Em uma decisão sem precedentes na história da segurança cibernética, o governo dos Estados Unidos publicou um memorando presidencial que autoriza empresas privadas selecionadas a realizar operações cibernéticas ofensivas contra gangues criminosas internacionais. A medida, anunciada pela administração Trump e revelada pelo TechCrunch, representa uma mudança radical na política americana de combate ao cibercrime e pode redefinir como a luta contra ransomware e golpes digitais é travada em escala global.
O programa é inédito porque, durante décadas, o governo dos EUA defendeu a posição de que operações cibernéticas ofensivas deveriam ser exclusividade dos Estados – conduzidas por agências como a NSA, o Cyber Command e o FBI. Compartilhar esse poder com o setor privado é uma mudança filosófica e prática de grande magnitude, com implicações que vão muito além das fronteiras americanas.
Como funciona o programa de ciberataques privados
Para ser elegível ao programa, uma empresa precisa depositar US$ 1 milhão em uma conta de garantia (escrow), valor que pode ser confiscado caso o governo identifique descumprimento das regras. Todas as operações também precisam ser aprovadas previamente pelo Departamento de Justiça e pelo Departamento de Segurança Interna dos Estados Unidos, e a supervisão permanece exclusivamente sob controle federal.
Há também uma obrigação de transparência operacional: as empresas participantes devem alertar o governo sobre ataques iminentes contra infraestrutura crítica, mesmo quando detectados durante operações contra criminosos. Isso garante ao Estado acesso a inteligência que, de outra forma, poderia permanecer restrito ao setor privado e nunca ser compartilhado com as autoridades.
É importante destacar o que o programa não permite. O memorando deixa claro que a autorização não inclui o chamado “hack-back”, prática em que empresas atacadas contra-atacam diretamente os responsáveis por uma invasão específica. O foco é exclusivamente em operações ofensivas planejadas contra redes criminosas internacionais, como grupos de ransomware, organizações de golpes financeiros e operadores de extorsão digital.
O que pode ser feito dentro do programa
As empresas participantes podem realizar dois tipos principais de operações. O primeiro é vigilância avançada, usando spyware e ferramentas de coleta de inteligência para monitorar as atividades de grupos criminosos, mapear sua infraestrutura e identificar os responsáveis. O segundo são ataques disruptivos, com o objetivo de destruir dados ou comprometer sistemas usados por criminosos para lançar seus ataques.
Na prática, isso significa que uma empresa americana vetada pelo governo poderia identificar os servidores usados por um grupo de ransomware – mesmo que esses servidores estejam localizados na Europa, na Ásia ou em qualquer outra parte do mundo – e tomar ações para inutilizar a infraestrutura desse grupo. Algo que até agora era território exclusivo de agências de inteligência governamentais.
O impacto no combate ao ransomware
O ransomware se tornou uma das ameaças mais devastadoras para empresas e organizações em todo o mundo. Grupos criminosos como o LockBit, o BlackCat e o Cl0p causaram bilhões de dólares em prejuízos globais nos últimos anos, atacando desde hospitais e escolas até empresas de energia e órgãos governamentais. O Brasil, de acordo com relatórios de segurança cibernética divulgados regularmente por empresas como a Kaspersky e a Check Point, é consistentemente um dos países mais afetados por esse tipo de ataque na América Latina.
Até agora, o combate ao ransomware dependia quase exclusivamente de ações governamentais, como operações coordenadas do FBI e da Europol, ou de investigações privadas que não podiam ir além de uma certa linha sem violar leis anti-hacking. O novo memorando abre uma terceira via: empresas de segurança com capacidade técnica para operações ofensivas podem agora atuar diretamente contra a infraestrutura dos criminosos, com autorização formal do governo americano.
Se o programa for efetivo, grupos de ransomware que hoje operam com relativa impunidade em países sem tratados de extradição com os EUA poderiam ver sua infraestrutura comprometida com muito mais frequência e eficiência. Para empresas brasileiras que sofrem ataques, a consequência indireta poderia ser uma redução na frequência e na gravidade das incidências ao longo do tempo.
Os riscos para os profissionais americanos envolvidos
Jake Williams, pesquisador de segurança da Hunter Strategy, foi um dos primeiros especialistas a levantar alertas sobre os riscos da nova política. Segundo ele, profissionais americanos que participem dessas operações “podem ser facilmente classificados como combatentes não uniformizados” por governos estrangeiros. Em termos práticos, isso significa que esses profissionais estariam “em risco de serem indiciados ou detidos por governos estrangeiros”.
O alerta é sério e tem implicações práticas importantes. Quando uma empresa americana realiza operações ofensivas contra infraestrutura localizada em outro país – mesmo que essa infraestrutura pertença a criminosos – ela pode violar leis locais de acesso não autorizado a sistemas. A diferença entre um “especialista em segurança autorizado pelo governo dos EUA” e um “criminoso cibernético estrangeiro” é, do ponto de vista legal de muitos países, uma questão de perspectiva.
Esse risco geopolítico pode limitar, na prática, o alcance do programa. Empresas com funcionários baseados fora dos Estados Unidos, ou que usam infraestrutura em jurisdições estrangeiras, podem hesitar em participar por medo de expor seus colaboradores a processos criminais no exterior.
Um novo mercado: a cibersegurança ofensiva privada
A autorização cria, na prática, uma nova categoria de negócio no mercado de segurança: o de empresa de cibersegurança ofensiva com licença governamental. Companhias que hoje atuam apenas na defesa de seus clientes – monitorando ameaças e respondendo a incidentes – podem agora considerar expandir seus serviços para o lado ofensivo, desde que atendam aos requisitos do programa e aceitem a supervisão federal.
Para os profissionais de segurança cibernética, a mudança é ao mesmo tempo empolgante e preocupante. Empolgante porque oferece novos caminhos para combater grupos criminosos que até agora operavam com relativa impunidade. Preocupante porque abre precedentes que outros governos podem seguir, autorizando empresas de seus próprios países a realizar operações similares. O resultado pode ser um ambiente digital ainda mais hostil, com múltiplos agentes privados de diferentes nações realizando operações ofensivas em nome de seus governos.
O que significa para empresas e usuários brasileiros
Para empresas brasileiras que sofrem ataques de ransomware, a novidade americana tem implicações indiretas, mas relevantes. Se o programa for efetivo em desmantelar grupos criminosos que operam globalmente, incluindo aqueles que têm o Brasil como alvo frequente, a frequência e a gravidade dos ataques pode diminuir ao longo do tempo. Grupos que hoje lançam dezenas de ataques por mês podem ter sua capacidade operacional reduzida se sua infraestrutura for comprometida sistematicamente.
Por outro lado, há o risco de retaliação. Grupos criminosos que se sentirem ameaçados por operações ofensivas de empresas privadas americanas podem responder com ataques mais agressivos contra alvos nos EUA ou em seus aliados. Empresas brasileiras ligadas a cadeias de fornecimento americanas podem ser alvos colaterais nesse cenário.
A medida também reacende o debate sobre os limites do poder privado no espaço cibernético. Se empresas podem agora realizar operações que antes eram exclusividade de Estados, quem define os limites éticos e legais dessas ações? E como garantir que o programa não seja mal usado por empresas com interesses comerciais que vão além do combate ao crime? São questões que a comunidade de segurança cibernética global vai debater intensamente nos próximos meses.
Um precedente histórico com repercussão global
A decisão americana é histórica não apenas pelo que permite, mas pelo sinal que manda para o restante do mundo. Se o maior poder militar e tecnológico do planeta decidiu que o setor privado pode agir ofensivamente no ciberespaço, outros governos certamente vão considerar medidas similares. Isso pode levar a uma proliferação de atores privados autorizados a realizar operações cibernéticas ofensivas em múltiplos países, com regras e limites diferentes em cada jurisdição.
O mundo do cibercrime é dinâmico: grupos dissolvidos rapidamente se reconstituem com novos nomes e novas infraestruturas. Mas a combinação de recursos e agilidade do setor privado com autorização formal do Estado cria uma capacidade de resposta que os criminosos digitais nunca enfrentaram em escala antes. O que acontece a seguir vai depender, em grande parte, de como os primeiros participantes do programa vão usar – e possivelmente abusar – das novas permissões que acabaram de receber.
