Când sunt acuzați hackerii de crime de război. ”Legile războiului cibernetic” sau regulile pe care trebuie să le respecte cei care încalcă regulile

Hackerii sunt participanți importanți în războaiele moderne și pot comite și crime de război. Această concluzie aparține Comitetului Internațional al Crucii Roșii Internaționale (CICR), într-un articol publicat pe blogul revistei European Journal of International Law și intitulat “Opt reguli pentru hackerii civili în timp de război și patru obligații pentru state de a-i descuraja”.

Cunoscută, îndeosebi, pentru implicarea în cauze umanitare (cum ar fi sprijinul victimelor conflictelor armate ori ale dezastrelor naturale), Crucea Roșie are, în același timp, și un rol mai puțin cunoscut – cel de dezvoltare și interpretare a dreptului umanitar internațional, se arată într-o analiză a Platformei Meduza, care a preluat  analiza CICR.

Dreptul umanitar internațional este cel care guvernează desfășurarea conflictelor armate, iar convențiile și declarațiile sale internaționale care stau la baza sa sunt, de asemenea, numite “legi ale războiului”. Mauro Vignati, unul dintre autorii publicației, este consilier în domeniul noilor tehnologii digitale militare la sediul CICR din Geneva. Un alt autor, Tilman Rodenhauser, este consilier juridic la CICR, specializat în operațiuni cibernetice în timpul conflictelor armate și în activitățile grupurilor armate care nu reprezintă state.

Analiza pornește de la constatarea că tot mai mulți civili sunt implicați în conflicte armate prin mijloace digitale și se fundamentează pe normele și principiile existente deja în dreptul internațional umanitar, cu limitele date de faptul că obligațiile asumate de un stat pot diferi de la o țară la alta, deoarece unele țări au ratificat Convențiile de la Geneva și Protocoalele adiționale la acestea cu rezerve – sau nu le-au ratificat deloc.

Implicarea în războiul din Ucraina

Exemplele de hackeri civili care operează în contextul conflictelor armate sunt diverse, dar contextul analizei e dat de războiul din Ucraina. ”În special în conflictul armat internațional dintre Rusia și Ucraina, unele grupuri se prezintă ca o “comunitate IT mondială” cu misiunea, în cuvintele lor, de a “ajuta Ucraina să câștige prin paralizarea economiilor agresoare, blocarea serviciilor financiare, de infrastructură și guvernamentale vitale și obosirea marilor contribuabili”. În contrapondere, alți hackeri au raportat că “au cerut și au efectuat atacuri perturbatoare – deși temporare – asupra site-urilor spitalelor atât din Ucraina, cât și din țările aliate”, printre multe alte operațiuni. Cu multe grupuri active în acest domeniu, iar unele dintre ele având mii de hackeri în canalele lor de coordonare și oferind instrumente automate membrilor lor, implicarea civilă în operațiunile digitale în timpul conflictelor armate a atins proporții fără precedent”, arată autorii de la Crucea Roșie.

Aceasta nu este prima dată când hackerii civili operează în contextul unui conflict armat și, probabil, nu ultima, susțin aceștia, în preambulul prezentării celor 8 reguli internaționale bazate pe dreptul umanitar pe care toți hackerii care desfășoară operațiuni în contextul unui conflict armat trebuie să le respecte, dar și responsabilitatea statelor..

Civilii care se angajează în războiul digital – o tendință îngrijorătoare

Fenomenul hackerilor civili care desfășoară operațiuni cibernetice în contextul unui conflict armat este îngrijorător din cel puțin trei motive.

1. În primul rând, dăunează civililor, fie prin vizarea directă a obiectelor civile, fie prin deteriorarea accidentală a acestora. Unii experți consideră hackerii civili și grupurile lor în primul rând drept “justițiarism cibernetic” și subliniază că operațiunile lor nu sunt sofisticate din punct de vedere tehnic și este puțin probabil să provoace efecte semnificative. Cu toate acestea, este, de asemenea, adevărat că hackerii civili au perturbat diverse obiecte civile – inclusiv bănci, companii, farmacii, spitale, rețele feroviare și servicii guvernamentale civile.
2. În al doilea rând, hackerii civili riscă să se expună, împreună cu persoanele apropiate, operațiunilor militare. În funcție de tipul de operațiune pe care o desfășoară, o parte la un conflict armat îi poate considera ca participând direct la ostilități. Asta înseamnă că computerele și infrastructura digitală pe care le folosesc riscă să devină obiective militare, fiind expuse riscului de a fi atacate. De asemenea, în ochii adversarului și în funcție de locul în care se află hackerul, acesta poate fi atacat – cu arme (împușcare, bombardare) sau printr-o operațiune cibernetică.
3. În al treilea rând, cu cât mai mulți civili participă activ la război, cu atât mai mult se estompează linia dintre cine este civil și cine combatant. Ca urmare, riscul de vătămare a civililor crește; Iar experții juridici s-au întrebat dacă principiul distincției, elementul central al dreptului umanitar internațional, va rezista acestei presiuni.

8 reguli pentru hackerii civili care operează în contextul unui conflict armat

Spațiul cibernetic nu este un spațiu fără lege – chiar și războaiele au limite.

Este de la sine înțeles că hackerii civili trebuie să respecte legea țărilor în care operează. În cazul în care aceste legi naționale sunt indulgente, nu sunt puse în aplicare sau dacă un hacker civil decide să nu le ia în considerare, în perioade de conflict armat, dreptul internațional umanitar (DIU) prevede un set de reguli universal acceptate care vizează protejarea civililor și a soldaților care nu mai sunt capabili să lupte împotriva unora dintre ororile războiului. Cele mai flagrante încălcări ale acestor reguli constituie crime de război, care pot fi urmărite penal la nivel național sau internațional.

În contextul unui conflict armat, DIU nu interzice pirateria informatică ca atare și nu interzice civililor să desfășoare operațiuni cibernetice împotriva activelor militare. Dar stabilește limite elementare ale umanității cu privire la protecția civililor, adică obligații pe care toată lumea trebuie să le respecte atunci când desfășoară operațiuni în contextul unui conflict armat, indiferent de motivele conflictului, ale căror obiective sunt considerate legitime sau dacă o operațiune se desfășoară în ofensivă sau apărare.

Atenție: hackerii civili riscă să-și piardă protecția împotriva atacurilor cibernetice sau fizice și pot fi urmăriți penal dacă participă direct la ostilități prin mijloace cibernetice

În conformitate cu DIU, civilii nu trebuie atacați decât dacă și pentru perioada în care participă direct la ostilități. Efectuarea de atacuri cibernetice împotriva unor ținte militare sau civile poate echivala cu o astfel de “participare directă la ostilități” și riscă să facă hackerii civili pasibili de atacuri. În plus, în timp ce membrii forțelor armate ale unui stat (inclusiv operatorii cibernetici) se bucură de impunitate pentru acte legale de război (cum ar fi atacarea unei instalații militare) și devin “prizonieri de război” atunci când sunt capturați, hackerii civili nu beneficiază de o asemenea protecție. Dacă sunt capturați, riscă să fie considerați criminali sau “teroriști” și urmăriți penal ca atare.

1. Nu direcționați atacuri cibernetice* împotriva obiectivelor civile. Obiectivele civile sunt toate cele care nu sunt obiective militare. Aceasta include infrastructura civilă, serviciile publice, companiile, proprietatea privată și, probabil, datele civile. Obiectivele militare nu se bucură de aceeași protecție. “Obiectivele militare” cuprind în primul rând infrastructura fizică și digitală a armatei unei părți beligerante. Aceasta poate include, de asemenea, obiective civile, în funcție de faptul dacă și cum sunt utilizate de armată.
2. Nu utilizați malware sau alte instrumente sau tehnici care se răspândesc automat și dăunează fără discriminare obiectivelor militare și obiectivelor civile. De exemplu, malware-ul care se răspândește automat, dăunând obiectivelor militare și civile fără distincție, nu trebuie utilizat.
3. Când planificați un atac cibernetic împotriva unui obiectiv militar, faceți tot posibilul pentru a evita sau minimiza efectele pe care operațiunea dvs. le poate avea asupra civililor. De exemplu, dacă intenționați să întrerupeți electricitatea sau serviciile feroviare utilizate de forțele militare, trebuie să evitați sau să minimizați efectele pe care operațiunea dvs. le poate avea asupra civililor. Este esențial să cercetați și să înțelegeți efectele unei operațiuni – inclusiv cele neintenționate – înainte de a o efectua. Când planificați un atac cibernetic împotriva unui obiectiv militar, faceți tot posibilul pentru a evita sau minimiza efectele pe care operațiunea dvs. le poate avea asupra civililor și opriți atacul dacă daunele aduse civililor riscă să fie excesive. Dacă ați obținut acces la un sistem de operare, dar nu înțelegeți posibilele consecințe ale operațiunii dvs. sau vă dați seama că daunele aduse civililor riscă să fie excesive, opriți atacul.
4. Nu desfășurați nicio operațiune cibernetică împotriva facilităților medicale și umanitare. Spitalele sau organizațiile umanitare nu trebuie să fie niciodată vizate.
5. Nu efectuați niciun atac cibernetic împotriva obiectivelor indispensabile supraviețuirii populației sau care pot elibera forțe periculoase. În dreptul internațional umanitar, obiectivele care conțin forțe periculoase sunt definite ca “baraje, diguri și centrale nucleare de producere a energiei electrice”; În realitate, însă, centralele și instalațiile chimice și similare conțin, de asemenea, forțe periculoase. Obiectivele indispensabile pentru supraviețuirea populației civile includ, printre altele, instalațiile de apă potabilă sau sistemele de irigații.
6. Nu faceți amenințări cu violența pentru a răspândi teroarea în rândul populației civile. De exemplu, hacking-ul în sistemele de comunicații pentru a publica informații concepute în primul rând pentru a răspândi teroarea în rândul populației civile este interzis. De asemenea, proiectarea și răspândirea conținutului grafic pentru a răspândi teroarea în rândul civililor pentru a-i face să fugă este ilegală.
7. Nu instigați la încălcări ale dreptului internațional umanitar. Nu încurajați și nu permiteți altor persoane să desfășoare operațiuni cibernetice sau de altă natură împotriva civililor sau a obiectivelor civile. De exemplu, nu împărtășiți detalii tehnice în canalele de comunicare pentru a facilita atacurile împotriva instituțiilor civile.
8. Respectați aceste reguli chiar dacă inamicul nu o face. Răzbunarea sau reciprocitatea nu sunt scuze pentru încălcarea dreptului umanitar internațional.

În conformitate cu DIU și în contextul operațiunilor cibernetice, noțiunea de atac se referă la operațiunile cibernetice despre care se poate aștepta în mod rezonabil să aibă ca rezultat – direct sau indirect – deteriorarea, dezactivarea sau distrugerea obiectivelor (cum ar fi infrastructura și, probabil, datele) sau rănirea sau moartea oamenilor. Aceasta nu include, de exemplu, operațiunile cibernetice care vizează obținerea accesului neautorizat la informații.

Hackerii nu trăiesc în spațiul cibernetic – Statele trebuie să impună limite

Statele nu ar trebui să încurajeze sau să tolereze hackerii civili care desfășoară operațiuni cibernetice în contextul unui conflict armat.

Cu cât mai mulți hackeri civili se angajează în operațiuni cibernetice, cu atât este mai mare riscul operațiunilor care încalcă legea aplicabilă și estompează linia dintre combatanți și civili. Prin urmare, CICR a cerut statelor să “acorde atenția cuvenită riscului de expunere a civililor la vătămare dacă îi încurajează sau le cere să fie implicați în operațiuni cibernetice militare”.

Din punct de vedere juridic, toate statele s-au angajat să nu “permită cu bună știință ca teritoriul lor să fie utilizat pentru acte ilicite la nivel internațional prin utilizarea TIC (tehnologia informațiilor și comunicării – n.r.)”. Deși formulată ca un angajament politic, această normă reflectă obligația de “diligență necesară” a statelor în temeiul dreptului internațional, inclusiv în ceea ce privește hackerii civili care operează de pe teritoriul lor. Orice stat care este dedicat statului de drept sau unei “ordini internaționale bazate pe norme” nu trebuie să închidă ochii atunci când persoanele de pe teritoriul său desfășoară operațiuni cibernetice cu nerespectarea dreptului național sau internațional, chiar dacă sunt îndreptate împotriva unui adversar.

Aceasta înseamnă, în primul rând, adoptarea și aplicarea legilor naționale care reglementează hacking-ul civil.

Obligațiile și responsabilitățile statelor

În special în ceea ce privește comportamentul particularilor în caz de conflict armat, statele s-au angajat să respecte și să asigure respectarea DIU. Acest angajament juridic înseamnă cel puțin patru lucruri:

1. Dacă hackerii civili acționează sub instrucțiunea, conducerea sau controlul unui stat, acel stat este responsabil din punct de vedere juridic internațional pentru orice comportament al acestor persoane care este incompatibil cu obligațiile legale internaționale ale statului, inclusiv cu dreptul internațional umanitar. De exemplu, dacă un stat folosește persoane sau grupuri private ca “voluntari” și le instruiește să efectueze anumite operațiuni cibernetice fără a respecta dreptul internațional, statul este responsabil din punct de vedere juridic pentru astfel de încălcări (această responsabilitate vine în plus față de posibila răspundere penală a hackerului privat).
2. Statele nu trebuie să încurajeze civilii sau grupurile să acționeze încălcând dreptul internațional umanitar. În mod concret, acest lucru înseamnă că agenților statali – fie ei militari, de informații sau orice alt actor guvernamental – li se interzice să încurajeze civilii sau grupurile, de exemplu, să direcționeze atacuri cibernetice împotriva obiectelor civile, indiferent de canalul sau aplicația utilizată pentru a face acest lucru.
3. Statele au obligația de diligență necesară pentru a preveni încălcările dreptului internațional umanitar de către hackerii civili pe teritoriul lor. Desigur, un stat nu poate preveni toate încălcările legii. Cu toate acestea, trebuie să ia măsuri fezabile, cum ar fi adoptarea de poziții publice prin care să solicite hackerilor civili să nu desfășoare operațiuni cibernetice în legătură cu conflictele armate, să respecte DIU în cazul în care fac acest lucru și să elimine încălcările legislației naționale (a se vedea în continuare).
4. Statele au obligația de a urmări penal crimele de război și de a lua măsurile necesare pentru a suprima alte încălcări ale DIU. În primul rând, acest lucru necesită adoptarea și aplicarea legilor necesare care incriminează operațiunile cibernetice care constituie crime de război și, în al doilea rând, luarea unor măsuri eficiente pentru a opri toate celelalte încălcări ale DIU, care pot include măsuri juridice, disciplinare sau administrative. În mod evident, adoptarea de legi sau politici care tolerează hackerii civili care desfășoară operațiuni cibernetice, atâta timp cât aceste operațiuni sunt comise împotriva “inamicului”, nu respectă această obligație.

***

Articol publicat în cadrul proiectului ”Ucraina, dezinformarea și manualul de demistificare”. Proiectul este derulat de Societatea Academică din România (SAR) și beneficiază de o finanțare în valoare de 36.940 euro, prin programul Active Citizens Fund România – finanțat de Islanda, Liechtenstein și Norvegia prin Granturile SEE 2014-2021. Conținutul materialelor realizate în cadrul proiectului nu reprezintă în mod necesar poziția oficială a Granturilor SEE și Norvegiene 2014-2021. Pentru mai multe informații accesați www.eeagrants.org. Informații despre Active Citizens Fund România sunt disponibile la www.activecitizensfund.ro.