Lag om datorbedrägeri och missbruk

Computer Fraud and Abuse Act
Great Seal of the United States
USAs högsta domstolsfall Van

  Computer Fraud and Abuse Act of 1986 ( CFAA ) är ett lagförslag om cybersäkerhet i USA som antogs 1986 som en ändring av befintlig datorbedrägerilag ( 18 USC § 1030 ), som hade inkluderats i Comprehensive Crime Control Act från 1984 . Lagen förbjuder åtkomst till en dator utan auktorisation eller utöver behörighet. Före datorspecifika strafflagar åtalades datorbrott som post- och wirebedrägeri , men den tillämpliga lagen var ofta otillräcklig.

Det ursprungliga lagförslaget från 1984 antogs som svar på oro för att datorrelaterade brott skulle kunna förbli ostraffade. Huskommitténs rapport till det ursprungliga databrottsförslaget kännetecknade 1983 års techno-thrillerfilm WarGames — där en ung tonåring (spelad av Matthew Broderick ) från Seattle bryter sig in i en amerikansk militär superdator programmerad att förutsäga möjliga utfall av kärnvapenkrig och omedvetet nästan börjar Tredje världskriget — som "en realistisk representation av persondatorns automatiska uppringnings- och åtkomstmöjligheter. "

CFAA skrevs för att utvidga befintlig skadeståndslagstiftning till immateriell egendom , samtidigt som den i teorin begränsar den federala jurisdiktionen till fall "med ett övertygande federalt intresse - dvs där datorer från den federala regeringen eller vissa finansiella institutioner är inblandade eller där själva brottet är mellanstatlig natur", men dess breda definitioner har spridit över i avtalsrätten (se "Skyddad dator", nedan). Förutom att ändra ett antal av bestämmelserna i det ursprungliga avsnittet 1030 kriminaliserade CFAA även ytterligare datorrelaterade handlingar. Bestämmelser behandlade distributionen av skadlig kod och överbelastningsattacker . Kongressen inkluderade också i CFAA en bestämmelse som kriminaliserade handel med lösenord och liknande föremål.

Sedan dess har lagen ändrats ett antal gånger – 1989, 1994, 1996, 2001 av USA PATRIOT Act , 2002, och 2008 av Identity Theft Enforcement and Restitution Act. Med varje lagändring utvidgades de typer av beteenden som föll inom dess räckvidd.

I januari 2015 föreslog president Barack Obama att utvidga CFAA och RICO-lagen i sitt förslag om modernisering av brottsbekämpande myndigheter för att bekämpa cyberbrottslighet. DEF CON- arrangören och Cloudflare -forskaren Marc Rogers, senator Ron Wyden och representanten Zoe Lofgren uttalade motstånd mot detta med motiveringen att det skulle göra många vanliga internetaktiviteter olagliga och flyttade längre bort från vad de försökte åstadkomma med Aarons lag . [ behöver uppdateras ]

Skyddade datorer

De enda datorer som i teorin omfattas av CFAA definieras som " skyddade datorer ". De definieras enligt avsnitt   18 USC § 1030(e)(2) för att betyda en dator:

  • uteslutande för användning av en finansiell institution eller USA:s regering, eller någon dator, när beteendet som utgör brottet påverkar datorns användning av eller för finansinstitutet eller regeringen; eller
  • som används i eller påverkar mellanstatlig eller utländsk handel eller kommunikation, inklusive en dator utanför USA som används på ett sätt som påverkar mellanstatlig eller utländsk handel eller kommunikation i USA ...

I praktiken har vilken vanlig dator som helst fallit under lagens jurisdiktion, inklusive mobiltelefoner, på grund av den mellanstatliga karaktären hos de flesta Internetkommunikationer.

Brott enligt lagen

(a) Vem som helst—

(1) medvetet ha åtkomst till en dator utan auktorisation eller överskridande av auktoriserad åtkomst, och genom sådant beteende ha erhållit information som har bestämts av Förenta staternas regering i enlighet med en verkställande order eller stadga för att kräva skydd mot obehörigt avslöjande av nationella skäl försvars- eller utrikesförbindelser, eller eventuella begränsade uppgifter, enligt definitionen i punkt y. i avsnitt 11 i Atomic Energy Act från 1954, med anledning att tro att sådan information som erhållits på detta sätt skulle kunna användas till skada för Förenta staterna eller till fördel för någon främmande nation som avsiktligt kommunicerar, levererar, sänder eller orsakar kommunicerat, levererat eller sänt, eller försöker kommunicera, leverera, överföra eller låta överföras, levereras eller överföras detsamma till någon person som inte har rätt att ta emot det, eller avsiktligt behåller detsamma och underlåter att leverera det till tjänstemannen eller anställd i USA som har rätt att ta emot det;
(2) avsiktligt åtkomst till en dator utan auktorisation eller överskrider behörig åtkomst, och därigenom erhåller—
(A) information som finns i en finansiell register över ett finansinstitut eller hos en kortutgivare enligt definitionen i avsnitt 1602 (n) [1] i titeln 15, eller finns i en fil från en konsumentrapporteringsbyrå om en konsument, som sådana termer definieras i Fair Credit Reporting Act (15 USC 1681 et seq.);
(B) information från någon avdelning eller byrå i USA; eller
(C) information från någon skyddad dator;
(3) avsiktligt, utan tillstånd att få åtkomst till någon icke-offentlig dator från en avdelning eller byrå i USA, åtkomst till en sådan dator från den avdelningen eller byrån som uteslutande är avsedd att användas av USA:s regering eller, i fallet med en dator som inte enbart är för sådan användning, används av eller för USA:s regering och sådant beteende påverkar denna användning av eller för USA:s regering;
(4) medvetet och med avsikt att bedrägera, kommer åt en skyddad dator utan tillstånd, eller överskrider behörig åtkomst, och genom sådant beteende främjar det avsedda bedrägeriet och erhåller något av värde, såvida inte föremålet för bedrägeriet och det som erhållits endast består av av användningen av datorn och värdet av sådan användning inte är mer än 5 000 USD under en 1-årsperiod;
(5)
(A) medvetet orsakar överföring av ett program, information, kod eller kommando, och som ett resultat av sådant beteende, avsiktligt orsakar skada utan tillstånd till en skyddad dator;
(B) avsiktligt kommer åt en skyddad dator utan tillstånd, och som ett resultat av sådant beteende, vårdslöst orsakar skada; eller
(C) avsiktligt kommer åt en skyddad dator utan tillstånd, och som ett resultat av sådant beteende orsakar skada och förlust.
(6) medvetet och med avsikt att lura trafik (enligt definitionen i avsnitt 1029) med lösenord eller liknande information genom vilken en dator kan nås utan tillstånd, om— (A)
sådan handel påverkar mellanstatlig eller utländsk handel; eller
(B) sådan dator används av eller för USA:s regering;
(7) med avsikt att pressa någon person ut pengar eller annat värdefullt, sänder i mellanstatlig eller utländsk handel all kommunikation som innehåller något: (A)
hot om att orsaka skada på en skyddad dator;
(B) hot om att erhålla information från en skyddad dator utan auktorisation eller utöver behörighet eller att försämra sekretessen för information som erhållits från en skyddad dator utan tillstånd eller genom att överskrida behörig åtkomst; eller
(C) begära eller begära pengar eller annat av värde i samband med skada på en skyddad dator, där sådan skada orsakats för att underlätta utpressningen

Specifika avsnitt

Uppmärksammade ärenden och beslut som hänvisar till lagen

Computer Fraud and Abuse Act är både en straffrättslig lag och en lag som skapar en privat rätt att vidta åtgärder som tillåter ersättning och föreläggande eller annan rättvis lättnad till alla som skadats av en överträdelse av denna lag. Dessa bestämmelser har gjort det möjligt för privata företag att stämma illojala anställda för skadestånd för förskingring av konfidentiell information ( företagshemligheter) .

Kriminalfall

  • United States v. Morris (1991) , 928 F.2d 504 (2d Cir. 1991), avgjordes den 7 mars 1991. Efter utgivningen av Morris-masken , en tidig datormask , dömdes dess skapare enligt lagen för att ha orsakat skada och få obehörig åtkomst till datorer av "federalt intresse". Lagen ändrades 1996, delvis för att förtydliga ett språk vars innebörd var omtvistad i målet.
  • USA v. Lori Drew, 2009. Fallet med nätmobbning som involverade självmord av en flicka som trakasserades på MySpace . Avgifterna var under 18 USC 1030(a)(2)(c) och (b)(2)(c). Domare Wu beslutade att användningen av   18 USC § 1030(a)(2)(C) mot någon som bryter mot ett serviceavtal skulle göra lagen alltför vid. 259 FRD 449
  • United States v. Rodriguez, 2010. The Eleventh Circuit Court of Appeals beslutade att en anställd från Social Security Administration hade brutit mot CFAA när han använde en SSA-databas för att leta upp information om personer han kände personligen.
  • United States v. Collins et al , 2011. En grupp män och kvinnor kopplade till kollektivet Anonymous undertecknade ett överklagande om anklagelser om att ha konspirerat för att störa åtkomsten till betalningswebbplatsen PayPal som svar på betalningsavstängningen till WikiLeaks över Wau Holland Foundation som var en del av en bredare anonym kampanj, Operation Payback . De blev senare kända under namnet PayPal 14.
  • USA v. Aaron Swartz , 2011. Aaron Swartz påstås ha gått in i en MIT-kabelskåp och installerat en bärbar dator för att massnedladda artiklar från JSTOR . Han påstås ha undvikit olika försök från JSTOR och MIT för att stoppa detta, såsom MAC-adressförfalskning . Han åtalades för brott mot CFAA:s bestämmelser (a)(2), (a)(4), (c)(2)(B)(iii), (a)(5)(B) och (c)(4) )(A)(i)(I),(VI). Fallet lades ner efter att Swartz begick självmord i januari 2013.
  • United States v. Nosal , 2011. Nosal och andra påstås ha åtkomst till en skyddad dator för att ta en databas med kontakter från sin tidigare arbetsgivare för användning i sin egen verksamhet, vilket bryter mot 1030(a)(4). Det här var ett komplext fall med flera resor till den nionde kretsen, som slog fast att brott mot en webbplatss användarvillkor inte är ett brott mot CFAA. Han dömdes 2013. 2016 beslutade Ninth Circuit att han hade agerat "utan auktorisation" när han använde användarnamnet och lösenordet för en nuvarande anställd med deras samtycke och bekräftade sin övertygelse. Högsta domstolen avböjde att pröva fallet.
  • United States v. Peter Alfred-Adekeye 2011. Adekeye påstås ha brutit mot (a)(2), när han påstås ha laddat ner CISCO IOS, påstås något som CISCO-anställda som gav honom ett åtkomstlösenord inte tillåtit. Adekeye var vd för Multiven och hade anklagat CISCO för konkurrensbegränsande metoder.
  • United States v Sergey Aleynikov , 2011. Aleynikov var programmerare på Goldman Sachs anklagad för att ha kopierat kod, som högfrekvent handelskod , påstås ha brutit mot 1030(a)(2)(c) och 1030(c)(2)( B)i–iii och 2. Detta åtal lades senare ned och han åtalades i stället för stöld av företagshemligheter och transport av stulen egendom.
  • USA mot Nada Nadim Prouty , c. 2010 . Prouty var en FBI- och CIA-agent som åtalades för att ha ett bedrägligt äktenskap för att få amerikansk uppehållstillstånd. Hon hävdar att hon förföljdes av en amerikansk advokat som försökte få mediebevakning genom att kalla henne en terroristagent och bli befordrad till en federal domare.
  • USA v. Neil Scott Kramer, 2011. Kramer var ett rättsfall där en mobiltelefon användes för att tvinga en minderårig att ha sex med en vuxen. Centralt i fallet var huruvida en mobiltelefon utgjorde en datorenhet. I slutändan fann USA:s appellationsdomstol för den åttonde kretsen att en mobiltelefon kan betraktas som en dator om "telefonen utför aritmetiska, logiska och lagringsfunktioner", vilket banar väg för hårdare konsekvenser för brottslingar som engagerar sig med minderåriga över mobiltelefoner.
  • United States v. Kane , 2011. Att utnyttja ett programvarufel i en pokermaskin utgör inte hacking eftersom pokermaskinen i fråga inte kunde utgöra en " skyddad dator " enligt stadgan (eftersom pokermaskinen i fråga inte visade något tangentiellt förhållande till mellanstatlig handel ) och eftersom sekvensen av knapptryckningar som utlöste buggen ansågs ha "inte överskridit deras behöriga åtkomst." Från och med november 2013 står den tilltalade fortfarande inför ett regelbundet åtal för bedrägeri .
  • United States v. Valle, 2015. The Second Circuit Court of Appeals upphävde en fällande dom mot en polis som hade använt en polisdatabas för att leta upp information om kvinnor som han kände personligen.
  • Van Buren v. USA, 2020. En polisman i Georgia fångades i en FBI sting operation med sin auktoriserade tillgång till en registreringsskyltdatabas för att kontrollera identiteten på en person för kontant betalning, ett "olämpligt syfte". Tjänstemannen dömdes och dömdes till 18 månader enligt CFAA §1030(a)(2). Även om han överklagade sin fällande dom på grundval av att det "olämpliga syftet" inte var att "överskrida auktoriserad tillgång", vidhöll den elfte kretsen fällande domen baserat på prejudikat. Högsta domstolen beslutade i juni 2021 att enligt CFAA, att en person "överskrider auktoriserad åtkomst" till ett datorsystem som de annars har tillgång till när de kommer åt filer och annat innehåll som är förbjudet för de delar av datorsystemet som de var auktoriserade få tillgång till. Deras åsikt begränsade CFAA från att tillämpas på fall där en person får information från områden som de har auktoriserad tillgång till, men använder den informationen av otillbörliga skäl.

Civilmål

  • Theofel v. Farey Jones , 2003 US App. Lexis 17963, beslutade den 28 augusti 2003 (USA:s appellationsdomstol för den nionde kretsen), som ansåg att användningen av en civil stämning som är "uppenbart olaglig", "i ond tro" eller "åtminstone grov vårdslöshet" för att få tillgång till till lagrad e-post är ett brott mot både CFAA och Stored Communications Act .
  • International Airport Centers, LLC v. Citrin , 2006,   18 USC § 1030(a)(5)(A)(i) , där Seventh Circuit Court of Appeals beslutade att Jacob Citrin hade brutit mot CFAA när han raderade filer från sin företagets dator innan han slutade, för att dölja påstått dåligt beteende medan han var anställd.
  • LVRC Holdings v. Brekka , 2009 1030(a)(2), 1030(a)(4), där LVRC stämde Brekka för att ha tagit information om kunder och använt den för att starta sitt eget konkurrerande företag. Den nionde kretsen slog fast att en anställd kommer åt en företagsdator för att samla information för sina egna syften inte bryter mot CFAA bara för att den personliga användningen var negativ för arbetsgivarens intressen.
  • Craigslist v. 3Taps , 2012. 3Taps anklagades av Craigslist för att ha brutit mot CFAA genom att kringgå ett IP-block för att komma åt Craigslists webbplats och skrapa dess klassificerade annonser utan samtycke. I augusti 2013 fann den amerikanska federala domaren att 3Taps agerande bröt mot CFAA och att det riskerar civilrättsligt skadestånd för "obehörig åtkomst". Domare Breyer skrev i sitt beslut att "den genomsnittliga personen inte använder " anonyma proxyservrar " för att kringgå ett IP-block som upprättats för att upprätthålla ett förbud som kommunicerats via personligt adresserat brev om att upphöra och avstå " . Han noterade också "Kongressen visste tydligen hur man begränsar CFAA:s räckvidd till endast vissa typer av information, och den uppskattade skillnaden mellan allmänhet och icke-offentlig - men [det relevanta avsnittet] innehåller inga sådana begränsningar eller modifierare."
  • Lee v. PMSI, Inc., 2011. PMSI, Inc. stämde den tidigare anställde Lee för att ha brutit mot CFAA genom att surfa på Facebook och kolla personlig e-post i strid med företagets policy för acceptabel användning . Domstolen fann att brott mot en arbetsgivares policy för acceptabel användning inte var "obehörig åtkomst" enligt lagen och därför inte bröt mot CFAA.
  • Sony Computer Entertainment America mot George Hotz och Hotz mot SCEA, 2011. SCEA stämde "Geohot" och andra för att ha jailbreakat PlayStation 3-systemet. Stämningen hävdade bland annat att Hotz brutit mot   18 USC § 1030(a)(2)(c) ( [genom] att ta information från vilken skyddad dator som helst ). Hotz förnekade ansvar och bestred domstolens utövande av personlig jurisdiktion över honom. Parterna förlikade sig utanför domstol. Förlikningen gjorde att Geohot inte kunde hacka PlayStation 3- systemet lagligt.
  • Pulte Homes, Inc. v. Laborers' International Union 2011. Pulte Homes väckte en CFAA-process mot Laborers' International Union of North America (LIUNA). Efter att Pulte sparkat en anställd representerad av facket uppmanade LIUNA medlemmar att ringa och skicka e-post till företaget och uttrycka sina åsikter. Som ett resultat av den ökade trafiken kraschade företagets e-postsystem .
  • Facebook v. Power Ventures och Vachani , 2016. Ninth Circuit Court of Appeals beslutade att CFAA kränktes när Facebooks servrar fick åtkomst trots en IP-blockering och upphörande och avstår order.
  • HiQ Labs v. LinkedIn, 2019. Den nionde kretsöverdomstolen beslutade att det inte är ett brott mot CFAA att skrapa en offentlig webbplats utan godkännande av webbplatsens ägare. Ett överklagande från Högsta domstolen väntar.
  • Sandvig v. Barr , 2020. Federal District Court of DC beslutade att CFAA inte kriminaliserar brott mot en webbplatss användarvillkor.

Kritik

Det har förekommit straffrättsliga fällande domar för brott mot CFAA inom ramen för civilrätt, för avtalsbrott eller brott mot tjänstevillkor . Många vanliga och obetydliga onlinehandlingar, såsom lösenordsdelning och upphovsrättsintrång, kan förvandla ett CFAA- brott till ett brott . Straffen är stränga, liknande domar för försäljning eller import av droger, och kan vara oproportionerliga . Åklagare har använt CFAA för att skydda privata affärsintressen och för att skrämma frikulturaktivister, för att avskräcka oönskat men lagligt beteende.

Ett sådant exempel angående lagens hårdhet visades i USA vs Tyler King, där King vägrade initiala erbjudanden från regeringen om inblandning i en konspiration för att "få obehörig tillgång" till ett datorsystem för ett litet företag som en före detta flickvän till King arbetade för. Hans roll, även om han inte var direkt involverad, resulterade i 6,5 års fängelse. Något ekonomiskt motiv fastställdes inte. En ideell organisation startades för att förespråka ytterligare hårdhet mot andra som drabbats av den breda lagen.

Tim Wu kallade CFAA "den värsta lagen inom teknik".

Professorn i juridik Ric Simmons noterar att många bestämmelser i CFAA bara kombinerar identiskt språk med redan existerande federala lagar med "elementet av "åtkomst till en skyddad dator utan auktorisation eller [genom att överskrida] auktoriserad åtkomst." vilket betyder att "CFAA endast tillhandahåller en extra avgift för åklagare att ta ut om den tilltalade använde en dator när han begick brottet." Professor Joseph Olivenbaum har på liknande sätt kritiserat CFAA:s "datorspecifika tillvägagångssätt" och noterat både risken för redundans och resulterande definitionsproblem.

CFAA uppvisar alltmer verkliga hinder för journalister att rapportera berättelser som är viktiga för allmänhetens intresse. I takt med att datajournalistik alltmer blir "ett bra sätt att komma till sanningen . . . i denna era efter sanningen”, som en datajournalist sa till Google, ökar behovet av ytterligare klarhet kring CFAA.

Aaron Swartz

Regeringen kunde väcka sådana oproportionerliga anklagelser mot Aaron på grund av den breda räckvidden av Computer Fraud and Abuse Act (CFAA) och wire fraud-stadgan. Det ser ut som att regeringen använde den vaga formuleringen av dessa lagar för att hävda att brott mot en onlinetjänsts användaravtal eller användarvillkor är ett brott mot CFAA och lagen om wire bedrägeri.

Att använda lagen på detta sätt skulle kunna kriminalisera många vardagliga aktiviteter och möjliggöra ovanligt stränga straff.

När våra lagar behöver ändras har kongressen ett ansvar att agera. Ett enkelt sätt att korrigera denna farliga juridiska tolkning är att ändra CFAA och stadgarna för wire bedrägerier för att utesluta överträdelser av tjänstevillkor. Jag kommer att lägga fram ett lagförslag som gör just det.

— Rep. Zoe Lofgren , 15 januari 2013

I kölvattnet av åtalet och det efterföljande självmordet av Aaron Swartz (som använde ett manus för att ladda ner vetenskapliga forskningsartiklar utöver vad JSTORs användarvillkor tillät), föreslog lagstiftare att lagen om datorbedrägeri och missbruk skulle ändras. Representanten Zoe Lofgren utarbetade ett lagförslag som skulle bidra till att "förhindra att det som hände Aaron händer med andra internetanvändare". Aarons lag ( HR 2454 , S. 1196 ) skulle utesluta överträdelser av tjänstevillkor från 1984 års Computer Fraud and Abuse Act och från wire fraud-stadgan.

Utöver Lofgrens insatser ställde representanterna Darrell Issa och Jared Polis (även i husets rättsutskott ) frågor omedelbart efter Swartz död angående regeringens hantering av ärendet. Polis kallade anklagelserna "löjliga och trumfiga", och hänvisade till Swartz som en "martyr". Issa, ordförande för House Oversight Committee , tillkännagav en utredning av justitiedepartementets åtal.

I maj 2014 hade Arons lag stannat i kommittén. Filmskaparen Brian Knappenberger hävdar att detta inträffade på grund av Oracle Corporations ekonomiska intresse av att upprätthålla status quo.

Aarons lag återinfördes i maj 2015 ( HR 2454 , S. 1030 ) och stannade igen. Det har inte skett någon ytterligare introduktion av relaterade räkningar [ från och med? ] .

Ändringshistorik

2008

  • Eliminerade kravet på att information måste ha stulits via en mellanstatlig eller utländsk kommunikation, vilket utökade jurisdiktionen för fall som involverade stöld av information från datorer;
  • Eliminerade kravet på att svarandens agerande måste resultera i en förlust som överstiger 5 000 USD och skapade ett grovt brott där skadan drabbar tio eller fler datorer, vilket täpper till en lucka i lagen;
  •   Utökad 18 USC § 1030(a)(7) för att kriminalisera inte bara explicita hot att orsaka skada på en dator, utan också hot att (1) stjäla data på ett offers dator, (2) offentligt avslöja stulen data eller (3) inte reparera skada som gärningsmannen redan har orsakat på datorn;
  • Skapat ett brott för att ha konspirerat för att begå ett dataintrång enligt avsnitt 1030;
  •   Breddade definitionen av "skyddad dator" i 18 USC § 1030(e)(2) till full utsträckning av kongressens handelskraft genom att inkludera de datorer som används i eller påverkar mellanstatlig eller utländsk handel eller kommunikation; och
  • Tillhandahöll en mekanism för civil och straffrättslig förverkande av egendom som används i eller härrör från paragraf 1030 överträdelser.

Populärkultur

CFAA nämns i avsnitt 8, säsong 3 av AMC-serien Halt and Catch Fire .

CFAA nämns i akt II i videospelet Inscryption (2021)

Se även

externa länkar

Hämtad från " https://en.wikipedia.org/w/index.php?title=Computer_Fraud_and_Abuse_Act&oldid=1137652815 "