לראשונה: ארה"ב תאפשר לחברות פרטיות לבצע מתקפות סייבר התקפיות נגד ארגוני פשיעה בינלאומיים

ב-12 באוגוסט 2026 חתם נשיא ארצות הברית דונלד טראמפ על תזכיר ביטחון לאומי הנושא את השם "הרחבת היכולות להילחם בפשיעה חוצת-גבולות המבוססת על סייבר", אשר לראשונה בתולדות ארה"ב מאפשר לחברות פרטיות מאושרות לבצע פעולות סייבר התקפיות - כולל ריגול ושיבוש מערכות - נגד ארגוני פשיעה בינלאומיים הפועלים בזירת הסייבר . מדיניות זו מהווה שינוי דרמטי בתפיסת הביטחון האמריקאית, שעד כה אסרה על המגזר הפרטי לבצע פעולות האקינג ומעתה מגייסת חברות פרטיות כמבצעות סייבר התקפיות תחת פיקוח פדרלי.

מה כוללת המדיניות

התזכיר מורה למרכז התיאום הלאומי (National Coordination Center - NCC) להקים ולנהל תוכנית שתסמיך "חברות משתתפות" לבצע "מבצעי השפעת סייבר" (Cyber Effects Operations) - מונח המתייחס לפעולות המשבשות, משתקות, משמידות או פוגעות במערכות מידע, רשתות או מידע - נגד רשתות פשע זרות הפוגעות באזרחים אמריקאים . המבצעים יכולים לכלול ריגול סמוי, כמו החדרת תוכנות ריגול לאיסוף מודיעין, וכן תקיפות הרסניות שמטרתן השמדת מידע או מערכות של הפושעים . בנוסף, התוכנית מאשרת גם "מבצעי מעקב סייבר" (Cyber Surveillance Operations) כפעילות נפרדת .

דרישות מרכזיות

התזכיר קובע מספר מנגנוני פיקוח לחברות המשתתפות :

• הפקדת ערבות בנאמנות בסך מיליון דולר - חברות משתתפות נדרשות להפקיד מיליון דולר בחשבון נאמנות, שיוחרם במקרה שהממשלה תמצא שהן הפרו את כללי התוכנית .
• אישור משותף של משרד המשפטים והמשרד לביטחון המולדת - כל מבצע דורש אישור בכתב מ"מנהלי התוכנית" המייצגים את משרד המשפטים (DOJ) ואת המשרד לביטחון המולדת (DHS) לפני ביצוע כל פעולה .
• איסור על פגיעה באזרחים אמריקאים או במערכות בארה"ב - התזכיר מורה על נהלים המונעים כל פעולה שתפגע באזרחי ארה"ב או במערכות הנמצאות בשטחה .
• סף "תוצאות קריטיות" - פעולות העלולות לגרום לאובדן חיים או לפציעה חמורה, או כאלו העולות כדי "שימוש בכוח" על פי המשפט הבינלאומי, אסורות אלא אם אושרו בנפרד .
• דיווח שנתי - מנהלי התוכנית חייבים לדווח ליועץ לביטחון המולדת ולמנהל הסייבר הלאומי בתוך 180 יום ולאחר מכן מדי שנה .
• גילוי חוזי - חברות משתתפות חייבות לחשוף בפני ה-NCC את כל ההתקשרויות החוזיות שלהן מול ארגוני הפשיעה הממוקדים .

המהפך המשפטי והמדיני

מדיניות זו מייצגת היפוך היסטורי של מדיניות הסייבר האמריקאית בת עשרות שנים. על פי חוק ההתעללות במחשבים (Computer Fraud and Abuse Act - CFAA), חברות פרטיות היו כפופות לאותן מגבלות כמו כל אדם אחר - נאסר עליהן לבצע גישה לא מורשית, האקינג או שיבוש מערכות ללא צו בית משפט . עמדת הממשל האמריקאי, שנשמרה בעקביות לאורך ממשלים שונים, הייתה שהמגזר הפרטי רשאי להגן מפני מתקפות סייבר נכנסות אך אינו רשאי לשגר או לבצע מתקפות סייבר התקפיות .

תזכיר זה מבטל איסור זה עבור קבלנים מאושרים הפועלים תחת פיקוח פדרלי, ויוצר למעשה תוכנית "האק-בק" בשליטת הממשלה המאצילה סמכויות סייבר התקפיות לחברות פרטיות . הבית הלבן הצהיר כי המדיניות מאפשרת לממשלה הפדרלית "לנצל את היכולת והחדשנות של המגזר הפרטי" כדי להילחם בפשיעת סייבר ובאיומים הפוגעים באמריקאים, כגון מתקפות כופר, הונאות פיננסיות וסחיטה מינית .

ביקורת וחששות

מבקרים הזהירו כי המדיניות צפויה לעמוד בפני אתגרים משפטיים ולהתמודד עם התנגדות מצד גורמים הטוענים כי אין לשתף חברות פרטיות בפעולות האקינג ממשלתיות . התזכיר עצמו מכיר בסיכון, ודורש מהחברות המשתתפות להחזיק בערבות כספית משמעותית העלולה להיות מוחרמת במקרה של אי-עמידה בכללים. התוכנית אינה מאשרת פעולות "האק-בק" בלתי מוגבלות - כל פעולה נותרת כפופה לאישור פדרלי - אך המבקרים מציינים כי האצלת יכולות סייבר התקפיות לגורמים פרטיים יוצרת ערוצים חדשים לשימוש לרעה ולהסלמה .