มาตรการคว่ำบาตรสหรัฐฯ ทำไมจึงปิดบริการ Autistici/Inventati ของอิตาลีได้

การปิดตัวของ Autistici/Inventati (A/I) แสดงให้เห็นว่า การขึ้นบัญชีคว่ำบาตรของสหรัฐฯ สามารถกลายเป็นวิกฤตด้านโครงสร้างพื้นฐานดิจิทัลในต่างประเทศได้อย่างรวดเร็ว ภายในไม่กี่วันหลังการขึ้นบัญชีเมื่อวันที่ 26 สิงหาคม กลุ่มเทคโนโลยีจากอิตาลีแห่งนี้สูญเสียช่องทางสำคัญทั้งด้านการเงินและโดเมน ก่อนระบุว่าจะยุติบริการที่กระทบบัญชีผู้ใช้และเว็บไซต์รวมหลายหมื่นรายการ 1749

การขึ้นบัญชีของสหรัฐฯ มีผลอย่างไร

กระทรวงการต่างประเทศและกระทรวงการคลังสหรัฐฯ ประกาศขึ้นบัญชี A/I เป็น Specially Designated Global Terrorist (SDGT) โดยกล่าวหาว่ากลุ่มในอิตาลีนี้สร้างและดูแลโครงสร้างพื้นฐานดิจิทัลให้เซลล์ Antifa ที่ใช้ความรุนแรงและกลุ่มติดอาวุธฝ่ายซ้ายจัดอื่น ๆ ข้อกล่าวหาดังกล่าวเป็นจุดยืนของรัฐบาลสหรัฐฯ 491

ผลของสถานะนี้คือทรัพย์สินที่อยู่ภายใต้เขตอำนาจสหรัฐฯ ถูกอายัด และโดยทั่วไปบุคคลหรือธุรกิจสหรัฐฯ ถูกห้ามทำธุรกรรมกับหน่วยงานที่ถูกขึ้นบัญชี 49 แต่ผลกระทบในทางปฏิบัติไม่ได้จำกัดอยู่แค่ทรัพย์สินในสหรัฐฯ เพราะบริษัทที่พึ่งพาระบบชำระเงินหรือระบบการเงินของสหรัฐฯ อาจมองว่าการให้บริการต่อไปมีความเสี่ยงด้านการปฏิบัติตามมาตรการคว่ำบาตร

ผลกระทบลุกลามผ่าน 3 จุดคอขวด

A/I สูญเสียช่องทางสำคัญสามด้าน ได้แก่

• การรับชำระเงิน: บัญชี PayPal ของ A/I ถูกระงับ ส่งผลให้ช่องทางรับเงินบริจาคใช้การไม่ได้ 2454
• ชื่อโดเมน: Public Interest Registry (PIR) ผู้ดำเนินการรีจิสทรี .org ซึ่งตั้งอยู่ในสหรัฐฯ ปรับ autistici.org เป็นสถานะ serverHold ทำให้โดเมนเข้าไม่ถึง โดย Reuters รายงานว่าเกิดขึ้นสองวันหลังการขึ้นบัญชี และประกาศทางเทคนิคของ A/I ก็ระบุถึงการพักโดเมนในระดับรีจิสทรีเช่นกัน 1731
• บริการธนาคาร: Banca Etica ระบุว่าได้ระงับการทำธุรกรรมในบัญชีของสมาคมเป็นการชั่วคราวหลัง A/I ถูกขึ้นบัญชีโดย OFAC และปรับระดับความเสี่ยงของบัญชีขึ้น ต่อมา Reuters รายงานว่าบัญชีดังกล่าวถูกปิด 2217

ประเด็นของ serverHold มีนัยสำคัญเป็นพิเศษ เพราะเป็นสถานะที่ระดับรีจิสทรี ซึ่งอาจทำให้โดเมนไม่สามารถแปลงชื่อไปยังปลายทางบนอินเทอร์เน็ตสาธารณะได้ ไม่ว่าเว็บหรือเมลเซิร์ฟเวอร์ที่อยู่เบื้องหลังจะตั้งอยู่ที่ใดก็ตาม กล่าวอีกนัยหนึ่ง การควบคุมรีจิสทรีโดเมนอาจมีผลไม่ต่างจากการควบคุมเซิร์ฟเวอร์ 1731

เหตุใด A/I จึงตัดสินใจปิดบริการ

A/I ระบุว่าจะยุติบริการหลังสูญเสียโดเมนหลักและบัญชีธนาคาร การปิดตัวนี้ส่งผลต่อกล่องจดหมายอีเมลประมาณ 16,000 บัญชี เว็บไซต์ 1,500 แห่ง เมลลิงลิสต์ 5,500 รายการ และบล็อก 10,000 แห่ง 17

นี่จึงไม่ใช่เพียงเหตุขัดข้องของผู้ให้บริการโฮสติ้ง การไม่มีโดเมนหลักทำให้การเข้าถึงบริการสาธารณะและการบริหารจัดการยากขึ้น ขณะที่การขาดช่องทางรับเงินและบริการธนาคารก็บั่นทอนการดำเนินงานโดยตรง ปัจจัยสำคัญอีกด้านคือความเสี่ยง: เมื่อองค์กรถูกขึ้นบัญชี ผู้ให้บริการและคู่สัญญาอาจเลือกตัดความสัมพันธ์เพื่อหลีกเลี่ยงความเสี่ยงจากมาตรการคว่ำบาตร แทนที่จะประเมินข้อกฎหมายของแต่ละธุรกรรมด้วยตนเอง

กรณีนี้จึงสะท้อนว่า ความอยู่รอดของบริการดิจิทัลไม่ได้ขึ้นกับที่ตั้งของเซิร์ฟเวอร์เท่านั้น แต่ยังขึ้นกับนโยบายและความเสี่ยงทางกฎหมายของผู้ให้บริการในจุดสำคัญของระบบด้วย

เหตุใด EDRi จึงมองว่าเป็นบรรทัดฐานที่น่ากังวล

European Digital Rights (EDRi) เครือข่ายองค์กรสิทธิดิจิทัลในยุโรป ระบุว่าการขึ้นบัญชีดังกล่าวเป็นการโจมตีโครงสร้างพื้นฐานอินเทอร์เน็ตอิสระ การสื่อสารที่ปลอดภัย และสิทธิขั้นพื้นฐาน ความกังวลของ EDRi คือมาตรการฝ่ายเดียวจากสหรัฐฯ อาจก่อผลในทางปฏิบัติต่อองค์กรไม่แสวงกำไรในยุโรป ผ่านบริการที่รวมศูนย์ เช่น รีจิสทรีโดเมน ผู้ให้บริการชำระเงิน และธนาคาร 28

อย่างไรก็ดี ข้อเท็จจริงนี้ไม่ได้หมายความว่าผู้ให้บริการทุกรายในยุโรปมีหน้าที่ตามกฎหมายต้องตัดบริการแก่องค์กรที่ถูกสหรัฐฯ ขึ้นบัญชี แต่แสดงให้เห็นว่าการตัดสินใจเพื่อบริหารความเสี่ยงสามารถก่อผลลัพธ์เช่นเดียวกับการถูกบังคับได้รวดเร็วเพียงใด สำหรับโครงการโฮสติ้งอิสระ บทเรียนคือการกระจายเซิร์ฟเวอร์ไม่ได้ขจัดการพึ่งพาตัวกลางแบบรวมศูนย์ ทั้งโดเมน การเงิน และบริการพื้นฐานอื่น ๆ

EU Blocking Statute ช่วยได้หรือไม่

EDRi เรียกร้องให้สหภาพยุโรปตอบสนองโดยอาศัย Blocking Statute หรือระเบียบสภายุโรป (EC) เลขที่ 2271/96 กฎหมายนี้ออกแบบมาเพื่อต่อต้านผลของกฎหมายและมาตรการนอกอาณาเขตของประเทศที่สามที่ระบุไว้ในภาคผนวก สำหรับมาตรการที่อยู่ในขอบเขต กฎหมายอาจห้ามผู้ประกอบการในสหภาพยุโรปปฏิบัติตามโดยไม่ได้รับอนุญาตจากคณะกรรมาธิการยุโรป จำกัดการยอมรับคำตัดสินจากต่างประเทศบางประเภทในสหภาพยุโรป และเปิดทางให้เรียกคืนความเสียหายได้ 3439

แต่ Blocking Statute ไม่ได้ลบล้างมาตรการคว่ำบาตรของสหรัฐฯ ทุกกรณีโดยอัตโนมัติ การจะใช้ได้หรือไม่ขึ้นอยู่กับว่ามาตรการต่างประเทศที่เกี่ยวข้องอยู่ในภาคผนวกของกฎหมายหรือไม่ รวมถึงข้อเท็จจริงเฉพาะของผู้ให้บริการและธุรกรรมนั้น ๆ ข้อมูลที่มีสนับสนุนข้อเรียกร้องเชิงนโยบายของ EDRi ให้มีการตรวจสอบและดำเนินการ แต่ยังไม่เพียงพอจะสรุปว่ากฎหมายดังกล่าวบังคับให้ธนาคาร รีจิสทรี หรือผู้ให้บริการชำระเงินรายใดต้องคงบริการให้ A/I 3438

บทเรียนระยะยาว

กรณี A/I ชี้ให้เห็นว่า มาตรการคว่ำบาตรอาจเข้าถึงองค์กรดิจิทัลผ่านสิ่งที่มักถูกมองข้าม ได้แก่ ผู้ประมวลผลการชำระเงิน บัญชีธนาคาร และรีจิสทรีโดเมนระดับบนสุด คำถามสำหรับผู้กำหนดนโยบายและผู้ให้บริการโครงสร้างพื้นฐานในยุโรปจึงไม่ใช่แค่ว่าเก็บข้อมูลไว้ที่ไหน แต่คือสถาบันใดบ้างที่สามารถทำให้องค์กรหนึ่งเข้าไม่ถึงผู้ใช้ หรือไม่อาจดำเนินงานทางการเงินต่อไปได้ เมื่อมีคำสั่งคว่ำบาตรจากต่างประเทศ