Cyberprzestępstwo to każdy czyn zabroniony popełniony z użyciem sieci komputerowej lub przeciwko systemom informatycznym. Rozumienie tego zjawiska pozwala skutecznie chronić siebie i swoje dane.

Definicja cyberprzestępstwa i jego podstawy prawne

Cyberprzestępstwo to czyn zabroniony, w którym komputer lub sieć służy jako narzędzie, cel ataku albo środowisko jego popełnienia.

Przestępstwa informatyczne nie są jednorodną kategorią. Obejmują zarówno włamania do systemów, jak i oszustwa internetowe, kradzież tożsamości, szpiegostwo cyfrowe czy sabotaż infrastruktury. Polskie prawo karne reguluje tę sferę przede wszystkim w rozdziale XXXIII Kodeksu karnego (art. 267-269b KK), choć przepisy dotyczące cyberprzestępczości są rozproszone po całej ustawie.

Punktem odniesienia dla ustawodawców na całym świecie pozostaje Konwencja Rady Europy o cyberprzestępczości z 2001 roku (tzw. Konwencja Budapeszteńska). Polska ratyfikowała ją w 2015 roku. Konwencja dzieli przestępstwa informacyjne i cyfrowe na cztery grupy: naruszenia poufności, integralności i dostępności danych; przestępstwa związane z komputerami; przestępstwa dotyczące treści; oraz naruszenia praw autorskich.

Warto znać konkretne przepisy, bo to one wyznaczają granicę między zachowaniem legalnym a przestępczym:

art. 267 KK: nieuprawniony dostęp do informacji (hacking)
art. 268 KK: niszczenie lub utrudnianie dostępu do danych informatycznych
art. 269 KK: sabotaż komputerowy wobec infrastruktury o szczególnym znaczeniu
art. 269a KK: zakłócanie pracy systemu komputerowego (w tym ataki DDoS)
art. 269b KK: wytwarzanie i obrót narzędziami do popełniania przestępstw komputerowych
art. 287 KK: oszustwo komputerowe (fałszowanie danych w celu uzyskania korzyści majątkowej)

Art. 287 KK jest jednym z najczęściej stosowanych przepisów w sprawach dotyczących fraudów online. Penalizuje on wpływanie na automatyczne przetwarzanie danych bez uprawnienia w celu osiągnięcia korzyści majątkowej.

Rodzaje cyberprzestępstw i narzędzia sprawców

Cyberprzestępcy łączą ataki techniczne z manipulacją psychologiczną, posługując się malwarem, phishingiem i inżynierią społeczną.

Złośliwe oprogramowanie i ataki techniczne

Malware, ransomware i spyware to główne kategorie złośliwego oprogramowania, z których każda służy innemu celowi przestępczemu.

Malware to szerokie pojęcie obejmujące wszelkie programy zaprojektowane w celu szkodzenia użytkownikowi lub systemowi. Ransomware szyfruje pliki ofiary i żąda okupu za ich odblokowanie. Szczególnie głośne były ataki kampanii WannaCry (2017) i NotPetya, które sparaliżowały tysiące organizacji na całym świecie. Spyware działa w ukryciu, zbierając dane o aktywności użytkownika, hasła i informacje finansowe.

Ataki DDoS (Distributed Denial of Service) polegają na zasypaniu serwera ogromną liczbą żądań, co prowadzi do jego przeciążenia i niedostępności usługi. Są one często narzędziem zarówno cyberprzestępców działających dla zysku, jak i grup prowadzących cyberwojenę na zlecenie państw.

Phishing i inżynieria społeczna

Phishing i inżynieria społeczna uderzają w słabości psychologiczne człowieka, a nie w luki techniczne, przez co są groźne niezależnie od zabezpieczeń.

Phishing to rozsyłanie wiadomości podszywających się pod zaufane instytucje (banki, urzędy, firmy kurierskie) w celu wyłudzenia danych logowania lub pieniędzy. Według raportu CERT Polska za 2024 rok phishing stanowił największą kategorię obsługiwanych incydentów, a liczba zgłoszeń przekroczyła 34 tysiące. Spear phishing to jego celowana odmiana, skierowana do konkretnej osoby lub organizacji, oparta na wcześniejszym rekonesansie.

Mechanizm psychologiczny działania oszustów jest dobrze zbadany. Cyberprzestępcy świadomie wywołują FOMO (fear of missing out), presję czasową ("Twoje konto zostanie zablokowane za 24 godziny") i strach przed konsekwencjami. Te emocje dezaktywują krytyczne myślenie i skłaniają ofiarę do działania bez weryfikacji. Badania z zakresu psychologii decyzji pokazują, że pod wpływem silnego stresu czasowego odsetek błędnych decyzji rośnie nawet o 40%. Dlatego ofiarami phishingu padają nie tylko osoby mniej techniczne, lecz także eksperci, gdy są zmęczeni lub działają w pośpiechu.

Skala cyberprzestępczości w Polsce i profil ofiary

CERT Polska odnotował w 2024 roku ponad 80 tysięcy zgłoszonych incydentów, co oznacza wzrost o około 18% względem roku poprzedniego.

Przestępczość komputerowa w Polsce rośnie w tempie kilkunastu procent rok do roku. Dane CBZC za 2023 rok wskazują na ponad 100 tysięcy przestępstw zarejestrowanych z użyciem cyberprzestrzeni. Straty finansowe Polaków z tytułu oszustw internetowych szacowane są na setki milionów złotych rocznie.

Profil ofiary jest bardziej zróżnicowany, niż powszechnie się sądzi. Choć osoby starsze są nieproporcjonalnie często celem oszustw telefonicznych i cyfrowych odmian metody "na wnuczka", to młodzi dorośli w wieku 18-34 lat najczęściej padają ofiarą phishingu i oszustw na platformach sprzedażowych. Sektory szczególnie narażone to ochrona zdrowia, administracja publiczna oraz małe i średnie przedsiębiorstwa, które rzadko dysponują dedykowanymi zespołami bezpieczeństwa IT.

Po drugiej stronie barykady obraz jest równie złożony. Cyberprzestępcy dzielą się na kilka kategorii:

zorganizowane grupy przestępcze działające jak korporacje, z podziałem ról i specjalizacjami
państwowi aktorzy (APT, Advanced Persistent Threat) działający na zlecenie rządów
script kiddies, czyli osoby bez zaawansowanych umiejętności, korzystające z gotowych narzędzi kupionych w dark webie
insiderzy, czyli pracownicy działający na szkodę własnej organizacji

Cyberprzestępczość jako usługa (Crime-as-a-Service)

Crime-as-a-Service to model dark webu, w którym gotowe narzędzia hakerskie kupuje się jak abonament, bez potrzeby posiadania wiedzy technicznej.

To jeden z najważniejszych trendów, o którym milczy większość popularnych artykułów o cyberprzestępczości. Dark web funkcjonuje jak czarny rynek z rozbudowaną infrastrukturą: recenzjami sprzedawców, systemami escrow i obsługą klienta. Można tam kupić gotowy zestaw do phishingu (phishing kit) za kilkadziesiąt dolarów, wynająć botnet do przeprowadzenia ataku DDoS, zamówić ransomware w modelu RaaS (Ransomware-as-a-Service) z podziałem zysku między twórcę a "dystrybutora", a nawet zlecić kradzież konkretnych danych.

CaaS sprawia, że do przeprowadzenia poważnego ataku nie są już potrzebne zaawansowane umiejętności techniczne. Wystarczy budżet i dostęp do odpowiednich forów. To wyjaśnia eksplozję liczby incydentów przy jednoczesnym obniżeniu średniego profilu technicznego sprawcy. Dla organizacji oznacza to, że zagrożenie pochodzi dziś nie tylko od wyspecjalizowanych grup APT, lecz również od przypadkowych sprawców działających na zamówienie.

Co grozi za cyberprzestępstwo w Polsce?

Za cyberprzestępstwa w Polsce grożą kary od grzywny do 10 lat pozbawienia wolności, zależnie od rodzaju czynu i wysokości wyrządzonej szkody.

Kary przewidziane w polskim Kodeksie karnym za przestępstwo komputerowe są zróżnicowane. Nieuprawniony dostęp do systemu (art. 267 KK) zagrożony jest karą grzywny, ograniczenia wolności albo pozbawienia wolności do lat 2. Jeśli sprawca uzyskał dostęp do całości systemu lub sieci komputerowej, kara wzrasta do 3 lat pozbawienia wolności.

Sabotaż komputerowy wobec infrastruktury krytycznej (art. 269 KK) to zbrodnia zagrożona karą od 6 miesięcy do 8 lat pozbawienia wolności. Oszustwo komputerowe z art. 287 KK zagrożone jest karą pozbawienia wolności od 3 miesięcy do 5 lat. Przy mieniu znacznej wartości (powyżej 200 tysięcy złotych) górna granica wzrasta do 10 lat. Wytwarzanie i udostępnianie narzędzi hakerskich (art. 269b KK) grozi karą pozbawienia wolności do lat 3, nawet jeśli sprawca sam nie dokonał ataku.

Oprócz kary głównej sąd może orzec obowiązek naprawienia szkody, przepadek narzędzi przestępstwa oraz zakaz zajmowania określonych stanowisk. W sprawach z elementem transgranicznym polskie organy współpracują z Europolem i Interpolem, a CBZC regularnie uczestniczy w międzynarodowych operacjach rozbijania siatek cyberprzestępczych.

Zgłaszanie cyberprzestępstw odbywa się przez złożenie zawiadomienia na Policję lub do prokuratury, a w sprawach incydentów naruszenia bezpieczeństwa informatycznego przez kontakt z CERT Polska (cert.pl) lub bezpośrednio z CBZC. Czas ma znaczenie: im szybciej zgłoszenie, tym większa szansa na zabezpieczenie śladów cyfrowych i odzyskanie środków.

Przestępstwa informacyjne i cyfrowe dotykają dziś każdego, kto korzysta z Internetu. Zrozumienie mechanizmów działania cyberprzestępców, znajomość przepisów i świadomość własnych zachowań online to pierwsza linia obrony, która nie wymaga ani specjalistycznej wiedzy technicznej, ani dużych nakładów finansowych.

Jeżeli potrzebujesz kontaktu do adwokata z Tczewa, Starogardu Gdańskiego i Gdańska w sprawie karnej:

Kancelaria Adwokacka Cejrowski - TCZEW ul. Słowackiego nr 5/3

GDAŃSK – ul. Latarniana nr 1, STAROGARD GDAŃSKI - ul. Wodna nr 8

Telefon: +48 58 777 55 00 / +48 601 777 072

E-mail: kancelaria@cejrowski.pl