prop · H303164 · 2016-04-15 00:00:00 — 175 beslut som har lett till att åtal har väckts, åtalsunderlåtelse7 meddelats, eller strafföreläggande8 utfärdats, och dels 175 beslut som har lett till att ärendet har skrivits av (se vidare 1.6.4). Urvalsmetoden innebär att resultatet är generaliserbart för it-relaterade brott som helhet, men inte för respektive brottskategori, undantaget it-bedrägerier där urvalet är tillräckligt stort. Vidare har en person med åklagarkompetens granskat de polisledda avskrivna ärendena och en överåklagare vid de åklagarledda avskrivna ärendena. Syftet var att bedöma om mer hade kunnat göras i ärendena för att nå lagföring9 och om avskrivningsgrunderna använts enhetligt och ändamålsenligt. En enkät har även genomförts avseende kompetens, arbetssätt och organisering som samtliga polisregioner och åklagarområden har besvarat. Vidare har gått igenom statistik från Brå och , genomfört dokumentstudier och intervjuer med företrädare för de granskade myndigheterna (främst operativ personal i form av förundersökningsledare, utredare och it-forenisker, men även personal på strategisk nivå) samt besökt (EC3) i . 720 kap. 7 § (1942:740). Åtalsunderlåtelse innebär en möjlighet att under vissa i lagen särskilt angivna förutsättningar inte väcka åtal. Något väsentligt allmänt eller enskilt intresse får inte åsidosättas. 848 kap. (1942:740). Fråga om ansvar för brott kan tas upp av åklagare genom strafföreläggande. Ett strafföreläggande har samma verkan som en dom. Eftersom åklagaren inte väcker åtal prövas inte ansvarsfrågan i domstol. 9Enligt betyder lagföring att en person har ställts till svars för sin handling genom åtal, strafföreläggande och åtalsunderlåtelse. Detta innebär inte nödvändigtvis att personen har blivit dömd. I den officiella kriminalstatistiken som publiceras av innebär lagföring att personen har dömts i tingsrätt, godkänt strafföreläggande eller åtalsunderlåtelse. Statistik/Vad-innebar-begreppet-lagforing-/. använder definition i denna rapport. IT-RELATERAD BROTTSLIGHET – POLIS OCH ÅKLAGARE KAN BLI EFFEKTIVARE En övergripande utgångspunkt för granskningen är och regeringens mål för kriminalpolitiken att minska brottsligheten och att öka människors trygghet.10 Målen för utredning och lagföring är att verksamheten ska bedrivas med högt ställda krav på rättssäkerhet, kvalitet och effektivitet och att antalet brott som upp ska öka.11 Förundersökningar ska enligt (1942:740) bedrivas så skyndsamt som möjligt.12 En annan utgångspunkt för förundersökningsarbete är Polisens nationella utredningskoncept (PNU)13 som identifierar följande fyra faktorer för en effektiv brottsutredning: adekvata inledande utredningsåtgärder, aktiva förundersökningsledare, effektiv brottssamordning och forensik (kriminalteknik). Både och regeringen har uppmärksammat ett behov av att stärka rättsväsendets kompetens i arbetet mot brottslighet på internet eftersom en allt större del av brottsligheten är it-relaterad.14 och har olika roller och ansvar, med krav på samverkan och att arbeta effektivt i rättskedjan.15 I för cybersäkerhet framhålls också att de nationella myndigheterna bör främja samverkan med andra medlemsstaters myndigheter, privata företag och EU-organ för att förbättra möjligheterna att bekämpa it-relaterad brottslighet.16 Strategin är inte ett bindande dokument men visar ändå på vad medlemsstaterna bör göra. 2014/15:1, utgiftsområde 4, s. 15; prop. 2015/16:1, utgiftsområde 4, s. 13. 2014/15:1, utgiftsområde 4, s. 46; prop. 2015/16:1, utgiftsområde 4, s. 38. 1223 kap. 2 och 4 § (1942:740). 13Rikspolisstyrelsen (2004), dnr USE 400-0653/04. 2014/15:JuU1; prop. 2014/15:1, utgiftsområde 4, s. 18. 15Se bland annat 6 § polislagen (1984:387). 16Europeiska kommissionen och Europeiska unionens höga representant för utrikes frågor och säkerhetspolitik (2013) 1 slutlig. 1.6Definitioner och preciseringar av centrala begrepp Det finns ingen enhetlig och vedertagen definition av it-relaterad brottslighet. Ett synsätt är att dela in denna brottslighet i tre typer av brott: brott mot en it-enhet (computer integrity crimes, exempelvis dataintrång och överbelastningsattacker) brott där en it-enhet används (computer-related crimes, exempelvis försäljning av icke-existerande varor på internet och phishing) brott som består i att sprida digitalt material (computer content crimes, såsom barnpornografibrott eller spridning av våldspropaganda).17 har traditionellt använt termerna it-brott och it-relaterad brottslighet, och framhåller att det i svensk lagstiftning finns två definierade it-brott: dataintrång18 och datorbedrägeri.19 Båda brotten är inriktade på register och system för automatisk behandling och informationsteknik är ett rekvisit för att kunna begå brottet, som riktas mot en it-enhet. Den andra termen, it-relaterad brottslighet, används som ett samlingsbegrepp på brottslighet som begås med hjälp av informationsteknik. Själva begreppet it-relaterad brottslighet finns inte i lagstiftningen och de brottstyper som avses faller in under olika straffbestämmelser som är teknikneutrala, det vill säga de särskiljer inte om brottet sker med informationsteknik.20 I andra sammanhang kan andra begrepp och termer användas, såsom it-kriminalitet och internetbrott, som i stort beskriver samma fenomen. Vissa menar att definitionsfrågan av it-brott och it-relaterad brottslighet har förlorat i betydelse i takt med samhällets teknikutveckling och användandet av informationsteknik i allt fler brottstyper.21 är i stort sett all brottslighet mer eller mindre it-relaterad.22 I denna rapport använder vi genomgående begreppet it-relaterad brottslighet. Betydelsen är då brottslighet där informationsteknik antingen är ett hjälpmedel, en brottsarena eller ett nödvändigt rekvisit för att begå brottet. Med denna definition omfattas båda termer it-brott och it-relaterad brottslighet. Däremot omfattas inte brott där gärningspersonen har lämnat digitala spår men inte använt informationsteknik för att begå brottet, exempelvis 17Wall, (2007/11),”Policing Cybercrimes: Situating the Public in Networks of Security within Cyberspace (Revised Feb. 2011)”, : , 8(2): 183 205, s. 186 f. 184 kap. 9 c § (1962:700). 199 kap. 1 § andra stycket (1962:700). 20Brå (2000), IT-relaterad brottslighet, rapport 2000:2, s. 12. 21Kronqvist, (2013), Brott och digitala bevis. Tredje upplagan, Juridik, s. 22; Politiet, Politidirektoratet, (2015), Datakrimstrategien, s. 31. IT-RELATERAD BROTTSLIGHET – POLIS OCH ÅKLAGARE KAN BLI EFFEKTIVARE när gärningsmannen kan knytas till en brottsplats genom GPS. Som tidigare nämnts får tre brottskategorier illustrera den it-relaterade brottsligheten. Med it-forensik menas undersökning av beslagtagna datorer, mobiler och liknande teknik, analys av videor och bildmaterial samt säkring av bevisning från internet. Detta utförs främst av så kallade it-forensiker eller Nationellt forensiskt center, och ibland av andra anställda inom , främst inom utredningsverksamheten. Brottmålsprocessen består i huvudsak av följande grundläggande delar: 1.utredning av brott (polis och åklagare) 2.åtalsprövning (åklagare) 3.lagföring (åklagare och domstol) 4.verkställighet av påföljd (exempelvis Kriminalvården). granskning omfattar del 1 och 2. Polis och åklagare svarar för förundersökningsfasen där brottet ska utredas och bevisning säkras. I uppgifter ingår bland annat att ta emot och upprätta anmälningar om brott och utreda brottsmisstankar. Åklagaren leder förundersökningar, beslutar om åtal, utfärdar strafförelägganden, meddelar åtalsunderlåtelser och för talan vid domstol. Brottsutredningar bedrivs i form av förundersökningar.23 En förundersökning ska inledas om det finns anledning att anta att ett brott som hör under allmänt åtal har begåtts. En förundersökning behöver däremot inte inledas om brottet uppenbart inte går att utreda, till exempel om spaningsuppslag saknas, eller om kostnaderna för utredningen inte står i rimligt förhållande till sakens betydelse och brottets straffvärde understiger fängelse . Polis eller åklagare beslutar om att inleda en förundersökning. Förundersökningen leds normalt av en polis fram till dess att någon skäligen kan misstänkas för brottet. Då övertas förundersökningen av en åklagare. Vid brott av enkel beskaffenhet kan hela förundersökningen vara polisledd.24 Förundersökningsledaren ansvarar för utredningen i dess helhet, och ska bland annat se till att den bedrivs effektivt samt ge direktiv för arbetet till övriga som är delaktiga i förundersökningen. Vid åklagarledda förundersökningar ska utifrån åklagarens 23De grundläggande bestämmelserna om förundersökning finns i 23 kap. (1942:740). 2423 kap. 3 § första stycket (1942:740). Riktlinjer för vem som ska leda en förundersökning finns i föreskrifter och allmänna råd (ÅFS 2005:9) om ledning av förundersökning i brottmål och föreskrifter och allmänna råd (RPSFS 2014:5) om ledning av förundersökning i brottmål. direktiv vidta åtgärder, till exempel hålla förhör, genomföra husrannsakan, utföra spaning eller övervakning. Under förundersökningen ska polis och åklagare utreda och besluta om det finns skäl för åtal och förbereda ärendet inför en eventuell domstolsprövning. Om det inte finns anledning till att förundersökningen fullföljs ska den läggas ned. Förundersökningsledaren beslutar om att lägga ned förundersökningen. Åtal ska alltid väckas om man på objektiva grunder kan motse en fällande dom.25 Med avskrivna ärenden avses i denna granskning två typer av avskrivningar: dels brottsanmälningar som avslutats genom beslut om att inte inleda en förundersökning (direktavskrivning), dels ärenden som avslutats genom beslut att lägga ned förundersökningen. När någon av dessa två typer av avskrivningar redovisas separat i granskningen preciseras det genom att termerna direktavskrivning respektive nedlagd förundersökning används. 1.6.5Begrepp ur den officiella kriminalstatistiken Med personuppklaring menas att en person har bundits till brottet genom att åtal har väckts, att strafföreläggande har utfärdats eller att åtalsunderlåtelse har meddelats. Personuppklaringsprocenten redovisar personuppklarade brott i procent av antal anmälda brott under samma period.26 I denna granskning beräknas personuppklaringsprocenten utifrån beslut, till skillnad från Brå:s beräkningar som utgår från brott (flera beslut kan kopplas till samma brott). Detta eftersom brottstypen datasabotage, som ingår i denna granskning, inte redovisas i den officiella kriminalstatistiken. beräkningar ligger dock mycket nära Brå:s beräkningar. I kapitel 2 presenteras utvecklingen av den it-relaterade brottsligheten, större förändringar inom rättsväsendet samt politikens inriktning. redovisas hur och hanterar it-relaterade brott. I kapitel 4–6 redovisas olika förutsättningar som myndigheterna har för att handlägga och utreda it-relaterade brott. 2520 kap. 6 § (1942:740); prop. 1984/85:3, s. 10. Se dock bestämmelserna om åtalsunderlåtelse i 20 kap. 7 § (1942:740). 26Brå har en ny definition , nämligen personuppklarade brott i procent av handlagda brott . Med handlagda brott menas brott där polis, åklagare eller annan utredande myndighet fattat ett beslut gällande brottet under redovisningsåret. Brå, Handlagda brott, (hämtad ). IT-RELATERAD BROTTSLIGHET – POLIS OCH ÅKLAGARE KAN BLI EFFEKTIVARE Den snabba tekniska utvecklingen har öppnat upp för nya sätt, möjligheter och arenor för att begå brott, både för enskilda och för den organiserade brottsligheten.27 Med hjälp av informationsteknik kan kriminella begå många brott på distans med en relativt liten insats, till exempel genom att sprida sabotageprogram som angriper hundratusentals datorer . Möjligheten att begå brott på distans och agera anonymt på internet med hjälp av olika anonymiseringstjänster gör att it-relaterade brott är mindre riskfyllda för förövarna än traditionell brottslighet.28 Internet har även bidragit till att skapa en större och mindre riskfylld marknad för kriminella. Illegala varor och tjänster, såsom droger och vapen, assistans att begå mord och it-relaterade brott, bjuds numera ut på handelssidor på internets mörkare och hemliga delar, även kända som deep web och darknet.29 Virtuella valutor eller kryptovalutor, till exempel bitcoin, är vanliga betalmedel på dessa marknader eftersom transaktioner som görs med dessa betalningsmedel inte går att ångra och är mycket svåra att spåra.30 Det ökande tekniska inslaget i brottsligheten har även lett till att de kriminella nätverken är lika fasta. Utvecklingen är att kriminella personer specialiserar sig på en viss del av ett brott och säljer denna tjänst vidare till andra kriminella. Detta fenomen, känt som ”Crime as a Service” (CaaS), eller brottstjänster, tillåter kriminella personer och nätverk att begå sofistikerade brott utan att de behöver ha någon djupare teknisk kunskap. Kontakterna mellan köpare och säljare av sådana tjänster knyts ofta på olika fora på internet, främst på darknet eller deep web.31 27Intervju med ; Europol EC3 (2014), The internet organised crime threat assessment (iOCTA) 2014. 28Intervju med EC3, Europol ; Europol EC3 (2014), The internet organised crime threat assessment (iOCTA) 2014; , (2015), Polisens rapport om organiserad brottslighet 2015, dnr A185.830/2015. 29Deep web är de delar av internet som inte nås av vanliga sökmotorer. Darknet är ett krypterat nätverk inom deep web som avsiktligt hålls undangömt. En särskild programvara, till exempel (The Onion Router) som är en slags anonymiseringstjänst, behövs för att navigera på darknet. Europol EC3 (2014), The internet organised crime threat assessment (iOCTA) 2014. 30Polismyndigheten, (2015), Polisens rapport om organiserad brottslighet 2015, dnr A185.830/2015, s. 53. 31Intervju med EC3, Europol ; Europol EC3 (2014), The internet organised crime threat assessment (iOCTA) 2014; , (2015), Polisens rapport om organiserad brottslighet 2015, dnr A185.830/2015 s. 52. IT-RELATERAD BROTTSLIGHET – POLIS OCH ÅKLAGARE KAN BLI EFFEKTIVARE Den it-relaterade brottsligheten är internationell till sin karaktär. Kriminella personer och nätverk som medverkar till att begå samma brott är ofta stationerade i olika länder och kan med hjälp av informationsteknik begå brott i länder där de inte befinner sig fysiskt.32 och övriga länder inom EU är attraktiva måltavlor för it-brottslingar på grund av sitt relativa välstånd, den utbredda användningen av informationsteknik och internet hos befolkningen samt de många tjänster som erbjuds över internet inom till exempel bank- och finanssektorn.33 exempel på vanliga it-relaterade brott och tillvägagångssätt för att begå dessa brott Bedrägerier av olika slag med skiftande komplexitet, till exempel kortbedrägerier eller falska annonser på handelsplatser på internet. Phishing (nätfiske) går ut på att få offret att lämna ifrån sig exempelvis användarnamn, lösenord, uppgifter om bankkort som bedragaren kan utnyttja eller sälja vidare. Skimning är en form av kontokortsbedrägeri där någon kopierar innehållet i magnetremsan på ett kontokort. Informationen läggs över på ett annat kort, som bedragaren använder för att betala med men som belastar den ursprungliga ägarens konto. Social manipulation är när ett offer manipuleras till att skicka känslig information eller pengar. Id-kapningar är när en bedragare köper varor eller tar krediter i någon annans namn. Hot, kränkningar och trakasserier (näthat) begås ofta via till exempel internetforum, social media, e-post och sms. Internetrelaterat barnpornografibrott innebär innehav och/eller spridning av barnpornografiskt material. Det är även vanligt med så kallad livestreaming (direktsändning över internet) av sexuella övergrepp och våldtäkter mot barn. Grooming är när en gärningsman tar kontakt med barn i sexuellt syfte. Den första kontakten tas ofta via ett chattforum. Dataintrång är till exempel när en angripare olovligen tar sig in i en it-enhet, till exempel för att få tag i känsliga uppgifter eller hemlig information. Dataintrång sker både mot privatpersoner, företag, myndigheter, banker, sjukhus och annan samhällsviktig infrastruktur. Sabotageprogram (malware) är datorprogram som innehåller en skadlig kod som stör it-systemet eller samlar in information. Exempel på vanliga sabotageprogram är virus, trojaner och ransomware. Virus sprids via andra program, så kallade värdprogram, och körs enbart när värdprogrammet körs. Trojaner är fristående filer och sprids oftast via e-post eller fildelningsprogram. För att bli infekterad av en trojan måste den som fått filen själv köra programmet. Trojaner kan till exempel öppna en dator så att andra personer får tillgång till den utan användarens vetskap, eller registrera lösenord, 32Intervju med EC3, Europol ; Europol EC3 (2014), The internet organised crime threat assessment (iOCTA) 2014. 33Europol EC3 (2014), The internet organised crime threat assessment (iOCTA) 2014, s. 11, 67. exempelvis till offrets bankkonto på internet. Ransomware, hindrar användaren av den infekterade datorn från att använda den utan att betala en lösensumma. Det finns även sabotageprogram som skapar botnets. Ett botnet sammanlänkar datorer som via en central nod får uppgifter, till exempel att sprida skräppost (spam, oönskad e-post som skickas ut till mängder av mottagare för att sprida reklam, sabotageprogram eller nätfiskeattacker). Ett botnet kan bestå av hundratusentals datorer där ägarna inte vet om att datorerna är infekterade. Överbelastningsattacker (DDoS-attacker) riktas mot stordatorsystem eller datornätverk, exempelvis en myndighet eller ett företag, och leder till att systemet överbelastas. Endast en liten kapacitet blir kvar för övrig kommunikation och systemet eller hemsidan riskerar att bli helt utslagen . Attackerna görs ofta med hjälp av botnets. 2.1.1It-brottsligheten omsätter stora belopp Under har den it-relaterade brottsligheten utvecklats till en industri där kriminella personer och nätverk omsätter miljarder kronor årligen.34 Det är svårt att uppskatta exakt hur stora belopp som är i omlopp och hur stora samhällets kostnader för den it-relaterade brottsligheten är eftersom mörkertalen av brott som aldrig anmäls bedöms vara stora. uppskattningar har dock tagits fram, bland annat hänvisar European Cybercrime Center (EC3) till att brottstjänster inom it-relaterad brottslighet globalt omsätter mer än varje år.35 Kostnaden för den itrelaterade brottsligheten uppskattas vara mångdubbelt större än brottslighetens omsättning. Ett exempel är ett botnet som skickade spam där ägarna tjänade på detta, medan kostnaderna för utveckling och användning av spam-filter beräknades till . Samhällets direkta och indirekta kostnader kopplade till den it-relaterade brottsligheten innefattar flera delar. Dels uppstår kostnader för att skydda sig mot it-relaterad brottslighet med hjälp av till exempel antivirus och försäkringar. Dels uppstår direkta kostnader som en följd av själva brottet i form av förluster och kompensation till utsatta. Det uppstår även indirekta kostnader för drabbade myndigheter, banker och företag genom att deras anseenden och varumärken skadas.36 34Polismyndigheten, (2015), Polisens rapport om organiserad brottslighet 2015, dnr A185.830/2015, s. 51. 35McAfee (2013), The Economic Impact of Cybercrime and Cyber Espionage, refererad i Europol EC3 (2014), The internet organised crime threat assessment (iOCTA) 2014, s. 19. 36Anderson m.fl. (2012), Measuring the cost of cybercrime, s. 1-4, 26. IT-RELATERAD BROTTSLIGHET – POLIS OCH ÅKLAGARE KAN BLI EFFEKTIVARE 2.2Utmaningar med it-relaterade brott It-relaterade brott medför flera specifika och svåra utmaningar för rättsväsendet, utöver de som finns för alla typer av brott. I detta avsnitt redovisas några av dessa utmaningar. 2.2.1Digitala bevis är svåra att säkra måste agera snabbt och på rätt sätt för att kunna säkra flyktiga digitala bevis. Tidspressen blir bland annat tydlig vid så kallade IP-spårningar.37 Svenska internetoperatörer ska enligt lag spara trafikinformation i sex månader.38 Om inte polisen hinner få fram en IP-adress till den misstänkte är det inte längre möjligt att spåra den misstänkte via IP-adressen.39 De data som utgör bevisning är dessutom ofta mycket omfattande och svåråtkomliga. är exempelvis förhindrad att genomsöka uppgifter som en misstänkt har lagrad i en molntjänst vars server är placerad utanför Sverige.40 I sådana fall måste istället rättslig hjälp begäras från den stat på vars territorium servern är placerad.41 En annan svårighet är den ökande användningen av kryptering, som kan göra data oåtkomlig för brottsutredande myndigheter såvida inte den enhet som ska genomsökas, exempelvis en dator, är igång och upplåst när den tas i beslag. Detta ställer nya krav på hur husrannsakningar genomförs, så att den misstänkte inte får möjlighet att stänga ned eller låsa den eftersökta enheten. Att kunna genomföra en it-forensisk undersökning42 på plats under husrannsakan, så kallad live forensics, blir allt viktigare.43 Den digitala bevisningen måste också säkras på rätt sätt för att inte förstöras eller förvanskas, vilket kräver särskilda kunskaper hos den som hanterar detta. Den snabba tekniska utvecklingen gör att det behövs en bred kunskap inom och om informationsteknik, internet och it-forensik för att kunna utreda brott tillfredsställande och ha förmåga att värdera och hantera digital bevisning.44 37En IP-adress eller ett IP-nummer (Internet Protocol address) identifierar en anslutning mot internet och används för att information som skickas på internet ska nå fram till rätt dator. IP-adressen kan spåras till en operatör, som kan lämna abonnentuppgifter för IP-adressen, så kallad IP-spårning. 386 kap. 16 § lag (2003:389) om elektronisk kommunikation. De svenska datalagringsbestämmelserna är föremål för prövning, se avsnitt 2.6.2. 39Intervju med EC3, Europol ; intervju med . 40Detta skulle vara att betrakta som en husrannsakan i utlandet, se Ds. 2005:6, s. 131. 41Se 3 kap. lag (2000:562) om rättslig hjälp i brottmål. 42Se avsnitt 1.6.2. 43Europol EC3 (2014), The internet organised crime threat assessment (iOCTA) 2014; intervju ; Kronqvist, (2013), Brott och digitala bevis. Tredje upplagan, Juridik, s. 51. 44Politiet, Politidirektoratet, (2015), Datakrimstrategien, s. 159; intervju med ; intervju med . 2.2.2Svårt att identifiera misstänkta personer När brottsligheten flyttar ut på internet krävs ofta ett omfattande spaningsarbete både på internet och i den fysiska världen för att kunna binda en misstänkt person till ett visst brott.45 Att hämta bevis från internet kan vara tekniskt komplicerat och kräva genomgång av stora mängder information. kan inhämta öppen information från internet oavsett var den lagras fysiskt. För att ska kunna genomföra hemlig avlyssning eller övervakning av misstänkta personers elektroniska kommunikation krävs däremot domstolsbeslut.46 Även så kallade anonymiseringstjänster gör det svårare för de brottsutredande myndigheterna att spåra internetaktivitet till en viss enhet eller person . När en misstänkt it-enhet har kunnat identifieras är det en utmaning att knyta en viss person till användandet av samma enhet.47 Specialiseringen bland de kriminella på vissa delar av ett brott har också gjort det svårare för de brottsutredande myndigheterna att identifiera alla inblandade parter i ett brott. De olika specialiserade personerna känner sällan varandra personligen, utan bara till de smeknamn som används på de fora där tjänsterna säljs. Även om kan identifiera en deltagare i brottet innebär det inte att samtliga i det kriminella nätverket kan identifieras.48 2.3Utvecklingen för de granskade brottstyperna ökade antalet anmälda it-relaterade brott49 med , att jämföra med för all brottslighet.50 ökade andelen it-relaterade brott av det totala antalet anmälda brott i från . anmäldes totalt 75 369 it-relaterade brott. Det finns inga tecken på att den it-relaterade brottsligheten kommer att avta. Personuppklaringsprocenten för samtliga brott har minskat från 2014.