США дозволять компаніям проводити кібератаки
Білий дім уперше відкрив приватним компаніям доступ до наступальних кібероперацій під наглядом уряду. Це вже викликало питання про межі й ризики.
У США вперше дозволять перевіреним приватним компаніям проводити наступальні кібероперації проти міжнародних злочинних угруповань і хакерів. Про це Білий дім повідомив після публікації нового президентського меморандуму.
Це помітно змінює підхід Вашингтона до ролі приватного сектору в кібербезпеці. Раніше компанії могли захищатися від атак, але не запускати власні операції у відповідь. Тепер уряд відкриває для них обмежену участь у діях, які раніше були заборонені федеральними законами про комп’ютерний злам.
Рішення важливе не лише для ринку кібербезпеки. Воно також порушує питання про законність, відповідальність і можливі міжнародні наслідки, якщо приватні структури фактично долучаться до урядових хакерських дій.
Меморандум дозволяє не лише розвідку, а й деструктивні дії
У документі адміністрація Трампа заявила, що хоче використати “інноваційні можливості приватного сектору” для боротьби з кіберзлочинністю та загрозами для американців.
Йдеться про атаки, пов’язані з ransomware, фінансовими шахрайствами та sextortion — вимаганням із використанням інтимних матеріалів або погроз їх поширення.
Меморандум дозволяє компаніям, які братимуть участь у програмі, не лише збирати розвіддані, зокрема за допомогою spyware, а й проводити деструктивні операції. У тексті прямо йдеться про дії, спрямовані на знищення даних або систем злочинців.
Повної свободи дій компанії не отримають. Усі операції мають відбуватися виключно під наглядом федеральної влади.
До програми можуть допустити навіть невеликі компанії
Поки що програма лише запускається, і уряд ще не до кінця визначив, як саме вона працюватиме. Протягом найближчих двох місяців мають оприлюднити інструкції з вимогами до компаній, які захочуть долучитися.
У меморандумі окремо зазначено, що до програми можуть допустити компанії будь-якого розміру, зокрема й невеликі. У документі сказано, що саме вони можуть краще підходити для спеціалізованих операцій.
Для учасників передбачена й фінансова умова. Вони мають внести $1 млн на ескроу-рахунок. Якщо уряд встановить, що компанія порушила правила проведення таких операцій, ці кошти буде втрачено.
Перед схваленням кожної операції потрібні погодження від представників Міністерства юстиції та Міністерства внутрішньої безпеки США. Крім того, федеральний уряд має створити процедури, які не дозволять спрямовувати атаки проти американців або систем, розташованих у США.
Окремо компанії зобов’язані повідомляти уряд, якщо виявлять неминучу кібератаку на критичну інфраструктуру США, зокрема електромережі або водопостачання.
Нова політика розходиться з попередньою позицією США
Нова політика стала різким відходом від багаторічної позиції США, за якою приватний сектор може оборонятися від кібератак, але не вести наступальні операції без судового дозволу.
Саме це і робить рішення спірним. Критики вже роками стверджують, що приватні компанії не мають бути залучені до урядових хакерських операцій. У цьому випадку їхня участь ще й може створити дипломатичні наслідки, якщо іноземна держава вирішить, що її атакувала компанія зі США.
У меморандумі уряд не пояснив, чому ухвалив це рішення. Лише зазначив, що США стикаються зі “зростаючою загрозою” для американців і бізнесу. Як повідомляють Новини IT-PUB, саме це формулювання зараз лишається головним офіційним поясненням зміни підходу.
Учасники програми можуть зіткнутися з ризиком арештів за кордоном
Питання безпеки тут стосується не лише потенційних жертв атак, а й самих учасників програми.
За словами ветерана кібербезпеки Джейка Вільямса з Hunter Strategy, американці, які працюють у приватних кіберкомпаніях і братимуть участь у таких операціях, можуть наразитися на ризик арешту або висунення обвинувачень з боку іноземної влади. Він порівняв це з тим, як американські прокурори висувають звинувачення китайським, іранським та російським урядовим хакерам за кіберзлочини проти США.
Вільямс також заявив, що американців, які братимуть участь у таких операціях, можуть трактувати як неуніформованих комбатантів під час поїздок за кордон. На його думку, навіть якщо звинувачення не відповідатимуть дійсності, сама поява такої політики може дати іноземному уряду підставу для подібних заяв.
Він назвав політику “недопрацьованою” і сказав, що не переконаний у відсутності зловживань, навіть якщо закрита частина документа частково пояснює, як обиратимуть цілі для таких атак.
Рішення з’явилося на тлі атак на інфраструктуру та AI-загроз
Рішення Білого дому з’явилося на тлі низки кіберінцидентів у США та за їхніми межами. За даними джерела, кілька американських штатів зараз повідомляють про атаки на водну інфраструктуру. Американські розвідники, як повідомляється, приватно пов’язують їх із хакерами, яких підтримує уряд Ірану.
Посадовці більш ніж у десятку штатів, зокрема в Michigan, Minnesota та Georgia, повідомляли про проникнення в локальні водопостачальні компанії, але попереджень про загрозу якості води не оголошували.
Оцінка розвідки з’явилася після кількох місяців затяжного конфлікту між США та Ізраїлем з одного боку та Іраном — з іншого. Після початку війни, яку в джерелі названо американською за підтримки союзників у лютому, і загибелі верховного лідера Ірану, іранські військові, за інформацією джерела, відповідали ракетними ударами по західним дата-центрам і кібератаками, що порушують роботу американського бізнесу та критичної інфраструктури.
Окремо меморандум з’явився на тлі зростання кількості автономних AI-атак. Anthropic, OpenAI, Meta та британський AI Safety Institute повідомляли, що тестовані ними передові моделі ШІ виходили за межі технічних обмежень і використовувалися для кібератак.
На цьому тлі нова політика США виглядає як спроба залучити приватний сектор до боротьби з кіберзагрозами. Але разом із цим вона відкриває складні питання про межі дозволеного, відповідальність компаній і можливі міжнародні наслідки.
