Donald Trump upoważnia prywatne firmy do ofensywnych operacji cybernetycznych przeciwko zagranicznym przestępcom

Zmiana polityki

Prezydent Donald Trump podpisał w środę, 12 sierpnia, memorandum dotyczące bezpieczeństwa narodowego, które po raz pierwszy zezwala prywatnym firmom na prowadzenie ofensywnych operacji cybernetycznych przeciwko zagranicznym transnarodowym organizacjom przestępczym (TCO). Dokument nakazuje Narodowemu Centrum Koordynacji (NCC), działającemu w ramach Grupy Zadaniowej ds. Bezpieczeństwa Krajowego, opracowanie programu umożliwiającego zweryfikowanym firmom prywatnym prowadzenie cyberinwigilacji oraz operacji cybernetycznych przeciwko grupom przestępczym z siedzibą za granicą. Nadzór nad działaniami sprawować będą Departament Sprawiedliwości oraz Departament Bezpieczeństwa Krajowego, a za zarządzanie inicjatywą odpowiadać będą współdyrektorzy wykonawczy z obu agencji.

Załącznik do memorandum wymienia jako kwalifikujące się cele ataki typu ransomware, szantaż seksualny, kampanie phishingowe, oszustwa finansowe oraz podszywanie się pod inne osoby. TCO zdefiniowano jako zagraniczne grupy prowadzące cyberprzestępczość przeciwko rządowi USA, obywatelom USA lub interesom amerykańskim, które nie stanowią części zagranicznego rządu ani nie działają pod jego bezpośrednim kierownictwem. Memorandum zezwala uczestniczącym firmom na używanie oprogramowania szpiegującego do gromadzenia danych wywiadowczych oraz na przeprowadzanie ataków mających na celu zakłócenie, manipulację lub zniszczenie danych i systemów sieci przestępczych, w tym infrastruktury wirtualnej i fizycznej.

Zabezpieczenia i wymogi

Firmy ubiegające się o udział w programie muszą przejść proces, który memorandum określa jako „rygorystyczną weryfikację” oraz spełnić minimalne standardy biegłości technicznej, udokumentowanego doświadczenia w operacjach cybernetycznych i bezpieczeństwa obiektów. Muszą one podpisać umowy z Departamentem Sprawiedliwości oraz Departamentem Bezpieczeństwa Krajowego i wpłacić kaucję w wysokości 1 mln USD, która zostanie przepadnięta w przypadku nieprzestrzegania wytycznych rządowych. Żadna operacja nie może zostać przeprowadzona bez pisemnej zgody urzędników z obu resortów, a żadne działania nie zostaną zatwierdzone, dopóki dyrektorzy wykonawczy nie ustalą z Radą Bezpieczeństwa Krajowego Białego Domu „procedur konsensusu” gwarantujących „pełny nadzór i kontrolę nad wynikami uczestniczących firm”. Procedury te mają zostać opracowane w ciągu 60 dni.

Polityka wyraźnie zabrania operacji, które mogą doprowadzić do utraty życia, poważnych obrażeń lub działań noszących znamiona użycia siły lub ataku zbrojnego w świetle prawa międzynarodowego. Memorandum nakazuje również rządowi stworzenie procedur zapobiegających atakom na Amerykanów lub systemy zlokalizowane w USA. Wytyczne wydane w ciągu najbliższych dwóch miesięcy określą wymogi dla firm każdej wielkości, w tym mniejszych podmiotów, które mogą być lepiej przystosowane do specjalistycznych operacji.

Obawy ekspertów

Wielu ekspertów ds. cyberbezpieczeństwa wyraziło zaniepokojenie ryzykiem związanym z programem. Jason Healey, starszy badacz konfliktów cybernetycznych na Uniwersytecie Columbia, stwierdził, że każdy prowadzący takie operacje naraża się na poważne osobiste ryzyko prawne. Jake Williams, wiceprezes ds. badań i rozwoju w Hunter Strategy, ostrzegł, że uczestniczący w nich Amerykanie mogą zostać zaklasyfikowani jako nieumundurowani kombatanci podczas podróży zagranicznych.

Ben Bernstein, menedżer zespołu doradców ds. cyberbezpieczeństwa w Huntress, wskazał na praktyczne trudności w atakowaniu przestępców, którzy kierują ruch przez skompromitowaną niewinną infrastrukturę, taką jak podatny na ataki router w gabinecie stomatologicznym w Ohio czy sieć szpitalna.

To sprawia, że „uderzenie odwetowe” jest praktycznie niemożliwe bez uderzenia w niewinnych postronnych.

Kontekst polityczny

Memorandum opiera się na polityce cyberbezpieczeństwa narodowego ogłoszonej w marcu, która zobowiązała się do „uwolnienia sektora prywatnego” przeciwko zagranicznym przeciwnikom. Decyzja ta zapada w czasie, gdy administracja Trumpa zredukowała liczebność Agencji ds. Cyberbezpieczeństwa i Infrastruktury (CISA), co skłoniło członków społeczności wywiadowczej do argumentowania za zaangażowaniem większych zasobów sektora prywatnego, w tym firm zajmujących się sztuczną inteligencją. Senator z Utah Mike Lee wprowadził w zeszłym roku ustawę mającą przywrócić „listy kaperskie”, historyczną praktykę konstytucyjną upoważniającą podmioty cywilne do atakowania celów wroga. Jeffrey Gray, weteran CISA, powiedział, że memorandum robi coś, czego nie robiono od stuleci.

Stany Zjednoczone właśnie przywróciły kaperstwo w erze cyfrowej.

Memorandum zostało podpisane w następstwie cyberataków na obiekty wodociągowe w Minnesocie i Michigan, powiązanych z Iranem. Niektóre amerykańskie grupy technologiczne, w tym te prowadzone przez darczyńców Trumpa, prywatnie poparły inicjatywę i mogą skorzystać na lukratywnych kontraktach. Inne, w tym Google i Microsoft, zadeklarowały gotowość do pomocy rządowi w walce z cyberprzestępczością, choć niektóre firmy pozostają niechętne, obawiając się braku ochrony prawnej i potencjalnego odwetu ze strony państw.