Non testare i sistemi altrui senza autorizzazione scritta: «buone intenzioni» e «segnalare dopo» non sono motivi per non essere puniti

Costo

Non costa nulla. Prima di partecipare a un programma di segnalazione del vendor (SRC), cioè il centro di risposta alla sicurezza creato dall'azienda, che riceve dall'esterno le falle segnalate, o a un crowdtesting (众测), procurati un documento con l'ambito di autorizzazione, la lista dei target e la fascia oraria consentita. Quando hai verificato che la falla esiste, fermati. Il difficile è rinunciare a quel «ancora un tentativo».

Cosa ci guadagni

Un sistema informatico di un'azienda o di un privato, cioè non riservato allo Stato, alla difesa o alle tecnologie scientifiche d'avanguardia: se vi si intrude o si accede in altro modo ai dati che vi sono conservati, trattati o trasmessi, nei casi gravi la pena è fino a 3 anni di reclusione o detenzione breve (拘役), con multa, o solo multa. Nei casi particolarmente gravi, da 3 a 7 anni con multa. Criteri di «caso grave»: aver ottenuto 10 o più coppie di credenziali di accesso ai servizi finanziari online, come pagamento, regolamento, titoli e futures; 500 o più altre credenziali di autenticazione; il controllo di 20 o più macchine; un profitto illecito di 5.000 CNY o più, o una perdita economica di 10.000 CNY (1 万元) o più. Più di 5 volte queste soglie significa «caso particolarmente grave». Caso guida: la Procura suprema popolare (检例第 36 号) ha stabilito che «usare account e password oltre l'ambito dell'autorizzazione per accedere a un sistema informatico costituisce intrusione». Cioè, anche se le credenziali sono nelle tue mani, usarle fuori dall'autorizzazione è di per sé intrusione. In quel caso tre persone, usando credenziali e token ottenuti sul lavoro, si sono collegate da remoto al sistema interno dell'azienda, hanno scaricato dati fuori dal loro ambito e li hanno venduti online, con un profitto illecito di 37.000 CNY. Le tre persone sono state condannate a 4 anni, 3 anni e 9 mesi e 4 anni, con una multa di 40.000 CNY (4 万元) ciascuna (in tutta la Cina).

Note

Il caso guida n. 36 riguarda la vendita di dati a scopo di lucro. Lo cito solo per la frase «l'accesso oltre l'autorizzazione è intrusione», non perché un test in buona fede venga punito allo stesso modo. Le tue intenzioni e la segnalazione a posteriori non cancellano il reato: possono solo incidere sulla gravità della pena o sulla decisione di perseguire. Ringraziare il produttore e segnalare il problema in seguito non si contraddicono, ma i ringraziamenti non equivalgono a un'autorizzazione. Nel 2016 un «white hat» (白帽子) ha inviato a una piattaforma terza una falla del sito Shijijiayuan (世纪佳缘); in seguito il sito ha sporto denuncia e lui è stato arrestato. Shijijiayuan ha dichiarato ai giornalisti che la denuncia era dovuta al furto di dati, senza sapere che il responsabile era chi aveva segnalato la falla. Il caso è noto solo dalla stampa: non ci sono sentenza né comunicato ufficiale, quindi l'esito non è noto. Sui siti ufficiali di Corte suprema e Procura suprema non ho trovato casi di test in buona fede da citare alla lettera: la classificazione si basa solo sulle norme e sulle soglie di pena. Per testare, usa il programma SRC pubblico del vendor, o una valutazione con incarico scritto, con ambito, obiettivi e finestra temporale messi per iscritto. Per dimostrare la falla, usa la minima quantità di prove, senza estrarre dati in massa. Anche chi non commette reato subisce sanzioni per la pubblica sicurezza (治安处罚) e il divieto di svolgere il settore; multe e anni di pena seguono quelli del §11.8 (non eseguire programmi propri su macchine altrui). Su cosa fare dopo aver trovato una falla, vedi §11.10 (segnalare le falle secondo le regole).

Livello delle prove

A : Numeri precisi da meta-analisi, grandi studi di coorte o studi randomizzati; per leggi e politiche, il testo ufficiale.

Fonti

1. 全国人大 (2020). 刑法（根据刑法修正案（十一）修正，第二百八十五条第一款、第二款）. https://jtgl.beijing.gov.cn/jgj/jgxx/flfg/fl/11033925/index.html
2. 最高人民法院、最高人民检察院 (2011). 关于办理危害计算机信息系统安全刑事案件应用法律若干问题的解释（第一条）. https://ga.sz.gov.cn/ZWGK/ZCFG/ZCJD/content/post_1304363.html（深圳市公安局转载）
3. 最高人民检察院 (2017). 第九批指导性案例（检例第 36 号，卫梦龙、龚旭、薛东东非法获取计算机信息系统数据案）. https://www.spp.gov.cn/spp/jczdal/201710/t20171017_202593.shtml
4. 央广网 (2016-06-29). 白帽子发布漏洞后被抓 世纪佳缘否认“钓鱼”使其上套（记者赵珂，实习记者刘香玺）. https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html（网页存档 https://web.archive.org/web/20261005043859/https://m.cnr.cn/news/yctt/20160629/t20160629_522531823.html）

Tradotto dall’originale cinese. Libro originale, sezione 11, consiglio 9. Questa sezione descrive regole giuridiche, soprattutto della Cina continentale. Sono informazioni generali, non un parere legale. Il contenuto può essere superato e le regole cambiano da luogo a luogo. Per una pratica, una visita medica o una causa, segui quello che dicono l’ente, il medico o l’avvocato. Avvertenze