De Amerikaanse regering wil private cybersecuritybedrijven inzetten voor offensieve operaties tegen internationale cybercriminelen. Het gaat onder meer om aanvallen op ransomwaregroepen, financiële oplichters en criminelen die slachtoffers chanteren met gestolen intieme beelden.
De bedrijven mogen inlichtingen verzamelen met bijvoorbeeld spyware. Ook krijgen ze toestemming om systemen of gegevens van doelwitten te verstoren of te vernietigen. Daarmee verandert de Verenigde Staten een jarenlang gehanteerd uitgangspunt: private ondernemingen mochten zich wel verdedigen tegen aanvallen, maar niet zelf digitale tegenaanvallen uitvoeren.
Strenge voorwaarden
De nieuwe regels zijn vastgelegd in een presidentieel memorandum. De Amerikaanse overheid werkt de komende twee maanden de voorwaarden uit waaraan deelnemende bedrijven moeten voldoen. Ook kleinere ondernemingen kunnen zich aanmelden, vooral als zij over gespecialiseerde kennis beschikken.
Bedrijven moeten 1 miljoen dollar in een waarborgfonds storten. Dat bedrag kan de overheid opeisen als een onderneming de regels overtreedt. De regering moet daarnaast procedures invoeren die voorkomen dat Amerikaanse burgers of computersystemen in de Verenigde Staten doelwit worden.
Elke operatie vereist vooraf goedkeuring van vertegenwoordigers van het ministerie van Justitie en het ministerie van Binnenlandse Veiligheid. De uitvoering mag uitsluitend onder toezicht van de federale overheid plaatsvinden. Bedrijven moeten ook melding maken van een dreigende aanval op vitale infrastructuur, zoals elektriciteitsnetwerken en waterbedrijven.
Het is nog niet duidelijk of al bedrijven aan het programma deelnemen. Het memorandum staat bedrijven bovendien niet zonder meer toe om aanvallers eigenmachtig terug te hacken. De precieze werking van het programma moet nog worden vastgelegd en de maatregel kan juridische procedures en politieke tegenstand opleveren.
Critici vrezen dat de inzet van private bedrijven internationale gevolgen kan hebben. Buitenlandse overheden zouden kunnen beweren dat Amerikaanse bedrijven hen hebben aangevallen. Werknemers die aan de operaties meedoen, zouden daardoor in het buitenland mogelijk worden vervolgd of opgepakt.
Jake Williams, vicevoorzitter voor onderzoek en ontwikkeling bij cybersecuritybedrijf Hunter Strategy, waarschuwt dat Amerikaanse deelnemers door andere landen kunnen worden gezien als niet-uniforme strijders. Volgens hem kan een beschuldiging al gevolgen hebben, ook als die niet waar is. Williams noemt het beleid bovendien onvoldoende uitgewerkt en vreest misbruik.
De Amerikaanse regering zegt dat zij met een groeiende dreiging voor burgers en bedrijven te maken heeft. Amerikaanse staten hebben de afgelopen tijd meerdere aanvallen op lokale waterbedrijven gemeld. Inlichtingenfunctionarissen schrijven die aanvallen volgens Amerikaanse berichtgeving onder meer toe aan hackers die door Iran worden gesteund. Tegelijkertijd melden technologiebedrijven en overheden wereldwijd een toename van cyberaanvallen waarbij kunstmatige intelligentie wordt ingezet.
