美國政府首度開放：民間企業可在監管下參與網路作戰

美國政府建立了一套新機制，讓通過審核的民間企業得以參與打擊海外網路犯罪組織的行動。這項措施並未開放企業自行對駭客展開報復性攻擊，而是為企業在政府監管下投入監控與擾亂行動開闢了一條管道。

白宮於台灣時間13日公布一份以川普總統名義發布的備忘錄，主旨為「擴大打擊跨國網路犯罪能力」。備忘錄要求國家協調中心建立民間企業參與計畫，並將行動對象限定在以網路為據點的海外跨國犯罪組織。

參與企業須取得美國司法部與國土安全部的核准與監督。行動分為兩類：以蒐集情報為目的的「網路監控行動」，以及涵蓋資訊系統擾亂、阻斷、降級甚至摧毀的「網路效應行動」。

不過白宮文件並未賦予民間企業自行追蹤攻擊者並展開反擊的權限。所有行動都必須在聯邦政府的法律授權下進行，若未取得司法部與國土安全部負責人的書面核准，企業不得逕自執行。

參與企業可能被要求繳交至少100萬美元（約新台幣3200萬元）的保證金，或存入第三方保管帳戶。一旦違反契約，這筆款項可能遭沒收。備忘錄生效後60天內須訂定執行準則，內容將涵蓋企業資格條件、目標選定方式、核准流程與通報義務。

若行動涉及美國公民或美國境內系統，則需要額外核准與後續清理程序。企業一旦在行動過程中察覺不慎波及美國公民、美國境內資訊系統，或由美國人掌控的系統，須立即中止行動並通報國家協調中心。

TechCrunch報導指出，這是美國首次允許部分民間企業涉入具攻擊性的網路行動，但同時強調備忘錄並未開放一般性的駭客報復行為。目前尚未公開有哪些企業已加入此計畫。

此次措施的適用範圍比既有的公私協作模式更廣。美國司法部於6月3日公布「Disruption Week」行動成果，指出與民間部門合作攔截了數百萬個詐騙帳戶，並協助凍結超過380萬美元（約新台幣1.22億元）的加密貨幣。當時民間企業的參與較偏向自願性的帳戶封鎖與資產凍結協作。

本刊此前已報導，川普總統簽署備忘錄，擴大聯邦執法機關運用網路工具打擊海外跨國犯罪組織的權限。這份最新文件，延續了擴大偵辦手段以打擊加密資產竊盜、勒索軟體與金融詐騙的政策方向。

這項制度的核心，是在借助民間能力的同時，把行動侷限在國家授權的框架之內。過去網路安全企業多半扮演資訊分享、追蹤惡意基礎設施、協助帳戶凍結等防禦與偵辦輔助角色；如今這項計畫把角色擴大到經政府核准的實際行動參與，因此引發不少爭議。

法律責任同樣是關注焦點。Lawfare指出，目前並無既有的聯邦法律框架讓民間企業能夠獨立執行具攻擊性的網路行動，而電腦詐欺與濫用法（CFAA）、州法與外國法律之間仍可能出現衝突。換言之，即便有政府監督，實際行動過程中的責任歸屬仍可能十分複雜。

公民實驗室(Citizen Lab)則認為，網路作戰民間化恐使監督變得困難，並提高誤判與衝突升級的風險。即使行動鎖定的是海外犯罪組織，仍有可能波及第三方基礎設施或觸及外國司法管轄權。

傑克·威廉斯(Jake Williams) Hunter Strategy研發副總裁向TechCrunch表示，「美國人在海外可能被歸類為非正規戰鬥人員」。這句話點出了民間人員參與政府行動時，隨之而來的法律保障與外國政府反應等問題。

政策風向也出現轉變。白宮直到今年3月都還對民間企業直接參與攻擊性網路行動的主張保持距離；8月的這份備忘錄，被視為從防禦性協作邁向政府主導型行動參與的一步。

台灣加密資產市場也可能受到間接影響。國際詐騙集團、勒索軟體攻擊與竊得資金的洗錢，都需要交易所、錢包業者與執法機關共同因應。本刊近期也報導，中國駭客組織「Jewelbug」被查出在同一套基礎設施上，同時進行網路間諜活動與加密貨幣詐騙。

實際行動範圍仍待後續執行準則進一步明確。白宮備忘錄要求相關單位在60天內訂出企業資格、目標選定、核准流程與通報義務等具體規範。