Dropper sanktioner mod kinesiske aktører

Den amerikanske regering har ifølge flere medier valgt at droppe planlagte sanktioner mod Kinas Ministerium for Statssikkerhed for dets rolle i de omfattende Salt Typhoon-angreb mod telekommunikationssektoren. Beslutningen kommer samtidig med, at USA tillader eksport af Nvidias H200 AI-processorer til Kina – et skridt, der har fået kritikere til at hævde, at cybersikkerhed bliver nedprioriteret til fordel for handelsaftaler.

Det skriver Dark Reading i en analyse i dag.

Cyberangreb som geopolitisk valuta

Salt Typhoon-gruppen, som er en af de store trusselsspillere på APT-landkortet kompromitterede oprindeligt en række internetudbydere og telekommunikationsvirksomheder, men har siden udvidet sit angreb til over 200 virksomheder i 80 lande. Angrebene gav adgang til følsomme data og kritisk infrastruktur – en klassisk opskrift på strategisk cyberspionage.

Dark Reading citerer Antoine Harden fra Sonatype, der er en amerikansk virksomhed, der specialiserer sig i software supply chain-sikkerhed, påpeger, at cyberrelaterede sanktioner og eksportkontroller nu indgår i bredere forhandlinger om alt fra fentanyl til handelsbalancer. Det sender et signal om, at økonomiske sanktioner er forhandlingsbare, hvilket kan svække deres afskrækkende effekt.

Det er ikke første gang, sanktioner bliver brugt som diplomatisk valuta. Allerede i 2023 fjernede Biden-administrationen Kinas Institut for Retsmedicinsk Videnskab fra sanktionslisten for at opnå samarbejde om narkotikabekæmpelse – trods bekymringer om overvågning af minoriteter.

Sanktioner alene virker ikke

Ifølge Dark Reading understreger eksperter, at økonomiske sanktioner sjældent stopper statssponsorerede cyberoperationer. Adam Darrah fra ZeroFox fremhæver, at Kina vil fortsætte sine aggressive cyberkampagner uanset diplomatiske aftaler – ligesom USA selv fastholder både offensive og defensive cyberaktiviteter.

I stedet peger Harden på behovet for “deterrence by denial”: at gøre angreb så dyre og komplekse, at gevinsten ikke kan betale sig. 

Selvom USA er verdens mest kapable offensive cybermagt, anvendes disse kapaciteter diskret og kirurgisk, ifølge Darrah. Kun i særlige tilfælde – som Stuxnet – bliver der sendt et offentligt signal.

Sikkerhedspolitiske implikationer

Dark Reading peger på, at sagen illustrerer en grundlæggende spænding mellem økonomiske og sikkerhedspolitiske hensyn. Når cyberangreb behandles som en forhandlingsbrik i handelsaftaler, undermineres den normative ramme for cyberspace. Det sender et signal til både allierede og modstandere om, at cyberaggression kan tolereres, hvis den rigtige pris betales.

Det efterlader imidlertid tre centrale potentielle implikationer:

1. Effekten af afskrækkelse bliver mindre: Hvis sanktioner opfattes som midlertidige og forhandlingsbare, reduceres deres værdi som strategisk værktøj. Det kan opmuntre statssponsorerede aktører til at intensivere angreb, fordi konsekvenserne fremstår usikre.
2. Fragmentering af internationale normer: USA har historisk været en drivkraft for at etablere normer for ansvarlig adfærd i cyberspace. Når økonomiske hensyn prioriteres over konsekvent reaktion, svækkes disse normer og åbner for en mere opportunistisk cyberpolitik globalt.
3. Risiko for eskalation i det skjulte: Mens diplomatiske indrømmelser sker offentligt, fortsætter cyberoperationer i det skjulte. Det øger risikoen for utilsigtet eskalation, især hvis en aktør misfortolker en modparts tavshed som svaghed.

Det vurderes også, at udviklingen kan føre til, at cybersikkerhed bliver en integreret del af national sikkerhedspolitik – noget, som der også ses i Danmark som en følgevirkning af regeringens ambitioner om etablering af et nationalt døgnbemandet situations- og cybersikkerhedscenter.