Взломать всё. Как сильные мира сего используют уязвимости систем в своих интересах - Брюс Шнайер

Ссуды до зарплаты – это краткосрочные кредиты{121}, предназначенные для необеспеченных граждан. Они выдаются небольшими суммами под астрономически высокие проценты. Четыре пятых заемщиков продлевают такие кредиты, загоняя себя в замкнутый круг, в результате чего средняя процентная ставка по ним составляет 400 % в год, не считая комиссий. Штаты пытаются регулировать индустрию микрозаймов и снижать процентные ставки, но компании, предоставляющие ссуды до зарплаты, постоянно находят способы хакать новые правила. Вместо кредитов, по которым полное погашение должно производиться на следующий после зарплаты день, они стали выдавать кредиты в рассрочку, технически обходя таким образом определение «ссуда до зарплаты». Кроме того, они работают как кредитные брокеры{122} – посредники, которые могут взимать нерегулируемые комиссии. В штате Монтана компании микрозаймов переехали в индейские резервации{123}, чтобы избежать регулирования со стороны штата и федерального правительства. В 2020 г. Бюро финансовой защиты потребителей (CFPB) администрации Трампа отменило целый список новых правил, которые должны были ограничить наиболее хищнические методы этой отрасли.

И последняя история. Во время пандемии COVID-19 США и Канада закрыли свои сухопутные границы для поездок без острой необходимости. Из страны в страну можно было летать, но существовали всевозможные ограничения на автомобильное сообщение. Это стало проблемой для канадских «снегирей» – людей, привыкших уезжать на зиму в теплые штаты на своих машинах. Однако лазейка нашлась{124}. Грузоперевозки были по-прежнему разрешены, и судоходная компания из Гамильтона, штат Онтарио, предложила услугу по доставке автомобиля клиента в США, в аэропорт города Буффало, а вертолетная компания доставляла туда клиента. Те, кто мог позволить себе такую услугу, полностью обходили закрытие сухопутной границы.

Везде, где существует регулирование, есть люди, которых оно ограничивает. Как правило, нормативные акты приносят пользу гражданам, но могут приниматься и в интересах действующих компаний, препятствовать инновациям и отражать устаревший образ мысли. У новых компаний есть стимул искать уязвимости в этих правилах и организовывать хаки, которые отвечают букве нормативного акта, при этом полностью нарушая его дух. А поскольку, как мы знаем, любые правила всегда будут либо неполными, либо непоследовательными, все они уязвимы для хакинга.

Здесь мы подходим к важному вопросу. Как предотвратить взломы со стороны богатых, технически сложных и политически подкованных корпораций, само существование которых зависит от хакинга? Каким должно быть умное и гибкое решение в этом случае?

Одной из мер безопасности является тестирование новых нормативных актов до их принятия. По словам Джереми Розенблюма, адвоката из Филадельфии, который консультирует компании микрозаймов, отрасль должна постоянно разрабатывать новые финансовые продукты{125}, не дожидаясь вмешательства регулирующих органов: «Обслуживая этот рынок, вы должны рассматривать альтернативные стратегии на случай, если CFPB все-таки выпустит нормативные акты». Такой же философии придерживаются все компании, о которых шла речь выше. Чтобы противостоять этому, регулирующие органы должны быть проактивными в своих усилиях и учитывать возможные уязвимые места и реакцию отрасли заранее. Благодаря этому регуляторы смогут лучше предвидеть и предотвращать социально пагубные действия и опасные финансовые инновации, внедряемые отраслью.

Еще один ключевой момент – итеративность и гибкость. Хотя приятно надеяться или даже верить в то, что эффективные нормативные акты будут приняты заранее и предотвратят подобные хаки, регулирующие органы должны быть готовы к неожиданным и социально вредным нововведениям. Для борьбы с ними необходимо следить за регулируемыми субъектами и быть готовыми действовать быстро, чтобы взять под контроль новые продукты, появляющиеся как реакция на нормативные акты. При этом нужно исходить из того, что в правилах есть уязвимости, требующие устранения, как только они будут обнаружены.

31

Взаимодействие юрисдикций

Налоговая лазейка «двойной ирландский с голландским сэндвичем», которую такие компании, как Cisco, Pfizer, Merck, Coca-Cola и Facebook, использовали, чтобы уклониться от уплаты налогов в США, возникла из-за того, что законы действуют внутри национальных границ. Умело используя иностранные дочерние компании и передавая им права и доходы, крупные американские корпорации могут избежать уплаты налогов на большую часть своих глобальных доходов. (Обратите внимание, что граждане США облагаются налогом на весь свой доход, независимо от того, в какой стране он был получен, поэтому этот хак работает только для корпораций.)

Это всего лишь один из многих хаков с использованием налоговых гаваней по всему миру. Глобальное уклонение от уплаты налогов обходится США{126} чуть менее чем в $200 млрд в год, что составляет 1,1 % ВВП. Общая сумма глобальных налоговых поступлений{127} в зависимости от оценок варьируется в диапазоне $500–600 млрд. Подобные хаки интересны в первую очередь тем, что они используют взаимодействие между уязвимостями законодательств разных стран.

Решение заключается в простоте и прозрачности. В США 28 штатов и округ Колумбия приняли комбинированные системы отчетности по корпоративному налогу на прибыль корпораций, что помогает предотвратить перемещение прибыли между юрисдикциями. В рамках комбинированной системы отчетности компании и их дочерние предприятия должны сообщать о своей общей прибыли (в данном случае – об общей «внутренней» прибыли) и о том, какая доля их бизнеса приходится на определенную юрисдикцию (в данном случае – штат). Затем юрисдикция облагает налогом соответствующую долю этой прибыли, пропорциональную доле бизнеса компании, осуществляемого на ее территории, тем самым предотвращая уклонение от уплаты налогов путем переноса прибыли из одной юрисдикции в другую. Такой подход уже помог штатам вернуть миллиарды долларов налоговых поступлений, которые до этого утекали через внутренние налоговые гавани.

Однако это нововведение не решило более широкую проблему перемещения прибыли транснациональными компаниями с целью ухода от налогов. Во-первых, почти все штаты США, использующие комбинированную систему отчетности для налогообложения (заметным исключением является Монтана), не требуют от компаний раскрытия информации об офшорной прибыли, что позволяет тем избегать уплаты налога на прибыль, полученную внутри страны, но переведенную за рубеж. Во-вторых, как я уже отмечал ранее, корпоративный подоходный налог в США не начисляется на прибыль, полученную за рубежом, что облегчает уклонение от уплаты налогов и перевод прибыли за рубеж на федеральном уровне.

Закон о сокращении налогов и увеличении занятости 2017 г. предпринял робкую попытку решить эту проблему с помощью положения о глобальном нематериальном низконалоговом доходе (GILTI), которое требовало от компаний уплаты номинального налога на необлагаемую прибыль в зарубежных налоговых гаванях в размере 10,5 %, но это не помогло остановить основные потоки выводимой за границу прибыли.

Лучшая идея, которую я видел для решения этой проблемы, сочетает в себе все те же простоту и прозрачность. Она называется «Обязательная глобальная комбинированная отчетность» (MWCR) и представляет собой чрезвычайно простой метод решения сложных вопросов налогообложения в юрисдикциях. Подобно системе комбинированной отчетности внутри США, эта система требует, чтобы компания и ее дочерние предприятия сообщали о своей общей глобальной прибыли, а также о том, какая доля их бизнеса (обычно выражаемая через выручку) приходится на определенную юрисдикцию. Затем эта юрисдикция облагает налогом часть прибыли, пропорциональную доле бизнеса компании, который та ведет на ее территории.

На момент написания этой книги администрация Байдена и Организация экономического сотрудничества и развития (ОЭСР, клуб богатых и развитых стран) работали над тем, чтобы сделать нечто подобное MWCR реальностью. В 2021 г. ОЭСР объявила, что 130 стран и юрисдикций согласились облагать налогом крупнейшие транснациональные корпорации по минимальной ставке 15 % от прибыли, полученной на территории каждой из них, в отличие от сегодняшней системы, когда компании облагаются налогом только в стране своей основной «прописки». Предложение Байдена похоже, но в нем есть ряд ключевых отличий, таких как требование соблюдения новых правил широким кругом коммерческих организаций. Время покажет, чем обернутся эти предложения и что корпорации предпримут, чтобы хакнуть их, как это было со всеми предыдущими новшествами.

Иногда страны сами провоцируют такой юрисдикционный арбитраж, намеренно нарушая собственные законы, чтобы привлечь глобальную клиентуру. Например, система регистрации судов под «удобными флагами» позволяет судовладельцам обходить правила технического обслуживания судов, игнорировать трудовые законодательства и уклоняться от судебного преследования за нанесение ущерба окружающей среде, например за разливы