受害者有罪？打击网络犯罪的方式需要改变

勒索软件与几乎所有类型的犯罪（无论是现实犯罪还是网络犯罪）都遵循相同的模式。只要回报丰厚、后果风险小，且无需高度专业的技能，犯罪率就会持续上升。

然而，尽管企业被敦促改善其安全态势，并且因不遵守网络安全法规而面临巨额罚款，但我们忽略了一个基本事实——即使是最好的防御策略，也无法杜绝所有网络犯罪。

由于无法实现100%的保护，保护的责任不能完全落在受害者身上。我们需要从根本上改变应对网络犯罪的方式，将其视为一种严重的犯罪活动，而不是继续指责那些受害者。

犯罪方程式依然不变

犯罪就是犯罪，无论它发生在现实世界还是网络空间。每年，网络犯罪都在增加，而且在我们解决根本驱动因素之前，这种情况还会持续。理解犯罪发生的原因至关重要——机会、动机以及认为自己可以逃脱惩罚的想法。

一般来说，打击犯罪的最佳方法是加大犯罪得逞的难度，并让犯罪者承担严重后果。想想我们是如何保护有形资产的：英格兰银行的金库几乎坚不可摧，因为里面存放着我们最宝贵的黄金储备。

当地银行拥有广泛的安保系统和警报协议。就连加油站都安装了摄像头并采取了基本的安保措施。保护力度与所保护物品的价值相称，关键是，对那些企图盗窃的人会有切实的惩罚——最严重的罪行将被判处无期徒刑。

然而，在网络空间中，任何地方都能访问任何信息。与英格兰银行的金库不同，我们可以将黄金藏在坚不可摧的堡垒中，但大多数商业数据必须每周7天、每天24小时提供给无数利益相关者，如员工、客户、顾问和第三方供应商。这就产生了一种内在的脆弱性，使得完美的保护无法实现。

向勒索软件和匿名支付的转变

网络犯罪格局发生了重大变化。多年前，大多数网络犯罪主要集中在窃取金融数据上，如信用卡号、银行账户信息和身份盗窃。

虽然这种情况仍有发生，但现在已经出现了向勒索软件的重大转变，这是因为对数据进行加密并索要赎金，远比花时间为信用卡号码寻找买家要容易得多。

这种转变是由加密货币推动的。有史以来第一次，犯罪分子可以在世界任何地方、任何时间收到以匿名货币支付的款项，并将其兑换成英镑、欧元或美元。

此前，犯罪分子不得不亲自收取款项，或将资金转移到可追踪的银行账户。如今，他们可以匿名操作，同时轻松地将不义之财转化为真金白银。

如果犯罪分子无法将加密货币转换为真实货币，加密货币的价值将几乎归零，或者只能停留在以物易物的体系。匿名将攻击变现的能力从根本上改变了网络犯罪分子对风险回报的考量，也让执法部门最有力的工具之一——“追踪资金流向”——失效。

司法管辖权挑战

促成网络犯罪的第二个主要因素是管辖权。许多网络犯罪分子在西方政府无法采取追索行动的国家开展活动。如果一个勒索软件攻击者的据点在爱尔兰，并且攻击了一家美国公司，（美国）当局会发出引渡请求，而爱尔兰很可能会予以配合。

然而，当这些犯罪分子在不合作的司法管辖区开展活动时，他们会发现自己的活动得到容忍，甚至得到默许支持。

“我们实际上是在指责受害者被抢劫，还指望能通过监管让每一家企业都成为坚不可摧的堡垒。”

这两个因素——匿名支付系统和避风港——代表了网络犯罪方程式中的要素，单个企业根本无法独自解决。企业只能努力增加犯罪分子入侵其系统的难度，但这种方法存在固有局限性。

将网络犯罪视为现实犯罪

这就是为什么我们迫切需要作为一个社会来真正讨论打击网络犯罪的问题。

第一步关键举措是将网络犯罪视为普通犯罪，尤其是在其涉及金融的方面。目前，我们实际上是在指责受害者遭抢劫，同时寄希望于通过监管，让每一家企业都成为坚不可摧的堡垒。

当有人遭遇抢劫时，警方会出手相助，帮助找回被盗财物并调查犯罪行为。而对于网络犯罪，受害者却面临指责、罚款、声誉受损和保险费增加等问题。每起事件引发的都是对受害者未采取行动的质疑，而非对其遭遇犯罪行为的认可。

这种指责受害者的做法必须改变。尽管面临巨大威胁，我们仍然将全部责任推给那些受影响的人，而不是将网络犯罪分子视为真正的罪犯。

未来可能的路径

解决网络犯罪问题需要公私部门建立全面的合作伙伴关系，该合作关系包含三个关键要素：

首先，停止指责受害者。我们需要政府和社会认识到，网络攻击是针对企业和个人的犯罪行为，而不仅仅是这些组织未能充分保护自身的问题。许多西方国家已经加大了打击网络犯罪的警力投入，但鉴于挑战的规模，这些投入普遍严重不足。

其次，解决匿名支付系统的问题。这并非一个容易解决的问题，因为各国政府已对新的税收来源产生依赖。政府必须找到追踪和监管加密货币如何转换为真实货币的方法。在我们能够追踪资金流向之前，犯罪分子将继续逍遥法外。

第三，引入实际后果。对犯罪行为的头号威慑是害怕被抓获和受到惩罚。由于互联网可实现全天候、任何地点的访问，这种威慑力已不复存在，犯罪分子能够在一些根本不在乎的国家逍遥法外。我们需要引渡网络犯罪分子、对其提起刑事指控并让他们承担严重后果。这就需要对庇护这些人的国家施加政治压力，可能包括对不合作国家限制互联网连接。虽然这些措施很严厉，但它们可以迫使各国政府重新审视对网络犯罪活动的容忍度。

监管的局限性

从《通用数据保护条例》（GDPR）到《健康保险流通与责任法案》（HIPAA），各种以网络安全为重点的法规现已实施。但这些法规真的有助于减少数据泄露事件吗？

这些法规中最新的一条于2018年出台，但自那以后的七年里，网络犯罪仍在持续增加：2023年，英国信息专员办公室（ICO）报告了3285起网络事件，比2022年增加了52%。2024年，50%的英国企业报告遭遇过网络攻击，高于2022年的39%。

仅靠合规规定无法解决根本问题——它们可能带来一定程度的改善，并且通常被用作一种工具，让社会觉得“正在采取行动”。

这并不意味着合规要求不是解决方案的关键部分。关键在于，要将这些要求与资金充足的网络执法相结合，赋予执法部门所需的工具，以便跨辖区将犯罪分子绳之以法。

网络犯罪已成为全球企业和消费者的沉重负担，其影响亟待消除。以安全带为例。法律规定我们开车时必须系安全带，但道路安全真正得到改善，是在政府同时改善道路状况、警方加大对超速行为的执法力度，并且人们都系好安全带的情况下。

我们不能仅靠防御措施来解决问题。真正的进步需要认识到网络犯罪就是犯罪，将受害者视为受害者而非失败者，并进行系统性变革以破坏犯罪生态系统。