网络恐怖主义的演变、发展与治理
吴永辉
摘要：网络恐怖主义属于恐怖主义的类型之一，它是一种新的恐怖战术，而不是新的恐怖形式。它以网络为攻击对象、犯罪工具或战略资源使其区别于传统的恐怖主义；以政治诉求为最终目的使其区别于一般的黑客行为。它大致经历了从对象型到工具型再到空间型、从单向型到互动型再到交叉型的演变过程，这既与网络技术的变革同步，又与恐怖组织结构的变化相关。在网络科技发展日新月异和传统恐怖活动备受打压的双重背景下，网络恐怖主义的专业化水平提高、分散化趋势明显、隐蔽性日益增强。我国治理网络恐怖主义要根据不同的类型采取防、反相结合的技术手段，从动态视角促进相关法律规范之间的有效衔接，借助大數据技术构建立体联动的信息共享、信息联动等反恐工作机制。
关键词：网络恐怖主义；网络空间；国家安全；独狼式恐怖袭击
中图分类号：D914 文献标识码：A 文章编号：1673-8268（2018）02-0048-09
根据“互联网全球统计数据”（Internet worldStats）网站最新发布的报告显示，截止到2017年6月30日，全球网民规模达38.85亿，占全球人口的51.7%，从2000年到2017年不到二十年问，全球网民规模增长了976.4%。可见，网络已经成为人们日常生活中不可或缺的一部分。但是，网络是一柄双刃剑，它在为人们提供前所未有的便利的同时，也因其便捷性、跨界性、开放性等特点而深受犯罪分子的青睐。尤其是近年来，由于各国加大了对传统恐怖活动的打击力度，其生存空间受到挤压，恐怖分子转而将目光投向了网络，网络与恐怖主义的结合导致网络恐怖主义在全球范围内“异军突起”，并已严重危害到了网络安全与国家安全。因此，在网络恐怖主义频发，其危害性日渐凸显的时代背景下，如何认识和治理网络恐怖主义是一项重要课题。
一、必要的前提
定义是研究问题的逻辑起点和必要前提，研究网络恐怖主义首先必须准确界定网络恐怖主义，明确其内涵和外延，而网络恐怖主义属于恐怖主义的下位概念，因此，界定网络恐怖主义需要从恐怖主义的定义人手。目前，无论是立法上还是学理上，对恐怖主义的界定可谓众说纷纭、莫衷一是。归纳起来，争议主要集中在三个方面：第一，恐怖主义的目的是否必须限定为政治目的；第二，恐怖主义的手段是否必须为暴力手段；第三，恐怖活动是否必须具有计划性和组织性。
笔者认为，就目的而言，恐怖主义的目的具有层次性，其直接目的是通过暴力、恐吓、破坏等手段制造社会恐慌，但其最终指向的仍是政治诉求，政治指向性才是恐怖主义的本质所在。因为只有这样，才能将恐怖主义犯罪与恐怖型普通刑事犯罪区别开来，否则，就有泛化恐怖主义之嫌。就手段而言，传统的恐怖主义确实多采用暗杀、爆炸、劫持、绑架等暴力手段，但是，网络恐怖主义等新型恐怖主义的出现使恐怖主义的手段开始多样化，通过网络实施恐怖主义宣传、培训、招募、融资等活动愈发普遍。就计划性和组织性而言，由于早期的恐怖活动通常以发动大规模的恐怖袭击为目标，所以需要由等级分明、组织严密、分工明确的恐怖组织进行统一策划，然后交由恐怖分子具体实施，后者对前者具有强烈的人身依附性。但是，随着各国对恐怖组织打击力度的增强，其很难再发动有计划、有组织的大规模恐怖活动，由此催生了以分散性、随机性、突发性为特点的“独狼式恐怖袭击”。因此，恐怖主义是指，任何个人或组织在某种政治指向性理念的支配下，采用暴力或非暴力的手段制造社会恐慌，造成人员伤亡、财产损失等严重社会后果的行为。
具体到网络恐怖主义，最早对其作出界定的美国情报人员柏林·科林认为，网络恐怖主义是网络与恐怖主义相结合的产物，即由亚国家团体或秘密组织基于政治动机，有预谋地针对计算机信息系统、计算机程序或计算机数据实施的网络袭击。不难看出，早期的网络恐怖主义是以网络为攻击对象的网络恐怖袭击，但随着网络技术的不断发展，网络恐怖主义的范畴也不断扩张。例如，联合国反恐任务执行工作小组界定的网络恐怖主义包括四类：一是利用网络远程改变计算机系统信息或者干扰计算机系统之间的数据通信以实施恐怖袭击；二是基于恐怖活动的目的将网络作为信息资源进行使用；三是利用网络作为散播与恐怖活动目的相关信息的手段；四是为了支持用于追求或支持恐怖活动目的的联络或组织网络而使用网络。显然，除了作为对象型网络恐怖主义的网络恐怖袭击之外，网络恐怖主义还包括将网络作为犯罪工具或战略资源的工具型网络恐怖主义和空间型网络恐怖主义（下文将详细论述）。因此，网络恐怖主义是指，任何个人或组织在某种政治指向性理念的支配下，将网络作为攻击对象、犯罪工具或者战略资源所实施的，引发社会恐慌，造成人员伤亡、财产损失等严重社会后果的行为。
总体而言，网络恐怖主义属于恐怖主义的类型之一，它是一种“新的恐怖战术”，不是一种新的恐怖形式，其在性质上没有变化，只是在形式上有别于传统的恐怖主义。这种形式上的区别主要体现在三个方面：首先，传统的恐怖主义通常受制于特定的时空条件，而网络恐怖主义突破了时空条件的限制；其次，传统的恐怖主义通常表现为杀人、爆炸、绑架等硬暴力，而网络恐怖主义则主要表现为恐怖宣传、蛊惑、招募等软暴力；最后，传统的恐怖主义隐蔽性差，易于追查，而网络恐怖主义隐蔽性强，难以发现。此外，需要注意网络恐怖主义与基于网络的恐怖主义及黑客行为之间的关系。通常认为，基于网络的恐怖主义是指将网络作为犯罪工具的恐怖主义，其内涵和外延均小于网络恐怖主义。而黑客行为与网络恐怖主义既有联系也有区别。联系在于：二者都依赖网络技术，其中对象型网络恐怖主义和黑客行为均将特定网络作为攻击对象。区别在于：二者的目的不同，网络恐怖主义具有政治指向性，而黑客行为多出于经济目的（获取非法收入）或个人喜好（炫耀个人技能）。当然，如果黑客受雇于恐怖组织或恐怖分子实施网络攻击，其行为则会演变为网络恐怖主义。
综上所述，网络恐怖主义作为恐怖主义的类型之一，其以网络为攻击对象、犯罪工具或战略资源使其区别于传统的恐怖主义；以政治诉求为最终目的使其区别于一般的黑客行为；主要体现为工具型网络恐怖主义但还包括对象型和空间型网络恐怖主义使其区别于基于网络的恐怖主义。
二、网络恐怖主义的演变
（一）从对象型到工具型再到空间型
网络恐怖主义作为一种“新的恐怖战术”，其应用和发展在很大程度上依赖于网络技术。从这个意义上讲，网络恐怖主义实际上是网络技术的共生性产物，网络恐怖主义的演变过程实际上就是网络技术的发展过程。众所周知，自20世纪中期互联网产生以来，其大致经历了互联网1.0时代、2.0时代和3.0时代，与之相对，网络恐怖主义也大体经历了从对象型到工具型再到空间型的演变过程。
在互联网1.0时代，网络尚未普及，属于稀缺资源，其应用通常局限于科研、军事、金融、通信等重要领域。对当时的大多数人而言，网络蒙着一层神秘的面纱，这种技术神秘性在無形之中“刺激”了人们对网络的求知欲望，由此催生了以重要领域的网络设施为攻击对象的“黑客”行为。常见的黑客行为有两种：一是未经授权访问计算机程序和软件；二是未经授权的干扰，包括病毒（Vim-ses）、蠕虫（Worms）、逻辑炸弹和特洛伊木马（Logic Bombs&Trojan; Horses）、分布式拒绝服务（Distributed Denial of Service）。黑客攻击行为一旦得逞就会造成重大损失，如2000年爆发的“I LOVE YOU”蠕虫事件就造成了超过110亿美元的经济损失。正是由于黑客攻击具有强大的破坏力，恐怖分子也试图借助黑客技术对关键领域的网络设施发动恐怖袭击，如2001年美军在阿富汗查获的基地组织电脑中就发现了攻击水坝系统的模型和模拟失控灾难的软件。但是，对关键领域的网络设施发动攻击需要充足的网络资源和专门的技术人才，而恐怖分子当时并不具备这样的能力，加之黑客现象出现之后，各国逐步意识到网络安全的重要性，纷纷通过技术研发和升级提高了关键领域网络设施的防御水平，这使恐怖分子试图利用黑客技术对关键领域的网络设施发动攻击感到心有余而力不足。
进入互联网2.0时代，网络开始揭去神秘的面纱，谷歌、百度等网络搜索引擎开始走进了人们的日常生活，博客、SNS、QQ等社交网站和社交软件相继出现，这为人们获取信息和进行交流提供了渠道，进一步加速了网络的社会化进程。在这样的背景下，早先以关键领域的网络设施为攻击目标的网络恐怖主义由于受技术能力的限制开始“退而求其次”，转而利用网络为实施爆炸、暗杀、劫持等传统恐怖活动提供技术支持，以关键领域的网络设施为攻击目标的对象型恐怖主义开始转向以网络技术为犯罪工具的工具型恐怖主义。这主要表现为，通过网络搜索、收集情报信息，依靠社交网站或社交软件策划恐怖活动，传授制作爆炸装置、危险物品等的犯罪方法。例如，在2008年的孟买恐怖袭击事件中，恐怖分子就曾利用谷歌地图了解孟买的街道、建筑等布局情况，在2004年的马德里恐怖爆炸事件和2006年的莫斯科切尔基佐夫市场恐怖爆炸事件中，涉案恐怖分子都是通过互联网学习如何制作和引爆炸弹的。网络社会化程度的提高使网络不再是难以企及的稀缺资源，技术的革新更是使其具有其他工具难以比拟的安全性、隐蔽性和便捷性，对恐怖分子而言，网络技术的普及和应用可谓“如虎添翼”。
到了互联网3.0时代，网络开始由信息媒介向生活平台转变，电视网、互联网、移动通信网从“三网并存”走向“三网融合”，网络与现实世界的高度融合使其成为海、陆、空、天之外的“第五空间”。可以说，大到国家的政治、经济、文化，小到人们日常的学习、工作、生活，都离不开网络，网络空间已经成为现代社会不可分割的一部分。特别是推特（Twitter）、脸谱（Facebook）、优兔（YouTube）、微博、微信的兴起，使网络空间活动的参与主体日益多元化，普通公民的角色开始从“被动的”信息接受者转变为“主动的”信息发布者。网络不再是单纯的技术手段，而是重要的战略资源，谁主导了网络空间，谁就能在未来的竞争中取得话语权。恐怖分子正是看到了网络空间作为战略资源的重要性，开始自己组建网站或借助推特、脸谱等社交平台积极介入网络空间活动，通过宣扬恐怖思想、发布恐怖信息、招募恐怖分子、组织恐怖培训等行为扩大自己在网络空间的影响力，力图夺取网络空间舆论的主导权。也正因为如此，2016年12月27日，我国国家互联网信息办公室发布了《国家网络空间安全战略》，明确将网络空间安全提升到了国家安全的战略高度。
（二）从单向型到互动型再到交叉型
任何事物的产生都是内因和外因共同作用的结果，网络恐怖主义也不例外。作为网络与恐怖主义相结合的产物，网络恐怖主义的演变既受制于外部网络形态的发展，又与恐怖主义内部组织结构的变化息息相关。这是因为，恐怖主义的组织结构内嵌于恐怖活动，能够直接或竟接地影响或塑造恐怖分子的思维和行为方式。因此可以说，从对象型到工具型再到空问型的演变过程是从外部网络形态的角度对网络恐怖主义的考察，而从单向型到互动型再到交叉型的演变过程（见图1）则是从内部组织结构的角度对网络恐怖主义
在早期的恐怖活动中，网络的应用十分有限，除了与当时的网络技术门槛高、普及率低有关外，还与当时的恐怖组织结构密切相关。早期的恐怖组织结构属于金字塔型，领导层位于塔尖，管理层位于塔中，普通成员位于塔底，整个恐怖组织结构严密、等级分明、分工明确。为了加强对成员的管理和控制、精密策划大规模的恐怖袭击、确保领导层的安全，恐怖组织需要借助隐蔽性好、即时性强、安全性高的网络来满足和适应这种等级化管理的需求。因此，网络在此种类型的恐怖组织内部主要扮演了“联络人”的角色，即领导层通过网络向管理层下达指令，管理层根据指令进行具体策划，之后再通过网络向普通成员下达攻击指令。各等级之间实行“一对一”的单向联系，即使其中某个环节出现问题，对整个恐怖组织和恐怖活动的影响也十分有限。
然而，9·11事件发生之后，各国动用军事力量加大了对恐怖组织的打击力度，许多恐怖组织的领导层和核心力量受到重创，恐怖组织难以再集中力量策划和发动大规模的恐怖袭击。迫于巨大的反恐压力，恐怖组织开始化整为零、分散行动，频繁制造小规模的恐怖袭击。与之相适应，在恐怖组织内部，等级分明的金字塔型结构开始瓦解，恐怖组织的指挥体系开始由单中心主义向多中心主义转变，枝杈型组织结构开始出现。恐怖组织结构形态的变化既受到了网络技术革新的影响，同时也改变了网络在恐怖活动中的角色和地位。一方面，SNS、博客、论坛等交互式网络平台出现之后，底层的恐怖分子不必像以前一样只能“被动地”按照上级的指令开展恐怖活动，而是可以“主动地”与各自的负责人或其他成员直接进行沟通交流，形成了“一对多”的互动型沟通机制，机动性、灵活性显著增强；另一方面，在早期的金字塔型恐怖组织中，网络通常用于各等级之间进行单向联系，作用比较单一，但在枝杈型恐怖组织中，多中心主义的结构特点使网络的沟通渠道进一步畅通，具有互动性的网络恐怖宣传、策划、联络等功能被挖掘出来。
互动型网络恐怖主义虽然使恐怖分子之间的沟通渠道进一步畅通，但它通常以交互式网络平台为聚集中心，容易引起网络监管部门的注意，隐蔽性和安全性不高，一旦有违法犯罪行为就会遭到打击。然而，随着推特、脸谱、优兔、微博、微信等自媒体的兴起，任何人都可以通过网络随时随地与他人进行沟通交流，人们通过网络参与话题讨论和社会治理的门槛日益降低，网络的分散效应越来越明显，一个与现实社会并存的“网络社会”已然形成。在此背景下，处于任何阶层的恐怖分子都可以通过网络自媒体宣扬恐怖主义思想、实施恐怖活动培训、进行恐怖活动联络、影响潜在的恐怖分子，即使遭到网络监管部门的封号、删帖、屏蔽等技术打击，也能迅速转换身份获得“重生”。这就导致恐怖组织结构的中心化色彩逐步淡化，一种“多对多”的、去中心化的交叉型网络恐怖主义开始形成，显然，网络在其中将会扮演更重要的角色，发挥无可替代的作用。
三、网络恐怖主义的发展
（一）专业化水平提高
网络恐怖主义的专业化主要体现在两个方面：主体的专业化和手段的专业化。所谓主体的专业化，是指专门从事网络恐怖活动的恐怖组织开始出现，其中既有隶属于一般恐怖组织的共生型网络恐怖组织，也有不属于任何恐怖组织的独立型网络恐怖组织。例如，2014年由英国青年朱奈德·侯赛因建立的“网络哈里发”就是隶属于“伊斯兰国”恐怖组织的黑客机构，该机构于2016年4月联合“哈里发军之子”和Kalacnikov.TN等其他网络恐怖组织成立了“联合网络哈里发”，专门从事网络恐怖活动；2015年1月，基地组织宣布成立“基地电子军”，该组织成立之后多次对美国陆军网站及美国政府、金融、电力等部门的网站发动网络攻击；在我国认定的第一批恐怖组织中，“东突厥斯坦新闻信息中心”是一个独立型网络恐怖组织，该组织旨在我国境内发展网络，以此策划恐怖活动，进行“圣战”宣传。专门网络恐怖组织的出现，表明恐怖分子已经认识到网络不再是纯粹的技术手段，而是重要的战略资源，只有掌握了网络主导权，才能在未来的恐怖活动中“出奇制胜”。
网络恐怖主义主体专业化程度的提高使恐怖组织的技术实力大大增强，从而推动网络恐怖主义的犯罪手段向智能化、高端化、集成化方向发展。例如，就网络宣传来说，恐怖组织“伊斯兰国”专门开发了自己的社交软件“Alwari”，建立了自己的互联网宣传中心Alhayat Media Center，创办了网络在线周刊《伊斯兰共和国》；就网络攻击来说，恐怖分子除了运用震网病毒、系统漏洞、僵尸网页等传统的网络攻击手段外，还开始利用电磁脉冲炸弹（Electromagnetic Pulse Bombs）、高能电波频武器（High-energy Radio Frequency Weapons）、逻辑炸弹（Logic Bomb）等新型网络攻击手段，这使反恐部门事前难以防范、事中难以应对、事后难以侦破；就网络联络来说，恐怖分子为了避开情报部门的追踪，一般不使用商业加密软件，而是使用没有“后门”开放数据源的加密软件，除了加密技术之外，信息隐藏技术也被网络恐怖分子广泛应用，而目前并没有破解该技术的有效手段。
（二）分散化趋势明显
在传统恐怖活动备受打压和网络科技发展日新月异的双重背景下，网络恐怖主义呈现分散化既是恐怖组织的无奈之举，也是主动选择，其主要体现在两个方面：主体的分散化和行动的分散化。“基地”组织、“伊斯兰国”等国际恐怖组织在遭到各国军事力量的严厉打击后，开始通过网络在全球招募“圣战”分子，来自世界各地的“草根圣战士”纷纷涌入伊拉克、叙利亚等地参加培训或战斗，尔后返回母国发动本土恐怖袭击。这些所谓的“草根圣战士”通常隐匿民间，虽然不属于任何恐怖组织，但却认同恐怖主义理念。例如，加拿大公共安全与应急部门发布的《对加拿大恐怖主义威胁的公开报告》显示，超过130名加拿大本土极端分子奔赴叙利亚、索马里、伊拉克、阿富汗等冲突地区参与“涉恐”活动，包括参加恐怖培训、进行筹款、宣扬恐怖主义思想，之后回国实施暴恐行为。这表明，恐怖分子的身份认同已由原来的“组织认同”开始转向“理念认同”，即凡是认同恐怖主义理念的都属于“圣战分子”，都有权发动“圣战”。这一方面为国际恐怖组织源源不断地输送了有生力量，另一方面催生了网络恐怖主义“独狼”，导致网络恐怖主义行动的分散化。
从2009年的胡德堡军事基地枪击案，到2011年的挪威“7·22”恐怖袭击案，再到2013年的波士顿马拉松爆炸案，小型化、突发性的“独狼式”恐怖袭击可谓“遍地开花”，已经成为一种新型的、非传统的安全威胁。这主要是因为：首先，随着网络科技的飞速发展和日益革新，人们可以通过网络平台或社交媒体轻易获得各种极端信息，结识恐怖行动伙伴，学习如何发动恐怖袭击，这就导致新一代网络“圣战”分子——“独狼”肆虐；其次，相比于传统的大规模恐怖袭击需要耗费巨大的人力、物力、财力和时间成本，“独狼式”恐怖袭击的成本更低、安全性更高；最后，这类恐怖分子一般具有相应的社会身份，不依赖特定的恐怖组织，不属于情报部门的监控对象，他们发动恐怖袭击往往具有随机性，事前难以防范，事后难以追捕，使反恐部门不胜其扰。
（三）隐蔽性日益增强
在传统恐怖活动中，恐怖分子在发动恐怖袭击之前为了保险起见，通常会制定严格的保密规则，采用特殊的语言符号进行沟通，以确保恐怖活动在“无形”之中进行，网络的出现和普及使得网络恐怖主义隐蔽性更强。一方面，相比于传统的恐怖活动，网络恐怖主义没有固定的组织形态，恐怖分子在开展恐怖活动之前不需要专门进行人员安排、任务分配、武器派发等大规模的准备工作，这就大大降低了被反恐侦查部门发现的风险，而且恐怖分子在网络中通常会使用呢称或化名并隐藏于海量的普通网民中，以此来掩饰自己的真实身份，这使反恐侦查部门难以实施有效的追踪；另一方面，虽然随着网络技术的发展，网络空問再造了一个生活、工作平台，传统意义上的“场域”也延伸至网络，并由此形成了“双层社会”，但是，网络空间毕竟与现实空间不同，其缺乏实体性。这就意味着发生在网络空间的恐怖主义犯罪不存在人、事、物构成的实体犯罪现场，因此，反恐侦查部门往往只能追踪到相应的IP地址，而难以进一步查获犯罪人。
网络恐怖主义的隐蔽性与网络的匿名性直接相关，这种匿名性包括技术匿名性和社会匿名性。所谓技术匿名性，是指在网络交流过程中除去所有和身份相关的信息。以网络联络为例，恐怖分子为了躲避反恐侦查部门的追踪，通常会使用WhatsApp、Signal、SnapChat等难以对其内容进行解读的加密通信软件和类似于“阅后即焚”（信息在传输完成后自动销毁）的加密技术，这样可以最大限度地防止信息泄露。所谓社会匿名性，是指由于缺乏相关线索，无法将某个身份与特定的个体相对应，“在互联网上，没有人知道你是一条狗”便是这种情形的真实写照。对此，有学者提出，可以借鉴韩国实行网络实名制，要求每位网民以自己的真实姓名、家庭地址等个人信息进行实名登记，否则将面临行政处罚，以确保能够通过网络追溯其人。但是，韩国自2007年全面推行网络实名制以来，发生过严重的信息外泄事件，宪法法院已在2012年以网络实名制侵犯了宪法确立的表达自由权为由将其废止。笔者认为，匿名性是网络的天然属性，其背后承载着公民自由表达的权利诉求，推行网络实名制必须平衡好打击违法犯罪与保障公民权利之间的关系，试图推行彻底的网络实名制并不可行，也正因为如此，我国实行的是“前台匿名、后台实名”的网络实名制。
四、网络恐怖主义的治理
（一）技术手段要防反结合
从行为样态的角度看，网络恐怖主义主要包括网络宣传、网络招募、网络培训、网络融资、网络联络、网络策划、网络袭击和情报搜集。无论是网络融资、网络策划等工具型网络恐怖主义，还是网络袭击等对象型网络恐怖主义，抑或是网络宣传、网络招募等空间型网络恐怖主义，都离不开网络技术的支持。从这个角度来讲，所有的网络恐怖主义实际上都是“网络技术型”恐怖主义，网络恐怖主义与反恐怖主义之间的较量本质上是一场网络技术之间的对抗，因此，技术措施是治理网络恐怖主义的核心。然而，近年来，国际社会治理网络恐怖主义的行动就像“打鼹鼠”游戏一般，基本上属于被动防御，往往被恐怖分子牵着鼻子走。笔者认为，治理网络恐怖主义不能一味地强调防御，还要适时反击，做到防反结合。一般来说，治理工具型网络恐怖主义和空间型网络恐怖主义主要采取反击措施，治理对象型网络恐怖主义主要采取防御措施。
以“独狼式”恐怖袭击为例，其频发的重要原因之一在于，恐怖组织通过建立专门的宣传网站，利用公共社交网络媒体，借助信息共享平台宣扬恐怖主义思想，发布恐怖音视频，鼓动隐藏在各地的极端分子发动恐怖袭击，积极开展“网络宣传战”和“网络心理战”。而目前反恐部门的应对措施主要是删帖、封号、屏蔽、关闭网站，这些措施大都属于事后的被动防御，应急色彩明显，效果并不理想。例如，在我国，恐怖分子为了谋求同情和支持，经常打出“宗教自由”“民族独立”“人权至上”等宣传口号，为了煽动宗教狂热，通常歪曲宗教教义，为了制造民族冲突，往往肆意挑拨少数民族与汉族之间的关系。对此，如果只是一味地删帖、封号、屏蔽，反而会予人口实。因此，应当转变思路，变事后的被动防御为事前的主动出击。关键要加强网络阵地建设，引导舆论方向，充分利用领网主权，抢占网络舆论阵地，要做到“先声夺人”，旗帜鲜明地揭露恐怖主义反文明、反人类、反科学的虚伪本质，使广大人民群众能够认清其真实面目和巨大危害，只有这样，才能自觉抵制网络恐怖主义宣传的蛊惑。
除了采取必要的反击措施外，还要加强对军事、能源、电力、通信等关系到国计民生的关键领域网络设施的防御和保护，这些领域一旦遭到网络恐怖攻击，后果将不堪设想。虽然早期的对象型网络恐怖主义因自身技术能力的不足而未能对关键领域的网络设施发动过有效的恐怖袭击，但是，这并不意味着恐怖分子放弃了这一具有巨大破坏力的恐怖袭击手段。而且随着网络技术的飞速发展，恐怖分子发动网络恐怖袭击的技术能力大大提高，关键领域网络设施遭受网络恐怖袭击的风险越来越大。因此，必须采取升级防火墙、分级授权、数字签名等多种技术手段保障关键领域网络设施的安全。除此之外，加强网络防御还要注重对重要信息数据的保护。2017年5月，一场勒索病毒网络攻击在全球肆虐，至少有150个国家、30万网络用户“中招”，造成了高达80亿美元的损失。事后调查显示，这种勒索病毒是由美国国家安全局（NSA）泄露的网络武器“永恒之蓝”（Eternal Blue）传播的。试想，一旦类似领域的信息数据被恐怖分子获取，发动大规模的网络恐怖袭击指日可待。因此，必须加强数据防攻击、防泄露、防窃取等安全防护体系建设，同时推动数据脱敏、数据审计、数据备份等技术在数据安全保护方面的增强应用。
（二）法律规范要有效衔接
制定相应的法律规范是国际社会和各国治理网络恐怖主义的重要举措，例如，欧盟的《网络犯罪公约》、美国的《爱国者法》、英国的《反恐怖主义法》中都有关于治理网络恐怖主义的规定。就我国而言，在2015年之前，关于治理网络恐怖主义的法律规范基本上处于“空白”状态，在2015年之后，随着《刑法修正案（九）》（以下简称《修九》）、《反恐法》和《网络安全法》的相继出台，我国治理网络恐怖主义的法律体系已经初具规模。例如，在《修九》出台之前，我国用于规制网络恐怖主义的罪名主要是破坏计算机信息系统罪，对于恐怖分子利用网络进行恐怖主义宣传、策划，实施恐怖活动培训、联络，以及网络服务提供商不履行相应的安全管理义务等行为，刑法显得“捉襟见肘”。《修九》新增了准备实施恐怖活动罪，宣扬恐怖主义、极端主义、煽动实施恐怖活动罪，拒不履行信息网络安全管理义务罪，非法利用信息网络罪，帮助信息网络犯罪活动罪等罪名，这有效弥补了刑法治理网络恐怖主义犯罪的缺陷。《反恐法》和《网络安全法》虽然没有专门对网络恐怖主义做出规定，但通过扩展适用完全可以将网络恐怖主义纳入其规制范围。
问题的关键在于，相关法律规范之间未能实现有效衔接。例如，《修九》在恐怖主义犯罪之外新增了极端主义犯罪，《反恐法》在不同条文中也使用了恐怖主义、极端主义的表述，但《反恐法》只对恐怖主义做了界定，未对极端主义做出界定，如何对二者进行区分不得而知。这就导致司法机关在办理相关案件时产生如何适用罪名的困惑，即应当认定为恐怖主义犯罪还是极端主义犯罪。以宣扬恐怖主义、极端主义为例，司法部门对于类似的案件有的认定为宣扬恐怖主义罪，有的认定为宣扬极端主义罪，还有的干脆不做区分，直接认定为宣扬恐怖主义、极端主义罪。或许有人认为，该罪名属于选择性罪名，择一适用还是综合适用没有多大区别，但笔者并不这样认为，因为根据我国《刑事诉讼法》以及《刑法》的相关规定，恐怖主义犯罪案件在法院管辖权的确立、技术侦查措施的使用、违法所得没收程序的适用、特殊累犯和洗钱罪的认定上均不同于普通案件，如果將应当认定为极端主义犯罪的案件认定为恐怖主义犯罪或者相反，都会在无形之中影响犯罪人的诉讼权利和实体权利。笔者认为，是否具有政治指向性是二者之间的本质区别，即恐怖主义以政治指向性为必要要件，可以以此为标准在《反恐法》中以例举+兜底的方式分别对恐怖主义和极端主义做出界定，为司法机关适用相关罪名提供必要的参考和借鉴。
再如，《修九》增设了拒不履行信息网络安全管理义务罪，该罪在构成要件的设计上强调“行政处理”的优先性，即先由监管部门责令改正，拒不改正的才可能构成犯罪，这与《网络安全法》关于网络运营者不履行相应的安全保护义务而由主管部门责令改正的规定刚好衔接。但是，根据《网络安全法》第七十六条的规定，网络运营者包括网络的所有者、管理者和网络服务提供者，而拒不履行信息网络安全管理义务罪的主体却仅为网络服务提供者。然而，无论是网络服务提供者还是网络的所有者、管理者，其拒不履行信息网络安全管理义务所造成的法益侵害大体是相当的。从刑行主体衔接的角度看，拒不履行信息网络安全管理义务罪的主体应当是包括网络服务提供者、网络的所有者和管理者在内的网络运营者。因此，应当将拒不履行信息网络安全管理义务罪的主体扩展为网络运营者，这样才能和《网络安全法》的规定相衔接。由此可见，虽然我国关于治理网络恐怖主义的法律规范实现了从“无”到“有”，但远未达到“优”的程度，其主要问题就在于法律规范之间缺乏有效的衔接。总体而言，笔者认为，对法律规范之间的有效衔接要进行动态考察。在立法调研阶段，要统筹考虑所有相关的法律规范，防止遗漏；在立法起草阶段，要邀请相关领域的专家进行充分论证，提出法律衔接的方案；在立法出台之后，要及时进行法律适用评估，发现并解决法律规范之间不衔接的问题。
（三）工作机制要立体联动
网络恐怖主义的治理是一项综合的系统工程，除了采取必要的技术手段和完善相关的法律规范之外，还要構建起一套立体联动的工作机制，只有这样，才能确保网络恐怖主义治理工作的有效推进。众所周知，网络恐怖主义的治理涉及到公安、网信、金融、军事、司法等各个部门，无论是事前预警，还是事中处置，抑或是事后安抚，都需要各部门之间协调联动、互通有无，形成一个立体、动态的防控处置体系。以美国为例，其基本上形成了以总统为核心的反恐工作机制，具体而言，总统网络空间安全顾问、总统国家安全通信咨询委员会、总统信息安全政策委员会、总统关键基础设施保护委员会等咨询机构和直属委员会负责为总统决策提出建议，国土安全部负责危机处理，联邦调查局负责监控，国家安全局负责联邦政府专用信息网络的安全，国家标准与技术局负责非保密信息系统的信息安全，国家计算机应急处理小组协调中心负责军方、政府、高校、企业之间的联络以及加强各部门之间的协调。
反观我国，在《反恐法》《网络安全法》出台之前，治理网络恐怖主义的工作机制存在着各自为战、缺乏统筹、被动防御、效率低下等问题，虽然《反恐法》《网络安全法》的出台在一定程度上解决了上述问题，但在工作机制的联动协调和立体建构方面仍有进一步完善的空间。例如，根据《反恐法》第七条的规定，由国家设立专门的反恐工作领导机构，统一领导、指挥全国的反恐工作，而根据《网络安全法》第八条的规定，由国家网信部门负责统筹协调网络安全工作。当发生网络恐怖主义事件时，就会产生国家反恐工作领导机构与网信部门之间如何协调的问题，如果领导机构不统一，那么很容易分散网络反恐力量，导致难以形成合力打击网络恐怖主义的结果。同样的问题也存在于各职能部门之间的协调联动上，例如，当发生网络恐怖宣传事件时，网信部门如何及时通报网络运营者采取技术手段限制传播，公安部门在采取相应的技术侦查手段时如何要求网信部门、网络运营者提供技术支持，网络运营者在按照要求采取技术手段处理突发事件时如何就保存、移送相关的证据材料与公安部门进行沟通协调等等。
那么，如何在各部门之间构建起一套联动协调、立体动态的工作机制。《反恐法》第六章和《网络安全法》第五章虽然专门就恐怖事件和网络安全事件的应急处置做了规定，但大都比较原则、笼统，对各部门之间工作运行机制的建构并未涉及。笔者认为，在大数据时代背景下，要善于利用大数据技术构建网络反恐的工作运行机制，主要包括信息共享机制和信息联动机制。当发生网络恐怖事件时，各部门可以实时在信息共享平台发布各自获取的情报信息，信息共享平台在对情报信息进行分析、处理之后及时反馈给各部门，使各部门之间能够真正实现信息共享。同时，各部门可以通过信息联动机制进行同步沟通，实现无缝对接，这样一来，各部门分工负责、相互配合，能够最大限度地保证网络反恐工作机制的高效运行。
著名作家查尔斯·狄更斯在其传世之作《双城记》的开头说：“这是一个最好的时代，这是一个最坏的时代”，用这句话来形容当下的网络时代可谓恰如其分。因为在这样一个时代，网络既能成为推动社会发展的“加速器”，也能成为恐怖分子手中的“杀手锏”，网络与恐怖主义的结合使恐怖主义实现了“跨越式”发展。网络恐怖主义大致经历了从对象型到工具型再到空间型、从单向型到互动型再到交叉型的演变过程，并进一步向专业化、分散化、隐蔽性方向发展。作为国际互联网治理体系的重要组成部分，我国网络恐怖主义的治理必须在“多边、民主、透明”的互联网治理原则的指导下，采取防反结合的技术手段，实现法律规范之间的有效衔接，构建立体联动的工作机制，唯有如此，才能有效遏制和打击网络恐怖主义。
（编辑：刘仲秋）
摘要：网络恐怖主义属于恐怖主义的类型之一，它是一种新的恐怖战术，而不是新的恐怖形式。它以网络为攻击对象、犯罪工具或战略资源使其区别于传统的恐怖主义；以政治诉求为最终目的使其区别于一般的黑客行为。它大致经历了从对象型到工具型再到空间型、从单向型到互动型再到交叉型的演变过程，这既与网络技术的变革同步，又与恐怖组织结构的变化相关。在网络科技发展日新月异和传统恐怖活动备受打压的双重背景下，网络恐怖主义的专业化水平提高、分散化趋势明显、隐蔽性日益增强。我国治理网络恐怖主义要根据不同的类型采取防、反相结合的技术手段，从动态视角促进相关法律规范之间的有效衔接，借助大數据技术构建立体联动的信息共享、信息联动等反恐工作机制。
关键词：网络恐怖主义；网络空间；国家安全；独狼式恐怖袭击
中图分类号：D914 文献标识码：A 文章编号：1673-8268（2018）02-0048-09
根据“互联网全球统计数据”（Internet worldStats）网站最新发布的报告显示，截止到2017年6月30日，全球网民规模达38.85亿，占全球人口的51.7%，从2000年到2017年不到二十年问，全球网民规模增长了976.4%。可见，网络已经成为人们日常生活中不可或缺的一部分。但是，网络是一柄双刃剑，它在为人们提供前所未有的便利的同时，也因其便捷性、跨界性、开放性等特点而深受犯罪分子的青睐。尤其是近年来，由于各国加大了对传统恐怖活动的打击力度，其生存空间受到挤压，恐怖分子转而将目光投向了网络，网络与恐怖主义的结合导致网络恐怖主义在全球范围内“异军突起”，并已严重危害到了网络安全与国家安全。因此，在网络恐怖主义频发，其危害性日渐凸显的时代背景下，如何认识和治理网络恐怖主义是一项重要课题。
一、必要的前提
定义是研究问题的逻辑起点和必要前提，研究网络恐怖主义首先必须准确界定网络恐怖主义，明确其内涵和外延，而网络恐怖主义属于恐怖主义的下位概念，因此，界定网络恐怖主义需要从恐怖主义的定义人手。目前，无论是立法上还是学理上，对恐怖主义的界定可谓众说纷纭、莫衷一是。归纳起来，争议主要集中在三个方面：第一，恐怖主义的目的是否必须限定为政治目的；第二，恐怖主义的手段是否必须为暴力手段；第三，恐怖活动是否必须具有计划性和组织性。
笔者认为，就目的而言，恐怖主义的目的具有层次性，其直接目的是通过暴力、恐吓、破坏等手段制造社会恐慌，但其最终指向的仍是政治诉求，政治指向性才是恐怖主义的本质所在。因为只有这样，才能将恐怖主义犯罪与恐怖型普通刑事犯罪区别开来，否则，就有泛化恐怖主义之嫌。就手段而言，传统的恐怖主义确实多采用暗杀、爆炸、劫持、绑架等暴力手段，但是，网络恐怖主义等新型恐怖主义的出现使恐怖主义的手段开始多样化，通过网络实施恐怖主义宣传、培训、招募、融资等活动愈发普遍。就计划性和组织性而言，由于早期的恐怖活动通常以发动大规模的恐怖袭击为目标，所以需要由等级分明、组织严密、分工明确的恐怖组织进行统一策划，然后交由恐怖分子具体实施，后者对前者具有强烈的人身依附性。但是，随着各国对恐怖组织打击力度的增强，其很难再发动有计划、有组织的大规模恐怖活动，由此催生了以分散性、随机性、突发性为特点的“独狼式恐怖袭击”。因此，恐怖主义是指，任何个人或组织在某种政治指向性理念的支配下，采用暴力或非暴力的手段制造社会恐慌，造成人员伤亡、财产损失等严重社会后果的行为。
具体到网络恐怖主义，最早对其作出界定的美国情报人员柏林·科林认为，网络恐怖主义是网络与恐怖主义相结合的产物，即由亚国家团体或秘密组织基于政治动机，有预谋地针对计算机信息系统、计算机程序或计算机数据实施的网络袭击。不难看出，早期的网络恐怖主义是以网络为攻击对象的网络恐怖袭击，但随着网络技术的不断发展，网络恐怖主义的范畴也不断扩张。例如，联合国反恐任务执行工作小组界定的网络恐怖主义包括四类：一是利用网络远程改变计算机系统信息或者干扰计算机系统之间的数据通信以实施恐怖袭击；二是基于恐怖活动的目的将网络作为信息资源进行使用；三是利用网络作为散播与恐怖活动目的相关信息的手段；四是为了支持用于追求或支持恐怖活动目的的联络或组织网络而使用网络。显然，除了作为对象型网络恐怖主义的网络恐怖袭击之外，网络恐怖主义还包括将网络作为犯罪工具或战略资源的工具型网络恐怖主义和空间型网络恐怖主义（下文将详细论述）。因此，网络恐怖主义是指，任何个人或组织在某种政治指向性理念的支配下，将网络作为攻击对象、犯罪工具或者战略资源所实施的，引发社会恐慌，造成人员伤亡、财产损失等严重社会后果的行为。
总体而言，网络恐怖主义属于恐怖主义的类型之一，它是一种“新的恐怖战术”，不是一种新的恐怖形式，其在性质上没有变化，只是在形式上有别于传统的恐怖主义。这种形式上的区别主要体现在三个方面：首先，传统的恐怖主义通常受制于特定的时空条件，而网络恐怖主义突破了时空条件的限制；其次，传统的恐怖主义通常表现为杀人、爆炸、绑架等硬暴力，而网络恐怖主义则主要表现为恐怖宣传、蛊惑、招募等软暴力；最后，传统的恐怖主义隐蔽性差，易于追查，而网络恐怖主义隐蔽性强，难以发现。此外，需要注意网络恐怖主义与基于网络的恐怖主义及黑客行为之间的关系。通常认为，基于网络的恐怖主义是指将网络作为犯罪工具的恐怖主义，其内涵和外延均小于网络恐怖主义。而黑客行为与网络恐怖主义既有联系也有区别。联系在于：二者都依赖网络技术，其中对象型网络恐怖主义和黑客行为均将特定网络作为攻击对象。区别在于：二者的目的不同，网络恐怖主义具有政治指向性，而黑客行为多出于经济目的（获取非法收入）或个人喜好（炫耀个人技能）。当然，如果黑客受雇于恐怖组织或恐怖分子实施网络攻击，其行为则会演变为网络恐怖主义。
综上所述，网络恐怖主义作为恐怖主义的类型之一，其以网络为攻击对象、犯罪工具或战略资源使其区别于传统的恐怖主义；以政治诉求为最终目的使其区别于一般的黑客行为；主要体现为工具型网络恐怖主义但还包括对象型和空间型网络恐怖主义使其区别于基于网络的恐怖主义。
二、网络恐怖主义的演变
（一）从对象型到工具型再到空间型
网络恐怖主义作为一种“新的恐怖战术”，其应用和发展在很大程度上依赖于网络技术。从这个意义上讲，网络恐怖主义实际上是网络技术的共生性产物，网络恐怖主义的演变过程实际上就是网络技术的发展过程。众所周知，自20世纪中期互联网产生以来，其大致经历了互联网1.0时代、2.0时代和3.0时代，与之相对，网络恐怖主义也大体经历了从对象型到工具型再到空间型的演变过程。
在互联网1.0时代，网络尚未普及，属于稀缺资源，其应用通常局限于科研、军事、金融、通信等重要领域。对当时的大多数人而言，网络蒙着一层神秘的面纱，这种技术神秘性在無形之中“刺激”了人们对网络的求知欲望，由此催生了以重要领域的网络设施为攻击对象的“黑客”行为。常见的黑客行为有两种：一是未经授权访问计算机程序和软件；二是未经授权的干扰，包括病毒（Vim-ses）、蠕虫（Worms）、逻辑炸弹和特洛伊木马（Logic Bombs&Trojan; Horses）、分布式拒绝服务（Distributed Denial of Service）。黑客攻击行为一旦得逞就会造成重大损失，如2000年爆发的“I LOVE YOU”蠕虫事件就造成了超过110亿美元的经济损失。正是由于黑客攻击具有强大的破坏力，恐怖分子也试图借助黑客技术对关键领域的网络设施发动恐怖袭击，如2001年美军在阿富汗查获的基地组织电脑中就发现了攻击水坝系统的模型和模拟失控灾难的软件。但是，对关键领域的网络设施发动攻击需要充足的网络资源和专门的技术人才，而恐怖分子当时并不具备这样的能力，加之黑客现象出现之后，各国逐步意识到网络安全的重要性，纷纷通过技术研发和升级提高了关键领域网络设施的防御水平，这使恐怖分子试图利用黑客技术对关键领域的网络设施发动攻击感到心有余而力不足。
进入互联网2.0时代，网络开始揭去神秘的面纱，谷歌、百度等网络搜索引擎开始走进了人们的日常生活，博客、SNS、QQ等社交网站和社交软件相继出现，这为人们获取信息和进行交流提供了渠道，进一步加速了网络的社会化进程。在这样的背景下，早先以关键领域的网络设施为攻击目标的网络恐怖主义由于受技术能力的限制开始“退而求其次”，转而利用网络为实施爆炸、暗杀、劫持等传统恐怖活动提供技术支持，以关键领域的网络设施为攻击目标的对象型恐怖主义开始转向以网络技术为犯罪工具的工具型恐怖主义。这主要表现为，通过网络搜索、收集情报信息，依靠社交网站或社交软件策划恐怖活动，传授制作爆炸装置、危险物品等的犯罪方法。例如，在2008年的孟买恐怖袭击事件中，恐怖分子就曾利用谷歌地图了解孟买的街道、建筑等布局情况，在2004年的马德里恐怖爆炸事件和2006年的莫斯科切尔基佐夫市场恐怖爆炸事件中，涉案恐怖分子都是通过互联网学习如何制作和引爆炸弹的。网络社会化程度的提高使网络不再是难以企及的稀缺资源，技术的革新更是使其具有其他工具难以比拟的安全性、隐蔽性和便捷性，对恐怖分子而言，网络技术的普及和应用可谓“如虎添翼”。
到了互联网3.0时代，网络开始由信息媒介向生活平台转变，电视网、互联网、移动通信网从“三网并存”走向“三网融合”，网络与现实世界的高度融合使其成为海、陆、空、天之外的“第五空间”。可以说，大到国家的政治、经济、文化，小到人们日常的学习、工作、生活，都离不开网络，网络空间已经成为现代社会不可分割的一部分。特别是推特（Twitter）、脸谱（Facebook）、优兔（YouTube）、微博、微信的兴起，使网络空间活动的参与主体日益多元化，普通公民的角色开始从“被动的”信息接受者转变为“主动的”信息发布者。网络不再是单纯的技术手段，而是重要的战略资源，谁主导了网络空间，谁就能在未来的竞争中取得话语权。恐怖分子正是看到了网络空间作为战略资源的重要性，开始自己组建网站或借助推特、脸谱等社交平台积极介入网络空间活动，通过宣扬恐怖思想、发布恐怖信息、招募恐怖分子、组织恐怖培训等行为扩大自己在网络空间的影响力，力图夺取网络空间舆论的主导权。也正因为如此，2016年12月27日，我国国家互联网信息办公室发布了《国家网络空间安全战略》，明确将网络空间安全提升到了国家安全的战略高度。
（二）从单向型到互动型再到交叉型
任何事物的产生都是内因和外因共同作用的结果，网络恐怖主义也不例外。作为网络与恐怖主义相结合的产物，网络恐怖主义的演变既受制于外部网络形态的发展，又与恐怖主义内部组织结构的变化息息相关。这是因为，恐怖主义的组织结构内嵌于恐怖活动，能够直接或竟接地影响或塑造恐怖分子的思维和行为方式。因此可以说，从对象型到工具型再到空问型的演变过程是从外部网络形态的角度对网络恐怖主义的考察，而从单向型到互动型再到交叉型的演变过程（见图1）则是从内部组织结构的角度对网络恐怖主义
在早期的恐怖活动中，网络的应用十分有限，除了与当时的网络技术门槛高、普及率低有关外，还与当时的恐怖组织结构密切相关。早期的恐怖组织结构属于金字塔型，领导层位于塔尖，管理层位于塔中，普通成员位于塔底，整个恐怖组织结构严密、等级分明、分工明确。为了加强对成员的管理和控制、精密策划大规模的恐怖袭击、确保领导层的安全，恐怖组织需要借助隐蔽性好、即时性强、安全性高的网络来满足和适应这种等级化管理的需求。因此，网络在此种类型的恐怖组织内部主要扮演了“联络人”的角色，即领导层通过网络向管理层下达指令，管理层根据指令进行具体策划，之后再通过网络向普通成员下达攻击指令。各等级之间实行“一对一”的单向联系，即使其中某个环节出现问题，对整个恐怖组织和恐怖活动的影响也十分有限。
然而，9·11事件发生之后，各国动用军事力量加大了对恐怖组织的打击力度，许多恐怖组织的领导层和核心力量受到重创，恐怖组织难以再集中力量策划和发动大规模的恐怖袭击。迫于巨大的反恐压力，恐怖组织开始化整为零、分散行动，频繁制造小规模的恐怖袭击。与之相适应，在恐怖组织内部，等级分明的金字塔型结构开始瓦解，恐怖组织的指挥体系开始由单中心主义向多中心主义转变，枝杈型组织结构开始出现。恐怖组织结构形态的变化既受到了网络技术革新的影响，同时也改变了网络在恐怖活动中的角色和地位。一方面，SNS、博客、论坛等交互式网络平台出现之后，底层的恐怖分子不必像以前一样只能“被动地”按照上级的指令开展恐怖活动，而是可以“主动地”与各自的负责人或其他成员直接进行沟通交流，形成了“一对多”的互动型沟通机制，机动性、灵活性显著增强；另一方面，在早期的金字塔型恐怖组织中，网络通常用于各等级之间进行单向联系，作用比较单一，但在枝杈型恐怖组织中，多中心主义的结构特点使网络的沟通渠道进一步畅通，具有互动性的网络恐怖宣传、策划、联络等功能被挖掘出来。
互动型网络恐怖主义虽然使恐怖分子之间的沟通渠道进一步畅通，但它通常以交互式网络平台为聚集中心，容易引起网络监管部门的注意，隐蔽性和安全性不高，一旦有违法犯罪行为就会遭到打击。然而，随着推特、脸谱、优兔、微博、微信等自媒体的兴起，任何人都可以通过网络随时随地与他人进行沟通交流，人们通过网络参与话题讨论和社会治理的门槛日益降低，网络的分散效应越来越明显，一个与现实社会并存的“网络社会”已然形成。在此背景下，处于任何阶层的恐怖分子都可以通过网络自媒体宣扬恐怖主义思想、实施恐怖活动培训、进行恐怖活动联络、影响潜在的恐怖分子，即使遭到网络监管部门的封号、删帖、屏蔽等技术打击，也能迅速转换身份获得“重生”。这就导致恐怖组织结构的中心化色彩逐步淡化，一种“多对多”的、去中心化的交叉型网络恐怖主义开始形成，显然，网络在其中将会扮演更重要的角色，发挥无可替代的作用。
三、网络恐怖主义的发展
（一）专业化水平提高
网络恐怖主义的专业化主要体现在两个方面：主体的专业化和手段的专业化。所谓主体的专业化，是指专门从事网络恐怖活动的恐怖组织开始出现，其中既有隶属于一般恐怖组织的共生型网络恐怖组织，也有不属于任何恐怖组织的独立型网络恐怖组织。例如，2014年由英国青年朱奈德·侯赛因建立的“网络哈里发”就是隶属于“伊斯兰国”恐怖组织的黑客机构，该机构于2016年4月联合“哈里发军之子”和Kalacnikov.TN等其他网络恐怖组织成立了“联合网络哈里发”，专门从事网络恐怖活动；2015年1月，基地组织宣布成立“基地电子军”，该组织成立之后多次对美国陆军网站及美国政府、金融、电力等部门的网站发动网络攻击；在我国认定的第一批恐怖组织中，“东突厥斯坦新闻信息中心”是一个独立型网络恐怖组织，该组织旨在我国境内发展网络，以此策划恐怖活动，进行“圣战”宣传。专门网络恐怖组织的出现，表明恐怖分子已经认识到网络不再是纯粹的技术手段，而是重要的战略资源，只有掌握了网络主导权，才能在未来的恐怖活动中“出奇制胜”。
网络恐怖主义主体专业化程度的提高使恐怖组织的技术实力大大增强，从而推动网络恐怖主义的犯罪手段向智能化、高端化、集成化方向发展。例如，就网络宣传来说，恐怖组织“伊斯兰国”专门开发了自己的社交软件“Alwari”，建立了自己的互联网宣传中心Alhayat Media Center，创办了网络在线周刊《伊斯兰共和国》；就网络攻击来说，恐怖分子除了运用震网病毒、系统漏洞、僵尸网页等传统的网络攻击手段外，还开始利用电磁脉冲炸弹（Electromagnetic Pulse Bombs）、高能电波频武器（High-energy Radio Frequency Weapons）、逻辑炸弹（Logic Bomb）等新型网络攻击手段，这使反恐部门事前难以防范、事中难以应对、事后难以侦破；就网络联络来说，恐怖分子为了避开情报部门的追踪，一般不使用商业加密软件，而是使用没有“后门”开放数据源的加密软件，除了加密技术之外，信息隐藏技术也被网络恐怖分子广泛应用，而目前并没有破解该技术的有效手段。
（二）分散化趋势明显
在传统恐怖活动备受打压和网络科技发展日新月异的双重背景下，网络恐怖主义呈现分散化既是恐怖组织的无奈之举，也是主动选择，其主要体现在两个方面：主体的分散化和行动的分散化。“基地”组织、“伊斯兰国”等国际恐怖组织在遭到各国军事力量的严厉打击后，开始通过网络在全球招募“圣战”分子，来自世界各地的“草根圣战士”纷纷涌入伊拉克、叙利亚等地参加培训或战斗，尔后返回母国发动本土恐怖袭击。这些所谓的“草根圣战士”通常隐匿民间，虽然不属于任何恐怖组织，但却认同恐怖主义理念。例如，加拿大公共安全与应急部门发布的《对加拿大恐怖主义威胁的公开报告》显示，超过130名加拿大本土极端分子奔赴叙利亚、索马里、伊拉克、阿富汗等冲突地区参与“涉恐”活动，包括参加恐怖培训、进行筹款、宣扬恐怖主义思想，之后回国实施暴恐行为。这表明，恐怖分子的身份认同已由原来的“组织认同”开始转向“理念认同”，即凡是认同恐怖主义理念的都属于“圣战分子”，都有权发动“圣战”。这一方面为国际恐怖组织源源不断地输送了有生力量，另一方面催生了网络恐怖主义“独狼”，导致网络恐怖主义行动的分散化。
从2009年的胡德堡军事基地枪击案，到2011年的挪威“7·22”恐怖袭击案，再到2013年的波士顿马拉松爆炸案，小型化、突发性的“独狼式”恐怖袭击可谓“遍地开花”，已经成为一种新型的、非传统的安全威胁。这主要是因为：首先，随着网络科技的飞速发展和日益革新，人们可以通过网络平台或社交媒体轻易获得各种极端信息，结识恐怖行动伙伴，学习如何发动恐怖袭击，这就导致新一代网络“圣战”分子——“独狼”肆虐；其次，相比于传统的大规模恐怖袭击需要耗费巨大的人力、物力、财力和时间成本，“独狼式”恐怖袭击的成本更低、安全性更高；最后，这类恐怖分子一般具有相应的社会身份，不依赖特定的恐怖组织，不属于情报部门的监控对象，他们发动恐怖袭击往往具有随机性，事前难以防范，事后难以追捕，使反恐部门不胜其扰。
（三）隐蔽性日益增强
在传统恐怖活动中，恐怖分子在发动恐怖袭击之前为了保险起见，通常会制定严格的保密规则，采用特殊的语言符号进行沟通，以确保恐怖活动在“无形”之中进行，网络的出现和普及使得网络恐怖主义隐蔽性更强。一方面，相比于传统的恐怖活动，网络恐怖主义没有固定的组织形态，恐怖分子在开展恐怖活动之前不需要专门进行人员安排、任务分配、武器派发等大规模的准备工作，这就大大降低了被反恐侦查部门发现的风险，而且恐怖分子在网络中通常会使用呢称或化名并隐藏于海量的普通网民中，以此来掩饰自己的真实身份，这使反恐侦查部门难以实施有效的追踪；另一方面，虽然随着网络技术的发展，网络空問再造了一个生活、工作平台，传统意义上的“场域”也延伸至网络，并由此形成了“双层社会”，但是，网络空间毕竟与现实空间不同，其缺乏实体性。这就意味着发生在网络空间的恐怖主义犯罪不存在人、事、物构成的实体犯罪现场，因此，反恐侦查部门往往只能追踪到相应的IP地址，而难以进一步查获犯罪人。
网络恐怖主义的隐蔽性与网络的匿名性直接相关，这种匿名性包括技术匿名性和社会匿名性。所谓技术匿名性，是指在网络交流过程中除去所有和身份相关的信息。以网络联络为例，恐怖分子为了躲避反恐侦查部门的追踪，通常会使用WhatsApp、Signal、SnapChat等难以对其内容进行解读的加密通信软件和类似于“阅后即焚”（信息在传输完成后自动销毁）的加密技术，这样可以最大限度地防止信息泄露。所谓社会匿名性，是指由于缺乏相关线索，无法将某个身份与特定的个体相对应，“在互联网上，没有人知道你是一条狗”便是这种情形的真实写照。对此，有学者提出，可以借鉴韩国实行网络实名制，要求每位网民以自己的真实姓名、家庭地址等个人信息进行实名登记，否则将面临行政处罚，以确保能够通过网络追溯其人。但是，韩国自2007年全面推行网络实名制以来，发生过严重的信息外泄事件，宪法法院已在2012年以网络实名制侵犯了宪法确立的表达自由权为由将其废止。笔者认为，匿名性是网络的天然属性，其背后承载着公民自由表达的权利诉求，推行网络实名制必须平衡好打击违法犯罪与保障公民权利之间的关系，试图推行彻底的网络实名制并不可行，也正因为如此，我国实行的是“前台匿名、后台实名”的网络实名制。
四、网络恐怖主义的治理
（一）技术手段要防反结合
从行为样态的角度看，网络恐怖主义主要包括网络宣传、网络招募、网络培训、网络融资、网络联络、网络策划、网络袭击和情报搜集。无论是网络融资、网络策划等工具型网络恐怖主义，还是网络袭击等对象型网络恐怖主义，抑或是网络宣传、网络招募等空间型网络恐怖主义，都离不开网络技术的支持。从这个角度来讲，所有的网络恐怖主义实际上都是“网络技术型”恐怖主义，网络恐怖主义与反恐怖主义之间的较量本质上是一场网络技术之间的对抗，因此，技术措施是治理网络恐怖主义的核心。然而，近年来，国际社会治理网络恐怖主义的行动就像“打鼹鼠”游戏一般，基本上属于被动防御，往往被恐怖分子牵着鼻子走。笔者认为，治理网络恐怖主义不能一味地强调防御，还要适时反击，做到防反结合。一般来说，治理工具型网络恐怖主义和空间型网络恐怖主义主要采取反击措施，治理对象型网络恐怖主义主要采取防御措施。
以“独狼式”恐怖袭击为例，其频发的重要原因之一在于，恐怖组织通过建立专门的宣传网站，利用公共社交网络媒体，借助信息共享平台宣扬恐怖主义思想，发布恐怖音视频，鼓动隐藏在各地的极端分子发动恐怖袭击，积极开展“网络宣传战”和“网络心理战”。而目前反恐部门的应对措施主要是删帖、封号、屏蔽、关闭网站，这些措施大都属于事后的被动防御，应急色彩明显，效果并不理想。例如，在我国，恐怖分子为了谋求同情和支持，经常打出“宗教自由”“民族独立”“人权至上”等宣传口号，为了煽动宗教狂热，通常歪曲宗教教义，为了制造民族冲突，往往肆意挑拨少数民族与汉族之间的关系。对此，如果只是一味地删帖、封号、屏蔽，反而会予人口实。因此，应当转变思路，变事后的被动防御为事前的主动出击。关键要加强网络阵地建设，引导舆论方向，充分利用领网主权，抢占网络舆论阵地，要做到“先声夺人”，旗帜鲜明地揭露恐怖主义反文明、反人类、反科学的虚伪本质，使广大人民群众能够认清其真实面目和巨大危害，只有这样，才能自觉抵制网络恐怖主义宣传的蛊惑。
除了采取必要的反击措施外，还要加强对军事、能源、电力、通信等关系到国计民生的关键领域网络设施的防御和保护，这些领域一旦遭到网络恐怖攻击，后果将不堪设想。虽然早期的对象型网络恐怖主义因自身技术能力的不足而未能对关键领域的网络设施发动过有效的恐怖袭击，但是，这并不意味着恐怖分子放弃了这一具有巨大破坏力的恐怖袭击手段。而且随着网络技术的飞速发展，恐怖分子发动网络恐怖袭击的技术能力大大提高，关键领域网络设施遭受网络恐怖袭击的风险越来越大。因此，必须采取升级防火墙、分级授权、数字签名等多种技术手段保障关键领域网络设施的安全。除此之外，加强网络防御还要注重对重要信息数据的保护。2017年5月，一场勒索病毒网络攻击在全球肆虐，至少有150个国家、30万网络用户“中招”，造成了高达80亿美元的损失。事后调查显示，这种勒索病毒是由美国国家安全局（NSA）泄露的网络武器“永恒之蓝”（Eternal Blue）传播的。试想，一旦类似领域的信息数据被恐怖分子获取，发动大规模的网络恐怖袭击指日可待。因此，必须加强数据防攻击、防泄露、防窃取等安全防护体系建设，同时推动数据脱敏、数据审计、数据备份等技术在数据安全保护方面的增强应用。
（二）法律规范要有效衔接
制定相应的法律规范是国际社会和各国治理网络恐怖主义的重要举措，例如，欧盟的《网络犯罪公约》、美国的《爱国者法》、英国的《反恐怖主义法》中都有关于治理网络恐怖主义的规定。就我国而言，在2015年之前，关于治理网络恐怖主义的法律规范基本上处于“空白”状态，在2015年之后，随着《刑法修正案（九）》（以下简称《修九》）、《反恐法》和《网络安全法》的相继出台，我国治理网络恐怖主义的法律体系已经初具规模。例如，在《修九》出台之前，我国用于规制网络恐怖主义的罪名主要是破坏计算机信息系统罪，对于恐怖分子利用网络进行恐怖主义宣传、策划，实施恐怖活动培训、联络，以及网络服务提供商不履行相应的安全管理义务等行为，刑法显得“捉襟见肘”。《修九》新增了准备实施恐怖活动罪，宣扬恐怖主义、极端主义、煽动实施恐怖活动罪，拒不履行信息网络安全管理义务罪，非法利用信息网络罪，帮助信息网络犯罪活动罪等罪名，这有效弥补了刑法治理网络恐怖主义犯罪的缺陷。《反恐法》和《网络安全法》虽然没有专门对网络恐怖主义做出规定，但通过扩展适用完全可以将网络恐怖主义纳入其规制范围。
问题的关键在于，相关法律规范之间未能实现有效衔接。例如，《修九》在恐怖主义犯罪之外新增了极端主义犯罪，《反恐法》在不同条文中也使用了恐怖主义、极端主义的表述，但《反恐法》只对恐怖主义做了界定，未对极端主义做出界定，如何对二者进行区分不得而知。这就导致司法机关在办理相关案件时产生如何适用罪名的困惑，即应当认定为恐怖主义犯罪还是极端主义犯罪。以宣扬恐怖主义、极端主义为例，司法部门对于类似的案件有的认定为宣扬恐怖主义罪，有的认定为宣扬极端主义罪，还有的干脆不做区分，直接认定为宣扬恐怖主义、极端主义罪。或许有人认为，该罪名属于选择性罪名，择一适用还是综合适用没有多大区别，但笔者并不这样认为，因为根据我国《刑事诉讼法》以及《刑法》的相关规定，恐怖主义犯罪案件在法院管辖权的确立、技术侦查措施的使用、违法所得没收程序的适用、特殊累犯和洗钱罪的认定上均不同于普通案件，如果將应当认定为极端主义犯罪的案件认定为恐怖主义犯罪或者相反，都会在无形之中影响犯罪人的诉讼权利和实体权利。笔者认为，是否具有政治指向性是二者之间的本质区别，即恐怖主义以政治指向性为必要要件，可以以此为标准在《反恐法》中以例举+兜底的方式分别对恐怖主义和极端主义做出界定，为司法机关适用相关罪名提供必要的参考和借鉴。
再如，《修九》增设了拒不履行信息网络安全管理义务罪，该罪在构成要件的设计上强调“行政处理”的优先性，即先由监管部门责令改正，拒不改正的才可能构成犯罪，这与《网络安全法》关于网络运营者不履行相应的安全保护义务而由主管部门责令改正的规定刚好衔接。但是，根据《网络安全法》第七十六条的规定，网络运营者包括网络的所有者、管理者和网络服务提供者，而拒不履行信息网络安全管理义务罪的主体却仅为网络服务提供者。然而，无论是网络服务提供者还是网络的所有者、管理者，其拒不履行信息网络安全管理义务所造成的法益侵害大体是相当的。从刑行主体衔接的角度看，拒不履行信息网络安全管理义务罪的主体应当是包括网络服务提供者、网络的所有者和管理者在内的网络运营者。因此，应当将拒不履行信息网络安全管理义务罪的主体扩展为网络运营者，这样才能和《网络安全法》的规定相衔接。由此可见，虽然我国关于治理网络恐怖主义的法律规范实现了从“无”到“有”，但远未达到“优”的程度，其主要问题就在于法律规范之间缺乏有效的衔接。总体而言，笔者认为，对法律规范之间的有效衔接要进行动态考察。在立法调研阶段，要统筹考虑所有相关的法律规范，防止遗漏；在立法起草阶段，要邀请相关领域的专家进行充分论证，提出法律衔接的方案；在立法出台之后，要及时进行法律适用评估，发现并解决法律规范之间不衔接的问题。
（三）工作机制要立体联动
网络恐怖主义的治理是一项综合的系统工程，除了采取必要的技术手段和完善相关的法律规范之外，还要構建起一套立体联动的工作机制，只有这样，才能确保网络恐怖主义治理工作的有效推进。众所周知，网络恐怖主义的治理涉及到公安、网信、金融、军事、司法等各个部门，无论是事前预警，还是事中处置，抑或是事后安抚，都需要各部门之间协调联动、互通有无，形成一个立体、动态的防控处置体系。以美国为例，其基本上形成了以总统为核心的反恐工作机制，具体而言，总统网络空间安全顾问、总统国家安全通信咨询委员会、总统信息安全政策委员会、总统关键基础设施保护委员会等咨询机构和直属委员会负责为总统决策提出建议，国土安全部负责危机处理，联邦调查局负责监控，国家安全局负责联邦政府专用信息网络的安全，国家标准与技术局负责非保密信息系统的信息安全，国家计算机应急处理小组协调中心负责军方、政府、高校、企业之间的联络以及加强各部门之间的协调。
反观我国，在《反恐法》《网络安全法》出台之前，治理网络恐怖主义的工作机制存在着各自为战、缺乏统筹、被动防御、效率低下等问题，虽然《反恐法》《网络安全法》的出台在一定程度上解决了上述问题，但在工作机制的联动协调和立体建构方面仍有进一步完善的空间。例如，根据《反恐法》第七条的规定，由国家设立专门的反恐工作领导机构，统一领导、指挥全国的反恐工作，而根据《网络安全法》第八条的规定，由国家网信部门负责统筹协调网络安全工作。当发生网络恐怖主义事件时，就会产生国家反恐工作领导机构与网信部门之间如何协调的问题，如果领导机构不统一，那么很容易分散网络反恐力量，导致难以形成合力打击网络恐怖主义的结果。同样的问题也存在于各职能部门之间的协调联动上，例如，当发生网络恐怖宣传事件时，网信部门如何及时通报网络运营者采取技术手段限制传播，公安部门在采取相应的技术侦查手段时如何要求网信部门、网络运营者提供技术支持，网络运营者在按照要求采取技术手段处理突发事件时如何就保存、移送相关的证据材料与公安部门进行沟通协调等等。
那么，如何在各部门之间构建起一套联动协调、立体动态的工作机制。《反恐法》第六章和《网络安全法》第五章虽然专门就恐怖事件和网络安全事件的应急处置做了规定，但大都比较原则、笼统，对各部门之间工作运行机制的建构并未涉及。笔者认为，在大数据时代背景下，要善于利用大数据技术构建网络反恐的工作运行机制，主要包括信息共享机制和信息联动机制。当发生网络恐怖事件时，各部门可以实时在信息共享平台发布各自获取的情报信息，信息共享平台在对情报信息进行分析、处理之后及时反馈给各部门，使各部门之间能够真正实现信息共享。同时，各部门可以通过信息联动机制进行同步沟通，实现无缝对接，这样一来，各部门分工负责、相互配合，能够最大限度地保证网络反恐工作机制的高效运行。
著名作家查尔斯·狄更斯在其传世之作《双城记》的开头说：“这是一个最好的时代，这是一个最坏的时代”，用这句话来形容当下的网络时代可谓恰如其分。因为在这样一个时代，网络既能成为推动社会发展的“加速器”，也能成为恐怖分子手中的“杀手锏”，网络与恐怖主义的结合使恐怖主义实现了“跨越式”发展。网络恐怖主义大致经历了从对象型到工具型再到空间型、从单向型到互动型再到交叉型的演变过程，并进一步向专业化、分散化、隐蔽性方向发展。作为国际互联网治理体系的重要组成部分，我国网络恐怖主义的治理必须在“多边、民主、透明”的互联网治理原则的指导下，采取防反结合的技术手段，实现法律规范之间的有效衔接，构建立体联动的工作机制，唯有如此，才能有效遏制和打击网络恐怖主义。
（编辑：刘仲秋）
