Análise de cibersegurança
Combate ao cibercrime transnacional: por que os EUA querem empresas em operações cibernéticas ofensivas
Um novo memorando norte-americano amplia a participação de empresas privadas no enfrentamento de ransomware, fraudes digitais e organizações criminosas internacionais — mas também abre uma complexa discussão sobre limites, responsabilidade e retaliação.
Ler a análiseOs Estados Unidos deram um passo que pode mudar a relação entre governos e empresas de cibersegurança. Em 12 de agosto de 2026, a Casa Branca publicou um memorando que permite a companhias privadas selecionadas participar de operações contra organizações criminosas transnacionais no ambiente digital. Além de detectar e bloquear ataques, elas poderão ajudar a vigiar, interromper ou degradar a infraestrutura dos criminosos.
A medida responde a um problema crescente. Fraudes, ransomware, roubo de criptomoedas e extorsão movimentam bilhões de dólares além das fronteiras. Segundo a análise do Center for Strategic and International Studies (CSIS), o crime cibernético provoca perdas anuais superiores a US$ 20 bilhões nos Estados Unidos e prejudica a confiança nas instituições.
O que o memorando realmente autoriza
O documento não concede autorização geral para empresas “contra-atacarem” invasores por iniciativa própria. Ele determina a criação de um programa administrado pelo National Coordination Center, com supervisão conjunta dos departamentos de Justiça e Segurança Interna dos Estados Unidos.
As participantes passarão por avaliação técnica, verificação de pessoal e controles de segurança. Cada operação precisará de aprovação escrita. O programa abrangerá vigilância cibernética para coleta discreta de informações e operações capazes de manipular, interromper, degradar ou destruir sistemas e dados dos alvos.
Empresas selecionadas
Participação condicionada à avaliação técnica, segurança e confiabilidade.
Aprovação escrita
Nenhuma ação poderá começar sem autorização e direcionamento do governo.
Operação supervisionada
As atividades permanecerão sob controle das autoridades federais.
Não se trata de “hack back” irrestrito
Ações que possam causar mortes, ferimentos graves ou equivaler ao uso da força no direito internacional não poderão ser autorizadas pelos diretores do programa. Se um sistema norte-americano for atingido acidentalmente, a empresa deverá interromper a atividade, reduzir os efeitos e avisar o governo.
Velocidade privada contra redes criminosas
A principal vantagem é combinar autoridade estatal com capacidade técnica privada. Provedores de nuvem e empresas de segurança enxergam ataques em milhões de dispositivos, contas e transações. Essa visibilidade pode revelar domínios maliciosos, servidores de comando e controle, carteiras digitais e estruturas de ransomware.
Empresas como Microsoft e Google já atuam para derrubar botnets, remover páginas maliciosas e desarticular serviços criminosos por meios legais. O novo programa pode aumentar a velocidade e a escala dessas ações. Também abre espaço para empresas menores e especializadas, que frequentemente desenvolvem técnicas inovadoras, mas encontram dificuldades para contratar com o governo.
A fronteira entre crime e espionagem
O maior desafio será identificar quem pode ser atacado. O programa foi criado para alcançar organizações criminosas estrangeiras, não órgãos de outros governos. Na prática, porém, essa separação raramente é clara. Grupos russos de ransomware podem operar com tolerância estatal; agentes norte-coreanos praticam crimes digitais para financiar o regime; e hackers vinculados à China podem realizar espionagem oficial e fraudes particulares.
Uma classificação errada poderia atingir uma operação de inteligência, provocar retaliação ou gerar tensão diplomática. Confirmar os vínculos de um grupo também pode consumir a janela em que sua infraestrutura está exposta. Por isso, o CSIS recomenda uma relação previamente validada de alvos e inteligência para orientar as empresas.
No ciberespaço, o mesmo grupo pode agir como criminoso em um dia e como instrumento de interesse estatal no outro.
Responsabilidade jurídica e risco de retaliação
Outra questão decisiva é a proteção legal dos participantes. A legislação norte-americana, especialmente o Computer Fraud and Abuse Act, criminaliza o acesso não autorizado a sistemas. Embora as empresas atuem sob direção federal, ainda será necessário definir claramente as autoridades aplicáveis, os limites contratuais e a responsabilidade por consequências não previstas.
Há riscos físicos e digitais. Cartéis podem retaliar contra funcionários, fornecedores ou clientes das empresas envolvidas. O governo precisará criar planos de contingência, compartilhar alertas e proteger identidades. Sem garantias jurídicas e segurança adequada, companhias qualificadas poderão desistir.
Outro requisito é a coordenação. Uma empresa não pode desativar um servidor monitorado pela inteligência ou por um aliado. A prevenção de conflitos deverá integrar polícia, inteligência, diplomacia, defesa e setor privado sem exposição desnecessária de informações classificadas.
Atribuição incorreta
Confundir criminosos independentes com agentes ligados a um governo.
Danos não previstos
Afetar sistemas legítimos compartilhados com a infraestrutura criminosa.
Retaliação
Expor empresas, funcionários, fornecedores e clientes a represálias.
Conflito operacional
Interferir em investigações ou ações de inteligência já existentes.
O que essa mudança representa para o mercado
Para o setor de cibersegurança, o memorando cria oportunidades, mas eleva a governança. Participantes precisarão demonstrar rastreabilidade, cadeia de aprovação, segregação de funções, controles de acesso e capacidade de interromper operações. O texto permite exigir garantia financeira de pelo menos US$ 1 milhão por descumprimento contratual.
O melhor caminho é começar com projetos-piloto de risco controlado, como identificar e apreender ativos digitais ligados ao crime, interromper páginas de fraude ou desativar infraestrutura comprovadamente maliciosa. Indicadores públicos devem medir prejuízos evitados, redes desarticuladas, vítimas protegidas, reincidência e efeitos inesperados.
Capacidades exigidas das empresas participantes
- Rastreabilidade completa das ações realizadas
- Segregação de funções e cadeia formal de aprovação
- Controles rigorosos de identidade e acesso
- Capacidade de interromper imediatamente uma operação
- Gestão de evidências, registros e responsabilidade
Uma nova fase da defesa cibernética
O memorando reconhece uma realidade: governos não possuem sozinhos toda a visibilidade, a velocidade e o talento necessários para enfrentar o cibercrime transnacional. Entretanto, transformar empresas em participantes de operações ofensivas exige muito mais que capacidade técnica. Requer base legal, supervisão, inteligência confiável, proteção aos profissionais e regras rigorosas de atribuição.
Se implementado com transparência e controle, o programa poderá reduzir a vantagem operacional de grupos de ransomware, fraudadores e redes de extorsão. Se as fronteiras permanecerem vagas, poderá gerar erros, disputas judiciais e escalada internacional. A iniciativa norte-americana será, portanto, um teste global sobre até onde a cooperação público-privada pode avançar sem transformar o ciberespaço em um ambiente ainda mais instável.
