Ez már messze túl van a vírusirtón. Ez behatolás, rombolás és digitális erőalkalmazás, állami szerződésbe csomagolva.

A támadó kiberképesség eddig is létezett. Hírszerző szolgálatok, katonai egységek és állami beszállítók régóta dolgoznak ezen a területen. Az újdonság a nyilvánosan meghirdetett keret. A Fehér Ház most hivatalosan is piacot nyit a magánszektor előtt, és azt mondja: az államnak szüksége van a vállalatok sebességére, adataira, szakembereire és technológiájára.

A digitális védekezés következő fejezete így már nem pusztán jobb falakról szól. Valaki a fal túloldalára is át fog menni.

A felhatalmazás szűk. Az eszköz viszont valódi.

A memorandum nem engedi rá az összes amerikai vállalatot az internetre. A programban kizárólag átvilágított, szerződéssel rendelkező cégek vehetnek részt. Minden egyes műveleti csomagot a Belbiztonsági Minisztérium és az Igazságügyi Minisztérium által kijelölt vezetőknek kell átnézniük és írásban jóváhagyniuk. Az akciót a cég az Egyesült Államok nevében, szövetségi irányítás és felügyelet alatt hajtja végre.[1]

A dokumentum tiltja azokat a műveleteket, amelyek várhatóan halált, súlyos sérülést, illetve a nemzetközi jog szerint fegyveres támadásnak vagy erő alkalmazásának minősülő következményt okoznának. Amerikai személy vagy amerikai rendszer véletlen érintésekor az akciót le kell állítani, a károkat mérsékelni kell, és azonnal értesíteni kell a koordinációs központot. A cégeknek részletes jelentési kötelezettségük lesz. A program akár legalább egymillió dolláros letétet vagy biztosítékot is előírhat a szerződés megszegésének fedezetére.[1]

Papíron tehát van fék. Lesz átvilágítás, műveleti engedély, célazonosítás, állami kontroll, jelentés és éves felülvizsgálat. A részletszabályokat azonban a memorandum kiadását követő hatvan napon belül kell kidolgozni, a műveleti folyamat egy része pedig titkos mellékletbe került.

A történet éppen ezért most kezdődik. A politikai döntés megszületett. Az ellenőrzés valódi erejét majd az első jóváhagyott célpont, az első félreazonosított gép és az első kártérítési ügy mutatja meg.

Húszmilliárd dollár után elfogyott a türelem

Washington döntése mögött egészen prózai számok állnak. Az FBI internetes bűnözési központjához 2023-ban 880 418 panasz érkezett, a bejelentett veszteség pedig meghaladta a 12,5 milliárd dollárt. Egy évvel később 859 532 bejelentéshez már több mint 16 milliárd dollár kár társult. 2025-ben a panaszok száma átlépte az egymilliót, a veszteség pedig meghaladta a 20 milliárd dollárt.[2][3][4]

Ezek kizárólag a bejelentett esetek. A szégyen, a reputációs kár, a részvényesi reakció és a hatósági vizsgálattól való félelem sok vállalatot csendre ösztönöz. A valós összeg ennél nagyobb lehet, bár annak pontos méretét senki sem tudja hitelesen megmondani.

A bűnöző oldalán kiváló az üzleti modell. A támadás olcsón sokszorosítható, a célpontok száma szinte végtelen, a pénz másodpercek alatt kriptotárcákon és közvetítői hálózatokon keresztül indul tovább. A védekező fél minden ajtót őriz. A támadónak elég egyetlen nyitva felejtett ablak.

Az amerikai hatóságok eddig is foglaltak le domaineket, bénítottak meg botneteket és küldtek leállító parancsokat fertőzött infrastruktúráknak. Ezek bíróság által engedélyezett, állami műveletek voltak, gyakran külföldi partnerek és technológiai cégek közreműködésével. 2026 tavaszán például az amerikai igazságügyi szervek több nagy DDoS-szolgáltatás és IoT-botnet ellen hajtottak végre összehangolt akciókat.[5][6]

A mostani lépés ezt a modellt nagyítja fel. Az állam megtartja az engedélyt és a célkijelölést, a végrehajtás egy részét pedig olyan cégekre bízza, amelyek gyorsabban vásárolnak technológiát, könnyebben szerződtetnek ritka szakembereket, és gyakran több adatot látnak az internet működéséből, mint maga a kormány.

A hack back eddig vörös vonal volt

Egy megtámadott vállalat számára a visszacsapás ötlete mindig csábító volt. Ha valaki ellopta az adatot, fel kell törni a szerverét, vissza kell szerezni, aztán tönkre kell tenni az infrastruktúráját. Papíron egyszerű. A valóságban egy IP-cím mögött ritkán ül szépen felcímkézve a bűnöző.

Az amerikai Computer Fraud and Abuse Act bünteti az engedély nélküli hozzáférést. Az Igazságügyi Minisztérium korábbi útmutatója külön figyelmeztette a cégeket: a támadó gépébe történő behatolás a védekező szándék ellenére is jogellenes lehet, ráadásul a támadás könnyen egy mit sem sejtő harmadik fél fertőzött rendszerét találja el.[7][8]

Ez volt a régi választóvonal. A vállalat a saját hálózatán védekezett, adatot gyűjtött, értesítette a hatóságokat, és szükség esetén bírósági végzéssel indult a bűnözői infrastruktúra felszámolása. A kormány rendelkezett a kényszerítő erővel. A cég legfeljebb segített.

Az új program a kiválasztott vállalatot állami végrehajtóvá emeli. Ugyanaz a behatolás, amelyet egy cég saját szakállára végrehajtva büntetőeljárást kockáztatna, szövetségi megbízásban jogszerű műveletté válhat. Ettől lett a memorandum sokkal több egy újabb kiberbiztonsági stratégiánál.

A digitális magánkalóz hasonlat találó. Egy pontig.

A történelem már látott hasonlót. A tengeri nagyhatalmak évszázadokon át úgynevezett zsákmánylevelekkel hatalmaztak fel magánhajókat arra, hogy ellenséges hajókat támadjanak és foglaljanak el. Az amerikai alkotmány ma is a Kongresszus hatáskörei között említi a letters of marque and reprisal kiadását. A magánkalóz saját hajót, legénységet és kockázati tőkét vitt a háborúba, az állam pedig jogi felhatalmazást és részesedést adott neki a zsákmányból.[9]

A mai programból hiányzik a klasszikus zsákmányszerzés. A vállalat szerződéses díjat kap, célpontot javasolhat, majd állami jóváhagyással dolgozik. A hasonlóság mégis kellemetlenül erős. Az állam a saját földrajzi és kapacitásbeli korlátait magánszereplők pénzével, technológiájával és embereivel hidalja át.

A régi magánkalóz legalább látott egy zászlót a hajón. A mai kiberoperátor egy domaint, egy bérelt felhőszervert, néhány titkosított kapcsolatot és több ezer eltérített eszközt lát. Ebből kell eldöntenie, ki az ellenség, ki a szolgáltató, ki a fertőzött civil, és melyik gép mögött ül egy másik állam hírszerzője.

A tengeren téves hajót lehetett elfoglalni. Az interneten egyetlen rossz döntés több ország több ezer rendszerét érintheti egyszerre.

A célpont gyakran valaki más gépe

A modern kiberbűnözés egyik legfontosabb alapanyaga az ártatlan infrastruktúra. Otthoni routerek, biztonsági kamerák, feltört weboldalak, bérelt virtuális szerverek és vállalati fiókok alkotják azt a réteget, amely mögé a valódi irányítók elbújnak. A botnet éppen attól hasznos, hogy a bűnöző helyett mások gépei végzik a munkát.

A felhő tovább rontja a képet. Ugyanazon szolgáltató ugyanazon adatközpontjában futhat egy banki háttérrendszer, egy kórházi alkalmazás, egy kisvállalkozás webáruháza és egy zsarolóvírusos csoport vezérlőszervere. A hálózati kapcsolat technikai közelséget mutat, erkölcsi vagy jogi közösséget nem.

A memorandum maga is számol a tévedéssel. Előírja a művelet leállítását és a károk mérséklését, amikor amerikai személy vagy amerikai rendszer kerül a célkeresztbe. Ez fontos biztosíték. Egy leállított adatbázis, sérült fájlrendszer vagy termelésből kiesett ipari vezérlő azonban nem áll helyre attól, hogy valaki időben kitöltötte az incidensjelentést.

A kibertérben nincs valódi robbanásvédő fal. A kód átlépi a hálózati, vállalati és országhatárokat. A 2017-es NotPetya támadás eredetileg Ukrajnát célozta, mégis világszerte vállalatok működését bénította meg, és több milliárd dolláros kárt okozott.[13] Egy támadó eszköz sorsa a kiadás pillanatától már csak részben marad a készítője kezében.

A felelősség kérdése most kezd igazán érdekes lenni

A memorandum nem ad világosan kimondott, általános jogi mentességet a részt vevő cégeknek. Az alkalmazandó amerikai és nemzetközi jog betartását írja elő, bizonyos esetekben bírói engedélyt követel, és lehetővé teszi szerződéses biztosíték előírását. A vállalat mégis az Egyesült Államok nevében, annak irányítása alatt cselekszik.[1]

Innen indul a jogászok következő aranykora. Ki fizet, ha egy jóváhagyott művelet egy harmadik ország vállalatának okoz kárt? Hol indíthat pert a sértett? Milyen védelmet kap az amerikai beszállító a külföldi büntetőeljárással szemben? Meddig terjed az állami megbízás, és hol kezdődik a vállalati gondatlanság? Mi történik, ha a műveleti csomag hibás hírszerzési adatra épült?

A CSIS elemzői szerint a program sikerét éppen ezek a nyitott kérdések dönthetik el: a jogalap, a célpontok köre, a cégek védelme és a különböző állami műveletek összehangolása.[10] A memorandum titkos melléklete vélhetően sok technikai részletet rendez. A nyilvánosság viszont ebből keveset fog látni.

Az éves jelentés a Fehér Ház és a nemzeti kiberigazgató asztalára kerül. A dokumentum nem ígér automatikusan nyilvános elszámolást minden célpontról, hibáról és járulékos kárról. Így könnyen kialakulhat egy olyan iparág, amely közpénzből, állami felhatalmazással és részben titkos szabályok alapján hajt végre más országokban romboló műveleteket. Ez már demokratikus ellenőrzési kérdés, nem informatikai részlet.

A bűnöző és az állam között nincs vastag vonal

A program hivatalosan külföldi bűnszervezeteket céloz. Állami intézmény vagy teljes állami irányítás alatt álló csoport kívül esik a definíción. A memorandum ugyanakkor abból indul ki, hogy egy szervezet nem állami szereplő, amíg egyértelmű hírszerzési adat ennek ellenkezőjét nem bizonyítja.[1]

Ez az internet egyik legveszélyesebb feltételezése. Az orosz kiberbűnözői világban régóta keveredik a pénzszerzés, az állami eltűrés és az időszakos szolgálat. Észak-Korea állami szereplői pénzt lopnak a szankciók megkerülésére. Kínában magáncégek, beszállítók és állami érdekek között gyakran szándékosan homályos a kapcsolat. A CSIS is arra figyelmeztet, hogy ennek tisztázása hónapokat igényelhet, miközben egy műveleti lehetőség néhány nap alatt eltűnik.[10]

Egy orosz zsarolóvírusos csoport szerverének megtámadása Washingtonból bűnüldözésnek látszhat. Moszkvából amerikai állami kiberműveletnek. A két értelmezés között nincs technikai protokoll, amely automatikusan békét teremt.

A válaszcsapás sem feltétlenül a Pentagont találja meg. A részt vevő vállalat hálózata, vezetői, alkalmazottai, ügyfelei és beszállítói sokkal puhább célpontok lehetnek. Az állam így erőt nyer a magánszektortól, a magánszektor pedig megörökli az állam ellenfeleinek egy részét.

A program bűnüldözési keretként indul, távol a hivatalosan elismert fegyveres konfliktustól. A határ átlépése mégis súlyos jogi kérdést nyitna. A Vöröskereszt Nemzetközi Bizottsága arra figyelmeztet, hogy a kiberhadműveletekbe bekapcsolódó civil technológiai cégek személyzete és infrastruktúrája bizonyos helyzetekben elveszítheti a civileket megillető védelmet.[12] A digitális szerződés tehát fizikai kockázatot is hozhat magával.

Megszületik a támadó kiberipar

A Fehér Ház külön kéri, hogy a program a nagyvállalatok mellett kisebb, gyorsabb cégeket is engedjen be. Ez üzleti nyelvre fordítva piacnyitás. Új beszállítók, új befektetők, új biztosítások, új felelősségi konstrukciók és új állami szerződések jelennek meg.

A termék nem egyszerűen egy szoftver lesz. Célpont-azonosítás, hozzáférés, exploit, megfigyelés, műveleti infrastruktúra, adatfeldolgozás, jogi előkészítés és romboló hatás kerül egyetlen szolgáltatási láncba. Aki ma biztonsági hibát keres, holnap eldöntheti, hogy kijavításért, titkos állami felhasználásért vagy támadó műveleti csomagért kap-e többet.

Ez veszélyes ösztönző. A védelemnek az az érdeke, hogy egy sérülékenység gyorsan nyilvánosságra kerüljön és javítás készüljön hozzá. A támadó oldalnak az az érdeke, hogy ugyanaz a sérülékenység titokban maradjon, mert akkor tovább használható. Amikor mindkét üzlet ugyanazon a piacon vásárol szakembert és információt, a védelem könnyen elveszíti a legjobb embereit és a legértékesebb hibákat.

A magáncég természetesen eredményt akar mutatni. A kormány működő programot, a vállalat új szerződést, a befektető növekedést vár. Ebben önmagában nincs összeesküvés. Pontosan így működik minden iparág. Éppen ezért kell már az elején tisztázni, milyen eredményt jutalmazunk: leállított szervereket, visszaszerzett pénzt, vádemelést, tartósan csökkenő bűnözést vagy látványos műveleti statisztikát.

A rosszul megválasztott mérőszám több támadást fog termelni. A jól megválasztott mérőszám kevesebb áldozatot. A kettő közötti különbség egy kormányzati táblázatban néhány oszlop. A valóságban komplett országok infrastruktúráját érintheti.

Az AI felgyorsítja mindkét oldalt

A memorandum kifejezetten előírja az automatizálás használatát ott, ahol az felgyorsíthatja a program működését.[1] Ez logikus. Több millió domain, hálózati esemény, kártevőminta és pénzügyi kapcsolat emberi tempóban feldolgozhatatlan.

Az AI képes összekapcsolni a szétszórt nyomokat, kódot elemezni, sérülékenységet keresni, támadási útvonalat tervezni és műveleti jelentést készíteni. Ugyanezeket a képességeket a másik oldal is megkapja. A Five Eyes országok kiberbiztonsági vezetői 2026 júniusában közös figyelmeztetést adtak ki: az AI növeli a támadások sebességét, léptékét és összetettségét, miközben egyre rövidebb idő marad a sérülékenység felfedezése és tömeges kihasználása között.[11]

A gépi gyorsítás így különös fegyverkezési versenyt indít. Az egyik AI felderíti a bűnözői infrastruktúrát. A másik átköltözteti, álcázza és újraépíti. Az 0 támadási csomagot készít. A másik csapdát állít az elemzőnek. Az egyik automatizáltan bénít. A másik automatizáltan válaszol.

Az emberi jóváhagyás megmarad, de a döntéshozó egyre gyorsabban előállított, egyre összetettebb és egyre nehezebben ellenőrizhető gépi javaslatokat kap. A tempó önálló kockázattá válik. Egy vezetőnek percek alatt kell majd megértenie azt a rendszert, amelyet az ellenfél hónapok alatt épített fel, az AI pedig másodpercek alatt térképezett fel.

Itt válik különösen fontossá a felelősség. A modell javasolhat célpontot. A támadó kódot is megírhatja. A jóváhagyó aláírás azonban továbbra is emberi döntés lesz, mert a következményeket sem a modell, sem a szerződés nem tudja visszatekerni.

Három irányba mehet tovább a világ

Az első változatban a program valóban működik. A cégek pontos hírszerzéssel, szigorú állami ellenőrzés mellett gyorsabban bontják le a csalóközpontok, botnetek és zsarolóvírusos csoportok infrastruktúráját. A bűnözés költsége nő, az ellopott pénz egy része visszakerül, a támadók több időt töltenek meneküléssel, mint új áldozatok keresésével. Ez a Fehér Ház által ígért világ, és technikailag egyáltalán nem lehetetlen.

A második változat szürkébb. A műveletek rendszeressé válnak, a jogi viták lassan követik őket, néhány ártatlan rendszer megsérül, néhány vállalat titokban kártérítést fizet, a program pedig minden évben egy kicsit nagyobb lesz. Más országok lemásolják az amerikai modellt. Mindenki kizárólag bűnözőket üldöz majd – legalábbis a saját közleménye szerint.

A harmadik változatban kialakul a digitális proxyháború. Államok által támogatott cégek támadják azokat a hálózatokat, amelyeket az adott kormány bűnözőinek minősít. A célpontok visszavágnak, a támadások civil felhőszolgáltatásokon és beszállítói láncokon keresztül terjednek, a felelősséget pedig minden szereplő a következő szerződéses szintre tolja. A kormány a vállalatra mutat, a vállalat a hírszerzési adatra, az adatszolgáltató az algoritmusra.

A legvalószínűbb jövő ezek keveréke. Lesznek sikeres akciók és valóban megmentett áldozatok. Lesznek eltitkolt hibák, túlárazott szerződések, látványos sikerközlemények és olyan incidensek is, amelyeknél évekkel később derül ki, ki támadott kit. A technológia ritkán választ tiszta forgatókönyvet. Az üzlet még ritkábban.

A digitális biztonság ára is emelkedni fog

A nagyvállalatok már ma is saját kiberbiztonsági központot, incidenskezelő csapatot, jogászokat és fenyegetéselemzőket tartanak fenn. A kisebb cégnél gyakran ugyanaz az ember kezeli a számlázást, a weboldalt és a biztonsági mentést. A támadó kiberipar megjelenése tovább növelheti ezt a különbséget.

A legerősebb szereplők közvetlen kapcsolatot építenek a programban részt vevő vállalatokkal, értékes fenyegetési adatot adnak, gyorsabb állami reakciót kapnak, és drágább biztosítást vásárolnak. A kisebbek újabb előfizetést kapnak: fejlettebb végpontvédelem, gyorsabb incidenskezelés, prémium hírszerzési csomag, magasabb biztosítási díj.

A biztonság ezzel fokozatosan közműből luxusszolgáltatássá válhat. Az internet mindenkit összeköt, a védelem minősége viszont egyre inkább attól függ, ki mennyit tud fizetni. A digitális tápláléklánc alján ugyanazok maradnak: kisvállalkozások, önkormányzatok, iskolák, rendelők és magánemberek.

Ők lesznek azok is, akiknek az eszközeit a bűnözők közvetítőként használják, majd egy támadó művelet tévesen ellenséges infrastruktúrának látja. A digitális háborúban a legolcsóbb pajzs mindig valaki más számítógépe.

A hatvan nap fontosabb lesz, mint a nagy bejelentés

A memorandum több értelmes biztosítékot tartalmaz. Kötelező az írásos jóváhagyás, az állami műveletek összehangolása, a célpontok ellenőrzése, a jelentés és a rendszeres felülvizsgálat. Tiltott a súlyos testi következményt vagy háborús szintű eszkalációt valószínűsítő akció. Ezek valódi korlátok lehetnek, ha betartják őket.

A következő szabályok döntik el, hogy a program bűnüldözési eszköz vagy digitális vadnyugat lesz. Kell független ellenőrzés, nyilvános összesített jelentés, világos kártérítési rendszer és olyan felelősségi lánc, amelyben egyetlen szereplő sem bújhat a titkosítás, az állami megbízás vagy a beszállítói szerződés mögé.

Kell egy kemény célazonosítási küszöb. Kell tiltólista a kórházakra, vízellátásra, energiahálózatra és más kritikus civil rendszerekre. Kell kötelező incidensbejelentés a járulékos károkról. Kell közös eljárás a szövetséges országokkal, mert egy amerikai engedély nem írja felül automatikusan egy német, francia vagy magyar szerver jogi védelmét.

Az egymillió dolláros letét egy komoly kiberincidensnél aprópénz. Egyetlen többnapos gyárleállás, kórházi kiesés vagy felhőszolgáltatási zavar sokszorosan meghaladhatja. A felelősségnek követnie kell a lehetséges kárt, különben a kockázatot ismét az fizeti meg, aki sem a célpontot, sem a fegyvert, sem a műveletet nem választotta.

A következő piac maga a támadás lesz

Az Egyesült Államok most azt mondja, hogy a digitális bűnözés mérete meghaladta a hagyományos bűnüldözés sebességét. Ebben igaza van. A húszmilliárd dolláros éves veszteség, az egymillió bejelentés és a határok mögé rejtett infrastruktúra valódi válság. A falak magasítása önmagában kevés.

A választott megoldás viszont új szereplőt enged a pályára. A magánvállalat eddig védelmet adott el, sérülékenységet keresett, rendszert figyelt és kárt takarított. Most állami jóváhagyással behatolhat, megfigyelhet, megbéníthat és rombolhat is.

Más kormányok figyelnek. Más vállalatok számolnak. Befektetők keresik majd azokat a cégeket, amelyek gyorsabban találnak célpontot, jobb exploitot írnak, ügyesebben mozognak idegen hálózatokon és látványosabb eredményt mutatnak fel.

A támadó kiberképesség titkos állami eszközből szerződéses vállalati szolgáltatássá kezd válni. Az első sikeres akciót ünnepelni fogják. Az első súlyos tévedést megpróbálják majd kivizsgálni. Az első válaszcsapás után mindenki a szabályokat fogja keresni.

Addigra már lesz iparág, költségvetés, beszállítói kör és politikai érdek, amely ragaszkodik a folytatáshoz.

A digitális magánkalózok nem fekete zászló alatt érkeznek. Öltönyt viselnek, titoktartási szerződést írnak alá, állami jóváhagyást kapnak, majd leülnek egy monitor elé. A zsákmány helyén teljesítési igazolás lesz. A tenger helyén pedig az az internet, amelyen közben mindannyian dolgozunk, gyógyítunk, bankolunk és élünk.

Források és hivatkozások

A hivatkozások a cikkben szereplő tényállítások és a következtetések ellenőrizhetőségét szolgálják. A jogi és geopolitikai következmények egy része a jelenleg rendelkezésre álló szabályokból levont elemzői következtetés.

[1] The White House: Expanding Capabilities to Combat Transnational Cyber-Enabled Crime, 2026. augusztus 12. Forrás megnyitása

[2] FBI IC3: 2023 Internet Crime Report – 880 418 panasz, 12,5 milliárd dollárt meghaladó veszteség. Forrás megnyitása

[3] FBI: 2024 Internet Crime Report – 859 532 panasz, 16 milliárd dollárt meghaladó veszteség. Forrás megnyitása

[4] FBI IC3: 2025 Internet Crime Report – több mint egymillió panasz, 20 milliárd dollárt meghaladó veszteség. Forrás megnyitása

[5] FBI: U.S. authorities conduct cyber operations as part of global crackdown on DDoS-for-hire services, 2026. április 16. Forrás megnyitása

[6] U.S. Department of Justice: Court-authorized operation disrupts worldwide botnet used by PRC state-sponsored hackers, 2024. Forrás megnyitása

[7] 18 U.S.C. § 1030 – Computer Fraud and Abuse Act. Forrás megnyitása

[8] U.S. Department of Justice: Prosecuting Computer Crimes – figyelmeztetés a magánszereplők önálló visszatámadásának jogi és technikai kockázataira. Forrás megnyitása

[9] Constitution Annotated: Letters of Marque and Reprisal in United States Practice. Forrás megnyitása

[10] Center for Strategic and International Studies: The Presidential Memo on Combating Transnational Cybercrime – Implications for Industry and Government, 2026. augusztus 20. Forrás megnyitása

[11] Five Eyes Cyber Security Agencies Statement: The AI shift in cyber risk, 2026. június 22. Forrás megnyitása

[12] International Committee of the Red Cross: IHL and the involvement of civilians in ICT activities during armed conflict, 2025. Forrás megnyitása

[13] U.S. Department of Justice: Six Russian GRU Officers Charged in Connection with Worldwide Deployment of Destructive Malware, 2020 – a NotPetya globális terjedése és kárai. Forrás megnyitása