با افزایش جنگ‌های سایبری در سال‌های اخیر، کشورها به طور فزاینده‌ای به دنبال کسب طیف گسترده‌ای از توانایی‌های پیشرفته سایبری هستند، از جاسوس‌افزار تا بدافزارهای مخرب. تقاضا برای این توانایی‌ها باعث انفجار بازار برای جنگ‌افزارهای سایبری شده است: بازیگران بخش خصوصی که توانایی‌های تهاجمی یا نفوذی سایبری را برای کسب درآمد توسعه، ارائه یا پشتیبانی می‌کنند. این بازار که در سال ۲۰۱۹ ارزش آن ۱۲ میلیارد دلار تخمین زده شد، به سرعت در حال رشد است و منجر به افزایش چشمگیری در استفاده از آسیب‌پذیری‌های امنیتی ناشناخته پیشین، معروف به "بهره‌برداری صفر روزه" شده است. در غیاب راهنمایی‌های بین‌المللی معنادار، این صنعت سایه‌ای اما قوی باعث نقض حقوق بشر شده، موانع ورود به سلاح‌های سایبری پیشرفته را که می‌توانند زیرساخت‌ها و نهادهای حیاتی را هدف قرار دهند کاهش داده، و چالش پاسخگویی سایبری را که پیشتر هم دشوار بود، پیچیده‌تر کرده است.
این گزارش مختصر، بخش ۵ از گزارش ویژه "جبهه‌های دیجیتال" تحلیل‌های سیاست خارجی (فارین پالیسی) است، که دامنه و تأثیر بازار جهانی جنگ‌افزارهای سایبری را ارزیابی می‌کند، چالش‌های تنظیم‌گری آن را شناسایی کرده و فرصت‌هایی برای کاهش تأثیرات مخرب آن و تقویت آمادگی و پاسخ بین‌المللی را بررسی می‌کند.
بازار جنگ‌افزارهای سایبری - آرایه‌ای گسترده و در حال تحول از محصولات و شرکت‌کنندگان
بازار جنگ‌افزارهای سایبری شامل طیف وسیعی از خدمات، خریداران، فروشندگان و انگیزه‌ها است که هر کدام ممکن است با استفاده‌های مشروع از فناوری‌های سایبری همپوشانی داشته باشند. خریداران در این بازار اغلب دولت‌هایی هستند که به دنبال پیشبرد منافع امنیتی خود هستند. از سال ۲۰۱۱، حداقل ۷۴ دولت ملی از جنگ‌افزارها برای استفاده از جاسوس‌افزار بهره برده‌اند. جنگ‌افزارها می‌توانند به کشورها کمک کنند تا زیرساخت‌های دشمنان خود را از بین ببرند یا مختل کنند؛ سانسور، آزار یا جاسوسی از مخالفان سیاسی؛ از باج‌افزارها سود ببرند؛ یا اطلاعات طبقه‌بندی شده یا مالکیت‌های فکری را بدزدند. خدمات جنگ‌افزارها ممکن است برای دولت‌ها جذاب باشد، زیرا دخالت طرف سوم می‌تواند به پنهان کردن مسئولیت و اجتناب از عواقب رفتارهای غیرقانونی و/یا مخرب کمک کند.
خریداران می‌توانند جنایتکاران سایبری یا بازیگران خصوصی باشند که امیدوارند بر سایر بازیگران غیردولتی نظارت کنند، مانند رقبای تجاری یا شرکای عاشقانه. در حالی که این خریداران ممکن است در درگیری‌ها شرکت نکنند، محصولات، خدمات و فروشندگان مشابهی می‌توانند برای هر دو هدف استفاده شوند، مرزهای بازار جنگ‌افزارهای سایبری را مبهم کنند. جنگ‌افزارهای استخدام شده توسط بازیگران غیردولتی می‌توانند به همان اندازه که در درگیری‌های بین دولت‌ها شرکت می‌کنند، برای قربانیان مخل و مخرب باشند.
فروشندگان در بازار جنگ‌افزارهای سایبری - یعنی جنگ‌افزارها - اغلب شرکت‌های کوچک خصوصی هستند که توانایی‌های پیچیده سایبری را توسعه و فروش می‌دهند، مانند آنهایی که در نمودار ۱ نشان داده شده‌اند. یک نمونه برجسته گروه NSO است: شرکتی اسرائیلی که فناوری جاسوس‌افزار را به دولت‌ها می‌فروشد و متهم به تسهیل نقض گسترده حقوق بشر، مانند هدف قرار دادن جمال خاشقجی و افراد نزدیک به او شده است. شرکت‌های دیگری مانند Zerodium به عنوان واسطه در بازار جنگ‌افزارهای سایبری عمل می‌کنند که فناوری را از یک شرکت یا از پژوهشگران مستقل خریداری کرده و به خریداری جداگانه می‌فروشند.
محصولات و توانایی‌ها در بازار جنگ‌افزارهای سایبری
بازار جنگ‌افزارهای سایبری شامل طیف گسترده‌ای از محصولات، خدمات، توانایی‌ها و عملیات است. تایپولوژی زیر فعالیت‌های جنگ‌افزارها را به پنج دسته تماتیک تقسیم می‌کند، اما تکنیک‌ها، شرکت‌ها، بهره‌برداری‌های آسیب‌پذیری یا نرم‌افزار خاص ممکن است در چندین دسته قرار بگیرند.
جنگ اطلاعاتی
عملیات‌هایی برای کسب برتری بر رقیب با کنترل و دستکاری اطلاعات. شرکت‌های جنگ‌افزارهای سایبری ممکن است با عملیات‌های تأثیرگذاری - تلاش‌های آنلاین برای تأثیرگذاری بر نگرش‌ها، رفتارها یا تصمیم‌های مخاطب هدف - و همچنین نرم‌افزارهای سانسور برای محدود کردن آنچه مردم می‌توانند ببینند یا منتشر کنند، کمک کنند.
جاسوس‌افزار تجاری
جاسوس‌افزار داده‌های حساس را از دستگاه‌ها بدون دانش یا رضایت کاربران نظارت و استخراج می‌کند.
باج‌افزار
باج‌افزار دسترسی به سیستم رایانه‌ای را تا زمانی که مبلغی پول پرداخت شود، مسدود می‌کند.
بدافزار مخرب
جنگ‌افزارها ممکن است از حملات سایبری برای تخریب زیرساخت‌های داخلی یا توانایی‌های نظامی یک کشور دشمن استفاده کنند.
آزمون نفوذ
همان ابزارهایی که برای بهره‌برداری از آسیب‌پذیری‌ها در سیستم‌های دشمن استفاده می‌شوند، می‌توانند برای شناسایی و برطرف کردن آسیب‌پذیری‌ها در شبکه‌های دوستانه نیز استفاده شوند، که به چالش تمایز میان فروشندگان مشروع و غیرمسئولانه توانایی‌های سایبری می‌افزاید.
حوادث برجسته جاسوس‌افزار تجاری
یکی از شایع‌ترین محصولات موجود در بازار جنگ‌افزارهای سایبری، جاسوس‌افزار است که اغلب برای دسترسی به داده‌های حساس از تلفن یا دستگاه دیجیتال هدف استفاده می‌شود. جاسوس‌افزار می‌تواند به ایمیل‌ها، پیام‌های متنی، تقویم، مخاطبین، عکس‌ها و هر چیز دیگری که روی صفحه نمایش داده می‌شود دسترسی پیدا کند، همچنین می‌تواند دوربین یا میکروفون دستگاه را فعال کند تا بدون اطلاع کاربر ضبط کند. جاسوس‌افزار بسیار تهاجمی است و می‌تواند برای به دست آوردن اطلاعات خطرناک یا مخرب در مورد هدف استفاده شود که ممکن است اثر بازدارنده‌ای بر روی هدف‌ها داشته باشد، از جمله بر تمایل یا توانایی مخالفان سیاسی برای اظهار نظر. با این حال، جاسوس‌افزار فقط یکی از محصولات و توانایی‌هایی است که در بازار جنگ‌افزارهای سایبری فروخته می‌شود و به هیچ وجه تنها تهدیدی نیست که جنگ‌افزارهای سایبری ایجاد می‌کنند.
دشواری‌های تنظیم جنگ‌افزارهای سایبری نیاز به همکاری بین‌المللی، بین‌بخشی دارد
جنگ‌افزارهای سایبری چالش‌های منحصر به فرد و پیچیده‌ای برای تنظیم‌کنندگان ایجاد می‌کنند که فراتر از چالش‌های مربوط به جنگ‌افزارهای سنتی است. ابتدا، هکرها بسیار متحرک هستند و می‌توانند از هر جایی کار کنند، که موانع قضایی برای به عدالت کشاندن آنها ایجاد می‌کند. اگر یک گروه جنگ‌افزاری در یک مکان بسته شود، اعضای آن می‌توانند در جایی که محدودیت‌های قانونی کم، ضعیف یا به خوبی اجرا نمی‌شوند، دوباره تشکیل شوند. به عنوان مثال، وقتی اسرائیل سعی کرد برخی از جنگ‌افزارهای سایبری در قلمرو خود را تحت فشار قرار دهد، افرادی که این عملیات‌ها را هدایت می‌کردند به کشورهایی مانند اسپانیا، قبرس، مقدونیه شمالی و ترکیه نقل مکان کردند تا از قوانین دوری کنند. بنابراین، راه‌حل‌های پایدار نیاز به همکاری بین‌المللی و استانداردسازی مقررات مربوطه در مرزها دارد.
دوم، همپوشانی قابل توجهی بین آنچه ممکن است استفاده‌های مشروع از تکنیک‌های هک و سوءاستفاده‌های واضح وجود دارد. هکرهای موسوم به "کلاه‌سفید" در بخش خصوصی ممکن است از ابزارهای تجاری برای شناسایی آسیب‌پذیری‌ها در سیستم‌های مشتری استفاده کنند تا بتوانند آنها را برطرف کنند. حتی برخی از عملیات‌های تهاجمی سایبری که توسط جنگ‌افزارها پشتیبانی می‌شوند ممکن است به عنوان نوعی مشروع از سیاست‌گذاری دولتی دیده شوند، مانند حملات سایبری در زمان جنگ که زیرساخت‌های نظامی را نابود می‌کنند، که در غیر این صورت با مهمات معمولی قانونی بوده است. کشورهای کوچک‌تر، به ویژه، ممکن است در ایجاد توانایی‌های سایبری درون خانه دچار مشکل شوند و شرکت‌های جنگ‌افزاری را به عنوان راهی برای مطابقت با توانایی‌های کشورهای قدرتمندتر ببینند. از آنجایی که بسیاری از دولت‌ها می‌خواهند از این ابزارها برای پیشبرد منافع امنیتی خود استفاده کنند، تلاش‌ها برای ایجاد حدود برای استفاده از جنگ‌افزارها و دستیابی به اجماع بین‌المللی در مورد دامنه مناسب عملیات‌های سایبری خصوصی باید واقع‌بینانه باشد درباره اینکه کدام توانایی‌های سایبری کشورها حاضر به از دست دادن آنها هستند.
سوم، در حالی که توانایی‌های نظامی سنتی به تجهیزات قابل ردیابی مانند تانک‌ها، موشک‌ها یا هواپیماها نیاز دارند، توانایی‌های هک عمدتاً مبتنی بر دانش هستند و به راحتی از دولت‌ها به شرکت‌ها قابل انتقال هستند. این امر نظارت بر گسترش توانایی‌های سایبری که کشورها در داخل توسعه می‌دهند را دشوارتر کرده و در نتیجه، توانایی بازخواست کردن کشورها از توانایی‌های مخل و مخربی که از طریق بخش خصوصی منتشر می‌کنند، را سخت‌تر می‌کند. افرادی که برای اهداف مشروع آموزش دیده‌اند ممکن است پس از ترک دولت، مهارت‌های خود را به بالاترین قیمت به فروش برسانند که برخلاف قانون یا استانداردهای اخلاقی است. برای حل این مشکل، تشدید قوانین برای جلوگیری از بازار و تقویت اقدامات پاسخگویی ممکن است لازم باشد تا از فروش مهارت‌ها و تخصص‌های کارمندان سابقی که در تکنیک‌های خطرناک سایبری آموزش دیده‌اند، به بازار جنگ‌افزارهای سایبری جلوگیری شود.
همچنین چالش‌های حقوقی و عملی برای مقابله با جنگ‌افزارهای سایبری وجود دارد. برخی از گروه‌های جنگ‌افزاری استدلال کرده‌اند که اصل حقوقی مصونیت حاکمیتی، که دولت‌ها را از شکایت محافظت می‌کند، باید به بازیگران خصوصی که به مشتریان دولتی می‌فروشند نیز تسری یابد. بسته به قوانین ملی یا بین‌المللی که اعمال می‌شوند، این بحث حقوقی طولانی ممکن است به عوامل زمینه‌ای مانند میزان دخالت شرکت‌ها در عملیات‌های سایبری، تمایل شرکت به نام بردن از دولتی که خدمات داده است، و تمایل آن دولت به تأیید ماهیت رابطه، یا دخالت اموال یا فعالیت‌های حمایت شده دولتی بستگی داشته باشد. از آنجایی که فروش خدمات جنگ‌افزارهای سایبری معمولاً به عموم افشا نمی‌شود، تفسیرهای گسترده از مصونیت مشتق شده از حاکمیتی چالش‌هایی برای پاسخگویی و نظارت ایجاد می‌کند.
تغییرات تکنولوژیکی در حوزه دیجیتالی در حال شتاب گرفتن است، از جمله از طریق ادغام هوش مصنوعی در بازار جنگ‌افزارهای سایبری. چنین تغییر سریعی اغلب فرآیند کند تصویب قوانین یا توافقات بین‌المللی را پشت سر می‌گذارد. در نهایت، از آنجایی که نرم‌افزار صرفاً متن کد رایانه‌ای است، می‌توان آن را به اجزای بی‌ضرری تجزیه کرد که از تنظیم مقررات بگریزند و سپس در جای دیگری برای اجرای تابع مخرب مجدداً مونتاژ شوند. ترکیب این عوامل، هرگونه تلاش برای تنظیم بازار جنگ‌افزارهای سایبری یا کاهش تأثیرات مخرب آن را پیچیده می‌کند.
