略論網絡恐怖主義

皮特·戈拉博斯基，邁克爾·斯托爾 著;陳 波 譯

略論網絡恐怖主義

皮特·戈拉博斯基，邁克爾·斯托爾 著;陳 波①譯

在界定恐怖主義時，普遍強調傳達恐怖信息，造成社會恐慌。由于缺少脅迫和威嚇要素，互聯網上的黑客行為很難被界定為恐怖行為。不過在技術上借助互聯網發動恐怖攻擊并非毫無可能。越來越多的基礎設施已經聯網，一旦控制這些設施的系統被恐怖分子控制，他們很容易發動恐怖襲擊，造成人員傷亡等毀滅性的后果。目前已經有通過攻擊網站傳達政治恐嚇的先例。除此以外，已經出現恐怖組織借助互聯網完成情報搜集、通信、宣傳等多項任務。在物理上隔絕信息系統是防范網絡恐怖活動的重要方法，但這也不能杜絕網絡恐怖活動。而目前的國內法在打擊網絡恐怖主義方面還存在障礙，涉及國家主權爭議，需要加以完善。

網絡;恐怖主義;基礎設施;法律防范

①陳 波(1985—)，男，江蘇連云港人，華東政法大學法學博士。研究方向為刑事訴訟法學、刑事司法制度、刑法學、犯罪學。

一、網絡恐怖主義的界定

當今社會，“網絡”和“恐怖主義”這兩個詞匯的界定十分模糊。可想而知，“網絡”和“恐怖主義”結合使用更難形成嚴謹的概念。本文試圖界定網絡恐怖主義的內涵，找尋規制網絡恐怖主義的路徑。

對許多人而言，“網絡”基本上就是電子技術的代名詞。在電子技術日趨流行的社會中，這種界定方式毫無益處。本文中的“網絡”一詞是指互聯網(Internet)和萬維網(World Wide Web)等可以在線使用的技術。

“恐怖主義”是一個被嚴重濫用的詞匯，對不同人有著不同的內涵。對有些人而言，“恐怖主義”可指任何邪惡之事。自冷戰開始，“對于有些人而言，恐怖分子是自由戰士”的說法已然成為陳詞濫調。“恐怖”一詞先被用于形容有組織地使用暴力和斷頭臺的法國雅各賓派(Jacobin)和熱月黨人(Thermidorean)，這是國家控制的一種手段。②Stohl，Michael(1988)．“Demystifying Terrorism:The Myths and Realities of Contemporary Political Terrorism，”in Stohl，Michael(ed．)．The Politics of Terrorism．(3rded)New York:Marcel Decker，Inc．后來學術界在探討左派或右派的極權獨裁統治時也使用了“恐怖”一詞。③Friedrich，Carl and Brzezinski，Zbigniew(1965)Totalitarian Dictatorship and Autocracy．Harvard University Press，Cambridge MA．在過去的兩個世紀中，“恐怖”一詞的內涵有所擴展，包含非國家性地、有組織地使用暴力。現今對恐怖的界定是:有組織地使用暴力或者威脅使用暴力，以此制造恐懼、強迫他人服從或者達到某種政治目的。④Stohl，Michael(1988)．“Demystifying Terrorism:The Myths and Realities of Contemporary Political Terrorism，”in Stohl，Michael(ed．)．The Politics of Terrorism．(3rded)New York:Marcel Decker，Inc．

究竟何為網絡恐怖主義?我們可以采納丹寧(Denning)的定義:“針對計算機、網絡和信息存貯設備發起非法攻擊，以此威嚇、強迫政府或人民，以達到某種政治或社會效果。”⑤Denning，Dorothy(2000)Cyberterrorism．Testimony before the Special Oversight Panel on Terrorism，Committee on Armed Services，U．S．House of Representatives，May 23，2000．http://www．terrorism．com/documents/denning－testimony．shtml(visited 7 January 2003)．此概念的關鍵要素是強迫和威嚇。恐怖分子侵犯人身和財產、攻擊信息系統的目的是傳達恐怖信息。①Stohl，Michael(2012)“Don’t Confuse Me with the Facts:Knowledge Claims and Terrorism”Critical Studies on Terrorism，5，1，31－49．

人們只要關注恐怖活動，就可以理解常規恐怖主義的內涵。2001年的911事件、2002年的巴厘島爆炸案、1995年的東京地鐵沙林毒氣事件以及中東地區不斷出現的自殺式炸彈攻擊，這些都是使用嚴重暴力表達政治訴求的行為。互聯網上的恐怖行為是否也同樣如此?

確信的是，網絡空間中充斥著擾亂他人的信息。最為著名的是美國中央情報局網站遭攻擊。②http://scobbs．blogspot．com．au/2011/06/cia－website－hack－recalls－early－days－of．html(visited 20 August 2015)．但是，美國政府機構網站并非是網絡攻擊的唯一目標。親巴基斯坦勢力攻擊印度網站、親巴勒斯坦勢力攻擊以色列網站都是習以為常的事。③Vatis，Michael(2001)Cyber Attacks During the War on Terrorism:A Predictive Analysis．Institute for Security Technology Studies，Dartmouth College，Hanover New Hampshire．但是，這些行為很難界定為恐怖行為。

大多數人曾經歷過電腦感染病毒帶來的諸多不便，例如:“我愛你”蠕蟲病毒(I LOVE YOU)、“梅麗莎”病毒(Melissa)、“紅色代碼”蠕蟲病毒(Code Red)。④譯者注:“我愛你”病毒是一種蠕蟲病毒，它是通過Microsoft Outlook電子郵件系統傳播的，郵件的主題為“I Love You”，包含一個附件(“Love－Letter－for－you．txt．vbs”)。一旦在Microsoft Outlook中打開這個附件，系統就會自動復制并向通訊簿中的所有電子郵件地址發送這個病毒。用戶感染了該病毒后，郵件系統會變慢，并可能導致整個網絡系統崩潰，這個病毒對于電子郵件系統具有極大的危險性。參見《“我愛你”病毒傳入我國，瑞星率先提供防護》，載《中國信息導報》2000年第5期;“梅麗莎”病毒最早在1999年3月份爆發，首先降低主機的病毒防護等級，然后查找注冊表中的“by kwyjibo”鍵值是否存在，如不存在則病毒打開每個用戶可讀的MAPI地址本，向前50個地址發送被感染的郵件。受感染的郵件達到目標地址后，如果收件人打開郵件，則該病毒得以大規模的散布。參見王慶福:《基于網絡安全的計算機病毒防治》，載《網絡安全》2013年第6期;“紅色代碼”蠕蟲病毒不將任何程序寫入硬盤，而是直接從內存中運行和傳播。參見劉睿:《“紅色代碼(Code RedⅡ)”蠕蟲病毒發作機制和解決方案》，載《計算機系統應用》2002年第9期。或者聽說過2000年2月針對亞馬遜網站、雅虎和其他電子商務網站的分布式拒絕服務攻擊(distributed denial of service attacks)。⑤譯者注:分布式拒絕服務攻擊(distributed denial of service attacks)采用分布式的攻擊方式，聯合或控制網絡上能夠發動DOS攻擊的若干主機同時發動攻擊。制造數以百萬計的分組流入欲攻擊的目標，致使流向目標的服務請求極度擁塞，造成目標無法提供正常的網絡服務。參見劉利、鄭華、鄒瑩:《分布式拒絕服務攻擊及防范方法研究》，載《網絡安全技術與應用》2006年第5期。對于一些人而言，攻擊行為遠遠不止帶來不便那么簡單。全球因此蒙受的損失遠超數十億美元。但是，擾亂信息或財產損失并非脅迫或威嚇，因而不能被界定為恐怖行為。虛擬空間的恐怖活動能否像現實空間的恐怖活動一樣，造成人員傷亡和毀滅性的后果?

二、通過網絡攻擊重要設施

在電子時代，很多設施都是依賴軟件運行，這已經成為基本共識。現代社會中通信、電力、水務、交通、金融系統都依賴電子技術(尤其是控制技術)。越來越多的商業活動也是在網上完成。人類與計算機技術和通信技術聯系的增強，意味著行善和作惡的能力都有所提升。有些重要的設施與網絡連接，但有些并未聯網。前者更有可能成為攻擊目標。

互聯網以及網絡技術增強了普通人的能力。只要具備常規電腦技術的人就可以同時與數百萬人溝通交流，其成本幾乎可以忽略不計。十幾歲的少年也可以終止商業活動，甚至操縱證券交易市場的股價。

世界上的基礎設施私有化越來越普遍，這在工業發達社會中更加明顯。這通常會阻礙政府的集中控制。即便不考慮基礎設施的所有權，黑客很有可能侵入聯網的基礎設施。這意味著支撐國家運轉的重要設施很可能遭到攻擊。雖然針對基礎設施的攻擊并未持續發生，也未出現蔓延趨勢，但是我們也發現了一些重要事件。

1997年3月，一名黑客攻擊了為美國馬薩諸塞州伍斯特市機場提供服務的電信公司，導致機場控制塔癱瘓長達6個小時。本次攻擊還切斷了控制機場跑道燈光的電路。①CNN(1998)Teen hacker faces federal charges:Caused computer crash that disabled Massachusetts airport http://www．cnn．com/TECH/computing/9803/18/juvenile．hacker/．(Visited 20 August 2015)．2000年2月，一名15歲的加拿大男孩遠程控制了美國多所大學的電腦，集中攻擊一些電子商務網站，包括CNN、雅虎、亞馬遜、eBay和戴爾的網站都成為了攻擊目標。遭到攻擊的網站因數據阻塞而無法正常運行，有些網站完全癱瘓，其他的網站的用戶需要耗費數分鐘才能進入頁面。在電子商務尚未成熟的時期，這次攻擊嚴重影響了公眾對電子商務安全的信心。2000年3月，澳大利亞昆士蘭州馬盧奇郡的一個污水處理廠的控制系統出現問題，264000加侖的污水被傾倒至一家五星級酒店及周邊地帶。負責安裝控制系統的49歲職員曾申請馬盧奇郡的工作，但并未成功。在他的筆記本電腦中發現了遠程遙測裝置、雙向無線電設備和天線。據稱，他至少46次試圖控制污水處理廠的系統。②R．v Boden［2002］QCA 164．2001年9月20日，世界第八大貨輪港美國休斯敦港的電腦系統遭遇了分布式拒絕服務攻擊。貨運公司、領航和泊船等業務無法通過港口的網頁進行，維持港口運營的主要服務都無法使用。針對休斯敦港網絡的攻擊可能并非有意為之，這次攻擊似乎是因為罪犯認為自己的女朋友被一個聊天室用戶冒犯。這次攻擊經由大量的中間電腦，最終才指向目標電腦。其中的一臺目標電腦位于休斯敦港口，這次攻擊的源頭來自英格蘭的某位居民，但是他否認自己知悉這次攻擊，聲稱自己電腦上的證據是匿名黑客運用特洛伊木馬留下的。③Brenner，Susan，Carrier，Brian，and Jenniger，Jef(2004)“The Trojan Horse Defense in Cybercrime Cases”Santa Clara Computer and High Tech Law Journal，21，1－53．

并非所有的網絡攻擊都是“外人”發起的。心懷不滿的員工、前員工、承包商等出于不同的動機可以很容易地攻擊計算機系統。聯邦調查局的調研顯示，1996年至2000年，網絡攻擊通常是內部人員發起的。超過80%的受訪者都將內部人員視為可能的攻擊者。在2000年的調研中，71%的受訪者都報告內部人員存在未經授權進入計算機系統的情形。④Power，Richard(2000)．Tangled WEB:Tales of Digital Crime from the Shadows of Cyberspace．Indianpolis:Que，a division of Macmillan．USA，P179．如果內部人員與外人(潛在的恐怖分子等)相互勾結，計算機系統就更加危險。

三、網絡攻擊的屬性難以界定

被害人可能不會認為網絡攻擊十分嚴重，這種現象十分異常。正如下文所述，伊朗人并不認為控制核濃縮的計算機系統故障是病毒攻擊造成的，他們僅僅認為這是系統內部故障。一旦發現并確認存在攻擊，攻擊者的身份很難識別——究竟是十幾歲少年在臥室內發動攻擊，還是犯罪組織或是外國政府發動的攻擊?還是由上述主體一起發起的網絡攻擊?20世紀80年代，受雇于蘇聯克格勃的德國黑客對美國國防設施和研究中心發起過攻擊。⑤Stoll，Clifford(1989)The Cuckoo’s Egg．Pocket Books，New York．2008年，愛沙尼亞遭遇的網絡攻擊是由俄羅斯的“愛國黑客”發動的。俄羅斯安全部門間接或非正式地慫恿有組織的平民網絡罪犯發起“合法攻擊”，以此維護俄羅斯的榮譽，政府可以否認自己發起了攻擊。通過對中間電腦進行解析，可以回溯攻擊的路徑，但此問題隨后又變得錯綜復雜。⑥Chang，Lennon(2012)Cybercrime in the Greater China Region:Regulatory Responses and Crime Prevention．Cheltenham，UK:(Edward Elgar，2012)．

事情的起因是愛沙尼亞政府重新選址慶祝蘇維埃世界的二戰勝利，引起了愛沙尼亞的俄羅斯少數族裔的抗議。俄羅斯國內也有人為之不滿。有人發起了網絡攻擊作為回應。分布式拒絕服務攻擊明顯是為了讓愛沙尼亞的電子設施和總統、首相、議會的辦公室及其他政府部門、銀行和報紙的網頁癱瘓。最終發現，這些攻擊都來自俄羅斯，但是俄羅斯政府否認對此負有任何責任。

2014年11月，索尼影視娛樂有限公司即將發行以刺殺朝鮮最高領導人金正恩為題材的惡搞喜劇《采訪》(The Interview)，朝鮮政府表達了嚴正抗議。朝鮮政府認為這部電影中并無喜劇成分，而是一種戰爭行為。在朝鮮政府抗議之后，索尼娛樂的網站就遭到了攻擊。公司電腦中的大量數據被泄漏到社交網站上，包括員工的郵件(私下議論好萊塢的內容)、公司和個人的經濟狀況、社保號碼和即將上映電影的劇本都被泄漏。本次攻擊還擦除了大量的數據。美國政府認為此次攻擊是由朝鮮發起的，但是朝鮮予以否認。

另外一次互聯網攻擊案例是美國和以色列針對伊朗納坦茲(Natanz)的核濃縮設施發起的聯合攻擊。①Sanger，David(2012)Confront and Conceal:Obama’s Secret Wars and Surprising Use of American Power．Crown Publishers，New York;Zetter，Kim(2014)Countdown to Zero Day:Stuxnet and the World’s First Digital Weapon．Crown Publishers，New York．2009年奧巴馬總統就職以前，布什總統就告訴他美國和以色列正在實施一項阻止伊朗發展核武器的行動。在奧巴馬執政期間，該行動得以延續，目的是在納坦茲的核濃縮設施的控制系統中插入復雜的惡意軟件。這次行動的代號是“奧運會”，惡意軟件被稱為“超級工廠病毒”(Stuxnet)。鈾濃縮使用的離心機十分脆弱，惡意軟件可以突然改變離心機的速度，進而破壞離心機。這種攻擊手法十分復雜，納坦茲的核濃縮設施與外部互聯網是隔絕的。病毒先是感染了一名伊朗核專家的U盤，這名科學家在使用U盤過程中又不小心將病毒復制到了納坦茲的計算機系統上。病毒控制了管理核濃縮的工業控制系統，解除報警系統，不斷地給控制室的技術人員發送錯誤信息，讓技術人員認為系統正在正常運轉。這次行動嚴重地延遲了伊朗核工業的發展。美國和以色列都否認對此次行動負責。

到目前為止，所有的網絡攻擊中最接近恐怖活動的是2008年俄羅斯對愛沙尼亞的網絡攻擊和2014年朝鮮對索尼公司的網絡攻擊。它們都傳播了一項信息:前者是任何人都不能貶低蘇維埃英雄主義，后者是任何人都不能貶低朝鮮的最高領導人。與之形成對比的是，針對伊朗核設施的攻擊是破壞行動，而不是恐怖主義。此次攻擊是精心設計的，造成的危害也是由內部設備失靈導致的，而不是從外部發起的攻擊。只有當超級工廠病毒中斷執行之后，獨立的信息技術安全專家進行檢查，才能查明導致設備故障的原因。

攻擊重要設施本身可能不會被視為恐怖活動。只有當這種攻擊結合其他的手段的時候，才會強化恐怖行為中的威嚇和脅迫效應。例如，炸彈爆炸結合電力系統中斷、航空控制系統中斷，或者是電信服務中斷，將會凸顯出基礎設施的脆弱性，使之看起來更加可怕。風險評估認為網絡恐怖主義將會產生極大的危害，但是目前為止，這種危害尚未發生。正如桃樂茜·丹寧(Dorothy Denning)所言，出于耗費時間的考量，恐怖分子們仍然偏愛汽車炸彈，而不是網絡攻擊。②Denning，Dorothy(2001)“Cyberwarriors:Activists and Terrorists Turn to Cyberspace”Harvard International Review，23，2，70－75．

四、運用互聯網促進恐怖主義

誠然，電子技術可以加強任何組織的效率，無論對合法還是非法組織都是如此。電子技術可以被恐怖分子使用。③Thomas，Timothy L(2003)“Al Qaeda and the Internet:The Danger of‘Cyberplanning’”Parameters，US Army War College Quarterly，33，1，112－123．https://www．carlisle．army．mil/USAWC/Parameters/03spring/thomas．htm．2014年逐步崛起的伊斯蘭國已經熟練地使用互聯網和社交媒體達到其目的，包括招募新人、與潛在支持者交流，以及擴展他們暴力行為的影響范圍。④Shane，Scott and Hubbard，Ben(2014)“ISIS Displaying a Deft Command of Varied Media．”The New York Times．August 30．http://www．nytimes．com/2014/08/31/world/middleeast/isis－displaying－a－deft－command－of－varied－media．html?_ r=0(accessed 24 August 2015)．

(一)搜集情報

恐怖分子可以通過公開渠道或侵入競爭對手的電腦搜集情報。地球上每一平方米的土地都有衛星覆蓋，個人可以獲取衛星拍攝的照片。墨西哥的一個販毒組織已經通過分析社交媒體尋找批評他們的人，追蹤他們的形跡，最終處決他們。⑤Kan，Paul Rexton(2013)“Cyberwar in the Underworld:Anonymous versus Los Zetas in Mexico”Yale Journal of International Affairs 8，40－51．

(二)通信

恐怖分子通常會采用密碼和加密圖片發送(將信息放在圖片中)或接收信息，以此隱藏信息。互聯網和萬維網的性質決定了其成為廣泛發布信息的理想通信方式。本·拉登是不喜歡上網的人，但是自2001年他成為了追捕對象之后，也開始使用互聯網對全世界范圍內的追隨者發布信息。

目前，恐怖活動中使用的電子技術也十分成熟。2008年，巴基斯坦的虔誠軍(Laskkar－e－Taiba，又稱德干圣戰者)和基地組織一起實施的孟買恐怖攻擊就是典型代表。①Goodman，Marc(2015)Future Crime．Random House，New York．孟買恐怖攻擊是由菲律賓成員通過網絡詐騙募集資金。這些恐怖分子從海上使用GPS導航乘船到達孟買，靠岸以后使用谷歌地圖識別目標建筑。在行動過程中，他們通過網絡搜索照片的方法識別了一名人質的身份。此次行動的指揮者在巴基斯坦嚴密監控全球媒體對此事的報道，并據此制定在孟買的成員的反擊策略。此次攻擊共造成166人死亡，數百人受傷。

(三)宣傳

恐怖組織不需要編輯和政府的審查，就可以與全球的關注者直接交流。發布的信息可能包括煽動性的仇恨言論，以此為針對敵對者的暴力行為辯護。2005年9月，互聯網上出現一個新聞報道，據稱是由基地組織發布的。②http://abcnews．go．com/WNT/Investigation/story?id=1164648＆WNT=true(accessed 24 August 2015)．2014年伊斯蘭國的崛起伴隨著互聯網和社交媒體的成熟運用。③Al Hayat Media(2014)Flames of War http://news．yahoo．com/video/islamic－state－release－propaganda－film－153137452．html(accessed 20 August 2015)．或許最具戲劇性的例子是2015年1月，伊斯蘭國控制了美國中央司令部的推特和Youtube，用這兩個賬戶在美國招募新成員。④Cooper，Helene(2015)“ISIS Is Cited in Hacking of Central Command’s Twitter and YouTube Accounts”New York Times，12 January http://www．nytimes．com/2015/01/13/us/isis－is－cited－in－hacking－of－central－commands－twitter－feed．html．2014年，索馬里的恐怖組織青年黨(al－Shabab)通過臉書命令禁止使用互聯網，要求服務商在兩周內終止互聯網服務。⑤Raghavan，Sudarsan(2014)“Somalia’s al－Shabab militia bans Internet”Washington Post 9 January http://www．washingtonpost．com/world/somalias－al－shabab－militia－bans－internet/2014/01/09/7c288bdc－7953－11e3－a647－a19deaf575b3_story．html(accessed 20 August 2015)．

(四)發動心理戰

恐怖組織可能會使用互聯網進行欺詐。恐怖分子通過制造異常的交通狀況，讓人錯誤地認為馬上會發生恐怖行動。他們不斷地發布虛假信息，將執法人員和情報人員的注意力從真正的恐怖活動中轉移。恐怖組織還運用互聯網進行威脅或展示暴力行為。他們通過網絡向全世界發布人質信息，甚至會發布殺害人質或者爆炸的信息。⑥https://www．google．ca/search?q=ISIS+hostage+beheadings＆lr=＆source=lnms＆tbm=vid＆sa=X＆ei=dNfrVLzUGaGzmwWI04GYAQ＆ved=0CAgQ_AUoAQ＆biw=960＆bih=467＆cad=cbv＆sei=qNfrVPyoHeW9mgWUh4DgDQ(accessed 24 August 2015)．這些恐怖信息都會附帶威脅對排斥恐怖組織的國家發起恐怖攻擊。

(五)招募人員和籌集資金

恐怖分子可能會通過互聯網籌集資金和招募新成員。世界各地有著大量心懷憤懣的穆斯林男性。他們中的一些人可能會被吸引到軍事行動當中。在互聯網上慶祝殉教行為的作用十分顯著，可以吸引潛在人肉炸彈攜帶者的注意。伊斯蘭國在互聯網上的招募活動就十分成功。

根據報道，2002年巴厘島爆炸案的締造者伊馬姆·薩穆德拉(Imam Samudra)曾經號召自己的追隨者實施信用卡詐騙，以此資助恐怖組織的軍事行動。⑦Sipress，A．(2004)“An Indonesian’s Prison Memoir Takes Holy War Into Cyberspace:In Sign of New Threat，Militant Offers Tips on Credit Card Fraud．”Washington Post．December 14．http://www．washingtonpost．com/wp－dyn/articles/A62095－2004Dec13．html(accessed 24 August，2015)．斯里蘭卡的泰米爾猛虎組織(Tamil Tigers)就曾被報道大規模地復制信用卡進行詐騙，以此支持自己的恐怖行動。⑧BBC News(2007)“Motorists Hit by Card Clone Scam”(24 April)．http://news．bbc．co．uk/2/hi/uk_news/6578595．stm (accessed 24 August 2015)．

五、網絡恐怖主義的預防

無論是在現實還是網絡空間的反恐首要任務都是預防恐怖主義。50多年前，任何人都可以自由地進入許多國家的政府大樓。而今進入政府大樓的人需要出示標有照片的身份證明，訪客還需要他人陪同。安全已經成為公共建筑以及一些私人建筑的設計特點。

隨著信息系統的普及，即便是公共信托部門(例如電子商務和電子銀行)都已被要求保護信息系統的安全，就如同他們必須確保銀行大門和百貨大樓的安全一樣。理想的信息系統會安裝防火墻，使用其他過濾技術，防止遭到網絡攻擊。這些部門還會定期評估系統的安全性，網上的任何反常行為都會預警，系統管理員必須一直監管系統。重要的設施和關鍵信息系統必須隔絕互聯網，在物理上杜絕連接互聯網，黑客就無法進入這些系統了。格林(Green)認為美國國防部、中央情報局和聯邦調查局的保密電腦系統都是與外界隔絕的，屬于優質的信息系統。美國聯邦空管局的電腦系統隔離了日常管理和空中交通管理系統，因而評分很高。其中整個空中交通管理系統都是與外部隔絕的。①Green，Joshua(2001)．The Myth of Cyberterrorism．http://www．washingtonmonthly．com/features/2001/0211．green．html(Visited 20 August 2015)．其他國家的電腦系統也采用了類似的保護方法。由于人為因素會對信息系統的安全性產生威脅，因而并不存在完美的安全解決方法。信息系統職員的疏忽大意或惡意使用行為都會對信息系統的安全性帶來重大影響。一套完整的信息安全系統還包括職員的嚴格遴選和系統的培訓。其中培訓的內容包括密碼的管理，以及未經授權不得進入信息系統。正如攻擊伊朗核濃縮行動所揭示的那樣，信息系統隔絕可能會因內部人員的疏忽或者刻意行為而失效。

系統的安全問題也有可能是軟件漏洞導致的。大部分的軟件都是以用戶體驗良好和便利為取向的，而不是以安全為取向的。軟件行業首先想到的是避免潛在風險，一旦安全問題逐步顯現，就會使用“補丁”的方式彌補。市場上最終能否廣泛接受以安全防范為取向的軟件還有待觀察。

即便是在那些基礎設施私有化的國家，政府也致力于倡導網絡安全。澳大利亞在重要設施所有者中推行了安全防范意識計劃。雖然有這些防范措施，但是大部分國家仍然因為缺少信息安全防范知識而遭受損失。私營組織懼怕公布安全信息，不愿意共享遭受的網絡安全攻擊情況。為了克服受害者不愿意報告自己受到網絡攻擊的問題，有人建議在行業內部通報網絡攻擊情況。這種“內部信任”將會促成報告軟件的使用。報告軟件會自動隱藏遭到攻擊者的身份，并且立即通知“業內安全經理”，后者會馬上通知行業內的其他成員。當然，這種機制還需要建立更多的信任，但是，在立法上應當消除這種業內合作的阻礙。

六、網絡恐怖主義法律防范的有效性

某一國家國內法是否足以打擊網絡恐怖主義?大部分技術先進的國家都將網絡恐怖主義的潛在行為作為犯罪予以打擊。包括:

將非法進入、修改或損壞信息系統列為重罪;

非法修改數據造成損害;

非法破壞電子通信;

非法獲取、修改保密數據;

非法損壞電腦硬盤、信用卡或其他數據存儲設備;

以實施計算機犯罪為目的獲取數據;

以實施計算機犯罪為目的制造、提供或獲取數據。

法律條文必須概括抽象，既可以囊括一般的網絡犯罪(黑客、病毒等)又要涵蓋網絡恐怖主義這樣的嚴重犯罪。立法上同樣要將法律的適用范圍擴展至全部或部分行為發生在一國領土、輪船或飛行器上發生嚴重的犯罪，或者是行為的結果構成嚴重犯罪。

在程序法上還有另外一個問題，相關的法律可能不一定允許快速地偵查網絡恐怖攻擊。澳大利亞、八國集團成員國，以及其他國家已經達成了全年無休的聯絡機制。執法人員在任何時間都可以不經正式的互助程序(通常耗時長久)獲得其他國家的幫助。當網絡攻擊經由不同國家的服務器時，這個問題將會更加復雜。

無論上述措施是否發揮作用，都會存在一些法律爭議。假設某一重要的計算機系統遭受了攻擊，而這次攻擊是在無法進行司法互助(無論是何原因)的國家發起的。究竟政府可以在多大程度上遠程進入電腦進行自我防衛，或者實施偵查行為?這種行為的合法性問題可能一直都沒有清晰明確。派遣人員到另一國家實施偵查行為，或者制止犯罪行為將會侵犯其他國家的主權。國家主權原則在虛擬空間的適用絲毫不比現實空間更少。①Schroeder，Steve．(2012)．The Lure:The True Story of How the Department of Justice Brought Down Two of The World’s Most Dangerous Cyber Criminals．Boston，MA:Course Technology．

在大部分的國家中，公民個人的“反黑客”行為都會遭到勸阻。因為真正的網絡攻擊者可能會偽裝，或者使用無辜的第三方身份實施攻擊行為。反黑客行為還有其他風險。因此，人們會認為政府機構會先發制人，或在打擊犯罪過程中使用電子技術。2003年2月，布什總統簽署一項秘密命令，允許美國政府發展對外國電腦系統發起網絡攻擊技術。②Associated Press(2003):“Bush order OKs attacks on foreign computers:Defense Department cleared for cyber war”February 10 http://www．knoxnews．com/kns/tech/article/0，1406，KNS_8976_1733748，00．html(Visited 15 February 2003);Richelson，Jeffrey(2013)National Security Agency Tasked with Targeting Adversaries’Computers for Attack Since Early 1997，According to Declassified Document http://nsarchive．gwu．edu/NSAEBB/NSAEBB424/(accessed 24 August 2015)．針對網絡恐怖行為和一般網絡犯罪的遠程跨境搜查、報復行為的法律還十分混亂。在某種情況下，這也不是什么問題，因為許多國家的安全部門都是這么做的。

七、結論

如果虛擬空間的風險都指向，并且全部集中在某一國家的基礎設施，其后果將會接近恐怖主義。“煩擾他人”的黑客行為恰好是缺少恐怖效果。隨著電子技術深入發展，滲入社會的方方面面，每一種新程序都伴隨著犯罪風險，有可能被恐怖分子利用。最近有一些正在行駛的汽車引擎被遠程控制，原因是這些汽車連接了互聯網。更為恐怖的是美國審計署(Government Accountability Office)指出，在理論上，黑客只要控制了連接客艙內無線網的筆記本電腦就可以實施以下行為:

控制飛機;

在控制飛機的電腦中植入病毒;

通過控制電腦危害飛行安全;

掌管警報系統或巡航系統。

雖然有關“電子珍珠港”或“網絡決戰”是言過其實的虛構，網絡恐怖攻擊尚且十分遙遠。但是在電子化和網絡化持續發展的背景下，信息安全人員、組織和政府部門都應當考慮這一問題。

(責任編輯:張 超)

Cyberterrorism

(Peter Grabosky;Michael Stohl)

In the conventional definition of terrorism，the key elements are coercion and intimidation．Because of lack of them，the hacking，harass and annoy information could not be categorized as terrorism．Meanwhile，it is possible to attack online to the critical infrastructures．The increasing number of infrastructures connected to internet accompanies a new risk，once it is compromised by terrorists，it will inflict significant harm to persons or property by attacking the victim’s information systems．There have been incidents of convey political information by hacking．The terrorists also use cyberspace in furtherance of terrorism．The intelligence，communications，propaganda，etc．can be enhanced via internet．The physical air－gap to internet is useful，but by no means ideal way of counter－cyberterrorism．The domestic law is not adequate to combat cyber terrorism for the sovereignty issues．

cyberspace;terrorism;critical infrastructures;legal prevention

D917

A

1008－2433(2016)04－0055－07

2016－05－17

皮特·戈拉博斯基(Peter Grabosky)，澳大利亞國立大學教授，任職于亞洲及太平洋學院網絡監管研究所;邁克爾·斯托爾(Michael Stohl)，加州大學圣塔芭芭拉分校教授。