Từ lệnh trừng phạt của Mỹ đến việc một tổ chức hạ tầng số Italy phải ngừng hoạt động

Việc Autistici/Inventati (A/I) ở Italy phải ngừng hoạt động cho thấy một quyết định trừng phạt của Mỹ có thể nhanh chóng biến thành khủng hoảng hạ tầng đối với một tổ chức ở ngoài lãnh thổ Mỹ. Chỉ trong ít ngày sau quyết định ngày 26/8, tập thể công nghệ này mất các dịch vụ then chốt về thanh toán, tên miền và ngân hàng; A/I cho biết sẽ đóng các dịch vụ liên quan đến hàng chục nghìn tài khoản, trang web và kênh liên lạc. 1749

Quyết định chỉ định của Mỹ có ý nghĩa gì?

Bộ Ngoại giao và Bộ Tài chính Mỹ đã đưa A/I vào diện Specially Designated Global Terrorist (SDGT, tạm hiểu là thực thể khủng bố toàn cầu bị chỉ định đặc biệt). Chính phủ Mỹ cáo buộc tập thể đặt tại Italy này xây dựng, vận hành hạ tầng số cho các nhóm Antifa bạo lực và các phần tử cực tả khác. Đây là các cáo buộc của phía chính phủ Mỹ. 491

Hệ quả trực tiếp của quyết định là tài sản và quyền lợi tài sản thuộc thẩm quyền tài phán của Mỹ bị phong tỏa; công dân và tổ chức Mỹ nói chung bị cấm giao dịch với thực thể bị chỉ định. 49

Tuy nhiên, ảnh hưởng trên thực tế không dừng ở tài sản tại Mỹ. Với những doanh nghiệp có hoạt động, hệ thống thanh toán hoặc rủi ro pháp lý gắn với thị trường tài chính Mỹ, việc tiếp tục cung cấp dịch vụ có thể trở thành vấn đề tuân thủ đáng ngại.

Chuỗi đứt gãy: PayPal, DNS và ngân hàng

Ba mắt xích đã có vai trò quyết định:

• Thanh toán: Tài khoản PayPal của A/I bị đình chỉ, làm gián đoạn một kênh nhận quyên góp. 2454
• Tên miền: Public Interest Registry (PIR), đơn vị đặt tại Mỹ vận hành sổ đăng ký tên miền .org, đưa autistici.org vào trạng thái serverHold. Reuters cho biết tên miền không thể truy cập hai ngày sau quyết định chỉ định; thông báo kỹ thuật của A/I cũng xác định đây là lệnh giữ ở cấp registry. 1731
• Ngân hàng: Banca Etica cho biết đã tạm dừng hoạt động trên tài khoản của hiệp hội sau khi A/I bị OFAC — cơ quan kiểm soát tài sản nước ngoài thuộc Bộ Tài chính Mỹ — đưa vào danh sách, đồng thời nâng mức rủi ro của tài khoản. Reuters sau đó đưa tin tài khoản đã bị đóng. 2217

Sự cố tên miền là điểm đáng chú ý nhất về mặt kỹ thuật. Trạng thái serverHold được áp dụng ở cấp sổ đăng ký tên miền, có thể khiến tên miền không phân giải trên Internet công cộng. Điều đó đồng nghĩa website và dịch vụ email có thể trở nên không thể truy cập, dù các máy chủ vật lý đặt ngoài Mỹ. Trong trường hợp này, quyền kiểm soát registry có thể quan trọng không kém quyền kiểm soát máy chủ. 1731

Vì sao A/I nói phải đóng dịch vụ?

A/I cho biết sẽ ngừng dịch vụ sau khi mất tên miền và tài khoản ngân hàng. Theo Reuters, việc đóng cửa ảnh hưởng khoảng 16.000 hộp thư điện tử, 1.500 website, 5.500 danh sách thư và 10.000 blog. 17

Đây không đơn thuần là một đợt gián đoạn dịch vụ lưu trữ web. Mất tên miền chính khiến việc duy trì các dịch vụ công khai và quản trị hệ thống trở nên khó khăn; mất kênh thanh toán và ngân hàng lại hạn chế năng lực vận hành. Yếu tố lớn hơn là rủi ro: khi một tổ chức bị chỉ định, các nhà cung cấp và đối tác có thể chủ động cắt quan hệ để tránh nguy cơ vi phạm hoặc bị liên đới bởi các biện pháp trừng phạt.

Vì vậy, khả năng tồn tại của một dịch vụ số không chỉ phụ thuộc vào nơi đặt máy chủ. Nó còn phụ thuộc vào các đơn vị nắm những điểm then chốt của hệ thống: tên miền, cổng thanh toán, tài khoản ngân hàng và các dịch vụ trung gian khác.

Vì sao các tổ chức bảo vệ quyền số lo ngại về tiền lệ này?

European Digital Rights (EDRi) nhận định quyết định này là một đòn đánh vào hạ tầng Internet độc lập, liên lạc an toàn và các quyền cơ bản. Theo EDRi, một biện pháp đơn phương của Mỹ có thể tạo ra hệ quả vận hành thực tế với một tổ chức phi lợi nhuận ở châu Âu thông qua các dịch vụ tập trung như registry tên miền, nhà cung cấp thanh toán và ngân hàng. 28

Điều đó không có nghĩa mọi nhà cung cấp tại châu Âu đều bị buộc về mặt pháp lý phải ngắt dịch vụ đối với một thực thể bị Mỹ chỉ định. Nhưng vụ việc cho thấy các quyết định tuân thủ dựa trên đánh giá rủi ro có thể nhanh chóng dẫn tới cùng kết quả: dịch vụ bị cắt. Với các dự án lưu trữ độc lập, bài học là phân tán máy chủ vẫn chưa đủ để loại bỏ sự phụ thuộc vào tên miền, tài chính và các trung gian tập trung.

Quy chế Chống phong tỏa của EU có thể giúp gì?

EDRi đề nghị EU xem xét phản ứng dựa trên Quy chế Chống phong tỏa — Council Regulation (EC) No. 2271/96. Quy chế này nhằm đối phó với tác động ngoài lãnh thổ của một số luật và biện pháp từ nước thứ ba được liệt kê trong phụ lục của quy chế. Trong những trường hợp thuộc phạm vi đó, quy chế có thể cấm các chủ thể EU tuân thủ nếu không được Ủy ban châu Âu cho phép, hạn chế việc công nhận một số quyết định nước ngoài tại EU và mở đường cho việc đòi bồi thường thiệt hại. 3439

Dù vậy, đây không phải công cụ tự động vô hiệu hóa mọi lệnh trừng phạt của Mỹ. Việc áp dụng phụ thuộc vào việc biện pháp nước ngoài liên quan có nằm trong phụ lục của quy chế hay không, cũng như các tình tiết của từng nhà cung cấp và giao dịch cụ thể. Các tài liệu hiện có ủng hộ lời kêu gọi của EDRi về việc cần giám sát và hành động, nhưng không chứng minh rằng quy chế này tự động buộc một ngân hàng, registry hay công ty thanh toán cụ thể phải tiếp tục phục vụ A/I. 3438

Bài học còn lại

Trường hợp A/I cho thấy trừng phạt có thể tác động đến một tổ chức số thông qua những phụ thuộc dễ bị bỏ qua: một cổng thanh toán, một tài khoản ngân hàng, hay registry quản lý tên miền cấp cao nhất. Với các nhà hoạch định chính sách và đơn vị vận hành hạ tầng ở châu Âu, câu hỏi không chỉ là dữ liệu được đặt ở đâu, mà còn là tổ chức nào có thể khiến một dịch vụ trở nên không thể truy cập hoặc không thể duy trì về tài chính sau một quyết định trừng phạt từ nước ngoài.