«Не заплатите – расскажу журналистам»: как изобретатель из Латвии пытался заработать на уязвимости CSDD и проиграл 3

Верховный суд Латвии в четверг отказался возбуждать кассационное производство по делу инженера-изобретателя Раймонда Скурулса, обвиняемого в вымогательстве в отношении Дирекции безопасности дорожного движения (CSDD). Таким образом в силе остается решение Видземского окружного суда, согласно которому Скурулсу назначен денежный штраф в размере 4290 евро.

С чего все началось

В октябре 2018 года Скурулс позвонил в CSDD и сообщил, что обнаружил уязвимость в системе авторизации электронных услуг ведомства, связанной с госреестром транспортных средств и их владельцев. Сотрудники CSDD поначалу переадресовывали звонок от одного специалиста к другому, пока изобретатель не настоял на разговоре с компетентным консультантом.

Для связи с ним CSDD привлекла стороннюю компанию - SIA WeAreDots, от имени которой со Скурулсом начал общаться руководитель группы решений по IT-безопасности Каспарс Лицис. Тем временем CSDD параллельно организовала собственную проверку системы, для чего к сверхурочной работе привлекли трех программистов - это обошлось ведомству в 3074,52 евро. Спустя неделю специалисты действительно нашли уязвимость, но, как позже выяснилось, - другую, хотя и похожую по своей природе.

Требование денег

Пока CSDD вела внутреннюю проверку, Скурулс продолжал переговоры с представителем WeAreDots. Изобретатель посчитал, что потратил немало личного времени на поиск уязвимости, и заявил, что не намерен передавать результаты бесплатно - он запросил вознаграждение в 1000 евро. Стороны даже заключили официальный договор между WeAreDots и компанией Скурулса Acoustic Power LAB, по которому тот должен был передать все материалы об уязвимости, а после подтверждения проблемы - выставить счет.

Скурулс свою часть договора выполнил: он передал по электронной почте описание уязвимости в системе авторизации на сайте e-csdd.lv, которая позволяла получать неавторизованный доступ к данным. По его собственной оценке, при попадании такой информации в руки злоумышленников те могли бы не только выгружать данные из баз CSDD, но и переоформлять любой автомобиль на другого владельца.

Чем обернулась инициатива

Ситуацию усугубило то, что в переписке с сотрудниками CSDD изобретатель предупредил: если дирекция ничего не предпримет, он сам расскажет о «дыре» в системе безопасности через средства массовой информации. Именно эта фраза впоследствии стала ключевым аргументом обвинения - суд расценил ее не как предложение об услуге, а как угрозу, то есть попытку вымогательства.

В итоге в конце октября 2018 года руководство CSDD обратилось с заявлением в полицию, и против Скурулса возбудили уголовное дело. Изобретателя тогда задержали и на несколько дней поместили в изолятор временного содержания.

Долгий путь по судам

Дело прошло через несколько инстанций с противоположными решениями. В 2021 году Резекненский суд признал Скурулса виновным и назначил штраф в 12 минимальных месячных зарплат. Апелляционная инстанция - Латгальский окружной суд - позже оправдала изобретателя, указав, что уязвимость он не создавал, а обнаружил, а следить за безопасностью системы должна была сама CSDD. Прокуратура с оправданием не согласилась и обжаловала решение в Верховном суде, который в 2023 году отменил оправдательный приговор и отправил дело на новое рассмотрение.

При повторном рассмотрении Латгальский окружной суд не учел позицию Верховного суда, что привело к ухудшению положения обвиняемого, - в результате в силе оставили решение Резекненского суда о штрафе 8400 евро и компенсации CSDD 3459 евро. Скурулс обжаловал уже это решение, и дело вновь дошло до Видземского окружного суда, который в итоге пересмотрел сумму штрафа до 4290 евро.

Верховный суд в этот раз счел доводы Скурулса о своей невиновности лишь несогласием с оценкой доказательств, а не юридическими аргументами, и отказался пересматривать дело. Таким образом штраф в 4290 евро - это финальная точка в деле, длившемся почти восемь лет.

Скурулс - радиоинженер и инженер-конструктор, в прошлом лауреат престижной премии Валтерса Цапа Латвийской академии наук и Патентного управления Латвии за одно из своих изобретений.