索尼影業(yè)受黑客攻擊事件的國際法歸因問題

石為民

（武漢大學(xué)法學(xué)院，湖北武漢 430072）

1 黑客攻擊行為的不法性

國家責(zé)任是由一國的國際不法行為或從事國際不加禁止行為而對他國造成損害引起的。2001 年《國家責(zé)任條款》（以下簡稱《條款》）第2 條對國際不法行為的構(gòu)成做了明確規(guī)定，即一國以作為或不作為的方式違反其國際義務(wù)，且該行為能依照國際法歸因于該國。該條很大程度上反映了有關(guān)國家責(zé)任的習(xí)慣法，在前國際法院和國際法院的案例中得到多次確認。因“不法性”是指某個可以歸因到國家的（國家行為）違反了該國的國際義務(wù)，所以只有該黑客攻擊能夠歸因到國家（比如朝鮮），才能討論“不法性”的問題。但筆者將在后文詳細論述歸因問題，故此處先假定這起攻擊事件能夠歸因到某一國家（比如朝鮮），以闡釋這個國家（比如朝鮮）黑客攻擊行為的不法性。

違背該國的國際義務(wù)是構(gòu)成國際不法行為的條件之一。2001 年《條款》第12 條規(guī)定中的“起源”一詞包含了諸多情況，如國際條約、國際習(xí)慣和國際法的一般原則，即是指國際義務(wù)所有可能的來源。所以，“違背”一詞包括了違背條約義務(wù)和非條約義務(wù)在內(nèi)。就該事件來看，由于朝鮮并未簽署與網(wǎng)絡(luò)行動的有關(guān)條約，所以筆者將從領(lǐng)土完整與領(lǐng)土主權(quán)原則的角度闡述黑客攻擊行為的不法性。

領(lǐng)土主權(quán)是一國主權(quán)能力的重要方面，也是國際法下主權(quán)權(quán)利義務(wù)的基石。由于互聯(lián)網(wǎng)超地緣性、虛擬性、開放性的特點，使得傳統(tǒng)意義上的空間概念更加廣闊。但網(wǎng)絡(luò)主權(quán)不是新一代主權(quán)概念，而是原有主權(quán)在虛擬世界的延伸?！端质謨?.0》規(guī)則一即認為，國家主權(quán)原則適用于網(wǎng)絡(luò)空間。筆者同意此觀點。就本事件來說，國家有權(quán)對屬于其政府或國民在境內(nèi)儲存或傳輸?shù)臄?shù)據(jù)行使主權(quán)權(quán)利，而公開索尼影業(yè)員工電子郵件、索尼高管工資和索尼未發(fā)行電影等內(nèi)容，這無疑是侵犯美國國家主權(quán)的行為。因此，該黑客攻擊行為的違法性是顯而易見的。

2 歸因問題(1)

歸因是國際法的一個重要議題，也是構(gòu)成國家責(zé)任的兩大條件之一。其核心問題是確定某個實體的行為能否通過歸因而被確定為“國家行為”的法律過程。負責(zé)任且無誤的歸因不僅決定了一國是否構(gòu)成國際不法行為，還決定著受害國能否采取反措施予以回應(yīng)?！稐l款》系統(tǒng)編撰了歸因規(guī)則的問題，涉及8 個條文。雖然《條款》不是條約，其能夠作為習(xí)慣國際法加以適用的效力也未得到確定，沒有國際法上的約束力。然而這些條款是由國際法委員會在5 位特別報告員的帶領(lǐng)下，歷經(jīng)半個多世紀(jì)的時間完成的。完成之后，聯(lián)合國大會向各國推薦了這些條款。在對國際不法行為的歸因問題進行討論時，《條款》的規(guī)定在學(xué)者們的著作和各國的實踐中也得到反復(fù)援引。截止2012年，這些條款和所附評注已經(jīng)被國際法院、法庭或其他機構(gòu)援引了154 次。所以，在沒有具備國際法約束力的國家責(zé)任法出現(xiàn)之前，《條款》仍具有很強的現(xiàn)實意義，對我們討論國際法上的歸因問題有很強的參考價值。相對傳統(tǒng)武器攻擊而言，網(wǎng)絡(luò)攻擊大都是由私人行為體發(fā)起的行為，具有突然性、隱蔽性、非接觸型、不對稱性等特點，《條款》中產(chǎn)生于傳統(tǒng)領(lǐng)域的歸因規(guī)則是否同樣適用于網(wǎng)絡(luò)攻擊在國際法上的歸因問題？我們將如何對網(wǎng)絡(luò)攻擊進行歸因？《塔林手冊2.0》是集合多國學(xué)者和技術(shù)專家的智慧形成的網(wǎng)絡(luò)行動國際法指南，對這兩個問題做了詳細闡釋。所以筆者將結(jié)合《條款》和《塔林手冊2.0》中關(guān)于歸因規(guī)則的內(nèi)容對黑客攻擊索尼影業(yè)事件中的歸因問題加以分析。

2.1 由國家本身從事網(wǎng)絡(luò)攻擊的歸因問題

若黑客組織“和平衛(wèi)士”的攻擊行為能被視為國家本身從事攻擊，那可能屬于以下兩種情況：

（1）國家機關(guān)的行為：“國家機關(guān)”不僅包括組成一國國家機關(guān)并以國家名義行事的所有實體（包括該國的任何領(lǐng)土單位的政府機關(guān)），還包括具有此種地位的人或?qū)嶓w。一般而言，國家的組織機構(gòu)或政府代表的行為歸因于國家是不可否認的。最明顯的例子是國家機關(guān)（例如軍事或情報機構(gòu)）從事的不法行為。黑客組織“和平衛(wèi)士”如果是屬于朝鮮國家機關(guān)（如備受外國詬病的“180 單位”），此次黑客攻擊就完全能歸因于朝鮮。

（2）行使政府權(quán)力要素的人或?qū)嶓w的行為：這里的“人或?qū)嶓w”主要指不屬于國家機關(guān)的各種人或?qū)嶓w。他們雖然不是機關(guān)，但卻可以依法由國家授權(quán)行使政府的某些權(quán)力要素?！靶惺拐畽?quán)力要素”包含了兩層意思：一是該黑客組織經(jīng)國內(nèi)法（如立法、行政法令甚至合同，如果責(zé)任國（比如朝鮮）國內(nèi)法有這樣的規(guī)定）授權(quán)行使政府權(quán)力要素；二是該黑客組織以被授權(quán)的身份行事。就本事件來看，“和平衛(wèi)士”并未聲稱是以某一國授權(quán)的身份來從事黑客攻擊，但如果有未公開的授權(quán)也可符合這個歸因標(biāo)準(zhǔn)，這也是實踐中更常見的情況。所以，如果有可靠證據(jù)證明“和平衛(wèi)士”有（無論是否公開）授權(quán)而從事此次黑客攻擊，也可符合該項歸因標(biāo)準(zhǔn)。

2.2 非由國家本身從事網(wǎng)絡(luò)攻擊的歸因問題

作為一般原則，非由國家本身從事的不法行為不歸于國家，但也不允許國家通過個人從事不法行為的同時還能逃脫法律責(zé)任，因此，在行事的人與國家之間存在某種特定關(guān)系時，這種行為應(yīng)歸因于國家?！稐l款》第八條和第十一條對此規(guī)定了三種情況：一是私人受國家指示實施不法行為；二是第十一條規(guī)定了經(jīng)國家承認并接受其為本國的行為（但受到美國指控的朝鮮明確否認其與該攻擊事件有關(guān)，所以此種情況暫不考慮）；三是私人在國家的指揮或者控制下實施不法行為?！端质謨?.0》規(guī)則17 對此問題也有類似的規(guī)定。

規(guī)則的適用主體。非由國家本身從事的不法行為主體包括個人和團體。對此，最常見的一種情況是：國家通過招聘或鼓動的方式，使某些在國家正式編制外的私主體作為“臨時工”或“輔助人員”?！端质謨?.0》對網(wǎng)絡(luò)行動中的非國家行為體作了詳細列明，其中明確包含“個人黑客、像Anonymous 這樣的黑客組織”，“和平衛(wèi)士”無疑是包含在當(dāng)中的。

規(guī)則的適用標(biāo)準(zhǔn)。“指揮”和“控制”的認定應(yīng)取決于具體事實，特別是取決于所行使的指揮或控制同所指控的特定行為之間的關(guān)系?！爸笓]”和“控制”必須同被指控為國際不法行為的行為之間是有關(guān)聯(lián)的。但在證明標(biāo)準(zhǔn)一直存在爭議，傳統(tǒng)領(lǐng)域有由國際法院主導(dǎo)的有效控制標(biāo)準(zhǔn)和前南國際刑事法庭主導(dǎo)的一般控制標(biāo)準(zhǔn)之爭。在網(wǎng)絡(luò)攻擊的語境下，因為網(wǎng)絡(luò)攻擊所具有的特點加大了適用《條款》有關(guān)歸因規(guī)則的難度，所以一些西方學(xué)者提出了用“全面控制”取代“有效控制”標(biāo)準(zhǔn)，將私人行為體從事的網(wǎng)絡(luò)攻擊“轉(zhuǎn)嫁”到攻擊行為發(fā)生地國，或?qū)嵭小白陨隙職w因”等主張，這些觀點的共同特點是放寬國際法上現(xiàn)有的歸因標(biāo)準(zhǔn)，降低歸因難度。但這并非解決網(wǎng)絡(luò)攻擊歸因問題的正確途徑。國際法在應(yīng)對技術(shù)進步和社會發(fā)展的過程中，也不能忽視對于權(quán)利的保護和其本身的嚴(yán)謹性。確定網(wǎng)絡(luò)攻擊源頭難度高的事實不假，但也不能因此放寬歸因標(biāo)準(zhǔn)，而導(dǎo)致某些國家被無辜指責(zé)?！稐l款》中的歸因規(guī)則以及國際法院確立的“有效控制”標(biāo)準(zhǔn)，在網(wǎng)絡(luò)攻擊中仍能充分發(fā)揮作用。美國政府所稱黑客組織得到朝鮮“資助”，即使該項指控成立，就非國家行為體的行為而言，“資助”仍不足以達到“有效控制”的門檻。這在國際法院的判例中得到確認。

綜上，無論該事件適用何種歸因途徑，美國均需對此提供充分且有說服力的證據(jù)以證明此次攻擊是一國（比如朝鮮）國家行為，或證明該黑客組織得到一國（比如朝鮮）的授權(quán)，抑或證明此次攻擊是一國（比如朝鮮）指揮、控制的私人黑客所為。

注釋

(1)在現(xiàn)代國際法中，歸因不僅涉及國家，還涉及政府間國際組織等其他具有國際法律人格的實體，但因索尼影業(yè)受黑客攻擊事件的焦點在于美國職責(zé)朝鮮為責(zé)任過，所以本文只關(guān)注與國家有關(guān)的歸因問題。