За спам – на нары?

Бесконечные потоки мусорной корреспонденции портят настроение миллионам интернет-пользователей. Хорошо еще, если у вашего провайдера нормально настроен спам-фильтр, и в ваш почтовый ящик проскакивает не больше нескольких процентов от общего потока виртуального мусора - самые "умные" и хорошо замаскировавшиеся сообщения. Бороться с этим явлением легально пока не очень-то и возможно - определения спама, нужных статей в кодексах, да и правоприменительной практики практически нет. В этой связи интересно посмотреть на то, какие же изменения предлагается внести в современное российское законодательство, чтобы не только искоренить спамные рассылки, но и наказать их инициаторов и исполнителей. Предыдущая попытка, организованная в 2004 году, провалилась. Получится ли сейчас?

Текущий уровень "мусорного трафика"

Полагаю, практически каждый ИТ-профессионал способен в течение пары минут "нагуглить" необходимый массив информации о том, что же происходит со спамом в РУнете в настоящий момент времени. Самые свежие результаты первого квартала 2011 года представлены здесь, и мы не будем повторяться. Отметим только самые основные моменты из выводов аналитиков «Лаборатории Касперского».

Интересно, что доля спама в почтовом трафике в первом квартале 2011 года в среднем составила 78,6%, что на 1,4% выше, чем в предыдущем квартале, но на 6,5% ниже соответствующего показателя прошлого года. Это и понятно - киберполицейские за прошедший год изрядно потрудились, "подрубив" многие управляющие центры ботнетов. Наименьшее количество спама в почте было отмечено 5 января (все-таки новогодние праздники отмечают везде) - 60,7%. Больше всего спама — 87,7% — наблюдалось 23 января. Кстати, рост числа спама связан и с тем, что первый квартал года богат на праздники: кроме Нового года спамеры пытались привлечь внимание пользователей к своим товарам и услугам, ссылаясь на близость 23 февраля, 8 марта и Дня святого Валентина. К сожалению, в течение квартала происходили и печальные события: восстания, смены правительств, землетрясения и цунами. И этим тоже пытались воспользоваться спамеры. Так, на трагедии в Японии они тоже хорошо "поднялись", рассылая вроде бы ссылки на горячие новости или вымогая деньги у пользователей якобы на помощь японцам.

Интересно, что закрытие 16 марта командных центров ботнета Rustock, старого и очень сложно устроенного ботнета, одного из лидеров в рассылке спама, на рынке рассылки спама никак не сказалось. В прошлом году закрытие командных центров Pushdo/Cutwail и Bredolab было более ощутимо. Однако Rustock прекратил массированно рассылать письма еще в конце прошлого года, поскольку специализировался на фармацевтическом спаме. Да и, видя активность различных инициативных групп вокруг бот-сетей в конце 2010 года, преступники предпочли временно залечь на дно.

Россия пока стабильно остается на втором месте по числу исходящего спама, "эмитируя" 5,8% мусорных сообщений в мировом масштабе. Однако это "лидерство" идет без существенной динамики. К примеру, Индия, которая на первом месте, вошла в пятерку лидеров в 2009 году, и с тех пор ее доля только увеличивалась - с потерей США своих позиций Индия легко заняла первое место. Или вот Бразилия - еще в конце 2010 года она была на шестом месте, а к концу квартала уже а третьем.

По-прежнему в мусорном трафике лидируют короткие письма размером менее 5Кб или даже 1 кб. Как правило, такие письма представляют собой короткую рекламную фразу и ссылку на сайт. Примечательно, что популярны были и длинные письма, размером 50Кб и более — их доля составила 20,73%. Обычно доля таких писем не превышает 5% от общего объема спама. В основном это письма с различными вложениями, с помощью которых спамеры предполагали обойти защиту фильтров.

В целом, отмечают аналитики «Лаборатории Касперского», управляющие центры ботнетов смещаются в регионы со слабой законодательной базой в области защиты от спама - так, доля азиатского и латиноамериканского регионов увеличилась, в то время, как доля Европы в рассылке спама сократилась. Можно предположить, что в дальнейшем киберпреступники будут развивать ботнеты как в менее, так и в более защищенных регионах, ведь уже на данный момент ботнеты распределены по миру практически равномерно. В силах российских законодателей если не избавить РУнет от спама полностью, то, как минимум, его почистить.

Что предлагается менять?

Когда мне говорят о том, что спам - это практически социальное явление и его невозможно искоренить, я, как минимум, улыбаюсь. На самом деле это рекламный бизнес, который находится на стыке дешевого распространения информации и компьютерных преступлений, поскольку часто спам рассылают зомби-сети. Написав своим контактам в ICQ, я получил типовой разброс цен - "отправка 50 тыс. писем на почтовые ящики пользователей в России стоит примерно 3 тыс. руб. Если ставить более четкий таргетинг - увеличение на четверть. CTR при грамотно составленном объявлении составляет до 4%. Но и количество негативных откликов может достигать нескольких десятков - это те товарищи, которые позвонят вам по телефону и скажут, что вы, мягко говоря, не правы".

При этом, формально, в России спам не является преступлением. Очень легко можно обнаружить тех, кто не хочет ужесточения наказаний для спамеров - они обязательно скажут вам, что поправки не нужны потому, что... "все инструменты для борьбы с этим явлением есть". И сошлются на 18 статью закона «О рекламе», где указано, что для рассылки рекламы нужно сначала получить согласие абонента или адресата. Правда, за нарушение 18-й статьи предусмотрена смехотворная ответственность в КоАП. При этом контроль за исполнением закона о рекламе осуществляет... ФАС. Организация вроде бы грозная и "с зубами", однако она не имеет никаких полномочий для проведения оперативно-розыскных мероприятий по поиску спамера. Кроме того, жалобы обычных граждан там рассматривают достаточно долго. А даже если они и хотели бы что-то сделать, то могут рассчитывать на свои силы - современная милиция (простите, полиция!) сюда вмешиваться не может, так как возбуждается только на статью 273 о создании вредоносного ПО для ЭВМ, а это совершенно отдельный состав преступления, доказать который совсем не просто (во всяком случае дел по этой статье - считанные единицы). То есть как таковой статьи "за спам" в УК РФ пока нет, дела если и возбуждаются (к примеру, нашумевшее в Сети «Дело Гусева») то по статьям, к примеру, о мошенничестве. Вот и резвятся "отправители" такой рекламы без всякого стеснения.

Видимо, по этой причине комитет Госдумы по информационной политике совместно с РАЭК разработали проект Федерального закона «О внесении изменений в некоторые законодательные акты Российской Федерации в целях противодействия заказу, производству и распространению несанкционированных электронных сообщений (спама)». Напомню, что это второй заход - что-то подобное планировалось организовать в 2004 году, но тогда дальше заседания Экспертного совета Комитета Госдумы по безопасности проект (правда, он был качественно другим) не прошел.

На этот раз все было иначе - у законопроекта есть реальные шансы добраться до первого чтения уже осенью 2011 года. При этом отмечу, что речь совсем не идет о каком-то отдельном "законе о спаме" - законопроект, который обсуждался в Госдуме 13 мая, предполагает внесение "точечных изменений" в четыре федеральных документа - это ФЗ № 149-ФЗ «Об информации, информационных технологиях и о защите информации», ФЗ № 126-ФЗ «О связи», а также всем известные Кодекс Российской Федерации об административных правонарушениях, а также Уголовный кодекс Российской Федерации. Эти изменения, с одной стороны, запрещают формирование списков адресов пользователей, которые не выразили явное желание получать информацию от какого-либо отправителя, а также настаивают на том, что в каждом рекламном сообщении должно находиться "уведомление, выраженное в ясной и понятной форме, о способе, которым получатель сообщения может отказаться от получения последующих сообщений от физического лица или организации, которые являются отправителем первоначального сообщения".

Есть в законопроекте и четкое определение того, что же такое спам. Итак, под ним понимается производство и массовое распространение электронных сообщений с нарушением предусмотренных законом требований к их содержанию. Требования к содержанию электронных сообщений предлагается указать в новой статье 10.1 закона 149-ФЗ. Основное требование – это получение согласия на отправку сообщения (формализованный "разбор полетов" можно найти вот здесь). Под согласием понимается:

«Явно выраженное волеизъявление на получение сообщения, сделанное по собственной инициативе либо в ответ на запрос со стороны отправителя;

Волеизъявление со стороны получателя, выраженное явными действиями;

Публикация электронного адреса не является выражением согласия, если на это прямо не указано в публикации или это явно не вытекает из целей публикации».

Помимо получения согласия, предлагаются требования к составу электронного сообщения для рассылки:

«информацию о физическом лице или организации, которые являются его отправителем и (или) заказчиками;

сведения о том, каким образом его получатель может связаться с физическим лицом или организацией, которые являются отправителем данного сообщения. Эти сведения должны оставаться действительными, как минимум, в течение 30 дней с момента отправления сообщения;

уведомление, выраженное в ясной и понятной форме, о способе, которым получатель сообщения может отказаться от получения последующих сообщений от физического лица или организации, которые являются отправителем первоначального сообщения.

(в случае отсутствия технической возможности размещения вышеуказанной информации в электронном сообщении оператор связи обязан предоставить возможность получателю электронного сообщения отказаться от получения последующих сообщений и обеспечить доступ получателя к информации из п.2.) Это положение касается, например, СМС сообщений».

Помимо указанного, заголовок электронного сообщения не должен заведомо вводить получателя в заблуждение относительно содержания такого сообщения. Отправитель должен быть в состоянии принять сообщения об отказе от получения последующих электронных сообщений.

В принципе, все логично. Кстати, этими же поправками законодательно закрепляется обязанность операторов связи "принимать меры по предупреждению и противодействию распространения электронных сообщений с нарушением предусмотренных законом требований к их содержанию". Можно ли говорить о том, что поправки в тексты законодательных актов, посвященные спаму, заставят операторов связи вкладывать больше денег в антиспам-защиту своих пользователей? Не уверен, что так. Рынок антиспам-защиты такие законы, конечно, только укрепят - но и сейчас пропускать спам на почтовом сервисе себе могут позволить только совсем неприличные провайдеры. Если у вас в ящике много спама, это никому не понравится и заставит вас проголосовать своим кошельком, избавившись от такого хостера при первом удачном случае. Таким образом, компании, которые производят хорошие решения от спамеров (к примеру, McAfee, Sophos/Cloudmark, Mailshare, Zscaler, Cisco и т.д.) явно будут заказами обеспечены надолго.

Спамерам - штрафы и тюряга?

Внимательно почитаем самый "интересный" раздел - о наказаниях. Предполагается, что именно эти положения должны будут устрашить реальных и потенциальных нарушителей. Если эти самые поправки будут приняты, то в КоАП появится Статья 13.29 - "Несоблюдение предусмотренных законом требований к содержанию электронных сообщений". По ней "физики" могут "схлопотать" штраф в 100 тыс. руб., а юридические лица - до миллиона рублей. Должностные лица могут быть оштрафованы на 200 тыс. руб. Все это, разумеется, с конфискацией используемых для рассылки спама технических средств. Опять же отмечу, что в случае использования компьютера в качестве "зомби-машины" без ведома пользователя ничего такого не произойдет - уж в этом-то ума сотрудникам отделов "К" хватит разобраться. По крайней мере я на это надеюсь :)

Отдельное наказание ожидает любителей создавать, распространять и использовать компьютерные программы, осуществляющие автоматический сбор адресов электронной почты (статья 13.30) - штрафы здесь как и в предыдущей статье, но это совсем другой состав преступления, поэтому спамер, теоретически, может быть наказан два раза. В УК РФ изменения предлагаются более радикальные - так сказать, для тех, кто совсем не понимает. Предполагается создать здесь статью 274.1. - Производство и распространение спама. За распространение тысячи спам-сообщений в течение одного дня или 10 тыс. в течение недели (считается массовым распространением) можно получить штраф до миллиона рублей или обязательные работы до 180 часов, либо исправительные работы до года. Учитывая тот факт, что спамят у нас не меньше чем миллионными базами за раз, наказание вполне реальное. То же деяние, совершенное группой лиц по предварительному сговору или организованной группой, а так же, если это деяние сопряжено с извлечением дохода в крупном размере (от 100 тыс. руб. и больше), наказывается штрафом в размере до двух миллионов рублей, либо обязательными работами на срок от ста восьмидесяти до двухсот сорока часов, либо исправительными работами на срок от одного года до двух лет.

Прогноз на перспективу

Итак, самое время понять - имеет ли какой-то смысл уточнение термина спам и вообще рассмотрение поправок к различным законодательным актам, действующим в РФ по этой теме? На мой взгляд - да. Можно сколь угодно долго спорить об эффективности работы правоохранительных органов (я от них сам не в восторге), но чем лучше юридическая база для борьбы с каким-то противоправным явлением, тем лучше от него можно защищаться. В настоящий момент базы для защиты маловато в принципе. Разумеется, можно долго говорить о том, что рассылка спама и, к примеру, производство вирусов, с помощью которых рассылают эти письма с зараженных компьютеров, вещи взаимосвязанные. Но в большинстве случаев те, кто принимает заказы на рассылку спама, своими руками вирусы не пишут - здесь есть известное разделение труда, они просто эксплуатируют те ботнеты, которые для них создают киберпреступники (если у кого-то есть реальная статистика на этот счет - можем подискутировать). Поэтому наказать именно рассылку спама тоже необходимо - меньше будет желающих этим заниматься.

Единственный вид спама, который под этот законопроект не подпадает - это телефонные обзвоны. Но с ними можно бороться достаточно просто. Сначала необходимо пробить определившийся телефон в реестре Россвязи и определить оператора, который предоставил телефонным спамерам свои мощности. Как показывает практика, своему "домашнему" операторы связи писать бесполезно - ну откровенно ему все равно. Поэтому стоит обратиться с Жалобой через Интернет в Роскомнадзор  с указанием своих данных и адреса для ответа. В течение 30 дней ответят - в теории, не на практике. В любом случае, какой-то результат да будет.

Волнения из серии "ну что же делать? Теперь под ударом все владельцы зомби-компьютеров!" на мой взгляд под собой основания не имеют. Если компьютер используется для рассылки спама без ведома владельца (причем этот факт весьма легко установить), то никакой ответственности его владелец, конечно, не несет. Установить как минимум заказчиков спама всегда легко - это ведь реклама с указанием тех, кому она выгодна. Кроме того, подсчет рекламных сообщений тоже вполне возможно организовать - провайдерам, даже на российском уровне, достаточно договорится об обмене данными своих "спам-ловушек": лучше, если в автоматизированном варианте. И никаких особенных сложностей с выдачей справки о числе зарегистрированных спамных сообщений не возникнет в принципе.