菜单

法律问题,挖矿恶意程序涉嫌危害公共安全

2019年5月18日 - 社会

木马攻击目标向电子货币钱包转移专家认为

业内专家详解非法“挖矿”法律问题

挖矿恶意程序涉嫌危害公共安全

□ 本报记者 杜 晓

□ 本报记者 杜 晓

□ 本报实习生 史伟欣

□ 本报实习生 刘洁琼

工信部发布的2018年第二季度网络安全威胁态势分析与工作综述中提到,腾讯云监测发现,随着“云挖矿”的兴起,云主机成为挖取门罗币、以利币等虚拟货币的主要利用对象,而盗用云主机计算资源进行“挖矿”的情况也显著增多;知道创宇安全团队监测发现,“争夺矿机”已成为僵尸网络扩展的重要目的之一;360企业安全技术团队监测发现一种新型“挖矿”病毒(挖取XMR/门罗币),这种病毒在两个月内疯狂传播,非法“挖矿”获利近百万元人民币。

据《2017年中国手机安全状况报告》介绍,挖矿木马最早是2013年在PC平台上被发现,而首个手机挖矿木马CoinKrypt最早被国外安全厂商在2014年3月曝光。手机挖矿木马经过一阵沉寂后,随着电子加密货币价格一路走高,恶意软件作者又重新将目标转向了挖矿。手机挖矿木马的攻击事件也重回视野。

针对有些用户被“挖矿”木马病毒攻击后有苦难言的问题,北京师范大学法学院教授刘德良认为,“‘挖矿’木马病毒占用他人电脑资源,有可能涉及非法侵入他人电脑的问题。刑法第二百八十五条、第二百八十六条对此已有规定,但这些法条主要针对大规模侵入电脑、服务器的行为,能否适用上述情形还需要针对具体案件具体考虑”。

北京师范大学法学院教授刘德良认为,挖矿木马的危害是多重的,最突出的包括两个方面。首先,木马本身是一种恶意程序,其非法侵入用户的电脑、手机等终端设备,这种非法侵入行为首先侵害了用户对信息存储空间的一种权利。手机、电脑的内存是一种专门用来存储信息的空间,木马侵入之后,本来可以存更多信息的空间却无法再保存信息。其次,木马会进一步窃取个人信息,并进行窥视,然后根据窃取的信息再进一步操纵用户行为或者获取更多信息,以实现牟利的目的。

那么,当电脑被非法“挖矿”木马侵入后,能否适用现行法律维权呢?

《2017年中国手机安全状况报告》认为,“挖矿”的方式大概分为两种,一种是独立挖矿,“矿工”独享收益;二是加入矿池挖矿,按比例分成。由于电子加密货币区块的生成耗时费力,个人难以完成,同时囿于设备性能,大多数“矿工”都选择加入矿池挖矿。挖矿木马的投放者大多是参与矿池挖矿的“矿工”,通过木马远程控制用户设备从而为自己挖矿,牟取利益。

“法律上没有木马这一概念,木马侧重的是一种侵入行为。这种恶意程序是一种手段。侵入不是目的,侵入是为了其他目的,有可能是监视输入信息、开关摄像头、盗取银行密码等有价值的信息。作为一种木马,有着极其严重的危害和极大的威胁。”刘德良说。

对于当前一些网页或者软件被植入挖矿木马的现象,刘德良认为,挖矿木马类恶意程序,一般是以链接的形式被用户点开。用户浏览的网页本身可能就有漏洞,木马程序就藏在这些漏洞里。如果手机或电脑终端没有有效的安全程序,可能在用户还没留意的时候,木马就已经侵入设备。

刘德良认为,从性质上来说,盗用他人电脑资源非法“挖矿”实际是侵权行为。可是,对于使用木马、外挂等程序侵入他人电脑等行为,民法上没有相关规定。

“如果网页上存在木马程序的话,网站或者网页理应要负起更多责任。现在侵权责任法对于网站或者是网页的所有者、经营者有没有安全保障的义务,没有明确规定,在法律和实践层面仍有争议。就网络安全法而言,目前仍无十分明确的规定。未来在网络环境下,网站、网页的所有者是否需要肩负安全保障义务,以便保障给用户提供一个比较安全的浏览环境,我觉得是值得考虑的。”刘德良说。

“根据我的理解,手机、电脑作为存储空间相当于现实里的仓库,类似于空间利用权,这在法律上是有规定的,但针对信息存储空间还是空白。由于理论研究空白还未填补,所以受害人如果想要从民事法律方面寻求保护民事权益实现民事救济,是无法保证的。”刘德良认为,民法层面的空白为受害人维权带来了困难。

《2017年中国手机安全状况报告》分析认为,挖矿木马正朝着三个方向发展:

对于区块链以及以比特币为代表的虚拟货币,刘德良持保守态度:“我们一般意义上理解电子货币是正规发行、用户现金兑换、可以用于购买产品和服务的,但比特币就有所不同了。货币一种是以国家作为信用担保,一种是以企业作为担保。比特币比较特殊,没有国家和企业做担保,在某种情况下可以作为支付凭证,建立在公众的信任之上。当遇到一些重大事件,这种信任就可能失去,一旦信任缺失,前景就很难说了。”

应用盈利模式由广告转向挖矿。

“投资虚拟货币带有投机的意味,甚至在一些国家是不被承认的。在不承认虚拟货币的情况下,投资失败也是不受保护的。但是这和使用木马病毒非法侵入他人电脑不同,木马侵入本质上是违法的。”刘德良说。

“门罗币”成为挖矿币种首选。对于攻击者而言,选择现阶段币种价格相对较高且运算力要求适中的数字货币是其短期内获得较大收益的保障。早期挖矿木马以比特币、莱特币、狗币以及卡斯币(Casinocoin)为主。随着比特币挖矿难度的提高,新型币种不断出现,比特币已经不再是挖矿木马唯一的选择。门罗币首发于2014年4月,发行时间相对较短,现阶段的挖矿木马主要以门罗币作为挖掘目标。

对于非法盗取他人比特币的行为,刘德良认为,“大家通过‘挖矿’想要获得比特币,‘挖矿’类似于赌博投资。如果说这是一场赌博,那比特币就是一种赌资。有人把你的赌资抢走了,他也是违法的,我们不能说因为赌博是违法的,所以就认为抢走赌资就是合法的了”。

“黑客”攻击目标向电子货币钱包转移。由于攻击电子货币钱包能直接获取大量的收益,PC上已出现多起攻击电子货币钱包的木马,通过盗取电子货币私钥或者在付款时更改账户地址等手段实现盗取他人账户下的电子货币。而在Android平台也发现了类似的攻击事件,PickBitPocket木马伪装成比特币钱包应用,且成功上架在Google
Play。其在用户付款时将付款地址替换成攻击者的比特币地址,以此来盗取用户账户下的比特币。

新京葡,鉴于非法“挖矿”受害人维权不仅要面临难以追查木马来源的问题,还面临民法适用难的问题,刘德良建议,“快速找到制作、传播、销售木马病毒的人,需要克服很大的困难。而这种木马病毒可以相应理解为易燃易爆物品、枪支弹药,他们本质上是类似的。针对枪支弹药我国已有特殊管制,而木马程序没有。未来侵权事件一旦发生,在很难找到直接使用者的情况下,制作、传播、销售、使用木马程序的人应承担连带责任。一方面,这算是对木马程序制作传播销售者予以警告,减少木马程序制作、传播、销售的范围;另一方面,相关人员承担连带责任有利于受害人维权”。

面对来势汹汹的挖矿木马,法律该如何发力?

刘德良还认为,要不断完善相关法律以适应飞速发展的信息时代。“因为法律方面的空白,有时候导致受害人难以维权,这也反映了我们对类似事件的性质与危害认识还不够到位。法律工作者应该对此进行充分论证研究,填补法律空白”。

“传播使用恶意程序行为本身是一种违法行为,不仅仅是民法上说的侵权行为,在治安管理处罚法或者刑法上来讲可以构成妨害公共秩序和公共安全的犯罪。从法律上来讲,什么是危害公共安全?公共安全是针对不特定的多个人的人身利益和财产利益的违法或犯罪行为,在网站上挂木马程序的话,因为访问这个网站或者网页的主体是不特定的,是多数的,其实是符合危害公共安全的行为的本质要件,所以从治安管理处罚法和刑法上来讲,都应当把这种行为视为危害公共安全的违法行为或者是犯罪行为。”刘德良说。

刘德良认为,现在的刑法、治安管理处罚法中的有关规定,并没有把传播使用恶意程序当作危害公共安全的行为,而是将其作为妨害社会管理秩序来看待。

“根据刑法第二百八十五条、第二百八十六条,妨害社会管理秩序的行为在刑法里面是最轻的犯罪行为。因为危害公共安全的本质是针对不特定的多人的人身利益和财产利益,木马被放在网站上,这一行为危害多数不特定人的财产利益。虽然主要是针对财产利益,但是也会对一些人格权、隐私权等造成危害。所以,这种行为是对多数人的人身利益、财产利益造成损害。”刘德良说,现行法律把传播使用恶意程序当作妨碍社会管理秩序的行为来看待,处罚力度还不够。

相关文章

发表评论

电子邮件地址不会被公开。 必填项已用*标注

网站地图xml地图