网络犯罪猖獗，美国必须行动了
加油站里焦急的司机排起长队，希望赶在油卖光之前加上油，这一场景无疑预示着经济遭逢困境。
20世纪70年代，由于经历了长达数月的石油禁运，输气管道变成美国生活中非常普遍的特征，而2012年美国东北部地区“油荒”的罪魁祸首则是飓风桑迪（Hurricane Sandy）。不过此前这类事件均因为地缘政治僵局和历史性自然灾害而引发，今年夏天的燃油短缺则是因为勒索软件攻击。当时，黑客劫持了科洛尼尔管道运输公司（Colonial Pipeline）的数据和网络，迫使该公司支付赎金。尽管此后加油站排起的长队只是短期现象，但随之而来的价格和供应问题让人们清醒地意识到，网络攻击对经济造成的风险巨大，并且呈现出不断扩大的趋势。
2020年，勒索软件加密货币支付金额超过4亿美元，是2019年的四倍多，这还只是网络攻击造成经济损失的一小部分。网络罪犯和勒索软件行为者越来越擅长利用技术创新，为违法犯罪寻找安全匿名的支付方式。要想加以阻止，需要新式协调的战略，要结合公共和私营部门资源。这是保护经济和国家安全，避免受到网络犯罪和勒索软件攻击的唯一途径。
美国政府已经将该战略的要素付诸行动。今年5月，美国总统乔·拜登签署了一项行政命令，消除了共享网络事件相关信息的障碍，加强了联邦政府的网络安全，并改善了软件供应链的安全性。联邦政府正在就该问题与其他国家积极接触。各项努力中包括通过G7网络专家组（G7 Cyber Expert Group）和其他国际论坛解决网络攻击造成的全球风险，也意味着对纵容恶意网络活动的国家采取坚定立场。正如今年早些时候拜登总统提到的：将采取“任何必要行动”，避免经济和基础设施遭受袭击。
这就是为何在9月下旬，美国财政部（Treasury Department）宣布采取新行动，打击利用勒索软件攻击企业的网络犯罪。首先，美国财政部对虚拟货币交易所Suex实施制裁，因为Suex为至少8种勒索软件变体的非法收益提供便利。Suex的交易所对犯罪分子从勒索软件攻击中赚取利润至关重要。被制裁后，Suex无法与美国公司和个人开展业务，也无法加入全球经济交流中心的美国金融体系。这一行动充分显示，美国决意揭露并破坏网络攻击中使用的非法基础设施。
其次，美国财政部正在更新2020年勒索软件指南，以进一步支持并保护与执法部门共享信息的勒索软件受害者。新指南体现了美国财政部的观点，即政府和行业合作并共享相关信息以阻止网络攻击，必要时对网络攻击采取补救行动，就能够最大程度地保护经济。
我们深知，在涉及网络安全时，最好的进攻就是良好的防御。美国的很多关键基础设施，例如公用事业公司、管道、铁路和医院，均属于私营。相关公司和其他公司都要果断采取行动，加强网络防御，预防网络攻击。这意味着网络安全水平要达到最高标准，并要求可以访问其网络和数据的第三方服务提供商达到同样的高标准。
私营领域里的多家公司已经宣称将遵守承诺。最近的一项旅行者风险指数（Travelers Risk Index）调查中提到，网络风险是各种规模公司最关心的问题。相关担心也在推动行动。今年8月在拜登总统牵头的一场会议上，亚马逊（Amazon）、苹果（Apple）、谷歌（Google）、IBM和微软（Microsoft）等几家科技公司承诺在供应链安全方面发挥领导作用，投资网络安全培训，提供先进的安全解决方案，运营中进一步整合网络安全。
最后，必须将网络攻击可能造成的经济损失当成金融体系的风险。银行和保险提供商等金融公司决策时，也要考虑网络风险。相关公司必须让客户、投保人和交易对手采取谨慎举措，贯彻网络安全标准。
我们并不是期望私营部门自行解决网络攻击和勒索软件问题。当公共和私营部门共同努力解决最大挑战时，经济运行最为顺当。通过密切合作、关键信息共享并开发合作解决方案，就能够维护经济稳定并促进经济安全增长。（财富中文网）
沃利·阿德耶莫是美国财政部副部长。
译者：冯丰
审校：夏林
加油站里焦急的司机排起长队，希望赶在油卖光之前加上油，这一场景无疑预示着经济遭逢困境。
20世纪70年代，由于经历了长达数月的石油禁运，输气管道变成美国生活中非常普遍的特征，而2012年美国东北部地区“油荒”的罪魁祸首则是飓风桑迪（Hurricane Sandy）。不过此前这类事件均因为地缘政治僵局和历史性自然灾害而引发，今年夏天的燃油短缺则是因为勒索软件攻击。当时，黑客劫持了科洛尼尔管道运输公司（Colonial Pipeline）的数据和网络，迫使该公司支付赎金。尽管此后加油站排起的长队只是短期现象，但随之而来的价格和供应问题让人们清醒地意识到，网络攻击对经济造成的风险巨大，并且呈现出不断扩大的趋势。
2020年，勒索软件加密货币支付金额超过4亿美元，是2019年的四倍多，这还只是网络攻击造成经济损失的一小部分。网络罪犯和勒索软件行为者越来越擅长利用技术创新，为违法犯罪寻找安全匿名的支付方式。要想加以阻止，需要新式协调的战略，要结合公共和私营部门资源。这是保护经济和国家安全，避免受到网络犯罪和勒索软件攻击的唯一途径。
美国政府已经将该战略的要素付诸行动。今年5月，美国总统乔·拜登签署了一项行政命令，消除了共享网络事件相关信息的障碍，加强了联邦政府的网络安全，并改善了软件供应链的安全性。联邦政府正在就该问题与其他国家积极接触。各项努力中包括通过G7网络专家组（G7 Cyber Expert Group）和其他国际论坛解决网络攻击造成的全球风险，也意味着对纵容恶意网络活动的国家采取坚定立场。正如今年早些时候拜登总统提到的：将采取“任何必要行动”，避免经济和基础设施遭受袭击。
这就是为何在9月下旬，美国财政部（Treasury Department）宣布采取新行动，打击利用勒索软件攻击企业的网络犯罪。首先，美国财政部对虚拟货币交易所Suex实施制裁，因为Suex为至少8种勒索软件变体的非法收益提供便利。Suex的交易所对犯罪分子从勒索软件攻击中赚取利润至关重要。被制裁后，Suex无法与美国公司和个人开展业务，也无法加入全球经济交流中心的美国金融体系。这一行动充分显示，美国决意揭露并破坏网络攻击中使用的非法基础设施。
其次，美国财政部正在更新2020年勒索软件指南，以进一步支持并保护与执法部门共享信息的勒索软件受害者。新指南体现了美国财政部的观点，即政府和行业合作并共享相关信息以阻止网络攻击，必要时对网络攻击采取补救行动，就能够最大程度地保护经济。
我们深知，在涉及网络安全时，最好的进攻就是良好的防御。美国的很多关键基础设施，例如公用事业公司、管道、铁路和医院，均属于私营。相关公司和其他公司都要果断采取行动，加强网络防御，预防网络攻击。这意味着网络安全水平要达到最高标准，并要求可以访问其网络和数据的第三方服务提供商达到同样的高标准。
私营领域里的多家公司已经宣称将遵守承诺。最近的一项旅行者风险指数（Travelers Risk Index）调查中提到，网络风险是各种规模公司最关心的问题。相关担心也在推动行动。今年8月在拜登总统牵头的一场会议上，亚马逊（Amazon）、苹果（Apple）、谷歌（Google）、IBM和微软（Microsoft）等几家科技公司承诺在供应链安全方面发挥领导作用，投资网络安全培训，提供先进的安全解决方案，运营中进一步整合网络安全。
最后，必须将网络攻击可能造成的经济损失当成金融体系的风险。银行和保险提供商等金融公司决策时，也要考虑网络风险。相关公司必须让客户、投保人和交易对手采取谨慎举措，贯彻网络安全标准。
我们并不是期望私营部门自行解决网络攻击和勒索软件问题。当公共和私营部门共同努力解决最大挑战时，经济运行最为顺当。通过密切合作、关键信息共享并开发合作解决方案，就能够维护经济稳定并促进经济安全增长。（财富中文网）
沃利·阿德耶莫是美国财政部副部长。
译者：冯丰
审校：夏林
The sight of anxious drivers forming long lines at gas stations, hoping to fuel up before supplies run out, is a sure signal of economic distress.
In the 1970s, a months-long oil embargo made gas lines an all-too-common feature of American life, while in 2012 shortages hit the Northeast following Hurricane Sandy. But those events were the result of a geopolitical standoff and a historic natural disaster. This past summer’s gas shortages were caused by a ransomware attack—an attack in which criminal hackers take a target’s data and network hostage until the victim makes a ransom payment—on Colonial Pipeline. Though the resulting lines at gas stations were short-lived, the ensuing price and supply issues were a stark reminder of the significant and growing risk that cyberattacks pose to our economy.
In 2020, the amount paid in ransomware cryptocurrency payments reached over $400 million, more than four times the level in 2019, and just a fraction of the economic harm caused by all cyberattacks. Cybercriminals and ransomware actors are increasingly exploiting technological innovations that offer secure, anonymous payments for nefarious and criminal purposes. Stopping them requires a novel and concerted strategy, one that combines the resources of the public and private sectors. This is the only way to protect our economy and national security from the risk created by cybercrime and ransomware attacks.
The U.S. government is already putting elements of this strategy into action. In May, President Biden signed an executive order that removes barriers to sharing information related to cyber incidents, enhances the federal government’s cybersecurity, and improves software supply-chain security. The federal government is actively engaging with our foreign counterparts on this issue. This includes addressing the global risks that cyberattacks pose through the G7 Cyber Expert Group and other international forums. It also means taking a firm stance with countries that turn a blind eye to malicious cyber activity. As the President said earlier this year, we will take “any necessary action” to defend our economy and infrastructure from these attacks.
That is why, in late September, the Treasury Department announced new actions to combat cybercriminals that use ransomware to take companies hostage. First, we are imposing sanctions on Suex, a virtual currency exchange that has facilitated transactions involving illicit proceeds for at least eight ransomware variants. Exchanges like Suex are critical to criminals’ ability to extract profits from ransomware attacks. As a result of yesterday’s designation, Suex will be unable to conduct business with American companies and individuals or access the U.S. financial system that sits at the center of global economic exchange. This action is a signal of our intention to expose and disrupt the illicit infrastructure used in these attacks.
Second, the Treasury is updating our 2020 ransomware guidance to further support and protect ransomware victims that share information with law enforcement. This new guidance reflects our view that we can best protect our economy when government and industry collaborate and share all relevant information to deter and—where necessary—remediate cyberattacks.
We also know that when it comes to cybersecurity, our best offense is a good defense. In the United States, much of our critical infrastructure—like utility companies, pipelines, rail lines, and hospitals—are owned by private companies. These firms and others need to take decisive action to bolster their cyber defenses and prevent attacks from happening in the first place. This means meeting the highest standards for cybersecurity and holding third-party service providers, with access to their networks and data, to the same high standards.
Many in the private sector have demonstrated that they share this commitment. A recent Travelers Risk Index survey cited cyber risk as a top concern across companies of all sizes. These concerns are already driving action. During a meeting led by President Biden in August, several technology companies including Amazon, Apple, Google, IBM, and Microsoft committed to lead improvements in supply-chain security, invest in cybersecurity training, deliver advanced security solutions, and further integrate cybersecurity throughout their operations.
Finally, the potential for economic damage posed by cyberattacks must be understood as a risk to our financial system. Financial firms like banks and insurance providers need to integrate cyber risk into their decision-making. These firms must hold their clients, policyholders, and counterparties accountable for taking prudent steps to implement cybersecurity standards.
We do not expect the private sector to solve the problem of cyberattacks and ransomware on its own. Our economy works best when the public and private sectors work together to solve our greatest challenges. Through close collaboration, the sharing of critical information, and the development of cooperative solutions, we can safeguard our economy and promote secure economic growth.
Wally Adeyemo is deputy secretary of the U.S. Treasury.
