Μια μεγάλης κλίμακας επιχείρηση κυβερνοκατασκοπείας, η οποία φέρεται να είχε στο στόχαστρο ορισμένους από τους πλέον ευαίσθητους κυβερνητικούς οργανισμούς των ΗΠΑ, αποκάλυψαν το αμερικανικό Υπουργείο Δικαιοσύνης και το FBI. Η υπόθεση αποκτά ιδιαίτερο νομικό ενδιαφέρον, καθώς οι αμερικανικές αρχές συνδέουν τη δραστηριότητα όχι απλώς με μεμονωμένους hackers, αλλά με ιδιωτική κινεζική εταιρεία η οποία φέρεται να παρείχε υπηρεσίες σε κρατικούς φορείς της Κίνας.
Στις 26 Αυγούστου 2026 το αμερικανικό Υπουργείο Δικαιοσύνης ανακοίνωσε ότι, κατόπιν δικαστικής άδειας, κατασχέθηκαν domains που χρησιμοποιούσαν δύο συμπληρωματικές πλατφόρμες hacking, οι QScan και QTRouter. Σύμφωνα με τα δικαστικά έγγραφα, τις πλατφόρμες δημιούργησε και λειτουργούσε ομάδα γνωστή ως QTFY, η οποία εργαζόταν για την κινεζική Nanjing Xinjiuwei Network Technology Company.
Η έκταση των στόχων είναι εντυπωσιακή. Στα αμερικανικά κυβερνητικά δίκτυα που στοχοποιήθηκαν περιλαμβάνονται η NASA, η Federal Reserve, τα Departments of Justice, Energy και Health and Human Services, τα National Institutes of Health και η αμερικανική Γερουσία. Η δραστηριότητα της ομάδας εντοπίζεται τουλάχιστον από το 2018, ενώ στόχοι υπήρξαν επίσης νοσοκομεία, τηλεπικοινωνιακοί πάροχοι, εταιρείες ενέργειας, χρηματοπιστωτικά ιδρύματα και αμυντικοί εργολάβοι.
Δεν σημαίνει, πάντως, ότι κάθε απόπειρα οδήγησε σε επιτυχή παραβίαση. Σύμφωνα με τα στοιχεία που δημοσιοποιήθηκαν, το 2019 οι hackers επιχείρησαν χωρίς επιτυχία να αποκτήσουν πρόσβαση σε δίκτυα της NASA. Αντίθετα, το 2024 καταγράφηκαν εισβολές, μεταξύ άλλων, σε τρία εργαστήρια του Department of Energy και στο NIH.
Νομικά, το σημαντικότερο στοιχείο βρίσκεται στη σχέση των hackers με το κινεζικό κράτος. Το FBI υποστηρίζει ότι πληρωμές από το κινεζικό Ministry of State Security (MSS) προς τη Nanjing Xinjiuwei αποτελούν ένδειξη ότι η εταιρεία πραγματοποιούσε κακόβουλες κυβερνοδραστηριότητες για λογαριασμό της κινεζικής κυβέρνησης. Μέλη της QTFY φέρονται επίσης να είναι πρώην στελέχη του People’s Liberation Army (PLA) και να αξιοποιούσαν αυτές τις σχέσεις για συμβάσεις που αφορούσαν επιθετικές κυβερνοεπιχειρήσεις.
Η διάκριση έχει ιδιαίτερη σημασία στο διεθνές δίκαιο. Η κυβερνοεπίθεση ενός ιδιώτη δεν αποδίδεται αυτομάτως σε ένα κράτος. Όταν όμως αποδεικνύεται ότι ιδιωτικοί φορείς ενεργούν κατ’ εντολή, υπό τον έλεγχο ή για λογαριασμό κρατικών οργάνων, ανακύπτει το πολύ δυσκολότερο ζήτημα της απόδοσης της συμπεριφοράς στο κράτος (state attribution) και, υπό τις απαιτούμενες προϋποθέσεις, της διεθνούς κρατικής ευθύνης.
Εξίσου ενδιαφέρων είναι ο τρόπος αντίδρασης των αμερικανικών αρχών. Αντί να περιοριστούν στην ποινική έρευνα, DOJ και FBI χρησιμοποίησαν δικαστικά εγκεκριμένη κατάσχεση των domains που ήταν απαραίτητα για τη λειτουργία των QScan και QTRouter.
Το QScan χρησιμοποιούνταν για τον εντοπισμό ευάλωτων συσκευών IoT και τη μόλυνσή τους, ενώ το QTRouter αξιοποιούσε μολυσμένες συσκευές, proxy services και servers δημιουργώντας ένα δίκτυο απόκρυψης της πραγματικής προέλευσης των επιθέσεων. Επειδή τα κατασχεθέντα domains ήταν ενσωματωμένα στο κακόβουλο λογισμικό και απαραίτητα για την επικοινωνία και την πιστοποίησή του, η επέμβαση των αμερικανικών αρχών κατέστησε, σύμφωνα με το DOJ, τις δύο πλατφόρμες μη λειτουργικές.
Η υπόθεση δείχνει έτσι μια σημαντική μεταβολή στην αντιμετώπιση των κρατικά υποστηριζόμενων κυβερνοεπιθέσεων: το δίκαιο δεν χρησιμοποιείται πλέον μόνο για την εκ των υστέρων ποινική δίωξη των δραστών, αλλά και ως εργαλείο ενεργού εξουδετέρωσης της ίδιας της ψηφιακής υποδομής μιας κυβερνοεπιχείρησης.
Και καθώς τα όρια μεταξύ κρατικών υπηρεσιών, ιδιωτικών εταιρειών κυβερνοασφάλειας και ομάδων hackers γίνονται ολοένα πιο δυσδιάκριτα, το κρίσιμο νομικό ερώτημα του μέλλοντος δεν θα είναι μόνο ποιος πραγματοποίησε μια κυβερνοεπίθεση, αλλά για λογαριασμό ποιου κράτους ενήργησε και ποιος τελικά φέρει την ευθύνη.
