Casa Branca quer empresas privadas a fazer ciberataques de retaliação

A Casa Branca formalizou aquilo que há anos se cochicha em conferências de segurança: abrir a porta para empresas privadas fazerem hack-back, ataques de retaliação contra grupos de cibercrime no estrangeiro, sob bandeira oficial dos EUA. O novo memorando presidencial de segurança nacional, assinado por Donald Trump, manda o National Coordination Center (NCC) montar um programa onde empresas de segurança podem pedir autorização para alvejar organizações criminosas fora do país.

Na prática, o NCC, parte da Homeland Security Task Force, passa a ser o balcão onde o sector privado leva propostas de operações ofensivas contra redes de ransomware, esquemas de phishing, fraudes financeiras, sextortion e esquemas de impersonação. O memorando cria um enquadramento em que estas empresas podem estabelecer acordos não só com outras entidades privadas, mas também com agências federais, estaduais e locais. Sempre, em teoria, sob controlo e autoridade do governo federal. O discurso oficial fala em “rigorosos procedimentos” para garantir respeito pela Constituição dos EUA e pelos acordos internacionais.

Há travões formais: as empresas serão alvo de triagem antes de assinarem contratos com o Departamento de Justiça ou com o Departamento de Segurança Interna. Têm de manter um bond ou escrow mínimo de 1 milhão de dólares, que perdem se violarem o contrato, e são obrigadas a interromper imediatamente uma operação se apanharem dados de cidadãos norte-americanos ou sistemas em solo americano fora do âmbito aprovado. Neste modelo, o risco jurídico é externalizado com caução financeira e papelada. O risco político, esse, fica difuso.

Em Washington vende-se isto como resposta a um problema real. Só em 2025, consumidores norte‑americanos reportaram perdas de mais de 20,8 mil milhões de dólares em crime “cyber-enabled”. Quem olha para o aumento de ataques de ransomware, de SIM swapping ou de engenharia social como o que atingiu a Levi’s, facilmente percebe a tentação de passar do eterno “reforçar defesas” para “ir atrás deles”. O problema é que um ataque ofensivo nunca é uma operação de laboratório. Erra‑se alvo, danifica‑se infra-estrutura partilhada, pisa‑se jurisdições alheias.

No meio da comunidade de segurança, a mudança está longe de consensual. Chris Wysopal, co-fundador da Veracode, chamou-lhe uma grande mudança na política de cibersegurança dos EUA. Jason Kikta, ex-líder da Cyber National Mission Force, foi mais ácido, descrevendo o modelo como uma “máquina de movimento perpétuo para ameaças faturáveis”. Traduzindo: cria-se um incentivo económico permanente para propor operações ofensivas, alimentado por um pipeline infinito de novas “ameaças” a neutralizar. Quando o negócio da cibersegurança passa a incluir ataque autorizado, a fronteira entre defesa e contratista de operações encobertas fica perigosamente ténue.

Para quem está na Europa, este programa é um alerta mais do que um modelo. A UE anda a falar de “resiliência”, normas de cibersegurança e reporte obrigatório de incidentes, não de terceirizar retaliações digitais a fornecedores privados. Se Washington normalizar o hack-back as a service, é uma questão de tempo até operadores de infra-estruturas europeias se verem no meio de operações entre grupos de crime e contractors norte‑americanos. A discussão que interessa em Portugal não é se queremos copiar isto, é se estamos preparados para viver num mundo onde uma parte da guerra ao cibercrime passa por ataques privados com selo de Estado.

Fonte: BleepingComputer