Procesowe pozyskiwanie danych w sprawach cyberprzestępczości

Wielkość: px

Rozpocząć pokaz od strony:

Download "Procesowe pozyskiwanie danych w sprawach cyberprzestępczości"

Iwona Szczepańska
4 lat temu
Przeglądów:

1 XI Konferencja Naukowa Bezpieczeostwo w Internecie. Analityka danych Procesowe pozyskiwanie danych w sprawach cyberprzestępczości dr inż. Agnieszka Gryszczyoska Koordynator spraw z zakresu cyberprzestępczości, Wydział I do Spraw Przestępczości Gospodarczej Prokuratury Regionalnej w Warszawie Katedra Prawa Informatycznego, Wydział Prawa i Administracji, Uniwersytet Kardynała Stefana Wyszyoskiego w Warszawie

3 W polskim postępowaniu karnym do zbierania dowodów elektronicznych (cyfrowych) odnoszą się w szczególności: art. 218, 218a, 236a i 241 KPK Art. 236a Przepisy rozdziału niniejszego *Rozdział 25. Zatrzymanie rzeczy. Przeszukanie] stosuje się odpowiednio do dysponenta i użytkownika urządzenia zawierającego dane informatyczne lub systemu informatycznego, w zakresie danych przechowywanych w tym urządzeniu lub systemie albo na nośniku znajdującym się w jego dyspozycji lub użytkowaniu, w tym korespondencji przesyłanej pocztą elektroniczną.

4 Dane (m. in. dane dotyczące ruchu, logi, pliki, korespondencja mailowa, pamięć RAM), informatyczne nośniki danych, urządzenia, systemy służące do przechowywania danych Art. 217 KPK 1. Rzeczy mogące stanowić dowód w sprawie lub podlegające zajęciu w celu zabezpieczenia kar majątkowych, środków karnych o charakterze majątkowym, przepadku, środków kompensacyjnych albo roszczeń o naprawienie szkody należy wydać na żądanie sądu lub prokuratora, a w wypadkach niecierpiących zwłoki - także na żądanie Policji lub innego uprawnionego organu.

5 Art KPK Danych (m. in. dane dotyczące ruchu, logi, pliki, korespondencja mailowa, pamięć RAM), informatyczne nośniki danych, urządzenia, systemy służące do przechowywania danych W celu wykrycia lub zatrzymania albo przymusowego doprowadzenia osoby podejrzanej, a także w celu znalezienia rzeczy mogących stanowid dowód w sprawie lub podlegających zajęciu w postępowaniu karnym, można dokonad przeszukania pomieszczeo i innych miejsc, jeżeli istnieją uzasadnione podstawy do przypuszczenia, że osoba podejrzana lub wymienione rzeczy tam się znajdują.

6 Art. 218 KPK 1. Urzędy, instytucje i podmioty prowadzące działalnośd w dziedzinie poczty lub działalnośd telekomunikacyjną, urzędy celno-skarbowe oraz instytucje i przedsiębiorstwa transportowe obowiązane są wydad sądowi lub prokuratorowi, na żądanie zawarte w postanowieniu, korespondencję i przesyłki oraz dane, o których mowa w art. 180c i art. 180d ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (Dz.U. z 2016 r. poz. 1489, 1579, 1823 i 1948), jeżeli mają znaczenie dla toczącego się postępowania. Tylko sąd lub prokurator mają prawo je otwierad lub zarządzid ich otwarcie. 2. Postanowienie, o Art. którym 180c mowa ust. 1. w Obowiązkiem, 1, doręcza się o którym adresatom mowa korespondencji w art. 180a ust. oraz 1, objęte są abonentowi telefonu lub nadawcy, którego wykaz połączeo lub innych przekazów informacji został Art. 180d wydany. dane Przedsiębiorcy Doręczenie niezbędne telekomunikacyjni do: postanowienia może są obowiązani byd odroczone do zapewnienia na czas warunków oznaczony, niezbędny ze względu na dobro sprawy, lecz nie później niż do czasu prawomocnego dostępu zakooczenia i utrwalania 1) ustalenia postępowania. oraz zakooczenia do udostępniania sieci, telekomunikacyjnego uprawnionym podmiotom, urządzenia a także koocowego, sądowi i prokuratorowi, użytkownika na własny koocowego: koszt, przetwarzanych przez siebie danych, o których mowa w art. 159 ust. 1 pkt a) inicjującego 1 i 3-5, w art. połączenie, 161 oraz w art. 179 ust. 9, związanych ze świadczoną usługą 3. Pozbawioną znaczenia b) do którego dla postępowania kierowane karnego jest połączenie; korespondencję i przesyłki należy niezwłocznie telekomunikacyjną, zwrócid właściwym na urzędom, zasadach instytucjom i przy zachowaniu lub przedsiębiorstwom procedur określonych w przepisach wymienionym w 1. 2) określenia: odrębnych. a) daty i godziny połączenia oraz czasu jego trwania, b) rodzaju połączenia, c) lokalizacji telekomunikacyjnego urządzenia koocowego

7 Art. 241 KPK Przepisy rozdziału niniejszego *Rozdział 26. Kontrola i utrwalanie rozmów+ stosuje się odpowiednio do kontroli oraz do utrwalania przy użyciu środków technicznych treści innych rozmów lub przekazów informacji, w tym korespondencji przesyłanej pocztą elektroniczną.

8 Każdy z etapów zbierania dowodów musi byd dobrze udokumentowany, by pozyskany w ten sposób materiał nie utracił wartości dla śledztwa. Opracowane zostały także międzynarodowe i krajowe standardy zabezpieczania dowodów elektronicznych. Np. zgodnie z Good Practise Guide for Computer Based Electronic Evidence. żadne działania podejmowane przez organy ścigania lub osoby uprawnione do zabezpieczenia materiału dowodowego nie powinny zmieniad danych przechowywanych w komputerze lub na innym nośniku pamięci, ponieważ mogą mied one istotne znaczenie w postępowaniu sądowym. jedynie osoba posiadająca odpowiednie uprawnienia i umiejętności w sytuacji, gdy uzna to za konieczne, ma prawo uzyskad dostęp do oryginalnych danych przechowywanych w komputerze lub na nośniku pamięci, przy czym powinna ona podad powód i cel swoich działao obowiązek udokumentowania wszelkich czynności związanych z uzyskiwaniem i zabezpieczaniem dowodów cyfrowych, co ma na celu umożliwienie w przyszłości niezależnej osobie trzeciej zbadania procesu i osiągnięcia tego samego rezultatu. osoba wykonująca czynności związane z zabezpieczaniem dowodów cyfrowych ponosi całkowitą odpowiedzialnośd za przestrzeganie obowiązujących przepisów prawa i powyższych reguł.

10 Czy żądamy wydania podczas przeszukania?

12 Kilka zagadek Czy żądamy wydania podczas przeszukania?

14 Czy żądamy wydania podczas przeszukania?

15 Czy żądamy wydania podczas przeszukania?

Dodatkowo urządzenie posiada standardowe złącze USB 2.0.

16 Nie zapominajmy również, że odnalezienie podczas przeszukania nośników z danymi może byd trudne z uwagi na rozwój nowych technologii i miniaturyzację nośników Przenośna pamięd pozwala na bezprzewodowy transfer plików dzięki wbudowanemu modułowi Wi-Fi. Dodatkowo urządzenie posiada standardowe złącze USB 2.0. Z dyskiem mogą połączyd się maksymalnie trzy urządzenia w jednym czasie (Źródło: Dysk bezprzewodowy 200 GB / Źródło:

17 Źródło:

18 Co to jest?

19 Jakie dane powinny zostać zgromadzone i poddane analizie? Adresy IP Logi do skrzynek pocztowych Logi do serwerów IP dla transmisji danych wskazanych w odpowiedziach od operatorów telekomunikacyjnych Adresy IP na które rozwiązywały się domeny w określonym czasie Logi do różnych usług Logi do rachunków bankowych

20 Jakie dane powinny zostać zgromadzone i poddane analizie? Połączenia telefoniczne Używane przez sprawców numery telefonów oraz dane bilingowe Numery IMEI w których były używane określone karty Dane BTS Wykorzystywane usługi (np. SMS Serwer logi do usług, sposoby płatności) Uwaga dane od sprzedawców zarejestrowanych numerów telefonów

22 Jakie dane powinny zostać zgromadzone i poddane analizie? Follow The Money - analiza przepływów pieniężnych Dane z banków Dane od operatorów płatności Dane z giełd kryptowalut Analiza blockchain

23 Jakie dane powinny zostać zgromadzone i poddane analizie? Kompleksowa analiza powiązao pomiędzy infrastrukturą wykorzystywaną przez sprawców Wykorzystywane domeny Wykorzystywane hostingi Wykorzystywane VPN Dane podawane podczas rejestracji domen i hostingów w tym zwłaszcza adresy Analiza zawartości kont poczty elektronicznej

30 Dzięki współpracy z NASK udostępniliśmy pokrzywdzonym kluczy do deszyfracji

32 Problemy Zwiększa się różnorodnośd zabezpieczanego sprzętu oraz pozyskiwanych danych. Sprawia to, że w czynności przeszukania niezbędny jest udział biegłego z zakresu informatyki oraz wyspecjalizowanych funkcjonariuszy policji. Wolumen danych sprawia, że niezbędny jest triage (selekcjonowanie nośników danych i danych do zabezpieczenia). Z uwagi na szyfrowanie danych przez sprawców coraz większe znaczenie odgrywa live forensic. Wolumen danych sprawia, że ich procesowa analiza wymaga wsparcia ze strony analityka. W sprawach z zakresu cyberprzestępczości szczególnie przydatne są analizy kompleksowe obrazujące całośd wykorzystywanej przez sprawców infrastruktury, ich komunikację, przepływy pieniężne.

33 XI Konferencja Naukowa Bezpieczeostwo w Internecie. Analityka danych Pytania? a.gryszczynska@uksw.edu.pl

Podobne dokumenty

Dowodowe czynności poszukiwawcze. Mgr Paulina Ogorzałek

Dowodowe czynności poszukiwawcze Mgr Paulina Ogorzałek Czynności dowodowe poszukiwawcze Przeprowadza się je w celu odszukania i ujawnienia śladów (dające się uchwycić i zidentyfikować zmiany w obiektywnej