NRK hacket svindelside, er det lovlig?

[Gjest b6322...5e7]

https://www.nrk.no/dokumentar/xl/svindelsentralen-1.17333817

Flott at slik blir avdekket, men ifølge straffeloven § 204 er det forbudt å bryte beskyttelser eller på annen uberettiget måte skaffe seg tilgang til datasystemer. Straffen kan være bøter eller fengsel i inntil 2 år.
Kan høres ut som om de har brukt SQL-injection for å få tilgang til svindlernes database.

Anonymous poster hash: b6322...5e7

[NULL]

Det som kanskje potensielt er mer problematisk, er det Mnemonic gjør i utgangspunktet.

[Jobs]

Politiet burde takke NRK for det de har gjort og bedt om og få alt materiale for og gi det videre til interpol .

[Krig og fred]

1 hour ago, Guest b6322...5e7 said:

Kan høres ut som om de har brukt SQL-injection for å få tilgang til svindlernes database.

Anonymous poster hash: b6322...5e7

Så lenge du ikke vet hva de har gjort, er dette meningsløs spekulasjon. 

[arne22]

1 hour ago, Guest b6322...5e7 said:

Flott at slik blir avdekket, men ifølge straffeloven § 204 er det forbudt å bryte beskyttelser eller på annen uberettiget måte skaffe seg tilgang til datasystemer. Straffen kan være bøter eller fengsel i inntil 2 år.

Også fra Straffeloven:

Quote

§ 17.Nødrett

En handling som ellers ville være straffbar, er lovlig når

a.den blir foretatt for å redde liv, helse, eiendom eller en annen interesse fra en fare for skade som ikke kan avverges på annen rimelig måte, og

b.denne skaderisikoen er langt større enn skaderisikoen ved handlingen.

Se  også §18.

Så spørs det jo også om hackerne vil saksøke for å få ivaretatt sin rett til phishing. 

Har de en slik rett?

I så fall, hvor mye kan man kreve i erstatning for å bli hindret i å gjennomføre kriminelle handlinger på nett?

Ellers en veldig interessant sak. Positivt at den blir tatt opp.

Endret 4. mai av arne22

[barfoo]

2 hours ago, Guest b6322...5e7 said:

Kan høres ut som om de har brukt SQL-injection for å få tilgang til svindlernes database.

Anonymous poster hash: b6322...5e7

Høyres i større grad ut som usikra API-tilgang, der nettsida på et vis har returnert JSON e.l. til dei.

[Kristian Greiner Ådnesen]

Slik jeg forstår saken har ikke NRK hacket seg inn på noe som helst. Skjønt dette er en av to saker, så kanskje ser det annerledes ut i del to. I hvert fall tolker jeg det som at de i første rekke har benyttet seg av offentlig tilgjengelig informasjon; de ble sluppet inn i Telegram-gruppen og bruker kontekstspor derfra. Deretter har de satt seg inn i hvordan programmet "Magic Cat" fungerer, hva det brukes til og hvordan -- ikke ensbetydende med å faktisk bruke det.

[Gavekort]

Gjest b6322...5e7 skrev (3 timer siden):

Kan høres ut som om de har brukt SQL-injection for å få tilgang til svindlernes database.

"Kan høres ut" er jo ikke spesielt sterkt når du anklager noen for å begå et lovbrudd.

[Gjest b6322...5e7]

Gavekort skrev (1 time siden):

"Kan høres ut" er jo ikke spesielt sterkt når du anklager noen for å begå et lovbrudd.

Har jeg anklaget noen for å begå lovbrudd? Tvert imot, trådens tittel er et spørsmål om dette er lovlig.
Om noen anklager noen så er det deg som anklager meg for å anklage noen for å ha begått lovbrudd. Noe moderatorer ikke bør gjøre.
 

Kristian Greiner Ådnesen skrev (1 time siden):

Slik jeg forstår saken har ikke NRK hacket seg inn på noe som helst.

Fra artikkelen:
Da fant de en svakhet i nettsidens kode som gjorde det mulig å se hva som skjedde i kulissene.

Hacking betyr å jobbe seg rundt begrensinger og finne snarveier og løsninger innen et felt, ofte forbundet med dataprogrammering.

 

Anonymous poster hash: b6322...5e7

[Gavekort]

Gjest b6322...5e7 skrev (26 minutter siden):

Har jeg anklaget noen for å begå lovbrudd? Tvert imot, trådens tittel er et spørsmål om dette er lovlig.
Om noen anklager noen så er det deg som anklager meg for å anklage noen for å ha begått lovbrudd. Noe moderatorer ikke bør gjøre.

Premisset til spørsmålet ditt er at sikkerhetsekspertene til NRK har gjort en SQL injection, som ville vært ulovlig. Svaret mitt er: De har trolig ikke gjort en SQL injection, og du bør være forsiktig med å anklage folk for å være lovbrytere.

De har trolig gravd i klientside-kode og fått tilgang til åpne filer som de har skannet for metadata.

Om de hypotetisk skulle gjort en SQL injection så hadde det vært ulovlig, og uetisk journalistikk.

[Curuion]

Ikke SQL injection nei, var visst bare å decrypter meldingene, med js koden fra sida, da fikk de tilgang til websocket server direkte til chaten deres, stilig. 

https://www.mnemonic.io/resources/blog/exposing-darcula-a-rare-look-behind-the-scenes-of-a-global-phishing-as-a-service-operation

[Kristian Greiner Ådnesen]

Gjest b6322...5e7 skrev (2 timer siden):

Fra artikkelen:
Da fant de en svakhet i nettsidens kode som gjorde det mulig å se hva som skjedde i kulissene.

Hacking betyr å jobbe seg rundt begrensinger og finne snarveier og løsninger innen et felt, ofte forbundet med dataprogrammering.

 

Anonymous poster hash: b6322...5e7

Ja, det er Mnemonic. Ikke NRK. To forskjellige aktører.

[Curuion]

1 hour ago, Kristian Greiner Ådnesen said:

Ja, det er Mnemonic. Ikke NRK. To forskjellige aktører.

Ja, de sendte det til NRK, som tok det videre.

[qualbeen]

Gavekort skrev (5 timer siden):

Om de hypotetisk skulle gjort en SQL injection så hadde det vært ulovlig, og uetisk journalistikk.

Ikke nødvendigvis. Se svaret fra @arne22 tidligere i tråden. 

Og uansett; innimellom tvinges journalister til å spasere litt i gråsonen. Hvis noen føler de går for langt, er det jo bare å anmelde de. 🫣

For meg er problemstillingen helt fjern; her gjør NRK en kjempejobb for å motarbeide et svært alvorlig problem — et problem politiet neglisjerer. All ære til dette journalistiske verket! Sånt arbeid fortjener enhver lisenskrone! 

[John-B]

7 hours ago, Gavekort said:

Premisset til spørsmålet ditt er at sikkerhetsekspertene til NRK har gjort en SQL injection, som ville vært ulovlig. Svaret mitt er: De har trolig ikke gjort en SQL injection, og du bør være forsiktig med å anklage folk for å være lovbrytere.

De har trolig gravd i klientside-kode og fått tilgang til åpne filer som de har skannet for metadata.

Om de hypotetisk skulle gjort en SQL injection så hadde det vært ulovlig, og uetisk journalistikk.

Tror du har misforstått dersom du mener sql injection er ulovlig, mens det er lovlig å rote i kildekode og benytte annen måte å tilegne seg tilgang til informasjon som ikke er meningen å ha tilgang til.

Det er ikke fremgangsmåte som er brukt som avgjør om dette er ulovlig.

Ref: det er ikke noe mer lovlig å gå inn en ulåst dør, enn det er å dirke opp låsen for å gå inn.

Spørsmålet til OP er helt legitimt. Han beskylder ingen for noen ting, han stiller jo bare et spørsmål om lovligheten, det juridiske, ikke det etiske (alle er jo enige om at dette er positivt)

De har åpenbart skaffet seg en tilgang de ikke skulle hatt, som i teorien er ulovlig.

Men i praksis er det vanskelig å se hvordan dette skal kunne få noen konsekvenser.

Endret 4. mai av John-B

[Gavekort]

qualbeen skrev (12 timer siden):

Ikke nødvendigvis. Se svaret fra @arne22 tidligere i tråden.

Det blir vel å regne som selvtekt så lenge det ikke er nødverge.

 

John-B skrev (11 timer siden):

Tror du har misforstått dersom du mener sql injection er ulovlig, mens det er lovlig å rote i kildekode og benytte annen måte å tilegne seg tilgang til informasjon som ikke er meningen å ha tilgang til.

Tror ikke jeg har misforstått noe. Om du ser en dør som er opplåst og du trodde det var fri passasje inn så gjør du ikke et innbrudd, men om du bryter opp verdens dårligste hengelås for å komme deg inn så er det innbrudd.

[qualbeen]

Gavekort skrev (24 minutter siden):

Tror ikke jeg har misforstått noe. Om du ser en dør som er opplåst og du trodde det var fri passasje inn så gjør du ikke et innbrudd, men om du bryter opp verdens dårligste hengelås for å komme deg inn så er det innbrudd.

Hvis du tror det skulle vært fri passasje, ja. Men tror man det?

Hvis jeg har glemt å låse døra til huset mitt, så er det ikke fritt frem for å gå inn. Ingen kommer unna med at de "trodde det var fri passasje". Alle forstår at dette er en privat husdør.

Likledes: dersom jeg har glemt å låse sykkelen, er det fortsatt et tyveri å ta den. (Men forsikringsselskapet mitt vil kanskje ikke hjelpe meg nevneverdig med penger til ny sykkel..)

 

 --

Hvorvidt journaliaten brukte metode A eller metode B, er teknisk svært interresant. Men det er juridisk totalt irrelevant! Lovbrudd vil det være uansett; de gikk inn dører som ikke var myntet på de. Loven er teknologi-nøytral. Man ser på intensjon og resultat. Virkemiddel som ble brukt for å oppnå målet, er (som oftest) mindre relevant.

Det sagt, så mener jeg fortsatt at journalistene kan påberope seg elementer fra Straffeloven §17, §18 og/eller §19, da de tross alt prøver å hjelpe samfunnet med å stoppe/bremse/løse et alvorlig kriminelt- og samfunnsproblem!

Kilde: https://lovdata.no/lov/2005-05-20-28/§17

Endret 5. mai av qualbeen

[Pop]

39 minutes ago, Gavekort said:

Tror ikke jeg har misforstått noe. Om du ser en dør som er opplåst og du trodde det var fri passasje inn så gjør du ikke et innbrudd, men om du bryter opp verdens dårligste hengelås for å komme deg inn så er det innbrudd.

Det trenger ikke være innbrudd for at det skal være ulovlig. Du vil havne på kant med § 268 selv om døra er ulåst.

 

Beklager, jeg glemte trådens topic. Ut i fra informasjonen ser det ut til at den berører § 204, selv om det her kan være en del mangler og journalistiske misforståelser.

Endret 5. mai av Pop

[Curuion]

 

Quote

201.Uberettiget befatning med tilgangsdata, dataprogram mv.

Med bot eller fengsel inntil 1 år straffes den som med forsett om å begå en straffbar handling uberettiget fremstiller, anskaffer, besitter eller gjør tilgjengelig for en annen

a.	passord eller andre opplysninger som kan gi tilgang til databasert informasjon eller datasystem, eller

b.

dataprogram eller annet som er særlig egnet som middel til å begå straffbare handlinger som retter seg mot databasert informasjon eller datasystem. På samme måte straffes den som uten forsett om å begå en straffbar handling besitter et selvspredende dataprogram, og besittelsen skyldes uberettiget fremstilling eller anskaffelse av programmet. §204.Innbrudd i datasystem Med bot eller fengsel inntil 2 år straffes den som ved å bryte en beskyttelse eller ved annen uberettiget fremgangsmåte skaffer seg tilgang til datasystem eller del av det .

Vanskelig å tolke hva "uberettiget fremgangsmåte" betyr. Har litt vanskelig å forstå hvorfor det skal være ulovlig hvis passord, api nøkler osv er fritt tilgjengelig med å bare lese i koden eller loggen til en nettside. Med SQL injection og lignende er det jo klart at man bryter seg inn, selv om det kun kan være en enkel kode å lim inn. Men kommer vel an på hva man gjør for noe med infoen som avgjør om det er ulovlig da. 

I NRK sitt tilfelle er det sikkert en annen presse lov som kontrer det, eller gjennom presse etikken, så lenge de kun observerer og dokumenter det? Pluss at de fikk infoen fra Mnemonic og ikke kom seg inn selv. Kan tolkes at det var ulovlig for Mnemonic og gi NRK tilgang da? Eller er det noe annet som kontrer det når man kontakter pressen? Rart hvis ikke. 

[Gjest b6322...5e7]

Takk, dette var ment som en tråd for diskusjon rundt prinsipielle spørsmål. Jeg er bare en legmann og syntes det kunne høres ut som injection eller uberettiget tilgang.
NRK kunne med fordel brukt noen linjer i den omfattende artikkelen på å forklare hvorfor denne etterforskningen er lovlig og ikke kan ansees som hacking.

Overraskende uprofesjonelt av administrator å prøve å kvele diskusjonen med personangrep.

 

Anonymous poster hash: b6322...5e7