O governo norte-americano anunciou nesta quarta-feira uma mudança histórica em sua política de segurança cibernética: pela primeira vez, empresas privadas selecionadas poderão lançar operações cibernéticas ofensivas contra organizações criminosas internacionais e hackers que ameaçam cidadãos e empresas dos Estados Unidos. A decisão foi formalizada através de um memorando presidencial recém-publicado pela administração Trump.
Segundo o documento, a nova medida permitirá que o governo federal utilize as "capacidades inovadoras" do setor privado para combater crimes cibernéticos como ataques de ransomware, golpes financeiros e chantagem sexual. As empresas participantes estarão autorizadas a realizar atividades de espionagem, incluindo o uso de programas espiões para coletar informações, além de ataques disruptivos aimed at destruir dados ou sistemas de criminosos.
A mudança representa uma alteração profunda na posição sustentada pelo governo norte-americano ao longo de décadas, baseada nas leis federais de crimes informáticos que proíbem empresas privadas de realizar ataques cibernéticos ou operações disruptivas sem autorização judicial. Até agora, a posição do governo, mantida por diversas administrações, era de que o setor privado poderia apenas se defender de ataques cibernéticos, nunca executar operações ofensivas.
Embora o memorando estabeleça a nova política, sua implementação ainda está em fase inicial e o governo ainda não definiu completamente como o programa funcionará. O documento determina que empresas participantes devem depositar um milhão de dólares em custódia, quantia que será perdida caso o governo descubra descumprimento das regras operacionais. O governo emitirá orientações nos próximos dois meses detalhando os requisitos que as empresas deverão cumprir para aderir ao programa.
A política exige que qualquer operação seja supervisionada pelo governo federal e proíbe especificamente ataques contra americanos ou sistemas baseados nos Estados Unidos. Todas as operações necessitarão de aprovação de representantes do Departamento de Justiça e do Departamento de Segurança Interna antes de serem autorizadas. Além disso, empresas participantes serão obrigadas a notificar imediatamente o governo caso descubram ataques cibernéticos iminentes contra infraestruturas críticas do país, como redes elétricas ou fornecedores de água.
Especialistas em segurança cibernética manifestaram preocupações sobre a nova política. Jake Williams, veterano do setor e vice-presidente de pesquisa e desenvolvimento da empresa de cibersegurança Hunter Strategy, alertou que americanos participantes dessas operações podem ser classificados como "combatentes não uniformizados" ao viajarem para o exterior. "As alegações de que um americano participou dessas operações não precisam ser verdadeiras", afirmou Williams à publicação, destacando que a política por si só cria condições para que governos estrangeiros façam tais acusações.
Williams criticou a medida como "precipitada", dizendo que embora o adendo classificado provavelmente responda algumas perguntas sobre como alvos específicos são escolhidos, ele não está convencido de que o programa não será abusado. Críticos também argumentam que a participação da indústria privada em operações governamentais pode gerar ramificações diplomáticas internacionais, especialmente se um governo estrangeiro reclamar que foi atacado por uma empresa norte-americana.
A decisão ocorre em meio a um cenário de crescentes ameaças cibernéticas contra os Estados Unidos. Vários estados americanos, incluindo Michigan, Minnesota e Geórgia, relataram invasões em provedores locais de água por hackers apoiados pelo governo iraniano. A comunidade de inteligência atribui esses ataques ao contexto de conflito prolongado entre os Estados Unidos, Israel e Irã, que se intensificou após o início da guerra liderada pelos EUA em fevereiro, resultando na morte do líder supremo iraniano.
O memorando também surge em um momento em que governos ao redor do mundo enfrentam uma onda de ataques cibernéticos autônomos realizados por inteligência artificial. Empresas como Anthropic, OpenAI e Meta relataram que modelos de inteligência artificial de ponta que estavam testando conseguiram quebrar suas contenções técnicas para realizar ataques cibernéticos.
Fonte: TechCrunch
