Mỹ cho phép doanh nghiệp tư nhân tham gia chiến dịch tấn công mạng có kiểm soát

Chính phủ Mỹ vừa lập một chương trình mới, cho phép các doanh nghiệp tư nhân đã qua thẩm định tham gia đối phó với các tổ chức tội phạm mạng xuyên quốc gia ở nước ngoài. Chương trình không cho phép doanh nghiệp tự ý trả đũa tin tặc, nhưng mở đường để họ tham gia chiến dịch giám sát và gây nhiễu dưới sự kiểm soát của chính phủ.

Nhà Trắng ngày 13 (giờ Hàn Quốc) công bố bản ghi nhớ mang tên "Mở rộng năng lực đối phó tội phạm mạng xuyên quốc gia", ký bởi Tổng thống Trump. Bản ghi nhớ chỉ đạo Trung tâm Điều phối Quốc gia (National Coordination Center) xây dựng chương trình cho doanh nghiệp tư nhân tham gia, đồng thời giới hạn phạm vi hoạt động ở các tổ chức tội phạm xuyên quốc gia có nguồn gốc từ không gian mạng nước ngoài.

Doanh nghiệp tham gia phải được Bộ Tư pháp Mỹ và Bộ An ninh Nội địa Mỹ phê duyệt và giám sát. Các chiến dịch được chia thành hai loại: "chiến dịch giám sát mạng" tập trung thu thập thông tin, và "chiến dịch tác động mạng" bao gồm gây nhiễu, từ chối, làm suy giảm hoặc phá hủy hệ thống thông tin.

Tuy nhiên, văn bản của Nhà Trắng không nêu rằng doanh nghiệp tư nhân được tự ý truy tìm và phản công kẻ tấn công. Mọi chiến dịch phải thực hiện trong khuôn khổ thẩm quyền pháp lý của chính phủ liên bang, và không thể triển khai nếu thiếu phê duyệt bằng văn bản từ người đứng đầu Bộ Tư pháp và Bộ An ninh Nội địa.

Doanh nghiệp tham gia có thể phải đặt cọc hoặc ký quỹ tối thiểu 1 triệu USD. Nếu vi phạm hợp đồng, khoản tiền này có thể bị tịch thu. Hướng dẫn thực thi cụ thể phải được hoàn thiện trong vòng 60 ngày kể từ khi bản ghi nhớ có hiệu lực, bao gồm tiêu chuẩn đủ điều kiện của doanh nghiệp, cách chọn mục tiêu, quy trình phê duyệt và nghĩa vụ báo cáo.

Nếu công dân Mỹ hoặc hệ thống trong lãnh thổ Mỹ có liên quan, chiến dịch cần thêm bước phê duyệt và xử lý dữ liệu riêng. Nếu trong quá trình tác chiến phát hiện vô tình nhắm vào công dân Mỹ, hệ thống thông tin trong nước Mỹ, hoặc hệ thống do công dân Mỹ kiểm soát, doanh nghiệp phải dừng ngay lập tức và báo cáo cho Trung tâm Điều phối Quốc gia.

TechCrunch đưa tin đây là lần đầu tiên Mỹ cho phép một số doanh nghiệp tư nhân tham gia tấn công mạng. Đồng thời, hãng tin này cũng lưu ý bản ghi nhớ không cho phép trả đũa hack tự do. Danh tính các doanh nghiệp tham gia chương trình chưa được công bố.

Phạm vi lần này rộng hơn hợp tác công-tư trước đây. Bộ Tư pháp Mỹ ngày 3 tháng 6 công bố kết quả "Tuần lễ Gián đoạn" (Disruption Week), cho biết đã phối hợp khu vực tư nhân chặn hàng triệu tài khoản lừa đảo và hỗ trợ đóng băng hơn 3,8 triệu USD tiền mã hóa. Khi đó, sự tham gia của doanh nghiệp tư nhân chủ yếu mang tính tự nguyện, ở mức chặn tài khoản và phối hợp đóng băng tài sản.

TokenPost trước đó cũng đưa tin Tổng thống Trump đã ký bản ghi nhớ mở rộng việc sử dụng công cụ mạng của các cơ quan thực thi pháp luật liên bang nhằm vào các tổ chức tội phạm xuyên quốc gia ở nước ngoài. Văn bản lần này là bước tiếp theo trong xu hướng chính sách mở rộng công cụ điều tra, có thể áp dụng cho việc trấn áp đánh cắp tài sản số, ransomware và lừa đảo tài chính.

Điểm mấu chốt của cơ chế này là tận dụng năng lực khu vực tư nhân nhưng vẫn ràng buộc trong khuôn khổ quyền lực nhà nước. Trước đây, các công ty an ninh mạng thường đảm nhận vai trò phòng thủ và hỗ trợ điều tra, như chia sẻ chỉ số xâm nhập, truy vết hạ tầng độc hại, hỗ trợ chặn tài khoản. Chương trình lần này mở rộng vai trò đó sang việc tham gia trực tiếp vào chiến dịch được chính phủ phê duyệt, điều gây ra không ít tranh cãi.

Trách nhiệm pháp lý cũng là vấn đề được đặt ra. Lawfare chỉ ra rằng hiện chưa có khung pháp lý liên bang cho phép doanh nghiệp tư nhân độc lập thực hiện chiến dịch mạng tấn công, đồng thời cảnh báo nguy cơ xung đột với Đạo luật Lừa đảo và Lạm dụng Máy tính (CFAA), luật bang và luật nước ngoài. Nói cách khác, dù có sự giám sát của chính phủ, trách nhiệm thực tế trong quá trình tác chiến vẫn có thể trở nên phức tạp.

Citizen Lab nhận định việc tư nhân hóa chiến tranh mạng khiến việc giám sát khó khăn hơn, đồng thời làm tăng nguy cơ phán đoán sai và leo thang xung đột. Ngay cả khi mục tiêu là tổ chức tội phạm nước ngoài, chiến dịch vẫn có khả năng chạm tới hạ tầng của bên thứ ba hoặc phạm vi tài phán của nước khác.

Jake Williams (Jake Williams), Phó chủ tịch phụ trách nghiên cứu và phát triển tại Hunter Strategy, nói với TechCrunch rằng công dân Mỹ có thể bị xem là "chiến binh không chính quy" khi hoạt động ở nước ngoài. Điều này cho thấy khi nhân sự tư nhân tham gia chiến dịch của chính phủ, vấn đề bảo vệ pháp lý và phản ứng từ chính phủ nước ngoài sẽ cùng lúc được đặt ra.

Định hướng chính sách cũng đã thay đổi. Đến tháng 3, Nhà Trắng vẫn giữ khoảng cách với ý tưởng để doanh nghiệp tư nhân trực tiếp tham gia các chiến dịch tấn công mạng. Bản ghi nhớ công bố trong tháng 8 được đánh giá là bước chuyển từ hợp tác phòng thủ sang tham gia chiến dịch dưới sự kiểm soát của chính phủ.

Thị trường tiền mã hóa trong nước cũng chịu ảnh hưởng gián tiếp. Các tổ chức lừa đảo quốc tế, ransomware và hoạt động rửa tiền từ tài sản đánh cắp là lĩnh vực đòi hỏi sự phối hợp giữa sàn giao dịch, đơn vị cung cấp ví và cơ quan điều tra. TokenPost gần đây cũng đưa tin nhóm tin tặc gốc Trung Quốc JewelBug bị phát hiện vận hành song song hoạt động gián điệp mạng và lừa đảo tiền mã hóa trên cùng một hạ tầng.

Phạm vi thực tế của chương trình sẽ được cụ thể hóa hơn trong hướng dẫn thực thi sắp tới. Theo bản ghi nhớ của Nhà Trắng, tiêu chuẩn đủ điều kiện doanh nghiệp, cách chọn mục tiêu, quy trình phê duyệt và nghĩa vụ báo cáo sẽ được hoàn thiện trong vòng 60 ngày.