США вперше дозволять приватним компаніям атакувати кіберзлочинців

Адміністрація Дональда Трампа вперше планує залучати перевірені приватні компанії до наступальних кібероперацій проти міжнародних злочинних угруповань і хакерів. Про це Білий дім заявив 12 серпня, опублікувавши президентський меморандум під назвою "Розширення можливостей для боротьби з транснаціональною кіберзлочинністю". Про це пише Techcrunch.

Що саме дозволить нова політика?

Документ передбачає використання "інноваційних можливостей приватного сектору" для протидії кіберзлочинам і загрозам, спрямованим проти американців. Серед таких загроз влада називає атаки з вимаганням викупу, фінансове шахрайство та сексуальне вимагання.

Приватні компанії, які братимуть участь у програмі, зможуть проводити операції зі збору розвідданих. Зокрема, йдеться про спостереження із застосуванням шпигунського програмного забезпечення. Крім того, їм дозволять здійснювати операції, спрямовані на порушення роботи інфраструктури кіберзлочинців. Такі дії можуть передбачати знищення даних або комп'ютерних систем, які використовують злочинці.

Водночас це не означає, що приватним компаніям просто дозволять самостійно "зламувати" будь-яких хакерів. Нова система передбачає жорсткий державний контроль за такими операціями.

Чому це важлива зміна для приватного сектору?

Рішення адміністрації Трампа суттєво змінює багаторічну позицію американського уряду щодо ролі приватних компаній у кіберопераціях.

Згідно з американським федеральним законодавством про комп'ютерні злами, приватні особи та компанії загалом не можуть самостійно проводити кібератаки або операції з виведення чужих систем із ладу без відповідного судового дозволу.

До цього позиція уряду США за різних адміністрацій була досить чіткою: приватний сектор може захищати себе та клієнтів від кібератак, але не повинен сам переходити до наступальних дій. Нова політика створює винятковий механізм, у межах якого певні приватні компанії зможуть виконувати наступальні кібероперації за дорученням держави.

Однак сама президентська директива поки лише встановлює політичні рамки. Практичні правила роботи програми ще належить розробити. Білий дім має протягом наступних двох місяців оприлюднити вимоги до компаній, які захочуть брати участь. Причому уряд планує розглядати не лише великі корпорації. До програми можуть допустити й невеликі компанії, якщо вони мають спеціалізовані можливості, необхідні для конкретних операцій.

Які запобіжники встановить уряд?

Участь у програмі матиме фінансові та юридичні умови. Кожна компанія повинна буде внести 1 мільйон доларів на спеціальний ескроу-рахунок. Ці кошти можуть бути конфісковані, якщо уряд встановить, що компанія порушила правила проведення операцій.

Окремо меморандум вимагає створити механізми, які не дозволять спрямовувати такі операції проти американських громадян або комп'ютерних систем, розташованих у США.

Жодна операція не зможе проводитися виключно за рішенням приватної компанії. Для її схвалення будуть необхідні погодження представників Міністерства юстиції США та Міністерства внутрішньої безпеки.

Крім того, самі операції повинні проходити винятково під наглядом федерального уряду. Є й додаткова вимога для компаній-учасниць. Якщо під час роботи вони виявлять неминучу кібератаку на критично важливу американську інфраструктуру, вони повинні повідомити про це уряд.

До критичної інфраструктури належать, зокрема, енергетичні мережі та системи водопостачання. При цьому поки невідомо, чи приєдналася до програми хоча б одна приватна компанія. Представник Білого дому не відповів TechCrunch на це питання та переадресував видання до офіційного інформаційного матеріалу адміністрації.

Чому нова система вже викликає побоювання?

Меморандум, попри значне розширення можливостей приватного сектору, не дає компаніям необмеженого права на "кібервідплату". Тобто йдеться не про загальне легалізування приватних атак у відповідь на будь-який злам.

Водночас критики побоюються міжнародних наслідків. Якщо американська компанія проведе операцію проти інфраструктури злочинців за кордоном, іноземна держава потенційно може розцінити це як кібератаку з боку США.

Особливий ризик стосується американських фахівців, які безпосередньо братимуть участь у таких операціях. Джейк Вільямс, ветеран кібербезпеки та віцепрезидент з досліджень і розробок компанії Hunter Strategy, попередив, що американці, які працюватимуть у таких операціях, можуть опинитися під загрозою переслідування за кордоном.

Американців, які беруть участь у таких операціях, під час перебування за кордоном легко можуть класифікувати як неформених комбатантів, – сказав Вільямс.

За його словами, для іноземного уряду навіть не обов'язково мати докази того, що конкретний американець справді брав участь у кібероперації.

"Звинувачення в тому, що американець брав участь у цих операціях, не обов'язково мають бути правдивими", – зазначив експерт. На його думку, сама поява нової політики створює можливість для іноземних держав висувати подібні звинувачення.

Вільямс назвав політику "недопрацьованою". Він припустив, що засекречений додаток до меморандуму може містити відповіді на частину запитань щодо вибору конкретних цілей для американських наступальних кібероперацій. Проте експерт не впевнений, що система буде захищена від зловживань.

Чому США вирішили змінити підхід саме зараз?

Адміністрація Трампа не пояснила детально причини ухвалення нового рішення. У Білому домі лише заявили про "зростаючу загрозу", з якою стикаються американці та американський бізнес.

США останнім часом стикаються з численними міжнародними кіберзагрозами. Ситуація загострюється на тлі скорочень і звільнень співробітників федеральних структур, відповідальних за кібербезпеку, які тривають після початку другої адміністрації Трампа в січні 2025 року.

Окремою проблемою стали атаки на американську водну інфраструктуру. Кілька штатів повідомляють про кібератаки на системи водопостачання. За даними американських розвідувальних структур, за частиною цих атак можуть стояти хакери, пов'язані з урядом Ірану.

Про проникнення в локальні системи водопостачання повідомляли чиновники більш ніж десятка штатів, зокрема Мічигану, Міннесоти та Джорджії. Водночас ці інциденти не призвели до необхідності оголошувати попередження щодо безпеки питної води. Кіберзагрози з боку Ірану розглядаються на тлі тривалого військового конфлікту між США, Ізраїлем та Іраном. Після початку очолюваної США війни в лютому, яка завершилася загибеллю верховного лідера Ірану, іранські військові відповіли, зокрема, ударами по центрах обробки даних, що належать західним компаніям.

Паралельно пов'язані з Іраном хакерські угруповання проводили атаки, які порушували роботу американських компаній та критичної інфраструктури, включно з об'єктами водопостачання та енергетики.

До чого тут штучний інтелект?

Нова американська політика з'явилася також у момент, коли уряди різних країн намагаються реагувати на новий тип кіберзагроз – атаки, які частково або повністю виконуються автономними системами штучного інтелекту.

Anthropic, OpenAI, Meta та британський AI Safety Institute повідомляли, що під час тестування передових AI-моделей їм вдавалося долати встановлені технічні обмеження та виконувати дії, пов'язані з кібератаками.

Це створює додатковий виклик для держав і компаній. Кібероперації стають дедалі автоматизованішими, а можливість швидко виявляти, блокувати та нейтралізувати такі атаки може вимагати значно більшої кількості спеціалізованих ресурсів. Саме на цьому тлі Вашингтон намагається залучити можливості приватного сектору до наступальних операцій. Водночас остаточні правила програми ще не сформовані, а сама ініціатива майже напевно стане предметом юридичних суперечок.

Головне питання полягає в тому, де проходитиме межа між дозволеною державою кібероперацією та незаконною діяльністю приватної компанії. Від того, наскільки чітко уряд США визначить цю межу, залежатиме не лише робота нової програми, а й потенційні дипломатичні та юридичні наслідки для американських компаній та їхніх співробітників.