勒索病毒造成损失? 微软和NSA都可以甩锅给受害企业

北京时间5月16日上午消息，法律专家认为，由于未能及时更新微软Windows系统而在上周末遭到WannaCry病毒攻击的企业，可能因为自身的网络安全问题遭到起诉，但微软本身却会因为未雨绸缪的授权协议而免遭起诉。

自上周五以来，这种名为WannaCry的蠕虫病毒已经影响了世界各地的20多万台Windows电脑，导致许多工厂、联邦快递以及英国的国民医疗保险机构等众多组织无法正常运转。这种黑客工具可以在电脑之间秘密传播，通过加密数据的方式导致电脑无法使用，攻击者向受害者索要300美元的赎金才肯为其恢复数据。

微软表示，受到这种勒索软件影响的电脑要么没有及时安装补丁，要么使用了已经不再获得微软支持的Windows XP系统。

“使用不再获得微软支持的过时Windows会引发很多问题。”Edelson PC数字隐私法律专家克里斯多夫·多尔（Christopher Dore）说，“继续使用这种系统可以说是玩忽职守。”

Ballard Spahr数据隐私律师爱德华·麦克安德鲁（Edward McAndrew）表示，如果因为遭到攻击而无法提供服务，企业可能就会面临诉讼。“勒索软件攻击会引发一系列的责任。”他说，“包括对个人、消费者和病人的责任。”

WannaCry利用了Windows 7和Windows XP等旧版Windows中的一个漏洞。微软今年3月发布了安全更新，避免Windows 7遭到WannaCry和其他恶意软件的破坏。上周末，该公司又打破常规，针对已经在2014年就不再支持的Windows XP发布了类似的补丁。

多尔表示，如果某家企业公开宣扬自己的网络安全能力，但却因为没有安装微软的软件更新或者使用了旧版Windows而遭遇故障，便有可能面临诉讼。他的律师事务所在2012年的数据泄密之后曾经起诉LinkedIn，声称人们之所以购买付费帐号，是因为该公司错误地宣称他们拥有顶级网络安全措施。LinkedIn在2014年以125万美元和解这起官司。

但Fox Rothschild数据安全律师斯科特·沃尼克（Scott Vernick）表示，他对WannaCry可能引发大量消费者诉讼的说法持怀疑态度。他指出，没有迹象显示网络攻击引发广泛的个人数据泄密。

“目前还不清楚消费者的利益是否受到了损害。”他说。

沃尼克表示，未能更新软件的公司将面临美国联邦贸易委员会的审查，他们之前曾经起诉过在数据隐私措施上存在误导行为的企业。

授权协议限制责任

法律专家表示，微软本身却不太可能因为WannaCry而遭到起诉。

美国西南法学院教授迈克尔·斯科特（Michael Scott）表示，微软出售软件时已经在授权协议中提前约定，该公司不承担任何安全漏洞的责任。他表示，法院一致支持这些协议。

哥伦比亚大大学骑士第一修正研究所法务专员亚历克斯·阿布多（Alex Abdo）表示，微软和其他软件公司已经从战略上和解了相应的诉讼，使得法院不会削弱他们的授权协议效力。

尽管外界认为，美国国家安全局（NSA）被盗的黑客工具是WannaCry的开发基础，但该机构也拥有很强的保护措施，不必因为安全漏洞担负责任。NSA尚未对此置评。

哈佛法学院互联网法律专家乔纳森·齐特兰（Jonathan Zittrain）表示，法院经常驳回针对该机构发起的诉讼，理由是担心因此泄露最高机密。

此外，NSA还有可能声称其享受主权豁免权，因为政府不应该因为履行公职而受到起诉。

“我估计NSA不必担负任何责任。”多尔说。（樵夫）