In a first, US will allow some private firms to carry out cyberattacks
O governo dos EUA permitirá pela primeira vez que empresas privadas investigadas realizem operações cibernéticas ofensivas contra gangues criminosas internacionais e hackers, disse a Casa Branca na quarta-feira.
Em um memorando presidencial recém-publicado, o governo Trump afirmou que a medida permitirá que o governo federal utilize as “capacidades inovadoras do setor privado” para combater o cibercrime e ameaças direcionadas a americanos, como ataques de ransomware, golpes financeiros e extorsão sexual.
O memorando permite que empresas privadas participantes do programa do governo conduzam vigilância, como o uso de spyware para coletar inteligência, bem com realizem ataques destrutivos voltados para a destruição de dados ou sistemas de criminosos.
A mudança de diretriz marca uma reviravolta sísmica na posição de longa data do governo dos EUA sob as leis federais de crimes cibernéticos dos EUA, que proíbem amplamente empresas privadas de conduzir ataques cibernéticos ou operações de disrupção sem aprovação autorizada por tribunal.
As empresas privadas são regulamentadas sob as mesmas leis de invasão cibernética que qualquer outra pessoa nos Estados Unidos, as quais proíbem indivíduos ou empresas de realizarem ataques cibernéticos. Até o momento, a posição do governo dos EUA, sob várias administrações, tem sido a de que o setor privado pode se defender contra ataques cibernéticos recebidos, mas não lançá-los ou operá-los.
Embora o memorando presidencial estabeleça a nova diretriz, ele ainda está em seus estágios iniciais e o governo ainda não definiu completamente como o programa funcionará. É provável que a nova política enfrente contestações legais e oposição de críticos, que há anos argumentam que empresas privadas não devem se envolver em operações de invasão cibernética do governo.
O governo emitirá diretrizes nos próximos dois meses delineando os requisitos que as empresas participantes deverão atender antes de serem autorizadas a entrar no programa. Essas diretrizes considerarão empresas de todos os portes, incluindo empresas privadas menores, que podem ser mais adequadas para operações especializadas, diz o memorando.
As empresas participantes devem depositar US$ 1 milhão em garantia (escrow), que será perdido se o governo descobrir que a empresa não está cumprindo suas regras sobre como conduzir essas operações. O memorando orienta o governo federal a criar procedimentos para evitar que qualquer operação tenha como alvo americanos ou sistemas baseados nos EUA.
Qualquer operação exigirá aprovações de representantes do Departamento de Justiça e de Segurança Interna antes de poder ser autorizada. As operações devem ser conduzidas exclusivamente sob a supervisão do governo federal.
A política também exige que qualquer empresa participante notifique o governo se descobrir um ataque cibernético iminente contra a infraestrutura crítica dos EUA, como redes elétricas ou fornecedores de água.
Quando contatado por e-mail, um porta-voz da Casa Branca não respondeu às perguntas do TechCrunch sobre se alguma empresa privada já está participando do programa, e remeteu à folha informativa da Casa Branca.
O memorando não chega a permitir que as empresas "contra-ataquem" (hack back) quaisquer ameaças cibernéticas. Críticos argumentam que o envolvimento da iniciativa privada em operações governamentais pode desencadear ramificações diplomáticas e internacionais, como no caso de um governo estrangeiro reclamar que foi atacado por uma empresa dos EUA.
Segundo um veterano de segurança cibernética, a política pode colocar americanos que trabalham para empresas privadas de segurança cibernética em risco de serem indiciados ou detidos por um governo estrangeiro, de forma muito semelhante a como os promotores dos EUA acusaram hackers governamentais chineses, iraniano e russos de crimes cibernéticos contra os Estados Unidos.
“Americanos que participam dessas operações podem facilmente ser classificados como combatentes não fardados ao viajar para o exterior”, disse Jake Williams, veterano da indústria que atua como vice-presidente de pesquisa e desenvolvimento na empresa de segurança cibernética Hunter Strategy.
“As alegações de que um americano participou dessas operações não precisam ser verdadeiras”, disse Williams ao TechCrunch, observando que a própria política da administração cria margem para que um governo estrangeiro faça tais acusações.
Descrevendo a política como “mal elaborada”, Williams disse que, embora o adendo sigiloso provavelmente responda a algumas perguntas sobre como alvos específicos de ataques cibernéticos ofensivos dos EUA são escolhidos, ele não estava convencido de que o programa não seria abusado.
A administração Trump não deu um motivo para a decisão, limitando-se a dizer que o governo está lidando com uma “crescente ameaça” contra americanos e empresas. Os Estados Unidos têm enfrentado várias ameaças cibernéticas internacionais em meio a cortes generalizados e demissões na equipe federal de segurança cibernética desde o início do segundo mandato de Trump, em janeiro de 2025.
Vários estados dos EUA estão relatando atualmente ataques cibernéticos em sua infraestrutura hídrica, os quais autoridades de inteligência dos EUA teriam atribuído privadamente a hackers apoiados pelo governo iraniano. Autoridades em mais de uma dezena de estados, incluindo Michigan, Minnesota e Geórgia, relataram invasões em fornecedores locais de água, mas nenhum alerta de segurança da água precisou ser emitido.
A avaliação da comunidade de inteligência sobre essas ameaças ocorre após meses de guerra prolongada entre os EUA, Israel e o Irã. Após o início da guerra liderada pelos EUA em fevereiro, que resultou na morte do líder supremo do Irã, os militares iranianos responderam com mísseis direcionados a centros de dados de propriedade ocidental, bem como com ataques cibernéticos que estão afetando ativamente empresas americanas e infraestruturas críticas.
O memorando cibernético da administração Trump surge no momento em que os EUA e outros governos lidam com uma onda de ataques cibernéticos autônomos impulsionados por IA, direcionados a empresas e organizações em todo o mundo. Anthropic, OpenAI, Meta e o Instituto de Segurança de IA do Reino Unido relataram que modelos de IA de fronteira que estavam testando romperam suas contenções técnicas para realizar ataques cibernéticos.
Atualizado com a resposta da Casa Branca.
