Fraudulent credit card data transmission via phishing and unauthorized access to information systems under special criminal statutes

Efectuarea de operaţiuni financiare în mod fraudulos. Accesul, fără drept, la un sistem informatic

Cuprins pe materii: Drept penal. Partea specială. Infracţiuni prevăzute în legi speciale. Infracţiuni prevăzute în Legea nr. 365/2002. Infracţiuni prevăzute în Legea nr. 161/2003

Indice alfabetic: Drept penal

- efectuarea de operaţiuni financiare în mod fraudulos

- accesul, fără drept, la un sistem informatic

Legea nr. 365/2002, art. 27 alin. (3)

Legea nr. 161/2003, art. 42 alin. (1)

1. Transmiterea neautorizată, la diferite intervale de timp, dar în realizarea aceleiași rezoluţii infracţionale, prin intermediul unui sistem informatic, către mai multe persoane, a datelor de identificare care permit utilizarea unor cărţi de credit, fără consimţământul titularilor acestora, în vederea retragerii de numerar din conturile titularilor, întrunește elementele constitutive ale infracţiunii de efectuare de operaţiuni financiare în mod fraudulos prevăzută în art. 27 alin. (3) din Legea nr. 365/2002, cu aplicarea art. 41 alin. (2) C. pen.

2. Fapta de a crea, la diferite intervale de timp, dar în realizarea aceleiași rezoluţii infracţionale, pagini web după modelul unor website-uri financiare, prin care se solicită clienţilor unor bănci furnizarea unor date confidenţiale de identificare care permit utilizarea cardurilor, pagini postate, fără drept, pe serverele unor firme cu bună reputaţie și trimise la mai multe adrese de e-mail, urmând ca datele cardurilor dezvăluite de către clienţi să fie folosite fără drept, constituie infracţiunea de acces, fără drept, la un sistem informatic prevăzută în art. 42 alin. (1) din Legea nr. 161/2003.

I.C.C.J., Secţia penală, decizia nr. 3574 din 13 octombrie 2011

Prin sentinţa penală nr. 289 din 11 noiembrie 2009 a Tribunalului Suceava s-au hotărât, între altele, următoarele:

A fost condamnat inculpatul S.R. pentru săvârșirea a trei infracţiuni de înșelăciune prevăzute în art. 215 alin. (1) și (3) C. pen., cu aplicarea art. 74 alin. (1) lit. a) și c) raportat la art. 76 alin. (1) lit. e) C. pen., la trei pedepse de câte 3 luni închisoare.

A fost condamnat același inculpat pentru săvârșirea infracţiunii de efectuare de operaţiuni financiare în mod fraudulos prevăzută în art. 27 alin. (3) din Legea nr. 365/2002, cu aplicarea art. 41 alin. (2) C. pen. și art. 74 alin. (1) lit. a) și c) raportat la art. 76 alin. (1) lit. d) C. pen., la pedeapsa de 6 luni închisoare.

A condamnat pe același inculpat pentru săvârșirea infracţiunii de acces, fără drept, la un sistem informatic prevăzută în art. 42 alin. (1) din Legea nr. 161/2003, cu aplicarea art. 41 alin. (2) C. pen. și art. 74 alin. (1) lit. a) și c) raportat la art. 76 alin. (1) lit. e) C. pen., la pedeapsa de 2 luni închisoare.

În temeiul art. 33 lit. a) și art. 34 alin. (1) lit. b) C. pen., s-au contopit pedepsele aplicate în pedeapsa cea mai grea, inculpatul S.R. urmând să execute în final pedeapsa principală de 6 luni închisoare.

În temeiul art. 71 alin. (1) și (2) C. pen., s-au interzis inculpatului S.R. drepturile prevăzute în art. 64 alin. (1) lit. a) teza a II-a și lit. b) C. pen. cu titlu de pedeapsă accesorie.

În temeiul art. 81 C. pen., s-a suspendat condiţionat executarea pedepsei principale aplicate inculpatului S.R. pe durata unui termen de încercare de 2 ani și 6 luni, calculat potrivit art. 82 C. pen., iar în temeiul art. 71 alin. (5) C. pen., s-a suspendat executarea pedepsei accesorii aplicate inculpatului pe durata suspendării condiţionate a executării pedepsei principale.

Pentru a hotărî astfel, Tribunalul Suceava a avut în vedere următoarele:

La data de 20 noiembrie 2003, pe adresa de e-mail a Guvernului României, a fost înaintată sesizarea cetăţeanului britanic A.C. privind faptul că în urma unei vânzări de bunuri, în valoare de 60 USD, efectuată la data de 6 iunie 2003, pe site-ul de licitaţii on line www.ebay.com, a fost indus în eroare de numitul S.R., care a simulat efectuarea plăţii, uzând de o carte de credit ale cărei date aparţineau unei alte persoane, astfel că nu a putut să ridice contravaloarea bunurilor expediate acestuia, tranzacţia fiind anulată.

Efectuându-se verificări la Poșta Română, s-a stabilit că inculpatul S.R. a primit și ridicat până la data de 21 august 2003 un număr de 6 colete, iar din verificările efectuate la Direcţia Regională Vamală Iași a rezultat că a primit până la data de 8 ianuarie 2004 un număr de 18 colete, inclusiv cele 6 colete anterior amintite, expediate din străinătate de diverse persoane, fiind identificate și documentele privind ridicarea, la data de 18 iunie 2003, a coletului ce i-a fost expediat de A.C. În cadrul acestei operaţiuni, a fost identificată și primirea, la data de 18 iunie 2003, a unui colet expediat, la data de 9 iunie 2003, de cetăţeanul american R.C., conţinând o placă video de calculator, în valoare de 300 USD.

La data de 15 septembrie 2004, au fost primite plângerile cetăţenilor americani R.C. și M.B. Cel dintâi, R.C., a învederat faptul că i-a vândut numitului S.R., în cursul lunii iunie 2003, o placă video de calculator în valoare de 300 USD, prin intermediul site-ului de licitaţii on line www.ebay.com, plata urmând a fi făcută prin sistemul Pay Pal, care verifică autenticitatea datelor de card. După expedierea bunului pe adresa de domiciliu a inculpatului, vânzătorul a fost informat de Pay Pal că tranzacţia a fost anulată, deoarece în efectuarea plăţii s-a uzat de o carte de credit în mod fraudulos.

M.B. a reclamat faptul că a dorit să cumpere de pe site-ul de licitaţii www.ebay.com o cameră digitală în valoare de 628 USD, de la un utilizator ce folosea numele de cont dessyder. După perfectarea tranzacţiei, cumpărătorul a trimis banii la data de 30 iunie 2002, pe numele inculpatului S.R., însă acesta din urmă nu i-a mai expediat bunul, conform înţelegerii.

Ca urmare a interceptării și înregistrării comunicaţiilor de date informatice, s-a constatat că inculpatul S.R. a transmis de la o adresă IP, prin intermediul unei adrese ID, mai multor utilizatori date de cărţi de credit, inclusiv date de identificare ale mai multor persoane fizice, în vederea sustragerii disponibilităţilor. Dintre partenerii inculpatului a fost identificat coinculpatul G.A. (condamnat în cauză). Inculpaţii S.R. și G.A. au creat împreună mai multe site-uri web cu aparenţă de autenticitate după modelul unor website-uri financiare cunoscute sub denumirea de pagini scam, prin care se solicitau o serie de date clienţilor unor bănci cunoscute din Marea Britanie și Statele Unite ale Americii, inserând și date confidenţiale, pe care nicio bancă nu le solicită clienţilor, cum ar fi codul PIN, pagini pe care le postau pe serverele unor firme cu bună reputaţie și, ulterior, cu ajutorul unor programe, cunoscute sub numele de mail bombere, trimiteau mesajele - spam - unui număr mare de adrese de e-mail procurate prin diverse metode, urmând ca frauda să se producă ulterior, prin accesarea de către destinatari a link-urilor conţinute în mesaj și care deschideau paginile scam. Dacă utilizatorii se lăsau induși în eroare, își comunicau datele confidenţiale, iar acestea ajungeau la o adresă de e-mail la care aveau acces inculpaţii.

Prin metoda mai sus-amintită, cunoscută sub numele de phishing, cei doi au trimis mesaje tip spam unor persoane din străinătate ce foloseau serviciile on line ale băncilor W. din Statele Unite ale Americii și H. din Marea Britanie. Datele obţinute de la titularii de conturi induși în eroare au fost transmise de cei doi între ei și către alţi utilizatori, în scopul sustragerii disponibilităţilor.

Prin decizia nr. 64 din 12 octombrie 2010, Curtea de Apel Suceava, Secţia penală și pentru cauze cu minori, a respins, ca nefondat, apelul declarat de inculpatul S.R. împotriva sentinţei penale nr. 289 din 11 noiembrie 2009 a Tribunalului Suceava

Împotriva acestei hotărâri, în termen legal, a declarat recurs inculpatul S.R., solicitând achitarea sa pentru toate infracţiunile, în baza art. 11 pct. 2 lit. a) raportat la art. 10 alin. (1) lit. a) C. proc. pen., invocând cazul de casare prevăzut în art. 3859 alin. (1) pct. 18 C. proc. pen.

Înalta Curte de Casaţie și Justiţie, examinând recursul prin prisma motivelor invocate și din oficiu, conform art. 3859 alin. (3) C. proc. pen., îl consideră nefondat, pentru următoarele considerente:

Există o gravă eroare de fapt, în sensul art. 3859 alin. (1) pct. 18 C. proc. pen., atunci când situaţia de fapt, astfel cum a fost reţinută prin hotărârea atacată, este contrară actelor și probelor dosarului.

Pentru a fi reţinută „eroarea gravă de fapt” trebuie să se constate că această eroare a influenţat hotărâtor soluţia dată în cauză, adică greșita stabilire a situaţiei de fapt să fi determinat o esenţială eroare în legătură cu condamnarea sau achitarea inculpatului ori încetarea procesului penal, cu toate consecinţele ce decurg din aceasta pentru inculpat.

Înalta Curte de Casaţie și Justiţie constată că în cauză nu a fost comisă o gravă eroare de fapt.

Din actele și lucrările dosarului rezultă că inculpatul S.R. a fost trimis în judecată și condamnat pentru trei infracţiuni de înșelăciune prevăzute în art. 215 alin. (1) și (3) C. pen., cu aplicarea art. 33 lit. a) C. pen., constând în aceea că i-a indus în eroare pe cetăţenii străini A.C., R.C.. și M.B., prin prezentarea ca adevărată a unei situaţii mincinoase cu scopul de a obţine pentru sine foloase materiale injuste, constând în sume de bani sau obiecte electronice, creând prejudicii în patrimoniile respectivilor, în valoare de 60 USD, 300 USD și, respectiv, 628 USD; efectuare de operaţiuni financiare în mod fraudulos prevăzută în art. 27 alin. (3) din Legea nr. 365/2002, cu aplicarea art. 41 alin. (2) C. pen., constând în aceea că a transmis, în perioada 2 noiembrie 2004 - 4 martie 2005, la diferite intervale de timp, dar în executarea aceleiași rezoluţii infracţionale, de la o adresă IP, prin intermediul unei adrese ID, mai multor utilizatori, date de cărţi de credit, inclusiv date de identificare ale mai multor persoane fizice, fără consimţământul acestora, în vederea sustragerii disponibilităţilor și acces, fără drept, la un sistem informatic prevăzută în art. 42 alin. (1) din Legea nr. 161/2003, cu aplicarea art. 41 alin. (2) C. pen., toate cu aplicarea art. 33 lit. a) C. pen., constând în aceea că a creat, în perioada 2 noiembrie 2004 - 4 martie 2005, la diferite intervale de timp, dar în executarea aceleiași rezoluţii infracţionale, pagini web după modelul unor website-uri financiare, prin care se solicitau clienţilor date confidenţiale (cod PIN, parolă), pagini pe care apoi le posta, fără drept, pe serverele unor firme cu bună reputaţie, în vederea înlăturării suspiciunilor și asigurării succesului demersului și pe care le trimitea mai multor adrese de e-mail, urmând ca datele de pe cardurile clienţilor, care au dezvăluit astfel de date, să le folosească în propriul interes, fără drept.

Analizând probatoriul administrat în cauză, instanţa reţine aceeași situaţie de fapt și de drept precum celelalte două instanţe.

Deși inculpatul susţine că nu există dovezi pentru probarea vinovăţiei sale, din interceptarea convorbirilor recurentului, dovezile primite de la unităţile care au efectuat transportul coletelor, plângerile persoanelor vătămate și înscrisurile trimise la dosar de Poșta Română rezultă că inculpatul S.R. este cel care a ridicat bunurile expediate de persoanele vătămate.

O altă faptă pentru care inculpatul S.R. a fost condamnat a constat în aceea că, în perioada 2 noiembrie 2004 - 4 martie 2005, la diferite intervale de timp, de la adresa sa de ID, inculpatul a transmis mai multor utilizatori date de cărţi de credit, fără consimţământul lor.

Dovadă în acest sens sunt interceptările comunicaţiilor inculpatului, din al căror conţinut rezultă că este vorba despre cărţile de credit ale unor persoane, despre obţinerea datelor necesare aflării PIN-urilor, în vederea sustragerii disponibilităţilor.

În susţinerea vinovăţiei inculpatului relevante sunt și discuţiile dintre inculpatul S.R. și inculpatul G.A. din 8 noiembrie 2004, 23 noiembrie 2004 și 31 ianuarie 2005, referitoare la prognozele asupra câștigurilor și a modului de investire a banilor rezultaţi din fraude, cuprinse în conţinutul notelor de redare a comunicărilor din 29 noiembrie 2004. Astfel, cei doi au trimis mesaje tip spam unor persoane din străinătate ce foloseau serviciile on line ale băncilor W. din Statele Unite ale Americii și H. din Marea Britanie, iar datele obţinute de la titularii de conturi induși în eroare au fost transmise de cei doi între ei și către alţi utilizatori, în scopul sustragerii disponibilităţilor.

Transmiterea neautorizată către o altă persoană a unor date de identificare, în vederea efectuării de retrageri de numerar, întrunește elementele constitutive ale infracţiunii prevăzute în art. 27 alin. (3) din Legea nr. 365/2002, corect fiind condamnat inculpatul și pentru această infracţiune, care constă în faptul că în perioada 2 noiembrie 2004 - 4 martie 2005, la diferite intervale de timp, dar în executarea aceleiași rezoluţii infracţionale, de la o adresă IP, prin intermediul unei adrese ID, a transmis mai multor utilizatori date de cărţi de credit, inclusiv date de identificare ale mai multor persoane fizice, fără consimţământul acestora, în vederea sustragerii disponibilităţilor.

Faptele inculpatului de a crea, în perioada 2 noiembrie 2004 - 4 martie 2005, la diferite intervale de timp, dar în executarea aceleiași rezoluţii infracţionale, pagini web după modelul unor website-uri financiare (pagini scam), prin care se solicita clienţilor furnizarea unor date confidenţiale (cod PIN, parolă), pagini pe care apoi le posta, fără drept, pe serverele unor firme cu bună reputaţie, în vederea înlăturării suspiciunilor și asigurării succesului demersului și pe care le trimitea mai multor adrese de e-mail, urmând ca datele de pe cardurile clienţilor, care au dezvăluit astfel de date, să le folosească în propriul interes, fără drept, întrunesc elementele constitutive al infracţiunii de acces, fără drept, la un sistem informatic prevăzută în art. 42 alin. (1) din Legea nr. 161/2003, cu aplicarea art. 41 alin. (2) C. pen.

La baza condamnării inculpatului pentru cele trei infracţiuni (înșelăciune, efectuare de operaţiuni financiare în mod fraudulos și acces, fără drept, la un sistem informatic) stau probe certe de vinovăţie, astfel încât solicitarea inculpatului de a fi achitat pentru toate faptele reţinute a fi săvârșite de către acesta apare ca fiind nejustificată și lipsită de suport probator.

În consecinţă, Înalta Curte de Casaţie și Justiţie, conform art. 38515 pct. 1 lit. b) C. proc. pen., a respins, ca nefondat, recursul declarat de inculpatul S.R. împotriva deciziei nr. 64 din 12 octombrie 2010 a Curţii de Apel Suceava, Secţia penală și pentru cauze cu minori.