sou · H5B389 · 2017-11-16 00:00:00 — För att uppnå någon slags balans i framställningen försöker vi i kapitlet att beskriva den moderna brottsligheten och dess utveckling ur två perspektiv. Det ena handlar om hur och i vilken omfattning modern teknik används i olika typer av kriminalitet och det andra om hur några fält inom modern kriminalitet har utvecklats på ett mer generellt plan. När det gäller det första av de valda perspektiven, dvs. i vilken mån teknik används i brottslighet har vi ansett det vara av relevans både att tekniken används i själva brottsligheten (t.ex. dataintrång och barnpornografibrottslighet) och att den används så att bevisning kan säkras om förestående eller begångna brott (t.ex. kontakter mellan kriminella via meddelandetjänster). Perspektivet behandlas i avsnitten 7.2 och 7.3. I direktiven nämns terroristbrottslighet och organiserad brotts- lighet särskilt. Det finns ett angeläget samhälleligt intresse av att komma till rätta med dessa brottskategorier. Så är givetvis fallet även vid annan allvarlig brottslighet, t.ex. dödligt våld. Vårt andra per- spektiv tar därför sikte på nuläge och utvecklingstendenser inom Brottsutveckling av betydelse för utredningen dessa tre fält. I de avsnitt (7.4 och 7.5) som behandlar dessa frågor är framställningen inte lika teknikorienterad som i de tidigare avsnitten. Det har i olika sammanhang förts fram förslag till vad som ska anses vara it-relaterad brottslighet.1 I i brottsligheten och rättsväsendets förmåga att hantera dem används följande definition.2 It-relaterad brottslighet innebär att brottet har it-inslag genom att it är närvarande på någon av följande tre nivåer. 1.It är målet och en förutsättning för brottets genomförande, till exempel dataintrång. 2.It är medlet och har understött brottet, till exempel genom att ett socialt forum använts för att hota någon. 3.It kan, utan att vara mål eller medel, ha beröring med brottet. Detta genom att digitala spår3 har lämnats som kan användas som bevisning vid ett brott som begåtts utanför it-miljö. Samtliga tre nivåer är i allra högsta grad relevanta för vår utredning. När begreppet it-relaterad brottslighet fortsättningsvis används i betänkandet avses därför den betydelse som framgår av den nu givna definitionen. Av rapporten4 framgår först att en oerhörd ökning skett av antalet anmälda brott som kan identifieras som it-relaterade utifrån den brottskodning som sker hos polisen vid anmälan (studien av den officiella kriminalstatistiken). Ökningen –2015 var . I absoluta tal var den observerade ökningen störst när det gäller brottstypen datorbedrägeri och därefter bedrägeri med hjälp av internet. Mellan ökade antalet anmälda datorbedrägerier från cirka 6 200 till 67 100 och bedrägerier med 1Se t.ex. brottslighet – polis och åklagare kan bli effek- tivare (RiR 2015:21) s. 17 och där angivna hänvisningar. 2Se 2016:17 s. 19. När vi i det följande i betänkandet använder begreppet it- relaterad brottslighet gör vi det i samma mening som enligt rapportens definition. 3Digitala spår eller digital bevisning är information som antingen är överförd via eller lagrad i binär form. 4Metoden som användes i studien framgår på s. 21 ff. i 2016:17. Brottsutveckling av betydelse för utredningen hjälp av internet från 1 500 till 24 100.5 Brå framhåller att möjlig- heten att följa den it-relaterade brottslighetens utveckling med hjälp av kriminalstatistiken är starkt begränsad och att det inte går att, med hjälp av den anförda statistiken, dra några slutsatser om it- inslagen för brott med övriga brottskoder. Det går enligt Brå inte heller att utifrån siffrorna utläsa om det handlar om nya brott eller om en förflyttning av brott, dvs. om traditionella brott har flyttat över till it-miljö.6 Studien visar också att it-inslagen i de polisanmälda brotten totalt sett har mer än fördubblats (från ). Enligt Brå bör nivåerna emellertid tolkas med stor för- siktighet då de ”med all sannolikhet utgör en kraftig underskattning” av den totala andelen brott med it-inslag.7 Det kan också anmärkas att majoriteten av de förundersökningsledare som Brå intervjuade inom ramen för studien anser att det snarare är regel än undan- tag att det finns potentiell digital bevisning i ärendena. Den digitala bevisningen kan t.ex. utgöras av beslagtagna mobiltelefoner som innehåller någon slags information som kan styrka brott, våld som har filmats med en mobiltelefon, butiksrån eller snatterier som har filmats med en övervakningskamera eller data från en masttömning.8 Bakom den generella ökning som observeras i polisanmälningarna ligger enligt Brås bedömning att ett antal faktorer spelar in. En viktig faktor är att det har skett en ökning av brott som per definiton har it-inslag (t.ex. datorbedrägeri, bedrägeri med hjälp av internet, data- intrång). En annan faktor är att utvecklingen av sociala medier avspeglas i ökningar av hot, ofredanden och andra brott som sker via sådana kommunikationsvägar. En tredje faktor är att andelen brott som har filmats av övervakningskameror tycks ha ökat, vilket gäller för flera typer av brott (t.ex. våldsbrott, stöld och skadegörelse). En fjärde faktor som enligt Brå förklarar den ökning av it-inslag som observeras i polisanmälningarna är att polisens beslag av misstänkta personers mobiltelefoner tycks ha ökat, t.ex. vid narkotikabrott.9 Brå har också i studien undersökt utvecklingen av antalet it-beslag. Med begreppet avses beslagtaget gods som registrerats i Polisens Brottsutveckling av betydelse för utredningen ärendehanteringssystem i någon av undergrupperna10 Mobiltelefon, Datautrustning/Tillbehör/Programvara eller Dator/PC/. Av studien framgår att det även beträffande it-beslag har skett en ökning. registrerades 72 382 beslag i huvudgruppen Bok- föring/Data/Kontor/Telefoni, vilket kan jämföras med 53 883 beslag . Det motsvarar en ökning på . Ökningen före- kommer i samtliga undergrupper av huvudkategorin som Brå har studerat. Den procentuella ökningen är störst inom undergruppen Dator/PC/där ökningen motsvarar . I undergruppen Mobiltelefon ökade beslagen och i Datautrustning/Tillbehör/Programvara var ökningen . Detta kan jämföras med den totala ökningen för beslag (för samtliga huvudgrupper) , som var 8 procent.11 Att antalet it-beslag ökat bekräftades också av flera av de personer som Brå intervjuade i studien. Intervju- personerna var även överens om att bevisen som it-beslagen kan generera har mycket stor betydelse för utredningen och att det finns en underutnyttjad potential i den information som ligger lagrad i till exempel mobiltelefoner.12 Även beträffande studien av it-beslag konstaterade emellertid Brå att det fanns betydande osäkerhetsfaktorer. Bland annat framhöll Brå att det utifrån statistiken inte går att utläsa om det beslagtagna föremålet har lämnats in för it-undersökning eller inte. Vidare fram- hölls att skälet till att ett föremål tas i beslag inte framgår av begärda data och att det utifrån materialet inte går att utläsa om det har skett en förändring av komplexiteten av de beslagtagna föremålen som lämnas in för undersökning (t.ex. ökad förekomst av krypterade data) eller av mängden data i den beslagtagna utrustningen.13 10Beslagtaget gods registreras enligt i Polisens ärendehanteringssystem i en huvudgrupp och därefter i en undergrupp. I systemet finns huvudgrupper som Droger/Narko- tikaredskap, Fordon/Fordonstillbehör/Trafik/Flyg och Bokföring/Data /Kontor/Telefoni. Inom den sist angivna huvudgruppen finns bland annat de angivna undergrupperna. Brottsutveckling av betydelse för utredningen 7.3Europols rapportering om it-brottslighet Inom Europol finns arbetsgruppen European Cyber- crime Center (EC3) som arbetar med att stärka de brottsbekäm- pande myndigheternas möjligheter att motverka it- brottslighet14. EC3 ger ut rapporten (IOCTA) i vilken Europol år för år redogör för trender, tendenser och fokusområden när det gäller it-brottslighet. I det följande ska ett antal trender och tendenser redovisas för att ge en bild av hur modern brottslighet kan se ut. Det bör nämnas att Europol uppskattar kostnaderna för it-brottslighet inom EU till . På global nivå uppskattas kostnaderna uppgå till omkring 900 miljarder euro.15 Ett område som lyfts fram som ett problem i IOCTA- rapporterna är sabotageprogram (eng. malware). Med sabotage- program avses oönskad programvara i dator, mobil eller annan teknisk utrustning. Såväl sabotageprogrammen i sig själva som problemen som omgärdar dessa är mångfacetterade. Förenklat kan dock problemen förklaras med att kriminella förmår användare av teknisk utrustning att, medvetet eller omedvetet, installera oönskad programvara i utrustningen. Sabotageprogrammet som installerats kan därefter vidta åtgärder med innehållet i utrustningen, såsom att kryptera filer eller söka efter viss information. I IOCTA 2016 slås fast att de största svårigheterna avseende sabotageprogram är s.k. ransomware (sabotage- program som gör utrustningen obrukbar och kräver användaren på en lösensumma för att utrustningen ska fungera igen) och s.k. information stealers (sabotageprogram som från utrustningen stjäl information, vilken därefter kan användas i kriminella syften, t.ex. lösenord). Den typ av ransomware som enligt Europol blivit det mest framträdande hotet för såväl medborgare som företag och myndigheter är s.k. cryptoware. När ett sådant program har installerats krypteras alla eller vissa filer i utrustningen varefter 14Vi använder termen it-brottslighet i denna del för det engelska begreppet cybercrime. 15www.europol.europa.eu/about-europol/european-cybercrime-centre-ec3 Brottsutveckling av betydelse för utredningen användaren får information om att det enda sättet att komma åt filerna igen är att betala en lösensumma. Typiskt sett ska summan betalas i en virtuell valuta (vanligen kryptovalutan Bitcoin), vilket försvårar spårningen till de kriminella som ligger bakom aktionen. Dessutom är det vanligt att beloppet som ska betalas ökar om betalning inte sker. har sabotageprogram främst varit framtagna för och riktade mot datorer. I IOCTA 2016 lyfter emellertid Europol fram att det finns tydliga indikationer på att sabotageprogram som tar sikte på smarttelefoner håller på att få ett genombrott i kriminell verksamhet.16 7.3.2Sexuella övergrepp mot barn via internet Ett annat område som IOCTA-rapporteringen belyser är ut- nyttjandet av barn i sexuella syften på internet. Enligt IOCTA 2016 är det även i dessa sammanhang fråga om olika typer av problem och kriminalitet. Den gemensamma nämnaren är emellertid att krimi- naliteten bottnar i användandet av internet som plattform för att kommunicera, lagra och dela barnpornografiskt material för perso- ner som på olika sätt utnyttjar barn. Ett av de huvudsakliga hoten på området är enligt Europol nät- baserade sexuella tvång och utpressningar (eng. sexual coercion and extortion online). Typfallet vid dessa gärningar är att förövaren på något sätt, via främst sociala medier och onlinespel som barn och unga använder, vinner barnets förtroende och därefter utnyttjar barnets sårbarhet och utsatthet i syfte att komma över en bild eller video av sexuell karaktär. Detta leder till en fas där förövaren utövar utpressning mot barnet. Beroende på om gärningsmannens drivkraft är av sexuell eller ekonomisk karaktär varierar handlandet. I det förra fallet utövas utpressning i syfte att komma över mer material medan utpressningen i det senare fallet handlar om att barnet ska betala för att materialet inte ska spridas.17 Inom området för utnyttjandet av barn i sexuella syften på inter- net rapporteras också om ett ökat antal direktsända sexuella över- 16IOCTA 2016 s. 10 och 17 ff. 17IOCTA 2016 s. 24. Brottsutveckling av betydelse för utredningen grepp (eng. live streaming of child sexual abuse). Med detta avses att förövare via internet beställer och därefter i realtid regisserar (och via en datorskärm ser) ett sexuellt övergrepp mot ett barn någon annan stans i världen. Övergreppet kan både ”skräddarsys” enligt för- övarens önskemål och spelas in för att sedan spridas. Denna typ av beteende bidrar till en ökad spridning av, i dessa kretsar, mycket eftertraktat barnpornografiskt material på internet. Anonymiteten vid sådana övergrepp som har beskrivits kan garanteras med s.k. end-to-end-kryptering. Genom sådan kryptering kan inte ens den tjänsteleverantör som tillhandahåller exempelvis videosamtalet veta vad som sprids bland dess användare. Detta hämmar enligt Europol bevisinsamlandet och försämrar möjligheterna att i brottsföre- byggande syften vidta åtgärder mot problemet. har dylika övergrepp som beskrivits främst skett i men enligt IOCTA 2016 syns nu tendenser på att problemet sprider sig till att omfatta även andra delar av världen. Ett gemensamt drag bland dessa länder är att de är fattiga, har begränsat skydd för barn och unga och att det där är lätt att komma åt barn. Det finns också, enligt Europol, bevis för en länk mellan direktsända övergrepp och efterföljande resande i syfte att på plats själv utnyttja barn sexuellt liksom för att personer som varit på plats och utnyttjat barn i ett senare skede begår den nu beskrivna typen av övergrepp på distans.18 Ett annat problem som lyfts fram i IOCTA 2016 är den ökande medvetandegraden i detta segment av kriminella om vilka åtgärder brottsbekämpande myndigheter kan vidta och vilka tekniska möjlig- heter dessa har. Liksom andra it-brottslingar använder sexualför- brytare olika tjänster för att dölja sin brottsliga verksamhet. Bland dessa tjänster finns exempelvis IP-anonymisering, kryptering för kommunikation och för utrustning, program som kan förstöra filer eller enheter (s.k. wiping software) och molnlagring. Det är mer regel än undantag att sådana tjänster används och det är således inte som tidigare bara ”sofistikerade” förövare som utnyttjar den moderna tekniken. Dessutom ger Darknet och liknande tjänster inte bara möjlighet för förövare att sprida och ta emot barnpornografiskt material. De ger också förövare chansen att utbyta tekniker för att 18 IOCTA 2016 s. 26. Brottsutveckling av betydelse för utredningen minska eller begränsa brottsbekämpande myndigheters chanser att komma åt dem.19 Bland de tjänster som finns tillgängliga i den ”digitala undre världen” är enligt IOCTA 2016 en av de populäraste s.k. DDoS-attacker (se förklaring i not 30 i avsnitt 6.3.4). Sådana attacker, eller rättare sagt hot om sådana attacker, används inte sällan i utpressningssyfte genom att den som attackerar informerar den som är måltavla för attacken t.ex. att dennes webbsida kommer att bli överbelastad och därmed oanvändbar om den attackerade inte betalar en lösensumma. har DDoS-attacker blivit allt kraftfullare. Som ett exempel på detta kan nämnas att det när IOCTA 2015 publicerades var ovanligt med attacker som översteg 100 gigabits (Gbps). rapporterades om attacker som översteg 300 Gbps och 2016 angreps både BBC:s och webbsidor med attacker som översteg 600 Gbps. Ju högre ”överföringshastighet” attackerna utförs med desto större skada orsakas genom att det blir svårare för den vars webbsida attackeras att värja sig mot attacken. De senare attackernas intention var att demonstrera effektiviteten hos nya ”DDoS-verktyg”. Sådana verk- tyg, vilka ofta kallas ”booters” eller ”stressers”, finns lättillgängliga som tjänster på internet och har stått för en betydande del av DDoS- attackerna som rapporterats till de brottsbekämpande myndig- heterna. Motiven för DDoS-attacker varierar; i hög utsträckning handlar det, som nämnts, om utpressningsmotiv men det finns också exempel på ren illvilja och attacker med oklara motiv.20 Hälften av EU:s medlemsstater har rapporterat till Europol att det där förekommit utredningar rörande DDoS-attacker. En nästan lika stor andel av medlemsstaterna har indikerat att de har varit involverade i utredningar om attacker mot privata nätverk. Främst har det varit fråga om hackande och utnyttjande av nätverkens sårbarheter men också bland annat användande av sabotageprogram har konstaterats. Målen för sådana attacker har främst varit att 19IOCTA 2016 s. 26. 20IOCTA 2016 s. 35. Brottsutveckling av betydelse för utredningen antingen stjäla information eller begå bedrägerier men också i dessa fall har attacker av ren illvilja kunnat konstateras.21 7.3.4Attacker mot samhällsviktig infrastruktur Ett område som redovisas särskilt i IOCTA-rapporteringen är attacker mot samhällsviktig infrastruktur (eng. attacks on critical infrastructure). Definitionen av samhällsviktig infrastruktur är att driftstörningar eller förstörelse av dessa skulle ha en försvagande effekt på samhället. Attacker av sådant slag som diskuteras kan t.ex. innebära att angriparen får tillgång till kunskap om hur specifika kontrollsystem fungerar. Detta kan i sin tur leda till riktade attacker som utnyttjar de sårbarheter som uppmärksammats, med system- kollaps som följd. Sabotageprogram skulle potentiellt kunna mani- pulera kontrollen av kraftnät, finansiella tjänster, försvar eller sjuk- vårdsregister vilket kan få katastrofala följder i den ”riktiga världen” i form av exempelvis fysisk skada, strömavbrott eller störningar i en hel stads vattentillgångar. rapporterade, enligt IOCTA 2016, brottsbekämpande myndigheter runtom i om en rad attacker mot samhällsviktig infrastruktur. Som exempel nämns bland annat att det ukrainska kraftnätet angreps med trojaner som var ämnade att attackera vissa funktioner i kontroll- systemen, att ett tyskt kärnkraftverk attackerades med hjälp av sabotageprogram som, om det hade haft den rätta tillgången till internet, hade kunnat fjärrstyras samt att ett tyskt stålverk angreps vilket var det första bekräftade fallet där en sådan attack lett till förstörande av fysisk utrustning.22 Enligt IOCTA 2016 är användandet av sociala medier den mest rapporterade terroristaktiviteteten på internet. Terroristgrupper använder sådana sociala medier som plattform för en rad aktiviteter såsom rekryteringskampanjer, propaganda, uppviglande till terrorist- attentat och för att ta på sig ansvar för utförda attentat. 21IOCTA 2016 s. 36. 22IOCTA 2016 s. 39 f. Brottsutveckling av betydelse för utredningen har enligt Europol varit en nyckelfaktor för terroristgrupperingars möjligheter att sprida sina budskap, bland annat avseende vad man uppnått. De har också använts i radikaliserings- och självradikali- seringsprocesser. Vissa brottsbekämpande myndigheter i har noterat en växande trend i självradikaliseringsprocessen, kanske möjliggjord genom den snabba och enkla tillgången till pro- paganda på internet. Sådan propaganda tycks, enligt Europol, för- enkla radikaliseringen av ensamagerande terrorister (eng. lone actors), vilka kan tilltalas av extremistideal framför datorn och ledas till att genomföra terroristattacker i sina hemländer. pekar Europol på att det inte finns några empiriska belägg för att internet är bland de bakomliggande orsakerna till extremism. Inte heller finns avgörande bevis som stöder tesen att individer kan radikaliseras av påverkan från internet utan influenser utanför den uppkopplade världen. Icke desto mindre påpekas i rapporten att internet kan möjliggöra att en person blir ytterligare förankrad i en radikaliseringsprocess. För det första genom att internet tillhandahåller stora mängder extremist- och terroristmaterial som kan förstärka individens ideologiska upp- fattningar och ge näring åt dennes argument. För det andra genom att individen själv selektivt kan välja mellan tillgängligt material på internet och då välja bort sådant material som inte är i linje med dennes tänkande samt endast ta åt sig av sådant som bekräftar hens redan existerande uppfattning. Dessutom, för det tredje, är det sannolikt enklare för individen att på internet bli vän med lika- tänkande, som gärna vill diskutera och kommunicera frågor av angivet slag, än vad det är i den fysiska världen utanför internet. Detta gör, enligt Europol, att internet och sociala medier, i vart fall generellt sett, kan anses vara utrymmen där individer som redan är på väg mot radikalisering kan validera sina åsikter och få erkännande och bekräftelse från andra. I sådana fall är internet en möjliggörare (eng. enabler) för (själv-) radikalisering.23 Andra områden som särskilt redovisats i IOCTA 2016 beträffande kopplingen mellan internet och terrorism är Darknet, kryptering och it-attacker. Enligt rapporten är Darknet en resurs som i allt högre utsträckning används av terrorister. Även om brottbekämpande myndigheter inte har rapporterat en tydlig trend indikerar utred- ningar som skett efter terroristattacker att terrorister blivit medvetna 23 IOCTA 2016 s. 49 f. Brottsutveckling av betydelse för utredningen om potentialen i Darknetmiljön; att kunna kommunicera med liten risk för upptäckt av brottbekämpande myndigheter och att kunna handla illegala varor och tjänster. Det framstår vidare enligt Europol som en trend med Darknetforum engagerade i terroristideal. Fram- växten av sådana forum kan tillskrivas ökningen av tekniskt skickliga individer med anknytning till terroristorganisationerna som delar och sprider sina idéer inom dessa forum. Detta har resulterat i ett antal mindre it-attacker mot mål i Västvärlden. Även om dessa attacker inte haft någon större påverkan framhåller Europol att det finns tendenser som pekar på att terroristgrupper, i takt med att deras kunskap i it-frågor växer och erfarenheter utbyts, bygger en större kapacitet på området.24 Brottsbekämpande myndigheter i har också rapporterat ett ökat användande av krypteringsmetoder bland terrorister, inklude- rande användningen av krypterade kommunikationsappar. Terrorist- grupper använder krypterings- och anonymiseringstjänster för att dölja sina identiteter när de kommunicerar, planerar attacker, köper olagliga varor och genomför ekonomiska transaktioner. Enligt Europol uppvisar terroristerna när det gäller säkerhetsåtgärder i dessa avseenden stora likheter med personer som via internet ut- nyttjar barn för sexuella ändamål och andra it-brottslingar. Det finns också bevis för att terroristgrupper delar information mellan varan- dra om hur man förblir ”ospårbar” i syfte att undvika myndigheterna. Ett exempel på detta är den s.k. OPSEC-manualen, som detaljerat förklarar hur man håller sig säker på internet. Manualen är framtagen av en terroristgrupp och spridd bland andra. Även användningen av flerlagerskryptering, såsom VPN och , har enligt rapporten ökat bland terrorister som vill göra sig mer svårfunna på internet.25 7.4Redogörelsen för brottsutvecklingen i SOU 2012:44 I betänkandet Hemliga tvångsmedel mot allvarliga brott (SOU 2012:44) finns en omfattande redogörelse över brottsutvecklingen i på vissa områden. I detta avsnitt sammanfattas vad som där angavs 24IOCTA 2016 s. 50. 25IOCTA 2016 s. 50 f. Brottsutveckling av betydelse för utredningen beträffande terroristbrottslighet, organiserad brottslighet och dödligt våld utifrån det andra av våra två perspektiv, se avsnitt 7.3.1.26 Den teknologiska utvecklingen och den ökade rörligheten för män- niskor och varor har lett till viktiga förändringar av terroristgrupper- nas modus operandi . Organisationsstrukturen hos dagens terroristorganisationer skiljer sig från strukturen hos traditio- nella sådana organisationer på flera områden. Dagens terroristorgani- sationer karakteriseras av överlappande och sammankopplade trans- nationella och globala nätverk som i sin tur består av mindre grupper eller celler med ett mindre antal personer. Nätverken är decentra- liserade och geografiskt utspridda över hela världen. Den decentrali- serade nätverksstrukturen innebär att de mindre grupperna inte vet vilka andra grupper som är med i nätverken. Nätverken har en platt struktur utan tydligt ledarskap, och medlemskapet är flytande till sin karaktär (s. 188 f.). har andelen individer som är födda i och som begått islamistiska terroristdåd ökat.