2019年3月6日 星期三

從Maersk遭駭談數位犯罪 (Talks on Cyber Criminals)


壹、【前言】

西元2017627日全球最大貨櫃船公司丹麥馬士基Maersk Line)(全球貨櫃市場占有率約:18%)總部的IT系統被駭,集團全球系統隨之癱瘓[1],這包括其所經營的碼頭公司APM Terminal與物流公司Damco等都受累,對全球航運物流業的影響非常大,此次事件也讓業者人人自危。其實近幾年來,隨著科技發展的日新月異,航運界的數位化應用digitalization亦隨之擴展開來。然而其衍生出來的相關問題亦層出不窮,這時候如果政府的法令或私領域間的契約合同關係無法配合增修的話,則涉案當事人將如何自處?蓋一般法律的修改,因涉及立法程序等議題,往往曠日費時,是無法配合科技與社會現象的發展時有所聞。祇是涉案當事人間是否可以藉由彼此間的合意,創設出法律秩序尚未及時規範的行為準則,讓彼此間的法律關係在數位化的時代中亦有所依歸,似乎為一值得期待與討論的話題。

 

本文擬就英國上訴法院English Court of Appeal最近在審理MSC Mediterranean Shipping Company S.A. –vs.- Glencore International AG的案件中[2],針對若干鈷磚」(cobalt briquettes)在海上貨櫃運送的過程中,因遺失所衍生的:Œ「貨物交付時點」的確認(the effective delivery point);與「數位個人標識碼得否取代載貨證券(提單)」(Electronic pin code to substitute for bills of lading)等問題提出司法實務上的見解,似值得海運業界將其列為邁入數位化變革前的「勤前參考教材」。按本案貨物係由MSC負責執行運送任務,而裝船提單載貨證券)的持有人與貨主,即為被上訴人(即原告):Glencore公司。

 

貳、【案情事實】

在西元20111月與20126月間,Glencore就曾委託MSC運送69票鈷磚貨物至歐洲比利時的安特衛普Antwerp,然就在這第70票貨物的運送過程中,3只貨櫃在抵達安特衛普后就遺失了2[3]Glencore遂以MSC未依運送契約合同、受託契約、提單條款等為由,請求貨物滅失的損害賠償責任。

 

其實在安特衛普港碼頭的放貨程序係透過一種稱之為電子放貨系統進行Electronic Release System,簡稱ERS[4],若拿來與傳統的放貨程序做一比較,則受貨人the Consignee必須提交提單正本文件」后始得換取貨物the original B/L,然在此一系統下運作,運送人並不需再行簽發小提單」(Delivery Order)供貨主取貨用[5],而是藉由電腦所產生的進口個人標識碼」進行貨主識別(Import Pin Code,簡稱IPC)。前開標識碼在理論上,應該係由提貨人呈現予船公司或碼頭公司后並藉以提貨,然實際操作上,多由受貨人所委派的取貨司機在進入碼頭管制區前,即以「手動」的方式(by manual輸入標識碼,以換取得以進入港區領貨的資格。然前開電子放貨系統」並非已經被所有航商接受,且其未被政府當局所強制適用(mandatory adoption),祇是當事人在本案發生前的69票貨物放貨程序,均係按照此一ERS系統作業,則是不爭的事實。

 

本案受貨人在前往提貨的過程中,發現2只貨櫃早已經被第三人提領走了,實際情況雖未臻明確」(unknown,但如果依照常理推論,這2只貨櫃應該已經交給未經授權收取貨物的「不明人士」了(unauthorized persons),且最有可能的是:該不明人士早已知悉該貨物的進口識別碼,且利用該識別碼進入櫃場以竊領貨物。雖然不知道該識別碼是否係因為電腦系統遭駭而洩漏出去,但已不失為一「真實可能」(a realistic possibility)的案例。本案最后雖因缺乏直接證據證實電腦系統遭駭客侵入導致貨物進口識別碼外洩,爰不能被視為係一網路犯罪案件cyber crime,但此案件即已經透露出電腦駭客係有辦法利用技術竊取、竊領實體貨物的。

 

參、【數位時代所隱藏的危機】

從本案中似乎亦透漏出如果這些科技先驅者」(the technological advances 未能同步採取若干契約上配套措施」的話(the contractual terms,則利害關係人恐怕在未能享受到科技所帶來的便利性前,就先蒙受其害了。蓋一般人在運用所謂的新科技the new technology,多會有若干憧憬,預期該科技會帶來成本上的優勢並形成鉅額獲利,祇是藉由本案擬提醒的是:在引進新科技之前,應該要求攸關的法令制度有所謂的配套措施以因應可能的衝擊,並針對涉案當事人間權利義務因此可能會產生的變動,預先取得共識並為適當的調整,始為上上之策。

 

本案負責貨物運送的MSC公司,其提單上的背后條款要求貨主必須憑提單正本以換取貨物或小提單。準此,MSC遂主張在當地IPC的制度下,凡擁有該貨物進口識別碼的人即得要求船公司或櫃場碼頭交付貨物,就如同該人持有提單正本般,而MSC即有義務對在第一時間輸入該貨物進口識別碼的人交付貨物。同時,MSC並認為在21世紀中,已無意義再去辨別紙本的正本提單數位的貨物識別碼,蓋兩者在保全效果上the security已無軒輊。

 

英國初審法院在其判決書中並不接受MSC前開主張,其以為船公司所屬的碼頭公司憑藉貨物的進口識別碼即予放貨,並無法卸除其錯放貨物」(mis-delivery所引發的損害賠償責任。再者,本案貨物的放條」(the release note,無論是否輔予進口識別碼,均不等同於提單上所提到的小提單」,亦與1992年英國的海上貨物運送法」(the Carriage of Goods by Sea Act,簡稱COGSA 19921條第4項所定義的「載貨證券(提單)」無涉[6]

 

另,MSC主張貨主Glencore對於之前的69票貨均係採當地的ERS電子放貨系統知之甚稔,所以Glencore應無法再對MSC僅憑進口識別碼進行放貨,主張此舉有違雙方間的協議與共識(即所謂的「反言法則Estoppel)。祇是承審法官並不這樣認為,蓋其以為Glencore當初對於前開放貨程序並未有任何明白的表示或承諾。

 

面對初審法庭的挫敗,MSC決定再以下列理由,上訴至英國的上訴法院English Court of Appeal):

 

一、        MSC在安特衛普港的代理人,針對進口個人標識碼」的陳述為:「視同給予受貨人一把直通倉庫的鑰匙」(equivalent to giving the receiver the key to the warehouse),是等於賦予該標識碼「物權上的效力」(與正本提單相同)[7]

二、      本案附隨進口個人標識碼的放條」(the release note,雖與小提單同樣未被正式歸類在提單的定義範疇下,但當初船公司提供標識碼予受貨人代理人時,即代表授權並指示碼頭得將貨物交予提供正確標示碼的任何人[8]

三、      前開附隨進口個人標識碼的放條,即為1992年海上貨物運送法第一條第4項所定義的小提單,代表MSC願意將貨物交予第一個輸入進口個人標識碼的任何人whoever first entered the pin[9]

四、      堅持Glencore仍受「禁反言」的拘束[10]

五、      2017213日,MSC補呈新證據」(new evidence並以因果關係」(causation為由修改其上訴聲明。MSC諉稱本案貨物之所以會遭盜領遺失,有極大的可能性係受貨人在安特衛普港代理人的資訊系統遭駭;除此之外,受貨人Glencore亦應自行檢視在交貨文件揭露的過程當中,是否有個人標識碼被盜用的機會。凡諸種種,MSC擬證明的是:其在本案中全然是一無辜的受害者[11]

 

祇是事與願違,英國上訴法院未能接受MSC前開意見,其仍認為MSC應該為貨櫃遭竊負責。姑且不論此一決斷是否正確,且讓我們回復到先前曾有提到涉案當事人間的法律關係,是否應該因應數位時代的變遷而略作調整的議題?就本案而言,假設貨主認為卸貨港因為採取ERS電子放貨系統」,則貨物遭竊的風險將會從運送人轉為由貨主承擔的話,則貨主是否應該考慮調整其與運送人間原有的「定型化契約」(the Contract of Adhesion)?假設此一電子放貨系統越來越普及而為全球多數的碼頭公司所採用的話,則船公司與碼頭公司所簽署的服務契約是否亦應重新議約調整?看起來前述建議似乎理所當然,但實際上多數人均未「理性地」接納並執行,反倒是逼使自己進入法院,打一場冗長且昂貴的訴訟官司,祇因為拜「新科技」所賜「不確定」(the uncertainty)的影響。

 

【結語】

從本案例的研討中,我們瞭解了當一組織準備將新技術運用在其日常營運活動前,若未能預先評估考量此舉對原有的法律架構或安全性會有什麼樣的影響時,恐會有不可預知的災難產生。一個管理完善的組織,不僅在引進新技術的初期,甚至之后均應藉由增修其與利害關係人之間的契約關係來保障自身的權益。換句話說,組織應該採取更積極的態度與腳步,來確保自己本身或其代理人不會因為新技術的引進,而在最基本的安全防護上有所折扣。

 

法國哲學家布萊茲帕斯卡Blaise Pascal)曾說:「人祇不過是一根蘆葦,是自然界最脆弱的東西;但他是一根能思想的蘆葦。 … … …我們全部的尊嚴,就在於思想」,從本案中我們習得法令與契約等人類思想的產出物,若擬與科技進展同步的話,應該隨時檢視是否增補,以確保原先所設計的「法律架構」(the legal frameworks能夠與預期的目的the objectives相輔相成而不悖離全文完



[1] 據報載,馬士基被駭進其全球貨櫃船運與港口碼頭事業係勒索病毒:Petya。此一病毒透過電子郵件夾帶檔案駭進電腦后,即全面傳輸其他網路連線的電腦,因此影響層面巨大。
[2] [2017] EWCA Civ. 365
[3] C Steinweg NV係貨主Glencore在安特衛普港的代理人,亦為提單上所載的受通知人」(the notify party),之前的69票貨均係由Steinweg負責輸入正確的進口識別碼,而成功領取貨物。
[4] 此一ERS電子放貨系統係於西元2011年啟用,船公司改以電郵發送一涵蓋「進口個人標識碼」的「放條」(the release note)予攸關的受貨人、船公司代理人、碼頭公司,以取代傳統的正本提單小提單取貨方式。
[5]「提貨單」(D/ODelivery order),俗稱小提單。為保障船公司收取應得勞務收入,法律上賦予船公司優先處置所載運貨物(優先留置權)。任何人欲提領或處置該貨物前,必須先付清運送費。因此收貨人須將B/L正本及運送費繳清後,船公司始將D/O交予貨人,憑以提領貨物。
[6] 英國1992年海上貨物運送法第一條第4項係攸關載貨證券提單的定義:A bill of lading which— (a) represents goods to have been shipped on board a vessel or to have been received for shipment on board a vessel; and (b) has been signed by the master of the vessel or by a person who was not the master but had the express, implied or apparent authority of the carrier to sign bills of lading, shall, in favour of a person who has become the lawful holder of the bill, be conclusive evidence against the carrier of the shipment of the goods or, as the case may be, of their receipt for shipment
[7] 由於MSC得隨時取消該進口標識碼,爰上訴法院不認為該標識碼具有物權效力即持有該標識碼等同於擁有該貨物的所有權
[8] 上訴法院並不同意MSC此一說法,其以為小提單或有若干不一而足的定義,但1992年英國海上貨物運送法第一條第4項所定義的提單載貨證券)即包括小提單。
[9] 上訴法院雖不同意Glencore主張放條非屬交貨文件之一,但同意放條非屬1992年英國海上貨物運送法第一條第4項所定義的小提單。
[10] 上訴法院同意初審法院的見解Glencore在本案中並無所謂禁反言的問題,蓋其甚至都不知道安特衛普港有實施ERS電子放貨系統
[11] 上訴法院針對此一訴之聲明變更,以不符訴訟程序法規定為由,予以駁回(時程上太晚提出。上訴法院並以此案發生后,涉案當事人即早已經懷疑涉及網路犯罪」(cybercrime,然進口個人標識碼是否係從受貨人在安特衛普港的代理人電腦流出?或此一洩漏風險是否足以讓代理人事先通知MSC?凡諸種種均應列入考量,蓋此皆能讓所謂的因果關係連結斷鏈。

沒有留言: