网络安全法视角下勒索病毒WannaCry 对网络安全的影响

黄秋雨 赵帅

（浙江工商大学，浙江杭州 310016）

1 黑客全球化——WannaCry 带来的全球危机

互联网技术的发展催生了黑客的诞生与发展，作为擅长使用IT 技术的人群，黑客也开始以“无名之人” 的身份进入到网络世界中。2020 年，黑客几乎遍布全球每个角落。在黑客全球化的时代，黑客拥有新型且大量的机会施展拳脚，而他们所需的不过是互联网连接。

2017 年，WannaCry 和NotPetya 两类勒索病毒对国际社会造成了异常惨重的损失。WannaCry 是一种“蠕虫式”的勒索病毒软件，黑客利用NSA 泄露的危险漏洞“永恒之蓝”进行传播，使得计算机被感染和大量文件被加密。五个小时内，全世界至少150 个国家、30 万名用户的网络系统受到攻击，造成损失达80 亿美元，已经影响到多个行业，造成严重的危机管理问题。中国大量实验室数据、高校数据等被锁定加密，部分大型企业的应用系统和数据库文件被加密后无法正常工作。遭遇的勒索性攻击并非意外，而是源自严重的漏洞，使得这场全球危机波及范围变广、影响程度加深。在全世界范围来看，随着越来越多的关键业务系统连接到互联网，勒索病毒肆虐是一场全球性互联网灾难，给广大电脑用户造成了巨大损失。

2 用法律追踪黑客踪迹

若想真正认清黑客的面貌，需要从网络安全心理学来分析其性格特征、能力及发展历程。社会公众对于黑客的认知存有刻板印象的成分，黑客常被认为是孤独和精神分裂的，而这样的刻板印象导致我们对黑客的认知常常停留在表面。目前黑客人格可分为三种类型，一是固执型人格，部分偏执型黑客还有反社会倾向，坚持做自己价值观所允许做的事。二是孤独型人格，孤独型黑客较为普遍，沉迷于技术，在现实世界中内心充满自卑，强烈渴望在虚拟世界中，自身价值能得到充分的肯定。在《我是谁：没有绝对安全的系统》中，MRX 就是一个典型的孤独型人格黑客，MRX 有三条条规，没有绝对安全的系统；敢做就能赢；在虚拟空间及聚会空间享受乐趣。三是外显型人格。该类型的黑客容易过度情绪化，希望利用技术在网络世界掀起波澜，为达目的不计后果。

黑客操纵系统就像表演魔术，这种魔术被称为“社会工程戏法”。最高境界的黑客可以研究系统的溢出与漏洞，他们有能力发现所有操作系统潜在的漏洞，能根据这些漏洞编译出可执行文件，批量入侵服务器。黑客违法犯罪具有复杂性、专业性，其在黑产链条中的作用越来越明显，技术含量高，作案手法新。随着网络犯罪形势不断发展，黑客犯罪和黑色产业结合越来越紧密，其发展可归为三个阶段。第一个阶段是黑客工具型犯罪，利用黑客作为犯罪手段或者工具，使其被动进入产业链。第二阶段中，黑客核心型犯罪，黑客攻击手段对黑色产业起到了关键作用，呈产业化发展趋势。第三个阶段是黑客主导型犯罪，黑客由被动变成主动，主导了产业链作案思路。WannaCry 作为第二阶段向第三阶段的过渡带，触犯了我国《网络安全法》多款规定，涉及对非法侵入他人网络、收集他人信息、非法提供他人信息、利用互联网实施诈骗行为的规定。

黑客犯罪作为高科技犯罪，与技术发展联系紧密，如物联网犯罪、人工智能犯罪等。智能汽车或者家用电器接入互联网以后，可能就会被人通过计算机进行控制。《网络安全法》主要规制了境内网络运营者、服务提供者等的责任，但没有注意到网络运营者具体的分类不同会对其所应承担的责任产生影响，以及忽略了境内外其他新型网络服务提供者的出现。

《网络安全法》对网络安全的保障责任进行了概括式的立法，指导性条文多于规制性条文。而基于黑客的全球化、多样化，立法宜新宜专门化，避免因法律的滞后性、粗疏性使黑客行为完全进入灰色空间而无法受到有效规制。《网络安全法》第一条明确其目的是“保障网络安全，维护网络空间主权和国家安全、社会公共利益，保护公民、法人和其他组织的合法权益，促进经济社会信息化健康发展”。网络安全立法并非一蹴而就，需要在长期的网络发展中，评估各类侵犯网络安全秩序的影响力，使其在规制黑客行为方面能符合现实需要，必要时成为有牙齿的法律，充分发挥法效果。习近平总书记也曾指出，“没有网络安全就没有国家安全。”黑客犯罪破坏的是网络安全，执法机关应该予以重点打击，责无旁贷，但同时也应该看到，单纯的打击不能彻底解决问题，不仅需要防治结合，更需要全社会共抓、共管、共治。

3 建议：人类才是系统中最大的漏洞

提升网络安全维稳水平，加快技术发展。今天，安全专家比以往任何时候都更需要进入黑客的思想、方法和工具箱，以成功地阻止这种无情的攻击。[1]如何从根源上解决黑客问题，首先要着眼于技术问题。“控制的未来是：伙伴关系、协同控制、人机混合控制。所有的这一切都意味着创造者必须和他的创造物一起共享控制权，而且要共呼吸同命运。”[2]网络维稳要学会利用伙伴关系，构建网络安全专家与黑客之间的信息交互，构建人与技术之间的互相学习。

公民在使用网络时，应提高风险意识，定期修复系统漏洞，并更新防火墙。通过构建相应的模型和研究技术特征，针对特征研究出个人、网络运营商和互联网安全企业三位一体的控制策略，[3]使互联网犯罪的难度提高从而控制犯罪。尽量在问题恶化之前，解决处理问题，正如贝卡利亚所说，“预防犯罪比惩罚犯罪更为高明”[4]。一个以防御为主的安全系统有赖于全面整合的技术，整合方案将有助防御者更清楚地掌握网络内部的情况，让网络可视化成为流量数据的监控和虚拟世界的摄像头，在虚拟世界设置“天眼”系统，使得信息必留痕，实现网络可溯源。

“这是最好的时代，也是最坏的时代。”[5]一方面，信息社会无疑是迄今为止人类文明史上最好的社会，它是智能的、精细的和人性化的。但是另一方面，信息技术发展将给我们带来空前的挑战。如何对待黑客技术的发展，如何帮助黑客转型更好地适应社会发展的需求，这都是信息社会发展过程中不可避免且亟待解决的问题。人类天生就有一种探索周围环境的内在动力。[6]真正的黑客拥有自己独立的认知，并以独有的方式推动了互联网的发展与进步。在技术层面，黑客参与了互联网最初的建设，通过共享社区分享对网络的想法。黑客在与网络安全专家博弈的过程中，也在某种程度上直接促进了互联网安全的发展，使互联网的安全体系更加科学完善，互联网安全的防护技术更加先进。[7]在经历规制思维转变的过程之后，我们可以发现，“黑客向善”正在逐渐为大众接受。万物互联，人人相通。通过对黑客心理和行为的指引，越来越多的“黑帽”黑客可以成为对网络安全有益的“白帽黑客”，可以成为信息社会健康发展的催化剂。

较于程序和技术系统，人类或许才是最大的安全漏洞，人类最大的漏洞在于“每个人只会看见自己愿意看见的东西”，却对应该看见的视而不见。在瞬息万变的信息社会，我们需要保持危机意识，学会未雨绸缪。我们需要从正反两方面仔细观察、深入分析、全面评估信息技术现实适用情况及未来发展局面，从《网络安全法》的角度，思考如何通过制度和思想的进步应对新一代勒索病毒，让科技之光与理性之光交相辉映，大放异彩，终会有一个美妙的结果。