Дев’ять пожежних датчиків

Жучок в офісі адвоката: чи потрібна ліцензія на пошук і що робити зі знахідкою

У київському адвокатському об’єднанні під стелею кожного кабінету стояли камери з мікрофонами — юристи вважали їх пожежними датчиками. Що робити з такою знахідкою, законодавство досі чітко не пояснює.

законодавство досі чітко не пояснює.

Ліцензія та її межі

Комітет НААУ з питань кібербезпеки та віртуальних активів провів круглий стіл «Адвокатська таємниця під загрозою: негласне отримання інформації та технічний захист». Модерували захід голова комітету Андрій Галич і його заступник Роман Островський, а фаховий блок забезпечили експерти комітету.

Почали з питання, яке найчастіше стає предметом маніпуляцій. Пошук закладних пристроїв в Україні є ліцензованим видом діяльності: ліцензії видає адміністрація Держспецзв’язку, а окрему — на розроблення й постачання спеціальних технічних засобів негласного отримання інформації — Служба безпеки України.

Проте, наголосив експерт комітету Роман Мольченко, читати треба саме визначення. Ліцензується виявлення закладних пристроїв на об’єктах інформаційної діяльності, тобто там, де циркулює інформація, вимоги щодо захисту якої встановлює закон, — державна таємниця та відомості з обмеженим доступом.

«Коли ви захищаєте власну інформацію, коли ви надаєте послуги стороннім особам, стороннім організаціям, які не оперують державною таємницею, ліцензія не потрібна», — заявив він.

Спікер застеріг, що прямий дзвінок до контролюючого органу з питанням «чи потрібна ліцензія» майже гарантовано дасть ствердну відповідь — не тому, що це юридично точно, а тому, що кожен фахівець бачить відповідь під власним кутом зору. Так само, як, скажімо хірург, почувши скаргу від пацієнта на біль, передусім думає, як людину прооперувати.

Ще одне уточнення стосується обладнання. Прилади для виявлення закладних пристроїв і захисту інформації не є спеціальними технічними засобами, тому їх продаж, придбання й застосування не підлягають ні ліцензуванню, ні спеціальному дозволу — на відміну від техніки для зняття інформації. Голова комітету додав, що притягнути особу, яка придбала пошукове обладнання без ліцензії, до відповідальності практично неможливо, хоча нові ліцензійні умови зараз формуються.

Кіностудія в кабінеті

Ілюстрацією того, що проблема не теоретична, стала знахідка, яку фахівці назвали операцією «Кіностудія». В одному з київських адвокатських об’єднань виявили близько дев’яти пристроїв: камери з мікрофонами були замасковані під пожежні датчики в кожному кабінеті.

Загрозу учасники поділили на рівні. Аматорський — це маркетплейси, де за $10—50 вільно продаються диктофони й годинники з камерами, які фахівці регулярно знаходять на реальних об’єктах. Значно серйозніший — комерційне шпигунство, якому й була присвячена більша частина обговорення.

«Комерційне шпигунство — це гроші. Якщо мова йде про гроші, то там може бути багато грошей», — пояснив голова комітету, додавши, що бюджети тут часом перевищують можливості державних структур.

Принципово важлива для адвокатів деталь стосується режиму роботи таких пристроїв. Більшість професійних пристроїв не передає сигнал постійно: вони накопичують інформацію і віддають її за графіком або на запит. «Якщо просто робити перевірку в будь-який час — ми не маємо стовідсоткової гарантії, що закладний пристрій буде працювати саме в цей період», — зауважив Р.Мольченко. Тому пошук лише за радіосигналом дає обмежений результат, і фахівці поєднують його з аналізом енергоспоживання, тепловізійним обстеженням, оптичним зондуванням та перевіркою кабельних мереж.

Звідси й орієнтири, які допомагають відсіяти імітаторів. Якісна перевірка кабінету площею 25—30 м² триває дві-три години, а одного автомобіля — від чотирьох до шести. Обираючи виконавця, спікер радив запитувати методику й перелік обладнання: «Більшість людей непрофесійних, вони пливуть на цьому питанні». За його оцінкою, компаній, здатних виконати такі роботи на високому рівні, в Україні не більше десяти.

Небезпечне оновлення

Експерт комітету Владислав Плеханов нагадав, що засіб негласного отримання інформації не обов’язково має фізичну форму. Поріг входу для створення шкідливого програмного забезпечення фактично зник: інструменти на основі штучного інтелекту дозволяють зібрати працездатний зразок людині без серйозної підготовки, а код постійно модифікується, тож антивірус перестав бути гарантією.

Потрапити на пристрій програма може через лист, повідомлення в месенджері, документ, рекламний банер або підроблений застосунок. Найнеприємніший сценарій — коли посилання надходить від людини, якій ви довіряєте, бо її обліковий запис зламали раніше: так, за словами спікера, тисячі акаунтів зламали через прохання проголосувати за дитячий малюнок.

Ще складніший варіант — компрометація самої програми або її оновлення: у випадку з криптогаманцем TrustWallet зловмисники дістали доступ до серверів розробника, і шкідливий код потрапив до легітимного оновлення. «Оновитись до останньої версії, коли вона тільки вийшла, може нанести більші шкоди, ніж почекати два-три дні», — зробив спікер висновок, що суперечить звичній рекомендації ставити апдейти негайно.

Жертвою не обов’язково стають цілеспрямовано: масові розсилки працюють за принципом суцільного охоплення, а привід може не мати стосунку до роботи. Спікер описав випадок, коли доступ до месенджерів, паролів, файлів, мікрофона й камери телефону відкрив застосунок для доставки води. Викрадені дані та доступи давно стали товаром, який продають на спеціалізованих майданчиках.

Практичні поради він звів до системи, а не до набору галочок: завантажувати програми лише з офіційних джерел, перевіряти посилання, домени й цифрові підписи, аналізувати підозрілі файли через сервіси на кшталт VirusTotal, працювати з ними в ізольованому середовищі — на віртуальній машині чи окремому пристрої — і не використовувати один пристрій для всього, розділяючи особисте й робоче.

Знайшли — не поспішайте

Найгостріша дискусія розгорнулася навколо того, що робити з виявленим пристроєм. Почати, за словами Р.Мольченка, слід раніше — з мовчання про саму перевірку: в переважній більшості випадків закладку встановлюють із залученням когось усередині компанії, тому якщо про заплановані роботи знають заступники, секретарі й бухгалтерія, пристрій приберуть заздалегідь.

Далі починається правова невизначеність. Незаконне збирання інформації тягне відповідальність за ст.359 Кримінального кодексу, підслідність належить СБУ. Водночас висновок, що знайдений предмет є саме спеціальним технічним засобом, може зробити лише експерт СБУ — тож заява про прослуховування без такого висновку залишається припущенням.

Учасники окреслили чотири можливі варіанти дій: викликати СБУ; знищити пристрій під протокол, як це передбачають ліцензійні умови Держспецзв’язку; не робити нічого, оскільки знахідка є приватною власністю клієнта; або вилучити носій пам’яті й дослідити саме його — експертиза накопичувача, на відміну від експертизи самого засобу, не є монополією спецслужби. Останній шлях, за словами організаторів, уже дав результат: у частині справ вдалося встановити, куди передавалися файли, а подекуди й вийти на тих, хто встановив пристрій.

Алгоритм для адвоката запропонував заступник голови Комітету захисту прав адвокатів та гарантій адвокатської діяльності НААУ Олександр Левадний: зафіксувати факт незаконного доступу всіма дозволеними засобами — фото, відео, скриншотами, залученням свідків; повідомити регіональну раду адвокатів і правоохоронні органи; залучити представника ради до процесуальних дій із вилученням техніки та до подальшого огляду пристроїв.

Ключове застереження стосується процедури вилучення. «Не можна вилучити мобільний пристрій або комп’ютер без протоколу», — наголосив спікер, нагадавши випадки, коли техніку забирали без жодної процесуальної фіксації. В такій ситуації адвокат зобов’язаний оскаржувати ці дії, повідомляти органи адвокатського самоврядування й порушувати питання про недопустимість отриманих доказів. Підстава очевидна: обов’язок зберігати адвокатську таємницю закріплений стст.22 і 23 закону «Про адвокатуру та адвокатську діяльність».

Єдиної позиції щодо першого кроку учасники не досягли: адвокат Максим Мазур запропонував звертатися спершу не до спецслужби, а до колег і профільного комітету — щоб зрозуміти, як діяти, перш ніж запускати процесуальний механізм.

Організатори підсумували, що питання потребує окремого обговорення за участю Держспецзв’язку та СБУ, і повідомили, що комітет готує методичні матеріали щодо реагування на закладні пристрої. Поки їх немає, кожен адвокат діє на власний розсуд — маючи, з одного боку, обов’язок зберегти таємницю клієнта, а з другого — дисциплінарну відповідальність за її розкриття.

Закон і Бізнес