Det kan være meget svært at skelne mellem statslige og private aktører i en cyberkrig. Nu har en ekspertgruppe under Nato udgivet et strategipapir, den såkaldte Tallinn-manual, hvor man forsøger at definere reglerne for en krig i cyberspace. Navnet er ikke tilfældigt; den estiske hovedstad Tallinn blev i 2007 ramt af et koordineret hacker-angreb fra Rusland.
Det menes at være det første rigtige eksempel på cyberkrig, selvom det aldrig blev bevist, om det var den russiske stat eller private hackere, der stod bag angrebet.
Et af de mest interessante afsnit i strategipapiret handler om "civil deltagelse i kamphandlinger" - altså hvornår civile hackere kan regnes som aktive krigsdeltagere.
I rapporten hedder det således (her gengivet på originalsproget): "Clearly, conducting cyber attacks related to an armed conflict qualifies as an act of direct participation"
Det kan eksempelvis være hacker-angreb mod fjendens militære installationer, men også DDoS (Distributed Denial of Service) angreb mod et helt land eller spredning af malware. Det gælder sandsynligvis også, selvom målet ikke primært er militært.
Ekspertgruppen er ikke helt enig om, hvorvidt det også skal gælde for tredjeparter, der stiller malware til rådighed.
Men strategipapiret slår fast, at det kan opfattes som et krigerisk handling, hvis man afslører sårbarheder i fjendens systemer.
Dermed bliver der givet grønt lys for angreb - også fysiske - på sådanne "hacktivister", der deltager i en konflikt.
Hvis der udbryder krig mellem to lande, og civile hackere i det ene land vælger at starte elektroniske angreb mod det andet, kan de altså risikere at blive udpeget som legitime angrebsmål.
I praksis kan det nok blive svært at kaste bomber mod civile, hvis de befinder sig i beboelsesområder.
Strategipapiret forbyder cyberangreb mod civile institutioner, hvis formålet kun er at "sprede terror i civilbefolkningen".,
