डच कायद्यानुसार फिशिंग आणि इंटरनेट फसवणूक हे फौजदारी गुन्हे आहेत. जो फसवणूक करणारा तुम्हाला लॉगिन तपशील देण्यास किंवा पैसे हस्तांतरित करण्यास फसवतो, तो डच फौजदारी संहितेच्या कलम ३२६ अंतर्गत 'ओप्क्लिच्टिंग' (फसवणूक) आणि अनेकदा कलम १३८ab अंतर्गत 'कॉम्प्युटरव्रेडेब्रेक' (संगणक प्रणालीमध्ये अनधिकृत प्रवेश) चा गुन्हा देखील करतो. जर तुमच्या खऱ्या संमतीशिवाय तुमच्या खात्यातून पैसे काढले गेले असतील, तर डच नागरी संहितेच्या कलम ७:५२८ नुसार तुमच्या बँकेने तत्त्वतः ते परत करणे आवश्यक आहे, जोपर्यंत तुम्ही फसवणूक करून किंवा घोर निष्काळजीपणाने वागलात हे बँक सिद्ध करू शकत नाही. त्वरा महत्त्वाची आहे: घटना लक्षात येताच तुमच्या बँकेला कळवा आणि पोलिसांत तक्रार दाखल करा.
डच कायद्यानुसार फिशिंग कशाला म्हणतात
फिशिंग हा फसवणुकीचा एक प्रकार आहे, ज्यामध्ये गुन्हेगार तुमच्या विश्वासातील एखादी संस्था – जसे की बँक, पेमेंट प्रोव्हायडर, डिलिव्हरी कंपनी, बँक खाते – असल्याचे भासवून, बँकिंग ॲपमधील लॉगिन क्रेडेन्शियल्स, पेमेंट कार्डचा तपशील, व्हेरिफिकेशन कोड किंवा सही मिळवतो. यासाठी विविध माध्यमांचा वापर केला जातो: जसे की ईमेल, एसएमएस संदेश (स्मिशिंग), बँकेच्या फ्रॉड डेस्कमधून बोलत असल्याचा दावा करणाऱ्या व्यक्तीचा फोन कॉल (विशिंग), व्हॉट्सॲप किंवा लिंक्डइनवरील संदेश, किंवा स्पॉन्सर्ड सर्च रिझल्टच्या मागे असलेली क्लोन केलेली वेबसाइट.
डच फौजदारी कायद्यात 'फिशिंग' हा शब्द वापरलेला नाही. त्यामागील कृतीला शिक्षा दिली जाते. एखाद्या व्यक्तीला पैसे किंवा डेटा देण्यास प्रवृत्त करण्याच्या उद्देशाने स्वतःला बँक भासवणे, हे 'वेटबुक व्हॅन स्ट्राफ्रेक्ट'च्या कलम ३२६ अंतर्गत 'ऑप्लिटिक' (oplichting) आहे. अशा प्रकारे मिळवलेल्या क्रेडेन्शियल्सने खात्यात लॉग इन करणे, हे कलम १३८ab अंतर्गत 'कॉम्प्युटरव्रेडेब्रेक' (computervredebreuk) आहे. नुकसान पोहोचवण्यासाठी किंवा फायदा मिळवण्यासाठी दुसऱ्या व्यक्तीच्या ओळख पटवणाऱ्या डेटाचा वापर करणे हे कलम २३१b अंतर्गत शिक्षापात्र आहे, कागदपत्रे किंवा डिजिटल रेकॉर्डमध्ये फेरफार करणे हे कलम २२५ अंतर्गत येते, आणि पेमेंट कार्ड्स किंवा त्यामागील डेटाचा गैरवापर करणे हे कलम २३२ अंतर्गत येते. जेव्हा एखादा हल्ला एनक्रिप्टेड फाइल्स आणि खंडणीच्या मागणीत संपतो, तेव्हा कलम ३५०a (डेटा बदलणे किंवा नष्ट करणे) आणि कलम ३१७ (खंडणी) लागू होतात.
इंटरनेट फसवणूक म्हणजे काय
इंटरनेट फसवणूक ही एक व्यापक श्रेणी आहे: ऑनलाइन माध्यमाद्वारे केली जाणारी कोणतीही फसवणूक. यामध्ये पैसे घेऊन वस्तू न पाठवणारे वेबशॉप्स, भाड्याच्या बनावट जाहिराती, क्रिप्टोकरन्सीवर आधारित गुंतवणुकीचे घोटाळे, पुरवठादाराच्या बँकेचा तपशील गुपचूप बदलून केली जाणारी इनव्हॉइस फसवणूक, आणि सीईओ फसवणूक यांचा समावेश होतो; ज्यात वित्त विभागातील कर्मचाऱ्याला संचालकाकडून आल्यासारखी दिसणारी तातडीच्या पेमेंटची सूचना मिळते. कायदेशीररित्या, या सर्वांवर फौजदारी संहितेचे कलम ३२६ ही एकच तरतूद लागू होते, कारण यामागील मूळ हेतू एकच आहे: एखाद्या व्यक्तीला पैसे, वस्तू किंवा माहिती देण्यास प्रवृत्त करणारी एक फसवी कृती.
फिशिंग आणि व्यापक प्रकारामधील व्यावहारिक फरक हा आहे की नुकसान कोठे होते. फिशिंगच्या प्रकरणात, पैसे सहसा पेमेंट खात्यातून बाहेर जातात, ज्यामुळे दिवाणी संहितेच्या कलम ७ मधील पेमेंट सेवा नियम लागू होतात. वेबशॉप किंवा गुंतवणूक घोटाळ्यामध्ये, पीडित व्यक्ती स्वतःच पैसे हस्तांतरित करते, ज्यामुळे पैसे परत मिळवणे हे फसवणूक करणाऱ्याविरुद्ध आणि काहीवेळा, निधी स्वीकारणाऱ्या प्लॅटफॉर्म किंवा बँकेविरुद्ध दिवाणी प्रकरण बनते.
फिशिंग संदेश कसा ओळखावा
आधुनिक फिशिंग संदेश सुबकपणे लिहिलेले आणि अनेकदा वैयक्तिकृत असतात, त्यामुळे स्पेलिंगच्या चुकांबद्दलचा जुना सल्ला आता पुरेसा ठरत नाही. तीन संकेत विश्वसनीय ठरतात. संदेश तुमच्यावर वेळेचा दबाव निर्माण करतो, आणि सांगतो की, जर तुम्ही आताच काही केले नाही, तर तुमचे खाते ब्लॉक केले गेले आहे किंवा केलेले पेमेंट परत घेतले जाईल. तो तुम्हाला तुमच्या नेहमीच्या वापरातील माध्यमांपासून दूर नेतो, आणि तुमचे स्वतःचे बँकिंग ॲप उघडण्याऐवजी एखाद्या लिंकवर क्लिक करण्यास किंवा नंबरवर कॉल करण्यास सांगतो. आणि तो अशी गोष्ट मागतो जी बँक कधीही मागत नाही: एक व्हेरिफिकेशन कोड, तुम्ही सुरू न केलेल्या व्यवहारासाठी तुमच्या बँकिंग ॲपमधील सही, किंवा तुमच्या डिव्हाइसवरील रिमोट ॲक्सेस सॉफ्टवेअरसाठी परवानगी.
संस्थांसाठी, पेमेंटच्या सूचनांबाबतही तोच तर्क लागू होतो. ईमेलद्वारे आपल्या बँकेचा तपशील बदलणारा पुरवठादार, नेहमीच्या मंजुरी प्रक्रियेबाहेर तातडीच्या हस्तांतरणाची मागणी करणारा संचालक, किंवा अपेक्षेपेक्षा थोडे लवकर आलेले बिल, या सर्व प्रकरणांमध्ये मेसेजमध्ये दिलेल्या नंबरवर नव्हे, तर तुमच्याकडे आधीपासूनच नोंद असलेल्या नंबरवर कॉल करणे आवश्यक ठरते.
बँकेकडून तुमचे पैसे परत मिळवणे
ज्या पेमेंट व्यवहारास ग्राहकाने संमती दिली नाही, तो डच नागरी संहितेच्या कलम ७:५२२, परिच्छेद २ नुसार एक अनधिकृत व्यवहार आहे. त्यानंतर कलम ७:५२८, परिच्छेद १ नुसार पेमेंट सेवा पुरवठादारावर रक्कम त्वरित परत करण्याची आणि खाते पूर्वीच्या स्थितीत परत आणण्याची जबाबदारी येते. दुसऱ्या शब्दांत सांगायचे झाल्यास, याचा मूळ मुद्दा असा आहे की बँकेला तोटा सहन करावा लागतो.
अपवाद कलम ७:५२९ परिच्छेद १ मध्ये आहे: जर खातेधारकाने फसवणूक केली असेल, किंवा हेतुपुरस्सर किंवा घोर निष्काळजीपणामुळे कलम ७:५२४ मधील कर्तव्ये पूर्ण केली नसतील, तर बँकेला परतावा देण्याची आवश्यकता नाही. या कर्तव्यांनुसार पेमेंट इन्स्ट्रुमेंटचा वापर लागू असलेल्या अटी आणि सुरक्षा उपायांनुसार करणे आवश्यक आहे. घोर निष्काळजीपणा हा एक उच्च निकष आहे आणि त्याचे मूल्यांकन केवळ झालेल्या नुकसानीच्या वस्तुस्थितीवर नव्हे, तर सर्व परिस्थितींच्या आधारावर केले जाते. कलम ७:५२९ परिच्छेद ३ एक अतिरिक्त संरक्षण प्रदान करते: जिथे बँकेने मजबूत ग्राहक प्रमाणीकरण लागू केले नाही, तिथे पैसे देणाऱ्याला कोणतेही नुकसान होत नाही.
जर बँकेने नकार दिला, तर ग्राहक बँकेची अंतर्गत तक्रार प्रक्रिया पूर्ण करून 'क्लाख्टेनइन्स्टिट्यूट फायनान्सीले डीन्स्टवर्लेनिंग' (Kifid) कडे तक्रार दाखल करू शकतो किंवा दिवाणी न्यायालयात दावा दाखल करू शकतो. व्यावसायिक खातेधारक बहुतांश ग्राहक संरक्षणांपासून वंचित राहतात आणि ते मोठ्या प्रमाणावर बँकेसोबतच्या करारावर व सामान्य दायित्वाच्या नियमांवर अवलंबून असतात, ज्यामुळे कंपनीचे अंतर्गत पेमेंट नियंत्रण अधिकच महत्त्वाचे ठरते.
फसवणूक करणाऱ्याकडून किंवा निष्काळजी संस्थेकडून नुकसान भरपाईचा दावा करणे
जेव्हा गुन्हेगाराची ओळख पटते, तेव्हा दिवाणी संहितेच्या कलम ६:१६२ अंतर्गत बेकायदेशीर कृत्य म्हणून नुकसान भरपाई मिळवता येते. व्यवहारात, हे बहुतेकदा फौजदारी खटल्याच्या अंतर्गतच घडते: पीडित व्यक्ती फौजदारी प्रक्रिया संहितेच्या कलम ५१फ अंतर्गत एक पीडित पक्ष (benadeelde partij) म्हणून फौजदारी कार्यवाहीत सामील होऊ शकते आणि फौजदारी न्यायालयाकडे नुकसान भरपाई देण्याची विनंती करू शकते, जे स्वतंत्र दिवाणी दाव्यापेक्षा स्वस्त आणि जलद आहे. न्यायालय केवळ अशाच दाव्यावर विचार करेल, ज्यामुळे फौजदारी कार्यवाहीवर अवाजवी भार पडत नाही, म्हणून नुकसान कागदपत्रांसह सिद्ध केलेले आणि मोजण्यास सोपे असले पाहिजे.
दुसरा मार्ग म्हणजे अशा संस्थेविरुद्ध दावा करणे, जिच्या कमकुवत सुरक्षेमुळे फसवणूक शक्य झाली – जसे की, ज्या नियोक्त्याचा मेलबॉक्स हॅक झाला, ज्या प्लॅटफॉर्मने विक्रेत्याला कोणत्याही पडताळणीशिवाय व्यवहार करण्याची परवानगी दिली, किंवा ज्या प्रोसेसरने ग्राहक डेटाबेस लीक केला. हा दावा देखील कलम ६:१६२ अंतर्गत येतो, आणि यासाठी लागू केलेला निकष हा आहे की, उपलब्ध अत्याधुनिक तंत्रज्ञान आणि डेटाची संवेदनशीलता लक्षात घेता, एका सावध संस्थेने काय करायला हवे होते. सायबर हल्ल्यांच्या पीडितांचे हक्क हे स्पष्ट करतात की अशा प्रकरणांमध्ये सूचना देण्याची कर्तव्ये, नुकसान भरपाई आणि विमा यांचा परस्परसंबंध कसा असतो. पुरावा सादर करणे हा सहसा कठीण भाग असतो; डिजिटल फसवणूक कशी सिद्ध करावी यावरील आमचा लेख वजनदार पुराव्यांविषयी माहिती देतो.
फिशिंगचा फटका बसलेल्या संस्थांकडून GDPR काय अपेक्षित करते
कंपनीवर यशस्वी फिशिंग हल्ला झाल्यास जवळजवळ नेहमीच वैयक्तिक डेटाचे उल्लंघन होते. GDPR च्या कलम ३२ नुसार नियंत्रक आणि प्रक्रियाकर्त्यांनी योग्य तांत्रिक आणि संघटनात्मक सुरक्षा उपाययोजना करणे आवश्यक आहे, आणि कलम ३३ नुसार, उल्लंघनाची माहिती मिळाल्यापासून विनाकारण विलंब न करता आणि शक्य असल्यास बहात्तर तासांच्या आत 'ऑटोरिटाइट पर्सून्सगेगेवेन्स'ला कळवणे आवश्यक आहे, मात्र यामुळे संबंधित लोकांना धोका निर्माण होण्याची शक्यता कमी असेल तरच हे करणे आवश्यक आहे. जिथे त्या लोकांना असलेला धोका जास्त असतो, तिथे त्यांना थेट माहिती देण्याचे कर्तव्य कलम ३४ मध्ये जोडले आहे.
पर्यवेक्षकीय प्राधिकरण हल्ला यशस्वी झाला की नाही यापेक्षा, त्यापूर्वी काय घडले याकडे अधिक लक्ष देते: जसे की, मल्टी-फॅक्टर ऑथेंटिकेशन लागू होते का, प्रवेश अधिकार कर्मचाऱ्यांच्या खऱ्या गरजेपुरते मर्यादित होते का, लॉगिंगमुळे घटनेची पुनर्रचना करणे शक्य झाले का, आणि कर्मचाऱ्यांना प्रशिक्षण दिले गेले होते का. जी संस्था विचारपूर्वक तयार केलेली सुरक्षा व्यवस्था आणि लेखी प्रतिसाद दर्शवू शकते, ती घटनेनंतरच गोष्टी लिहून ठेवणाऱ्या संस्थेपेक्षा अधिक मजबूत स्थितीत असते. डेटा उल्लंघनानंतर जबाबदारी कोणाची आहे, हे त्या दायित्वाचे वाटप कसे केले जाते यावरून ठरते.
सायबरबेव्हेलिगिंग्सवेट अंतर्गत अहवाल देण्याची कर्तव्ये
१५ ऑगस्ट २०२६ पासून, नेदरलँड्समध्ये NIS2 निर्देशाची अंमलबजावणी करणारा 'सायबरबेव्हेलिग्सवेट' (Cyberbeveiligingswet) हा कायदा GDPR सोबत लागू होतो. याच्या कक्षेत येणाऱ्या संस्थांनी 'नॅशनल सायबर सिक्युरिटी सेंटर'कडे नोंदणी करणे, जोखीम व्यवस्थापन, पुरवठा साखळी सुरक्षा आणि घटना हाताळणी यांसारख्या काळजी-कर्तव्य उपाययोजना करणे, आणि महत्त्वपूर्ण घटनांची दोनदा नोंद करणे बंधनकारक आहे: चोवीस तासांच्या आत एक पूर्वसूचना आणि बहात्तर तासांच्या आत एक सविस्तर सूचना. काळजी-कर्तव्याच्या पालनासाठी व्यवस्थापनाला वैयक्तिकरित्या जबाबदार धरले जाऊ शकते.
या दोन कार्यप्रणालींमध्ये काही प्रमाणात साम्य आहे, पण त्या एकसारख्या नाहीत. मेलबॉक्सला धोका पोहोचवणाऱ्या फिशिंगच्या घटनेमुळे, 'ऑटोरिटाइट पर्सून्सगेगेवेन्स' (Autoriteit Persoonsgegevens) कडे GDPR सूचना आणि 'सायबरबेव्हेलिग्सवेट' (Cyberbeveiligingswet) अंतर्गत एक स्वतंत्र घटना अहवाल, वेगवेगळ्या मुदतीत आणि वेगवेगळ्या प्राधिकरणांकडे पाठवला जाऊ शकतो. तुमच्या संस्थेला कोणती कार्यप्रणाली लागू होते आणि पहाटे तीन वाजता निर्णय कोण घेणार आहे, हे आधीच ठरवून घेणे, हा तयारीचाच एक भाग आहे. सायबरसुरक्षा घटना अहवाल देण्याच्या कर्तव्यांवरील आमचे मार्गदर्शक , या दोन्ही मुदती एकत्रच स्पष्ट करते.
आंतरराष्ट्रीय प्रकरणे आणि पुरावा कसा मिळवला जातो
फिशिंग कारवाया क्वचितच एका देशापुरत्या मर्यादित असतात. संदेश पाठवणारी यंत्रणा एका अधिकारक्षेत्रात, पीडित व्यक्ती दुसऱ्या अधिकारक्षेत्रात, पैसा तिसऱ्या अधिकारक्षेत्रात आणि क्लोन केलेल्या साइटचे होस्टिंग चौथ्या अधिकारक्षेत्रात असते. डच फौजदारी अधिकारक्षेत्रात डच भूभागावर घडलेल्या गुन्ह्यांचाही समावेश होतो, आणि नेदरलँड्समधील पीडित व्यक्तीवर केलेला गुन्हा सामान्यतः येथेच घडलेला मानला जातो. त्यामुळे, गुन्हेगार परदेशात असला तरीही, डच पोलिसांकडे तक्रार करणे हा एक योग्य प्रारंभबिंदू ठरतो.
दुसऱ्या देशाकडून पुरावे मिळवण्याची प्रक्रिया प्रस्थापित मार्गांनी चालते. युरोपियन युनियनमध्ये, 'युरोपियन इन्व्हेस्टिगेशन ऑर्डर'नुसार डच अभियोक्ता किंवा तपास न्यायाधीश दुसऱ्या सदस्य देशाकडून डेटा, खात्याची माहिती किंवा निधी गोठवण्याची विनंती करू शकतात. युरोपियन युनियनच्या बाहेर, २००१ मध्ये बुडापेस्ट येथे संपन्न झालेला 'काउन्सिल ऑफ युरोप कन्व्हेन्शन ऑन सायबरक्राईम' हा करार, संग्रहित संगणकीय डेटाचे जलद जतन आणि त्यावर स्वाक्षरी केलेल्या देशांमध्ये परस्पर मदतीची तरतूद करतो. युरोपोल आणि इंटरपोल कारवायांमध्ये समन्वय साधतात, परंतु ते स्वतः खटला चालवत नाहीत; प्रकरण राष्ट्रीय अभियोजन प्राधिकरणाकडेच राहते.
पीडितासाठी याचे एक व्यावहारिक परिणाम होतात. निधीची वसुली सामान्यतः पैसे स्वीकारणाऱ्या बँकेला किती लवकर सतर्क केले जाते यावर अवलंबून असते, कारण बनावट खात्याद्वारे हस्तांतरित केलेला पैसा काही तासांतच वितरित होतो. नंतरच्या कोणत्याही कायदेशीर कारवाईपेक्षा, आपल्या स्वतःच्या बँकेला त्वरित कळवल्यास परिणाम मिळण्याची अधिक शक्यता असते, जेणेकरून ती बँक पैसे परत मागवण्याचा प्रयत्न करू शकेल.
आपल्या संस्थेमध्ये फिशिंग आणि इंटरनेट फसवणूक रोखणे
प्रतिबंध हा मुख्यत्वे सॉफ्टवेअर विकत घेण्याऐवजी, अपयशाची संभाव्य ठिकाणे दूर करण्यावर अवलंबून असतो. कंपनीच्या डेटापर्यंत पोहोचू शकणाऱ्या प्रत्येक खात्यावर मल्टी-फॅक्टर ऑथेंटिकेशन, पासवर्ड मॅनेजरमध्ये ठेवलेले अद्वितीय पासवर्ड आणि उपकरणे व सॉफ्टवेअरचे त्वरित पॅचिंग, यांमुळे बहुतांश संधीसाधू हल्ले टाळता येतात. पेमेंटमधील फसवणुकीसाठी एका वेगळ्या नियंत्रणाची आवश्यकता आहे: पुरवठादाराच्या बँक तपशिलातील बदलांची पडताळणी पूर्वी ज्ञात असलेल्या नंबरवरून टेलिफोनद्वारे केली जावी आणि कोणतीही एक व्यक्ती एकाच वेळी पेमेंट तयार करून ते वितरित करू नये, असा एक निश्चित नियम असावा.
प्रशिक्षणामुळे उरलेली तफावत भरून निघते, मात्र ते वारंवार आणि वास्तववादी असणे आवश्यक आहे. ज्या कर्मचाऱ्यांनी एक विश्वासार्ह बनावट फिशिंग संदेश पाहिला आहे, ते खरा संदेश ओळखतात; ज्या कर्मचाऱ्यांनी केवळ धोरण वाचले आहे, ते सहसा ओळखू शकत नाहीत. शेवटी, घटनेनंतरच्या पहिल्या तासात काय करायचे हे आधीच ठरवा: खाते कोण वेगळे करेल, लॉग कोण जतन करेल, बँकेशी कोण संपर्क साधेल आणि सूचना देण्याचे कर्तव्य सुरू झाले आहे की नाही याचे मूल्यांकन कोण करेल. घटनेच्या दिवशी, ही निर्णयांची यादी घटनेनंतर केलेल्या कोणत्याही विश्लेषणापेक्षा अधिक मौल्यवान ठरते.
तुम्हाला लक्ष्य केले असल्यास काय करावे
या क्रमाने कृती करा. तुमच्या बँकेच्या अधिकृत फ्रॉड नंबरद्वारे संपर्क साधा आणि व्यवहार ब्लॉक करण्याची किंवा मागे घेण्याची विनंती करा. हॅक झालेल्या खात्याचे आणि तोच पासवर्ड वापरणाऱ्या इतर कोणत्याही खात्याचे क्रेडेन्शियल्स बदला. सर्वकाही जतन करा: हेडरसह मूळ संदेश, स्क्रीनशॉट्स, व्यवहाराचे संदर्भ आणि प्रत्येक टप्पा तुमच्या लक्षात आल्याची वेळ. पोलिसात तक्रार दाखल करा, जी बहुतेक विमा दाव्यांसाठी आवश्यक असते आणि पीडित पक्ष म्हणून नंतरच्या कोणत्याही दाव्याचा आधार असते. जर इतरांचा वैयक्तिक डेटा उघड झाला असेल, तर मुदत जवळ येण्यापूर्वी GDPR आणि, जिथे लागू असेल तिथे, सायबरसुरक्षा कायद्यांतर्गत (Cyberbeveiligingswet) सूचना देण्याच्या कर्तव्यांचे मूल्यांकन करा.
Law & More फिशिंग आणि इंटरनेट फसवणुकीच्या पीडितांना बँका, प्लॅटफॉर्म आणि गुन्हेगारांकडून झालेले नुकसान भरून काढण्याबाबत सल्ला देतो, तसेच कंपन्यांना घटनेनंतर सुरक्षा जबाबदाऱ्या, उल्लंघनाच्या सूचना आणि दायित्वाबाबत मार्गदर्शन करतो. आम्ही तुमच्या स्थितीचे मूल्यांकन करतो, तुमच्या वतीने बँक किंवा पर्यवेक्षक प्राधिकरणाशी व्यवहार करतो आणि जिथे तो योग्य मार्ग असेल तिथे कायदेशीर कारवाई करतो. तुमच्या परिस्थितीवर चर्चा करण्यासाठी आमच्या वकिलांशी संपर्क साधा. अधिक वाचन साहित्य आमच्या संग्रहात समाविष्ट आहे. डच आयटी कायदा मार्गदर्शक.
