Американская администрация впервые объявила о разрешении проверенным частным компаниям участвовать в наступательных кибероперациях против преступных группировок и международных хакеров на основании нового президентского меморандума. В меморандуме говорится, что цель заключается в использовании возможностей частного сектора для противодействия угрозам, направленным против американцев, включая атаки с использованием программ-вымогателей, финансовое мошенничество и сексуальное вымогательство.
Политика не представляет собой общего разрешения компаниям самостоятельно проводить атаки: меморандум предусматривает, что операции будут осуществляться исключительно под надзором федерального правительства и после получения одобрения представителей Министерства юстиции и Министерства внутренней безопасности. Правительство также ещё не определило подробности работы программы; ожидается, что руководящие указания для участников будут опубликованы в течение ближайших двух месяцев.
Наступательные полномочия при финансовых и правовых ограничениях
Новая структура позволяет участвующим компаниям проводить операции по наблюдению, например использовать шпионское программное обеспечение для сбора информации, а также атаки, нарушающие работу и направленные на уничтожение данных преступников или их систем. Взамен компании будут обязаны внести один миллион долларов на эскроу-счёт, который они могут потерять, если правительство придёт к выводу, что они не соблюдали правила, регулирующие эти операции.
Правительство разработает процедуры, предотвращающие атаки на американцев или системы, находящиеся на территории Соединённых Штатов. Компании также должны будут уведомлять правительство, если обнаружат неминуемую кибератаку на критически важную американскую инфраструктуру, такую как электросети или водохозяйственные объекты. Ожидаемые инструкции будут распространяться на компании всех размеров, включая небольшие фирмы, которые могут лучше подходить для проведения специализированных операций.
Отход от прежней американской политики
Это решение представляет собой существенное изменение позиции США, сохранявшейся при сменявших друг друга администрациях: частному сектору разрешалось защищаться от входящих атак, но запрещалось наносить ответные удары или проводить операции по нарушению работы. На частные компании распространяются те же федеральные законы, которые запрещают проведение кибератак без соответствующего судебного разрешения.
Однако меморандум не доходит до разрешения компаниям самостоятельно проводить операции по «взлому в ответ» против любой угрожающей им стороны. Белый дом также не уточнил, присоединились ли частные компании к программе, фактически направив вопросы TechCrunch к опубликованному им информационному бюллетеню.
Опасения по поводу международных последствий
Критики считают, что привлечение частных компаний к правительственным операциям может открыть путь к юридическим и дипломатическим спорам, особенно если иностранное правительство заявит, что американская компания провела атаку на его территории или против его систем. Политика может столкнуться с юридическими исками и противодействием со стороны тех, кто давно выступает против участия частного сектора в государственных хакерских операциях.
Джейк Уильямс, вице-президент по исследованиям и разработкам компании по кибербезопасности Hunter Strategy, заявил, что политика может поставить американских сотрудников компаний по кибербезопасности под угрозу обвинений или задержания за пределами страны. Он добавил, что во время поездок этих сотрудников могут классифицировать как «незаконных комбатантов», даже если их участие в операциях не будет доказано. Уильямс назвал политику «незрелой», выразив сомнение в возможности предотвратить её злоупотребление.
Контекст растущих угроз
Меморандум появился в то время, когда администрация заявляет о растущей угрозе для Соединённых Штатов, а атаки затронули объекты водной инфраструктуры в нескольких штатах и, согласно оценкам разведки, о которых были проинформированы местные органы власти, были приписаны хакерам, поддерживаемым правительством Ирана. В отчёте также указывалось на атаки, нарушившие работу американских компаний и объектов инфраструктуры, на фоне усиления киберугроз, поддерживаемых автономным программным обеспечением на основе искусственного интеллекта.