Offensiv hacking: hvorfor vestlige lande er tilbageholdende

Hvad er offensiv hacking?

Offensiv hacking, også kaldet “hacking back” eller “hacking back”, er aktivt at angribe modstanderes computersystemer. Dette kan involvere stater, organisationer eller kriminelle grupper, der udfører et cyberangreb. Mens defensiv cybersikkerhed fokuserer på at beskytte og overvåge egne netværk, sigter offensiv hacking mod at forstyrre kilden til et angreb, indsamle information eller sætte modstanderens systemer ud af drift.

Eksempler på offensive handlinger omfatter at trænge ind i servere for at deaktivere malware, at ødelægge stjålne data eller endda at lukke infrastruktur ned, der bruges til at lancere cyberangreb.

Hvorfor tilbageholdenheden i Vesten?

Selvom teknologien er tilgængelig, er mange vestlige lande og organisationer bevidst tøvende. Der er flere grunde til dette:

1. Juridiske grænser: International ret er uklar med hensyn til lovligheden af hacking back-operationer. Angreb kan hurtigt ses som en krænkelse af suverænitet eller endda en krigshandling.
2. Eskaleringsrisiko: Et offensivt hack kan føre til gengældelsesangreb, der udvider eller intensiverer en konflikt.
3. Følgeskader: Digitale angreb er ofte svære at inddæmme. Et angreb mod en kriminels server kan også påvirke uskyldige tredjepartssystemer, såsom cloud-udbydere brugt af flere kunder.
4. Etik og omdømme: Vestlige demokratier ønsker at fremstå som stater, der respekterer retsstaten og menneskerettighederne. Offensive handlinger kan kollidere med det billede.
5. Kompleksitet og attribution: Det er ofte svært med sikkerhed at fastslå, hvem der står bag et angreb. Et mislykket hackback kan ramme uskyldige parter.

Eksempler på lande, der bruger offensiv hacking

• USA: USA har en af de mest avancerede cybersikkerhedskommandoer i verden. U.S. Cyber Command gennemfører regelmæssigt offensive operationer. Et velkendt eksempel er Stuxnet (2010), en fælles operation med Israel, der saboterede iranske atomanlæg. I 2018 annoncerede USA, at det også brugte offensiv hacking mod russiske trolde-fabrikker, der forsøgte at påvirke valg.
• Israel: Israel er kendt for sine omfattende cyberkapaciteter. Ud over defensive foranstaltninger indsætter landet også offensive midler, ofte rettet mod fjendtlige stater eller grupper i Mellemøsten. Samarbejdet med USA om Stuxnet er det mest fremtrædende eksempel, men også virksomheden NSO Group, producent af Pegasus-spyware, illustrerer, hvordan israelsk teknologi muliggør offensive kapaciteter.
• Storbritannien: Storbritannien har eksplicit gennem sin National Cyber Force erklæret, at det vil gennemføre offensive cyberoperationer. Deres mål: at svække fjendtlige stater, terrorister og organiserede kriminelle grupper digitalt.

Hvordan Holland håndterer dette

Siden 2014 har Holland haft et Defensie Cyber Commando, som har både defensive og offensive cyberkapaciteter. Politikken er dog forsigtig: offensive midler indsættes kun under meget usædvanlige omstændigheder, for eksempel i tilfælde af en (potentiel) militær konflikt.

Desuden understreger den hollandske regering, at hackback udført af private virksomheder er forbudt. Kun staten må bruge sådanne midler, og altid under demokratisk kontrol. National Cyber Security Center (NCSC) og anklagemyndigheden lægger vægt på samarbejde, informationsdeling og retlig forfølgelse af cyberkriminelle frem for digital gengældelse.

Hvordan EU håndterer det

Den Europæiske Union vælger en multilateral og retlig tilgang. I stedet for offensiv hacking udført af medlemsstater fokuserer EU på:

• Sanktioner mod stater, virksomheder eller enkeltpersoner, der er ansvarlige for cyberangreb (for eksempel mod russiske og kinesiske hackere).
• Internationalt samarbejde, såsom gennem Europols European Cybercrime Centre (EC3).
• Lovgivning og standarder, herunder NIS2-direktivet, der forpligter medlemsstaterne til at øge deres cyberrobusthed.

EU betragter primært offensiv hacking som en risiko for eskalering og undergravning af den internationale retsstat. Derfor ligger vægten på diplomati, økonomisk pres og kollektiv robusthed.

Argumenter for offensiv hacking

• Afskrækkelse: At gøre det klart, at angreb har konsekvenser, kan afskrække stater eller kriminelle.
• Proaktiv beskyttelse: At deaktivere malware-infrastruktur kan forhindre fremtidige angreb.
• Hastighed: I nogle tilfælde kan offensiv handling give beskyttelse hurtigere end at vente på retlig eller diplomatisk handling.
• Efterretningsfordel: Ved at bryde ind i fjendtlige systemer kan der indsamles værdifulde data og indsigter.

Argumenter mod offensiv hacking

• International ret: Der er intet klart retsgrundlag, hvilket betyder, at hack back-operationer opererer i en gråzone.
• Utilsigtet skade: Digitale midler kan sprede sig ud over deres oprindelige mål.
• Eskalering og gengældelse: Ethvert angreb kan føre til et modangreb, der yderligere eskalerer situationen.
• Demokratisk tilsyn: Offensive operationer er ofte hemmelige, hvilket efterlader lidt rum for parlamentarisk eller offentligt tilsyn.
• Alternativer: Samarbejde med politiet, internationale partnere og retlige instrumenter anses ofte for at være mere effektivt og bæredygtigt.

Konklusion

Offensiv hacking forbliver et kontroversielt værktøj i den digitale verden. Fortalere ser det som nødvendigt for proaktivt at bekæmpe angreb og afskrække modstandere. Modstandere peger derimod på de juridiske, etiske og praktiske risici.

Holland og EU vælger tilbageholdenhed og internationalt samarbejde. Denne tilgang sigter mod at bekæmpe cyberangreb uden risikoen for ukontrolleret eskalering. Alligevel forbliver spørgsmålet: kan en fuldt defensiv holdning give tilstrækkelig beskyttelse i en verden, hvor cyberangreb bliver stadig mere komplekse og aggressive?