Casa Branca autoriza empresas privadas a realizar operações cibernéticas ofensivas contra gangues criminosas

O presidente Trump assinou em 12 de agosto um memorando presidencial de segurança nacional que autoriza empresas privadas americanas verificadas a realizar operações cibernéticas ofensivas contra organizações criminosas transnacionais estrangeiras, segundo reportagens do The Guardian, The Record e vários veículos de cibersegurança. A medida reverte décadas de política americana que geralmente proibia entidades privadas de “revidar hackeando” contra atacantes, citando riscos de escalada e complicações legais.

Como funciona o programa

O memorando ordena que o National Coordination Center (NCC) crie um programa formal autorizando as empresas participantes a realizar duas categorias de atividade: “operações de vigilância cibernética” para coleta de inteligência, e “operações de efeitos cibernéticos” mais agressivas que podem manipular, interromper, degradar ou destruir infraestrutura digital pertencente aos grupos criminosos visados. Cada operação requer aprovação prévia por escrito de autoridades do Departamento de Justiça e do Departamento de Segurança Interna, que supervisionam conjuntamente o programa.

A participação não está aberta a qualquer empresa de segurança que queira aderir. As empresas devem passar por verificação técnica, de pessoal e de segurança, assinar acordos contratuais com o DOJ ou o DHS, e manter uma fiança ou depósito em garantia de pelo menos 1 milhão de dólares. Se a operação de uma empresa atingir acidentalmente uma pessoa ou sistema americano, ela deve parar imediatamente e notificar o NCC — um disjuntor embutido destinado a limitar danos colaterais da atividade ofensiva autorizada.

O que é proibido

A política traça uma linha rígida em torno do que chama de “Resultados Críticos”: ações que poderiam causar morte ou ferimentos graves, ou que se qualificariam como uso de força ou ataque armado sob o direito internacional. Essas não podem ser autorizadas pelo processo de aprovação padrão do programa, independentemente do alvo. O foco declarado são organizações criminosas transnacionais que conduzem campanhas de ransomware, esquemas de fraude financeira e outros crimes viabilizados ciberneticamente contra interesses americanos — não espionagem vinculada a estados ou rivais geopolíticos, ao menos como a política está atualmente delimitada.

Por que isso é uma mudança significativa

A política de cibersegurança nos EUA historicamente tratou a atividade ofensiva de “revidar hackeando” por atores privados como legalmente arriscada e diplomaticamente perigosa — um ataque roteado através de infraestrutura em um terceiro país poderia parecer um ato de guerra independentemente do alvo ou da intenção real do atacante. Formalizar uma capacidade ofensiva do setor privado verificada e supervisionada pelo governo é a tentativa da Casa Branca de resolver esse dilema: manter a autoridade legal e o controle de escalada com o DOJ e o DHS enquanto aproveita as capacidades técnicas de empresas privadas contra uma categoria de ameaça — gangues de ransomware e redes de cibercrime — que cresceu mais rápido do que a capacidade governamental de combatê-la.

O National Coordination Center tem 60 dias a partir da assinatura do memorando para publicar procedimentos operacionais detalhados, o que significa que o escopo prático do programa, o nível de verificação e os primeiros participantes provavelmente não serão de conhecimento público por mais várias semanas. Espera-se que pesquisadores de segurança e grupos de liberdades civis examinem esses procedimentos de perto, dado o histórico de propostas de “revidar hackeando” que levantaram preocupações sobre responsabilização quando empresas privadas recebem autoridade normalmente reservada a agências de inteligência e de aplicação da lei.