Cyberszpiegostwo, sabotaż, cyberwojna: czym się różnią

Trzy pytania zamiast jednego słowa

Żeby nazwać operację w cyberprzestrzeni, trzeba odpowiedzieć na trzy pytania. Czy ktoś chciał informacji, czy szkody? Czy szkoda była fizyczna? I czy działo się to w czasie konfliktu zbrojnego? Od odpowiedzi zależy, jakie prawo się stosuje – krajowe prawo karne, ogólne prawo międzynarodowe czy prawo wojny.^2,6

Międzynarodowy Komitet Czerwonego Krzyża ujmuje to wprost: międzynarodowe prawo humanitarne nie reguluje operacji w cyberprzestrzeni prowadzonych poza konfliktem zbrojnym. Cyberszpiegostwo i cyberprzestępczość niepokoją firmy i rządy, ale – jak pisze ICRC – choć środki ochrony technicznej bywają podobne, prawo, które rządzi tymi operacjami, jest inne.²

Polskie propozycje terminów Biura Bezpieczeństwa Narodowego z 2020 r. opisują cyberwojnę jako destrukcyjny, czyli dezorganizujący lub niszczący, cyberkonflikt o celach politycznych, prowadzony na poziomie państw. Kradzież danych bez zniszczeń tej definicji nie spełnia.⁷

Cyberszpiegostwo: zabrać, nie zepsuć

Cyberszpiegostwo to zdobywanie cudzych informacji przez sieci i systemy: celem jest ich poufność, a nie działanie systemu (zob. poufność, integralność, dostępność). W dokumentach UE sprawców takich operacji opisuje się często jako grupy APT – przykładem jest APT10.^6,8

Najważniejszym akademickim punktem odniesienia jest Tallinn Manual 2.0 – opracowanie 19 ekspertów prawa międzynarodowego pod kierunkiem Michaela Schmitta, którego prace prowadziło Centrum Doskonalenia Cyberobrony NATO (CCDCOE) w Tallinnie, i wydane przez Cambridge University Press w 2017 r. Jest to poszerzone, drugie wydanie podręcznika z 2013 r. CCDCOE zaznacza, że Manual wyraża poglądy autorów, a nie NATO.¹

Według Tallinn Manual 2.0 szpiegostwo państw w czasie pokoju samo w sobie nie narusza prawa międzynarodowego, choć może je naruszać sposób jego przeprowadzenia. Większość ekspertów uznała, że sam fakt, iż operacja jest szpiegowska, nie czyni jej legalną; mniejszość widziała w szpiegostwie wyjątek od innych zakazów. Takie operacje są zwykle zakazane przez prawo krajowe państwa, które jest ich celem.⁶

Polska jest tego przykładem. Od 1 października 2023 r. art. 130 § 3 Kodeksu karnego karze m.in. tego, kto w celu przekazania obcemu wywiadowi wiadomości, których przekazanie może wyrządzić szkodę Polsce, wchodzi do systemu informatycznego, by je uzyskać – grozi za to od 6 miesięcy do 8 lat więzienia (zob. szpiegostwo).⁵

Przykład z dokumentu UE: według Rady UE operacja „Cloud Hopper”, przypisana grupie APT10, była wymierzona w systemy informatyczne międzynarodowych firm na sześciu kontynentach i dała nieuprawniony dostęp do danych wrażliwych handlowo, co spowodowało znaczne straty ekonomiczne.⁸

Sabotaż: zepsuć, wyłączyć, zniszczyć

Sabotaż w cyberprzestrzeni to działanie, którego celem jest szkoda: zablokowanie systemu, zniszczenie danych, wyłączenie urządzeń. Polski Kodeks karny traktuje go znacznie surowiej niż szpiegostwo. Za dywersję lub sabotaż w ramach działalności obcego wywiadu albo na jego rzecz art. 130 § 7 przewiduje co najmniej 10 lat albo dożywocie, a już za przygotowania – od 6 miesięcy do 8 lat (§ 8).⁵

Unijny reżim sankcji z 2019 r. obejmuje oba rodzaje działań. Decyzja Rady 2019/797 za cyberatak uznaje m.in. dostęp do systemów informatycznych i przechwytywanie danych, ale też ingerencję w system, czyli utrudnianie lub przerywanie jego działania, oraz ingerencję w dane: ich usuwanie, uszkadzanie, zmienianie lub blokowanie (art. 1 ust. 3 i art. 2).⁴

Klasyczny przykład sabotażu to NotPetya z czerwca 2017 r. Według Rady UE uniemożliwił on dostęp do danych w wielu firmach w Unii, a rząd Wielkiej Brytanii przypisał go rosyjskiemu wojsku. Rada UE wiąże z tą samą jednostką GRU, GTsST, ataki na ukraińską sieć energetyczną zimą 2015 i 2016 r., po których części sieci zostały wyłączone.^8,9

Ograniczenie takich działań to także norma polityczna ONZ. Grupa Ekspertów Rządowych w raporcie z 22 lipca 2015 r. (A/70/174) zaleciła, by państwa nie prowadziły ani świadomie nie wspierały działań, które wbrew ich zobowiązaniom międzynarodowym celowo uszkadzają infrastrukturę krytyczną.¹⁰

Cyberatak w rozumieniu prawa wojny

W prawie konfliktów zbrojnych „atak” ma wąskie znaczenie. Tallinn Manual (reguła 30 wydania z 2013 r.) definiuje cyberatak jako operację, zaczepną lub obronną, po której można się racjonalnie spodziewać obrażeń lub śmierci ludzi albo uszkodzenia lub zniszczenia obiektów. Według Manualu obrażenia obejmują też poważną chorobę i ciężkie cierpienie psychiczne.¹¹

ICRC przypomina, że prawo humanitarne stosuje się do operacji, które są prowadzone w ramach konfliktu zbrojnego albo same go wywołują. Kluczowe pytanie brzmi więc, kiedy operacja w cyberprzestrzeni dzieje się w czasie konfliktu zbrojnego.²

Często przywoływany przykład to Stuxnet, wymierzony w wirówki irańskiego zakładu wzbogacania uranu w Natanz. Marco Roscini pisze, że gdyby przeprowadzono go w czasie konfliktu zbrojnego, spełniałby definicję ataku. Zaznacza jednak, że nie potwierdzono, czy Stuxnet zniszczył jakiekolwiek wirówki: Iran zaprzeczył poważnym szkodom, a MAEA odnotowała, że Iran przestał zasilać uranem tysiące wirówek, przy czym nie wiadomo, czy z powodu Stuxnetu, czy awarii. Roscini pisze tylko o państwach „rzekomo” odpowiedzialnych, bez ich wskazywania.¹¹

NATO: kiedy cyberatak to napaść

Na szczycie w Walii w 2014 r. państwa NATO uznały cyberobronę za część podstawowego zadania Sojuszu, czyli obrony zbiorowej, i potwierdziły, że prawo międzynarodowe stosuje się w cyberprzestrzeni. Na szczycie w Warszawie w 2016 r. uznały cyberprzestrzeń za domenę operacji, tak jak powietrze, ląd i morze.¹²

NATO od 2014 r. przyjmuje, że cyberatak może być podstawą do powołania się na art. 5 traktatu waszyngtońskiego. Polityka z 2021 r. dodaje, że w pewnych okolicznościach za napaść zbrojną można uznać także znaczące, kumulujące się złośliwe działania w cyberprzestrzeni.³

Grupa Ekspertów Rządowych ONZ w 2015 r. stwierdziła, że prawo międzynarodowe, zwłaszcza Karta Narodów Zjednoczonych, ma zastosowanie do korzystania z technologii informacyjnych przez państwa, i odnotowała przyrodzone prawo państw do podejmowania środków zgodnych z prawem międzynarodowym, zastrzegając potrzebę dalszych prac w tej sprawie.¹⁰

Dlaczego rozróżnienie ma znaczenie

Od nazwy zależy odpowiedź. Szpiegostwo jest zwykle zakazane przez prawo krajowe państwa, które jest jego celem, więc odpowiedzią bywa proces karny. Za cyberataki o znaczących skutkach – zarówno szpiegowskie, jak i sabotażowe – Unia nakłada sankcje, jak w decyzji z 2020 r. Prawo wojny wchodzi w grę dopiero wtedy, gdy operacja jest częścią konfliktu zbrojnego.^2,6,8

Każda z tych odpowiedzi wymaga najpierw wskazania sprawcy. Raport ONZ z 2015 r. ostrzega, że samo to, iż działanie wyszło z terytorium danego państwa, może nie wystarczyć, by mu je przypisać. Jak państwa to robią, opisujemy w tekście Atrybucja: jak państwa wskazują sprawców cyberataków i na mapie Atrybucja cyberataku.¹⁰