英國(guó)網(wǎng)絡(luò)犯罪3年暴漲88%，新法案讓企業(yè)進(jìn)退兩難

2020年，英國(guó)警方還能勉強(qiáng)應(yīng)付77萬(wàn)起網(wǎng)絡(luò)犯罪報(bào)案。三年后，這個(gè)數(shù)字飆到146萬(wàn)，漲幅88%。同期負(fù)責(zé)辦案的人員只增加了31%。

用產(chǎn)品經(jīng)理的話說，這是典型的"需求膨脹速度遠(yuǎn)超產(chǎn)能爬坡"。每個(gè)警員的案頭，現(xiàn)在堆著三年前2倍的工作量。

88% vs 31%：一組被忽視的供需失衡

Forbes Solicitors的最新數(shù)據(jù)把這個(gè)缺口擺上了臺(tái)面。該律所專門處理高關(guān)注度刑事案件，他們的客戶名單里 increasingly 出現(xiàn)被黑客勒索的企業(yè)高管。

Craig MacKenzie，F(xiàn)orbes Solicitors高關(guān)注度與私人犯罪業(yè)務(wù)負(fù)責(zé)人，用一句話概括了現(xiàn)狀：「網(wǎng)絡(luò)犯罪增速是警力增速的3倍。」

這不是簡(jiǎn)單的"人手不夠"。當(dāng)報(bào)案量與辦案能力的剪刀差持續(xù)擴(kuò)大，一個(gè)連鎖反應(yīng)正在發(fā)生：案件積壓→破案率下降→犯罪成本降低→更多人鋌而走險(xiǎn)。MacKenzie的觀察是，「這種失衡正在削弱執(zhí)法部門的威懾力?！?/p>

對(duì)企業(yè)來說，這意味著什么？報(bào)警后的等待時(shí)間變長(zhǎng)，取證窗口期被壓縮，最終追回?fù)p失的概率下滑。

新法案的"合規(guī)陷阱"：付贖金可能違法

警力吃緊的同時(shí)，監(jiān)管層面卻在加碼。英國(guó)議會(huì)正在推進(jìn)兩項(xiàng)立法：《網(wǎng)絡(luò)安全與韌性法案》預(yù)計(jì)今年通過，另一項(xiàng)針對(duì)勒索軟件支付的新規(guī)也在醞釀中。

MacKenzie透露，政府正在考慮「禁止并阻止勒索軟件付款」。這條如果落地，企業(yè)將面臨一個(gè)經(jīng)典的兩難：付贖金，可能觸犯新法；不付，業(yè)務(wù)停擺的損失誰(shuí)來扛？

他把這個(gè)局面稱為「合規(guī)陷阱」?！钙髽I(yè)高管，尤其是董事，發(fā)現(xiàn)自己夾在運(yùn)營(yíng)連續(xù)性的壓力和潛在的法律風(fēng)險(xiǎn)之間?！?/p>

這個(gè)表述值得細(xì)品。不是"困境"，不是"挑戰(zhàn)"，是"陷阱"——意味著無論往哪邊走，都可能踩雷。

董事個(gè)人責(zé)任：從"公司損失"到"個(gè)人刑責(zé)"

英國(guó)公司治理的一個(gè)特點(diǎn)是，董事的法律責(zé)任邊界相對(duì)清晰。但新法案可能改寫游戲規(guī)則。

MacKenzie的警告很直接：如果支付勒索款項(xiàng)被認(rèn)定為資助犯罪組織，董事面臨的就不只是民事賠償，而是刑事指控。英國(guó)《2006年公司法》第174條要求董事行使合理謹(jǐn)慎、技能和勤勉，而"明知違法仍授權(quán)付款"很難通過這個(gè)測(cè)試。

更微妙的是時(shí)間差。法案從提出到通過有時(shí)間窗口，但攻擊者不會(huì)等企業(yè)理順合規(guī)流程。2024年英國(guó)企業(yè)報(bào)告的勒索攻擊中，平均決策時(shí)間只有72小時(shí)——從收到勒索信到系統(tǒng)全面癱瘓。

72小時(shí)里，法務(wù)、IT、高管、董事會(huì)要達(dá)成一致，還要評(píng)估新法的模糊地帶。這個(gè)流程設(shè)計(jì)本身就有bug。

3倍增速背后的結(jié)構(gòu)性問題

回到那個(gè)3倍的數(shù)字。網(wǎng)絡(luò)犯罪增速遠(yuǎn)超警力增長(zhǎng)，不是一個(gè)國(guó)家的問題。美國(guó)FBI的互聯(lián)網(wǎng)犯罪投訴中心（IC3）2023年報(bào)告也顯示類似趨勢(shì)：投訴量十年增長(zhǎng)400%，而特工編制增長(zhǎng)不到15%。

但英國(guó)的獨(dú)特之處在于，它正在用立法手段強(qiáng)行改變市場(chǎng)行為——限制贖金支付，同時(shí)沒有同步增加執(zhí)法資源。這就像關(guān)掉泄洪閘卻不加固堤壩。

MacKenzie的建議分兩層：對(duì)外，企業(yè)需要「超越基礎(chǔ)合規(guī)」的網(wǎng)絡(luò)安全投入；對(duì)內(nèi)，董事會(huì)要把勒索響應(yīng)寫進(jìn)預(yù)案，明確"付還是不付"的決策鏈，而不是等攻擊發(fā)生后再開會(huì)。

他特別提到一個(gè)細(xì)節(jié)：很多企業(yè)的網(wǎng)絡(luò)保險(xiǎn)條款正在收緊，部分險(xiǎn)種已經(jīng)開始排除"政府認(rèn)定為非法的支付行為"。保險(xiǎn)這條后路，也在變窄。

英國(guó)政府今年2月承諾投入2.1億英鎊用于新的網(wǎng)絡(luò)行動(dòng)計(jì)劃，承認(rèn)"網(wǎng)絡(luò)風(fēng)險(xiǎn)仍處于極高水平"。但這筆錢主要流向關(guān)鍵基礎(chǔ)設(shè)施，普通企業(yè)不在覆蓋范圍內(nèi)。

當(dāng)146萬(wàn)起報(bào)案分?jǐn)偟接邢薜木Τ?，?dāng)新法案把支付贖金的風(fēng)險(xiǎn)從公司賬上轉(zhuǎn)移到董事個(gè)人，企業(yè)安全負(fù)責(zé)人的KPI該怎么設(shè)？是把預(yù)算砸向防御，還是留一筆"應(yīng)急合規(guī)基金"？