索尼影業(yè)受黑客攻擊事件的國際法歸因問題

石為民

（武漢大學法學院，湖北武漢 430072）

1 黑客攻擊行為的不法性

國家責任是由一國的國際不法行為或從事國際不加禁止行為而對他國造成損害引起的。2001 年《國家責任條款》（以下簡稱《條款》）第2 條對國際不法行為的構成做了明確規(guī)定，即一國以作為或不作為的方式違反其國際義務，且該行為能依照國際法歸因于該國。該條很大程度上反映了有關國家責任的習慣法，在前國際法院和國際法院的案例中得到多次確認。因“不法性”是指某個可以歸因到國家的（國家行為）違反了該國的國際義務，所以只有該黑客攻擊能夠歸因到國家（比如朝鮮），才能討論“不法性”的問題。但筆者將在后文詳細論述歸因問題，故此處先假定這起攻擊事件能夠歸因到某一國家（比如朝鮮），以闡釋這個國家（比如朝鮮）黑客攻擊行為的不法性。

違背該國的國際義務是構成國際不法行為的條件之一。2001 年《條款》第12 條規(guī)定中的“起源”一詞包含了諸多情況，如國際條約、國際習慣和國際法的一般原則，即是指國際義務所有可能的來源。所以，“違背”一詞包括了違背條約義務和非條約義務在內。就該事件來看，由于朝鮮并未簽署與網絡行動的有關條約，所以筆者將從領土完整與領土主權原則的角度闡述黑客攻擊行為的不法性。

領土主權是一國主權能力的重要方面，也是國際法下主權權利義務的基石。由于互聯(lián)網超地緣性、虛擬性、開放性的特點，使得傳統(tǒng)意義上的空間概念更加廣闊。但網絡主權不是新一代主權概念，而是原有主權在虛擬世界的延伸。《塔林手冊2.0》規(guī)則一即認為，國家主權原則適用于網絡空間。筆者同意此觀點。就本事件來說，國家有權對屬于其政府或國民在境內儲存或傳輸的數據行使主權權利，而公開索尼影業(yè)員工電子郵件、索尼高管工資和索尼未發(fā)行電影等內容，這無疑是侵犯美國國家主權的行為。因此，該黑客攻擊行為的違法性是顯而易見的。

2 歸因問題(1)

歸因是國際法的一個重要議題，也是構成國家責任的兩大條件之一。其核心問題是確定某個實體的行為能否通過歸因而被確定為“國家行為”的法律過程。負責任且無誤的歸因不僅決定了一國是否構成國際不法行為，還決定著受害國能否采取反措施予以回應。《條款》系統(tǒng)編撰了歸因規(guī)則的問題，涉及8 個條文。雖然《條款》不是條約，其能夠作為習慣國際法加以適用的效力也未得到確定，沒有國際法上的約束力。然而這些條款是由國際法委員會在5 位特別報告員的帶領下，歷經半個多世紀的時間完成的。完成之后，聯(lián)合國大會向各國推薦了這些條款。在對國際不法行為的歸因問題進行討論時，《條款》的規(guī)定在學者們的著作和各國的實踐中也得到反復援引。截止2012年，這些條款和所附評注已經被國際法院、法庭或其他機構援引了154 次。所以，在沒有具備國際法約束力的國家責任法出現之前，《條款》仍具有很強的現實意義，對我們討論國際法上的歸因問題有很強的參考價值。相對傳統(tǒng)武器攻擊而言，網絡攻擊大都是由私人行為體發(fā)起的行為，具有突然性、隱蔽性、非接觸型、不對稱性等特點，《條款》中產生于傳統(tǒng)領域的歸因規(guī)則是否同樣適用于網絡攻擊在國際法上的歸因問題？我們將如何對網絡攻擊進行歸因？《塔林手冊2.0》是集合多國學者和技術專家的智慧形成的網絡行動國際法指南，對這兩個問題做了詳細闡釋。所以筆者將結合《條款》和《塔林手冊2.0》中關于歸因規(guī)則的內容對黑客攻擊索尼影業(yè)事件中的歸因問題加以分析。

2.1 由國家本身從事網絡攻擊的歸因問題

若黑客組織“和平衛(wèi)士”的攻擊行為能被視為國家本身從事攻擊，那可能屬于以下兩種情況：

（1）國家機關的行為：“國家機關”不僅包括組成一國國家機關并以國家名義行事的所有實體（包括該國的任何領土單位的政府機關），還包括具有此種地位的人或實體。一般而言，國家的組織機構或政府代表的行為歸因于國家是不可否認的。最明顯的例子是國家機關（例如軍事或情報機構）從事的不法行為。黑客組織“和平衛(wèi)士”如果是屬于朝鮮國家機關（如備受外國詬病的“180 單位”），此次黑客攻擊就完全能歸因于朝鮮。

（2）行使政府權力要素的人或實體的行為：這里的“人或實體”主要指不屬于國家機關的各種人或實體。他們雖然不是機關，但卻可以依法由國家授權行使政府的某些權力要素。“行使政府權力要素”包含了兩層意思：一是該黑客組織經國內法（如立法、行政法令甚至合同，如果責任國（比如朝鮮）國內法有這樣的規(guī)定）授權行使政府權力要素；二是該黑客組織以被授權的身份行事。就本事件來看，“和平衛(wèi)士”并未聲稱是以某一國授權的身份來從事黑客攻擊，但如果有未公開的授權也可符合這個歸因標準，這也是實踐中更常見的情況。所以，如果有可靠證據證明“和平衛(wèi)士”有（無論是否公開）授權而從事此次黑客攻擊，也可符合該項歸因標準。

2.2 非由國家本身從事網絡攻擊的歸因問題

作為一般原則，非由國家本身從事的不法行為不歸于國家，但也不允許國家通過個人從事不法行為的同時還能逃脫法律責任，因此，在行事的人與國家之間存在某種特定關系時，這種行為應歸因于國家。《條款》第八條和第十一條對此規(guī)定了三種情況：一是私人受國家指示實施不法行為；二是第十一條規(guī)定了經國家承認并接受其為本國的行為（但受到美國指控的朝鮮明確否認其與該攻擊事件有關，所以此種情況暫不考慮）；三是私人在國家的指揮或者控制下實施不法行為。《塔林手冊2.0》規(guī)則17 對此問題也有類似的規(guī)定。

規(guī)則的適用主體。非由國家本身從事的不法行為主體包括個人和團體。對此，最常見的一種情況是：國家通過招聘或鼓動的方式，使某些在國家正式編制外的私主體作為“臨時工”或“輔助人員”。《塔林手冊2.0》對網絡行動中的非國家行為體作了詳細列明，其中明確包含“個人黑客、像Anonymous 這樣的黑客組織”，“和平衛(wèi)士”無疑是包含在當中的。

規(guī)則的適用標準。“指揮”和“控制”的認定應取決于具體事實，特別是取決于所行使的指揮或控制同所指控的特定行為之間的關系。“指揮”和“控制”必須同被指控為國際不法行為的行為之間是有關聯(lián)的。但在證明標準一直存在爭議，傳統(tǒng)領域有由國際法院主導的有效控制標準和前南國際刑事法庭主導的一般控制標準之爭。在網絡攻擊的語境下，因為網絡攻擊所具有的特點加大了適用《條款》有關歸因規(guī)則的難度，所以一些西方學者提出了用“全面控制”取代“有效控制”標準，將私人行為體從事的網絡攻擊“轉嫁”到攻擊行為發(fā)生地國，或實行“自上而下歸因”等主張，這些觀點的共同特點是放寬國際法上現有的歸因標準，降低歸因難度。但這并非解決網絡攻擊歸因問題的正確途徑。國際法在應對技術進步和社會發(fā)展的過程中，也不能忽視對于權利的保護和其本身的嚴謹性。確定網絡攻擊源頭難度高的事實不假，但也不能因此放寬歸因標準，而導致某些國家被無辜指責。《條款》中的歸因規(guī)則以及國際法院確立的“有效控制”標準，在網絡攻擊中仍能充分發(fā)揮作用。美國政府所稱黑客組織得到朝鮮“資助”，即使該項指控成立，就非國家行為體的行為而言，“資助”仍不足以達到“有效控制”的門檻。這在國際法院的判例中得到確認。

綜上，無論該事件適用何種歸因途徑，美國均需對此提供充分且有說服力的證據以證明此次攻擊是一國（比如朝鮮）國家行為，或證明該黑客組織得到一國（比如朝鮮）的授權，抑或證明此次攻擊是一國（比如朝鮮）指揮、控制的私人黑客所為。

注釋

(1)在現代國際法中，歸因不僅涉及國家，還涉及政府間國際組織等其他具有國際法律人格的實體，但因索尼影業(yè)受黑客攻擊事件的焦點在于美國職責朝鮮為責任過，所以本文只關注與國家有關的歸因問題。