Estados Unidos abrem espaço para empresas privadas em operações contra cibercriminosos
O governo dos Estados Unidos deu um passo inédito ao criar um programa que autoriza empresas privadas escolhidas a participar diretamente de operações ofensivas no ciberespaço contra organizações criminosas estrangeiras. A medida foi formalizada em um memorando presidencial assinado por Donald Trump em 12 de agosto de 2026 e reposiciona o papel do setor privado na segurança digital do país.
A coordenação do programa ficará a cargo do National Coordination Center, que atuará em conjunto com o Departamento de Justiça e o Departamento de Segurança Interna. Não se trata de uma “terceirização da guerra cibernética” irrestrita: as empresas só poderão agir mediante contrato formal e sempre sob comando, controle e supervisão direta do governo federal. Cada operação precisará de autorização prévia e específica, documentada por escrito.
As ações previstas vão muito além de simples monitoramento. As companhias participantes poderão ser mobilizadas para vigiar redes usadas por grupos criminosos e também executar operações capazes de manipular, interromper, degradar ou tornar inutilizáveis sistemas digitais empregados por organizações transnacionais. O alvo prioritário são infraestruturas ligadas a ransomware, phishing, esquemas de fraude financeira e outros golpes voltados contra cidadãos e empresas norte-americanas.
O programa prevê critérios rigorosos para selecionar quem pode operar “ao lado” do Estado. As empresas interessadas serão avaliadas quanto à capacidade técnica, histórico operacional, maturidade em segurança física e digital e grau de confiabilidade de seus profissionais. Além disso, os contratos poderão incluir a exigência de uma garantia financeira mínima de US$ 1 milhão. Esse valor poderá ser perdido, total ou parcialmente, se a contratada violar as regras estabelecidas, o que cria um desincentivo concreto a abusos ou desvios.
Ao mesmo tempo, o governo norte-americano definiu salvaguardas para limitar o alcance das operações. O memorando determina que sejam adotados procedimentos estritos para evitar impactos colaterais em cidadãos, empresas ou sistemas localizados nos próprios Estados Unidos. Caso uma ação cause, mesmo que por engano, efeitos em infraestrutura doméstica, a operação deve ser imediatamente interrompida e o incidente comunicado às autoridades responsáveis.
Há também uma fronteira explícita entre operações cibernéticas agressivas e o uso da força em sentido tradicional. Atividades que possam resultar em mortes, ferimentos graves ou que se aproximem do nível de emprego da força segundo o direito internacional são classificadas como “resultados críticos”. Esse tipo de ação não poderá ser aprovado pelos diretores conjuntos do programa, exigindo instâncias decisórias superiores. As regras operacionais detalhadas, incluindo processos de autorização e controle, devem ser publicadas em até 60 dias a partir da assinatura do memorando.
Essa decisão representa uma mudança estrutural na forma como os governos enxergam a chamada capacidade ofensiva privada. Até aqui, o ataque a infraestruturas usadas por criminosos era, em quase todos os países, prerrogativa exclusiva de agências estatais de segurança e inteligência. Ao abrir uma via legal para contratar empresas com esse fim, os Estados Unidos reconhecem, na prática, que boa parte da excelência técnica em cibersegurança está concentrada no mercado e não apenas dentro do aparato estatal.
O contraste com a realidade brasileira é evidente. Enquanto Washington já estabelece regras para comprar capacidade ofensiva do setor privado, o debate no Brasil ainda gira, majoritariamente, em torno do básico: como elevar o nível mínimo de proteção, quem deve ser responsável por quais camadas da defesa e se a cibersegurança deve ser tratada como política de Estado ou apenas como um tema técnico emergente. Falta clareza sobre o que exigir das empresas em termos de segurança mínima, sobre como aproveitar a expertise existente em provedores nacionais e sobre qual posição o país pretende ocupar diante de ataques a sua infraestrutura crítica.
Na prática, isso significa que o Brasil segue em um modelo reativo, respondendo a incidentes à medida que eles acontecem, enquanto outras nações constroem capacidades organizadas, previsíveis e escaláveis, tanto para a defesa quanto, agora, para ações ofensivas sob marco regulatório definido. A ausência de diretrizes claras atrapalha não só o poder público, mas também as empresas que poderiam contribuir com o país, seja no campo da defesa, seja na cooperação internacional.
O programa norte-americano também levanta uma série de questões estratégicas. Ao permitir que empresas ataquem infraestruturas criminosas no exterior, sob guarda-chuva estatal, os Estados Unidos aumentam sua capacidade de resposta contra grupos que operam além de suas fronteiras e se escondem em jurisdições frágeis ou coniventes. Isso pode desorganizar ecossistemas de ransomware, reduzir lucros de quadrilhas especializadas e aumentar significativamente o custo operacional do crime digital.
Por outro lado, essa aproximação entre Estado e setor privado na esfera ofensiva amplia o risco de tensões diplomáticas. Mesmo com todas as salvaguardas, qualquer operação que afete redes ou servidores localizados em outros países pode ser interpretada como violação de soberania, especialmente se o governo local não tiver sido notificado ou se opuser à ação. É nesse ponto que entram o direito internacional, as normas de conduta no ciberespaço e os acordos de cooperação entre Estados.
Do ponto de vista empresarial, o programa cria uma nova fronteira de atuação para companhias de segurança digital. Participar de operações ofensivas patrocinadas pelo governo pode significar acesso a contratos de alto valor, ganho de reputação técnica e exposição a desafios complexos, capazes de elevar ainda mais o nível de especialização dessas equipes. Ao mesmo tempo, traz uma carga enorme de responsabilidade jurídica, ética e reputacional: um erro de cálculo que cause dano indevido a terceiros, ainda que por falha técnica, pode ter consequências graves.
É também um movimento que tende a profissionalizar o mercado ofensivo. Hoje, parte da capacidade de ataque existente em empresas de segurança é usada em atividades como testes de invasão, simulações de ataque e pesquisas de vulnerabilidades – sempre com consentimento do cliente e dentro de um escopo estrito. O programa americano formaliza um canal para que essa competência, com regras diferentes e bem mais sensíveis, seja empregada diretamente contra alvos criminosos concretos, sob autorização estatal.
O exemplo pode pressionar outros países a reverem suas posições sobre o papel do setor privado em operações cibernéticas. Nações que já dispõem de forte indústria de segurança digital, mas mantêm uma separação rígida entre a esfera pública e a privada na dimensão ofensiva, podem começar a considerar modelos híbridos, com limites e controles semelhantes aos definidos pelos Estados Unidos. Já países com legislações frágeis ou pouco desenvolvidas correm o risco de ficar ainda mais distantes em termos de capacidade de resposta a ameaças sofisticadas.
Para o Brasil, a discussão vai além da mera replicação de um modelo estrangeiro. Antes de qualquer aproximação com operações ofensivas conjuntas com o setor privado, o país precisaria consolidar fundamentos básicos: uma política nacional de cibersegurança efetiva, com metas de longo prazo; exigências claras de segurança para empresas que operam infraestruturas críticas; mecanismos padronizados de compartilhamento de informações sobre ameaças entre governo e mercado; e um debate maduro sobre os limites éticos e jurídicos de qualquer forma de resposta ativa.
Também é essencial considerar o impacto interno de uma política que, em tese, permita que empresas atuem de forma mais agressiva. Sem um arcabouço robusto, o risco é abrir espaço para interpretações perigosas, como a ideia de que organizações privadas poderiam “revidar” ataques por conta própria, sem coordenação estatal. Esse tipo de prática, frequentemente chamado de hack back, é condenado por muitos especialistas justamente porque aumenta a chance de escalada de conflitos, danos colaterais e ataques a inocentes, além de dificultar a atribuição correta de responsabilidades.
Do ponto de vista dos cidadãos e das empresas comuns, a autorização dada pelo governo dos EUA pode ter efeitos indiretos na segurança do dia a dia. Se as operações forem bem-sucedidas em desmantelar infraestruturas de ransomware, por exemplo, a tendência é de redução, ao menos temporária, do volume de ataques e da capacidade de grupos criminosos de chantagear organizações críticas, como hospitais, redes de varejo, instituições financeiras e órgãos públicos. No entanto, é esperado que os cibercriminosos se adaptem, busquem novos refúgios e criem arquiteturas ainda mais distribuídas para se proteger de ações coordenadas Estado-mercado.
Em última instância, a decisão norte-americana revela uma mudança de paradigma: a segurança no ciberespaço deixa de ser vista como um campo exclusivo de atuação estatal e passa a ser um esforço compartilhado, inclusive no plano ofensivo, com empresas assumindo papéis antes restritos a agências de inteligência. Esse reposicionamento pode redefinir a forma como o poder é exercido na era digital e como os países constroem, protegem e projetam sua influência no mundo conectado. Para quem observa de fora, como o Brasil, a mensagem é clara: não basta reagir a incidentes; é preciso decidir, como política de Estado, que tipo de capacidade cibernética se quer construir – e qual será o lugar do setor privado nessa equação.