I den kriminella hjärnan - Tillämpning av kriminologiska teorier på Cy-X

Varför övergår människor till kriminalitet? Vilka trösklar kan begränsa dem och vad "motiverar" dem i fel riktning? Även om vi har kommit långt sedan Bonnie & Clyde kan några av samma kriminologiska principer fortfarande tillämpas på cyberbrottslighet.   

I en tidigare artikel tittade vi närmare på definitionen och offren för Cy-X, brottet cyberutpressning. I den här artikeln utforskar vi tillämpningen av den kriminologiska teorin Routine Activity Theory (RAT) på problemet med Cy-X. Det kommer att hjälpa oss att förstå Cy-X och utforska hur vi kan arbeta för att minska det.

Tillämpning av RAT på Cy-X

RAT, som utvecklades av Cohen & Felson 1979, säger att det finns tre element som tillsammans leder till brott: 

• En motiverad angripare 
• Ett lämpligt mål, antingen en person eller ett föremål 
• Avsaknad av en kapabel väktare (som också kan vara en person eller ett föremål) 

Så låt oss utforska dessa tre element och möjligheterna att minska någon av dessa faktorer.

En motiverad gärningsman

Enligt RAT kan en motiverad gärningsman antingen vara en individ eller en grupp som har både tendensen och förmågan att begå ett brott. Man tittar på de faktorer som bidrar till att ett brott blir ett tillräckligt attraktivt alternativ för en "rationell" person. 

De flesta cyberbrottsaktiviteter involverar flera individer som arbetar tillsammans som en grupp, var och en med sin egen uppsättning av specialiserade färdigheter. En gärningsman är därför vanligtvis bara en enda del i en större kedja. Dessutom ser brottslingarna inte längre sina offer i ögonen när de håller dem under pistolhot och väntar på att kassörskan ska fylla i väskorna på banken. Moraliska invändningar mot ett "digitalt" offer är lättare att bortse från när de förblir abstrakta.

Minska gärningsmannens motivation

Vi identifierar tre möjligheter att minska motivationen hos en potentiell gärningsman. 

1. Riktade insatser för att minska brottslingars neutraliseringstekniker 

Utpressare använder sig av en teknik som kriminologer kallar "neutralisering" - ett sätt att övervinna de moraliska hindren för att begå ett brott. De framställer sig själva som fördelaktiga för världen. Naturligtvis tilltalande för dem som bara är en liten aktör i en stor grupp.  

Dessa neutraliseringstekniker bör hanteras som en del av en bredare strategi. 

2. Samordnade brottsbekämpande insatser 

Rädslan för att bli inlåst bakom galler kan få människor att avstå från att begå brott. Polisarbete i cyberrymden är en utmaning till sin natur, särskilt eftersom cyberbrottslighet inte är begränsad till landsgränser. Effektivt internationellt brottsbekämpningssamarbete kommer att förbli svårt tills det globala samfundet kollektivt åtar sig en uppsättning normer och standarder som definierar vilka typer av cyberattacker som faller inom det accepterade området för konkurrens mellan nationer, utan att ha en skadlig inverkan på det bredare civila samhället och näringslivet. 

3. Minska flödet av medel från offren 

Pengar är uppenbarligen en stor drivkraft för att begå ett brott och gärningsmannen behöver inte vänta på bankomaten längre. I en tidigare blogg nämnde vi redan att kryptovalutor hade hjälpt till att göra ransomware till en livskraftig affärsmodell för cyberbrottslighet. 

Att störa betalningskanalerna är därför ett effektivt, kanske till och med det enda effektiva, sättet att motverka cyberbrottslighet. Det finns tre breda hävstänger som kan användas för att strypa betalningsflödet, nämligen 

• Reglering av offrens betalningar
• Reglering av kryptovalutasystem och tjänsteleverantörer
• Reglering av cyberförsäkringar och betalningar

Ett lämpligt offer

RAT använder akronymen VIVA för att beskriva de faktorer som gör ett offer lämpligt: Value, Inertia, Visibility och Access. Alla dessa faktorer kan tillämpas på potentiella Cy-X-offer, till vilka vi lade till ytterligare ett V, nämligen Vulnerability.

Minska lämpligheten hos ett offer

Analyser av RAT med avseende på verkliga brott tyder på att det finns enkla rutinval som kan göra dig mindre sårbar för attacker. Ju mer sårbart offret är, desto mer sannolikt att gärningsmannen begår brottet. 

Följande steg kan vidtas för att minska offrets lämplighet i Cy-X baserat på VVIVA-variablerna:

1. Minska synligheten genom att minska attackytan
2. Minska sårbarheten genom att anpassa rutiner och förbättra säkerhetshygienen
3. Minska den tid som finns tillgänglig för en angripare efter en kompromiss genom upptäckt och engagemang för att minska tillgänglig åtkomst
4. Ökad tröghet genom kryptering, Digital Rights Management och honeytokens för att göra en digital tillgång svårare för en brottsling att flytta
5. Minska värdet av digitala tillgångar för offret genom att minska beroendet av tillgångar eller säkerställa motståndskraft genom säkerhetskopiering och återställningsprocesser

Avsaknad av kapabla förmyndare

Väktare enligt RAT-ramverket kan vara antingen en person eller ett objekt. Uppenbara väktare i den verkliga världen är polisen och låset på din ytterdörr. 

I cybersäkerhetsvärlden är det lätt att se en väktare som ett tekniskt instrument, t.ex. en brandvägg. Den säkerhetsteknik vi använder är analog med kontroller i den verkliga världen som grindar, lås och kameror. 

"Avsaknaden" av en lämplig förmyndare i det här fallet skulle kunna tyda på en bristfällig säkerhetskontroll, som patchhantering, men det kan också hänvisa till en brist på cybersäkerhetsexperter eller till vanliga människor som saknar den säkerhetskunskap och medvetenhet som krävs för att anses vara "kapabla".  

Förmyndarskap är nämligen mycket mer än teknik. Det omfattar även personer och grupper som agerar i en formell eller informell kapacitet.

Förbättring av lämpliga vårdnadshavare

För att stärka förmyndarskapet i cyberrymden måste vi ta hänsyn till den tekniska och den mänskliga faktorn.  

1. Uppskatta säkerhetsteknikens begränsade potential i den komplexa cyberrymden. De säkerhetstekniker som vi vanligtvis använder är bekvämt analoga med de kontroller vi använder i den fysiska världen. Komplexiteten i cyberrymden ökar dock exponentiellt och därför kan tekniken inte alltid uppfylla sin avsedda roll.  
2. Använd samhällets kraft i partnerskap med leverantörer av säkerhetstjänster och brottsbekämpande myndigheter. Förmyndarskapet måste först och främst komma från ett samhälle som vill skydda sig självt och som är villigt att investera direkt med tid och ansträngning för att göra det. Från denna plats av samhällscentrerat ledarskap kan partnerskap med brottsbekämpning och professionella tjänsteleverantörer växa fram, och däri ligger en särskild roll för säkerhetsbranschen.