O governo federal está abrindo uma porta que esteve fechada por décadas: permitir que empresas privadas revidem contra hackers na ofensiva, não apenas na defesa. Sob uma nova política da administração Trump, empresas de segurança avaliadas em breve poderão ser autorizadas a lançar operações cibernéticas privadas dos EUA contra redes criminosas estrangeiras que visam americanos online, uma mudança que rompe com décadas de política que proibia atores privados de tomar ações ofensivas sem a aprovação de um tribunal.
Summary
Principais pontos
- Um Memorando Presidencial de Segurança Nacional, datado de 13 de agosto de 2026, instrui o National Coordination Center (NCC) a criar um programa que permita que empresas privadas avaliadas conduzam operações cibernéticas ofensivas contra cibercriminosos estrangeiros.
- Alvos elegíveis incluem gangues de ransomware, esquemas de sextorsão, campanhas de phishing, quadrilhas de fraude financeira e golpes de personificação ligados a organizações criminosas transnacionais.
- As empresas participantes devem ser aprovadas pelos Departamentos de Justiça e de Segurança Interna, atender a rigorosos padrões técnicos e de avaliação, e depositar um valor de US$ 1 milhão em caução, que é perdido em caso de descumprimento.
- As operações podem incluir implantação de spyware, bloqueios baseados em criptografia e ataques de negação de serviço distribuída, mas não podem causar perda de vidas, ferimentos graves ou chegar ao nível de “uso da força” segundo o direito internacional.
- Os Departamentos de Justiça e de Segurança Interna têm 60 dias para detalhar como o programa realmente funcionará.
Governo dos EUA autoriza operações cibernéticas ofensivas pelo setor privado
Pela primeira vez, Washington está convidando empresas privadas a revidar contra hackers no exterior sob autorização federal, em vez de limitá-las estritamente à defesa. O memorando, assinado pelo presidente Donald Trump, instrui o National Coordination Center, que está subordinado à Homeland Security Task Force, a criar um programa formal para essas operações, com a supervisão dividida entre os Departamentos de Justiça e de Segurança Interna.
A política mira diretamente as organizações criminosas transnacionais, grupos que o memorando define como entidades estrangeiras que cometem crimes habilitados por meios cibernéticos contra o governo dos EUA, pessoas dos EUA ou interesses dos EUA, sem serem um braço oficial de outro governo. Um informativo divulgado junto com a ordem cita operadores de ransomware, esquemas de sextorsão, campanhas de phishing, quadrilhas de fraude financeira e golpes de personificação como alvos legítimos para as empresas participantes. De acordo com números citados no informativo da Casa Branca, consumidores dos EUA relataram ter perdido mais de US$ 20,8 bilhões em crimes habilitados por meios cibernéticos apenas em 2025, um número que evidencia por que as autoridades estão olhando além das ferramentas tradicionais de aplicação da lei.
Por que isso importa além da linguagem da política? Isso marca uma mudança estrutural na forma como os EUA enfrentam o cibercrime que cruza fronteiras. Em vez de depender apenas de investigações do FBI, sanções ou pressão diplomática, o governo agora está posicionando a expertise do setor privado como uma arma de linha de frente contra redes criminosas que muitas vezes operaram com quase total impunidade em jurisdições que os EUA não conseguem alcançar facilmente.
Requisitos de participação e limitações operacionais
Não é qualquer fornecedor de segurança que pode se inscrever. Empresas que desejam participar devem passar por um processo de avaliação conduzido em conjunto pelos Departamentos de Justiça e de Segurança Interna antes de firmar um contrato formal, e a barreira de entrada é deliberadamente alta.
Avaliação, padrões e a caução de US$ 1 milhão
O memorando estabelece padrões mínimos que as empresas participantes devem atender, incluindo proficiência técnica, histórico comprovado em operações cibernéticas, segurança das instalações, avaliação de pessoal, competência e confiabilidade. Diretores executivos do programa, trabalhando com o Homeland Security Council, determinarão exatamente como se caracteriza “alta confiança” na capacidade de uma empresa antes de aprová-la.
Financeiramente, as apostas também são reais. As empresas devem depositar pelo menos US$ 1 milhão em uma conta de caução**, dinheiro que é perdido se violarem os termos do contrato. As empresas também são obrigadas a interromper imediatamente as operações e notificar o NCC se detectarem atividade que exceda os limites aprovados, incluindo qualquer direcionamento acidental a cidadãos dos EUA ou sistemas baseados nos EUA. Essa salvaguarda tem o objetivo de evitar cenários de fogo amigo em que uma operação ofensiva invada redes domésticas.
Operações cibernéticas permitidas e limites legais
O programa traça uma linha clara entre táticas digitais agressivas e qualquer coisa que possa causar danos no mundo real. Empresas aprovadas poderão conduzir o que o memorando chama de Operações de Vigilância Cibernética e Operações de Efeitos Cibernéticos, terminologia que deixa espaço para um conjunto ofensivo de ferramentas relativamente amplo.
O que é permitido e o que é proibido
Com base na linguagem do memorando, as empresas poderiam implantar spyware, usar criptografia para bloquear grupos criminosos de seus próprios sistemas ou lançar ataques de negação de serviço distribuída projetados para interromper a infraestrutura de um alvo. Até agora, o governo geralmente impediu o setor privado de realizar esse tipo de ação ofensiva sem aprovação autorizada por um tribunal, o que torna essa mudança notável.
Há, no entanto, um teto rígido sobre o que é permitido. As operações não podem produzir o que o memorando chama de “Resultados Críticos”, ou seja, nenhuma perda de vidas, nenhum ferimento grave e nada que se qualifique como uso da força ou ataque armado segundo o direito internacional. Essa restrição tem o objetivo de impedir que operações de contra-ataque se transformem em algo semelhante a um conflito armado, mesmo enquanto entrega a atores privados ferramentas antes reservadas a agências governamentais.
O que acontece a seguir
A estrutura existe no papel, mas a realidade operacional ainda está sendo definida. Os Departamentos de Justiça e de Segurança Interna têm 60 dias para definir os detalhes de como o programa funcionará no dia a dia, incluindo como os contratos serão estruturados e como a supervisão será efetivamente aplicada.
Ceticismo de especialistas sobre incentivos
O pesquisador de segurança independente Kevin Beamont aprovou parte do conceito, mas apontou uma preocupação real sobre como isso se desenrola na prática. “Definitivamente há mérito na ideia de hackear grupos de ransomware e isso de fato já acontece (não me pergunte como eu sei)”, disse ele, acrescentando que “os incentivos corretos precisam estar lá”.
Beamont foi além, apontando para um padrão que ele observou no setor: “O maior problema que tive ao combater ransomware nos últimos 5 anos é que empresas cibernéticas privadas basicamente fazem lobby para que nada mude. Muitas empresas ganharam muito dinheiro, então colocá-las no comando de acabar com isso parece otimista.”
Essa tensão toca na questão central que paira sobre toda essa iniciativa. Entregar capacidades ofensivas a empresas que lucram com a persistência do cibercrime pode criar um programa que parece rígido no papel, mas tem dificuldade em produzir resultados se os incentivos subjacentes não mudarem. Se os Departamentos de Justiça e de Segurança Interna incluirão responsabilidade suficiente quando finalizarem as regras nas próximas semanas provavelmente determinará se este novo capítulo de operações cibernéticas privadas dos EUA se tornará uma interrupção significativa para redes de hackers transnacionais ou apenas mais uma camada de burocracia contratada.
Perguntas frequentes
Que tipos de grupos cibercriminosos as empresas privadas podem mirar sob o novo programa?
Empresas privadas podem mirar organizações criminosas transnacionais estrangeiras envolvidas em ransomware, sextorsão, phishing, fraude financeira e golpes de personificação.
Quais restrições são impostas às operações cibernéticas conduzidas por empresas privadas de segurança?
As operações não devem causar perda de vidas, ferimentos graves ou se qualificar como uso da força segundo o direito internacional, e devem cumprir as leis e a supervisão dos EUA.
Como as empresas privadas de segurança são selecionadas para participar do programa de operações cibernéticas ofensivas?
As empresas devem ser avaliadas e aprovadas pelos Departamentos de Justiça e de Segurança Interna, atender a padrões técnicos e de segurança e depositar uma caução de US$ 1 milhão.
Quando serão publicadas as diretrizes operacionais detalhadas para esse programa?
Os Departamentos de Justiça e de Segurança Interna são obrigados a definir os detalhes do programa em até 60 dias a partir da data do memorando.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Que tipos de grupos cibercriminosos as empresas privadas podem mirar sob o novo programa?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Empresas privadas podem mirar organizações criminosas transnacionais estrangeiras envolvidas em ransomware, sextorsão, phishing, fraude financeira e golpes de personificação.”}},{“@type”:”Question”,”name”:”Quais restrições são impostas às operações cibernéticas conduzidas por empresas privadas de segurança?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”As operações não devem causar perda de vidas, ferimentos graves ou se qualificar como uso da força segundo o direito internacional, e devem cumprir as leis e a supervisão dos EUA.”}},{“@type”:”Question”,”name”:”Como as empresas privadas de segurança são selecionadas para participar do programa de operações cibernéticas ofensivas?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”As empresas devem ser avaliadas e aprovadas pelos Departamentos de Justiça e de Segurança Interna, atender a padrões técnicos e de segurança e depositar uma caução de US$ 1 milhão.”}},{“@type”:”Question”,”name”:”Quando serão publicadas as diretrizes operacionais detalhadas para esse programa?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Os Departamentos de Justiça e de Segurança Interna são obrigados a definir os detalhes do programa em até 60 dias a partir da data do memorando.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
