình tiết liên quan.