A administração americana anunciou, pela primeira vez, a autorização para que empresas privadas examinadas participem de operações cibernéticas ofensivas contra gangues criminosas e hackers internacionais, nos termos de um novo memorando presidencial. O memorando afirma que o objetivo é aproveitar as capacidades do setor privado para enfrentar ameaças dirigidas contra americanos, incluindo ataques de ransomware, fraude financeira e extorsão sexual.
A política não representa uma autorização geral para que as empresas realizem ataques por iniciativa própria, pois o memorando estabelece que as operações ocorrerão exclusivamente sob supervisão do governo federal e após a obtenção de aprovações de representantes do Departamento de Justiça e do Departamento de Segurança Interna. O governo também ainda não definiu os detalhes operacionais do programa, e espera-se que as diretrizes de participação sejam divulgadas nos próximos dois meses.
Autoridades ofensivas com controles financeiros e legais
O novo marco permite que as empresas participantes realizem operações de vigilância, como o uso de spyware para coletar informações, além de ataques disruptivos destinados a destruir os dados ou os sistemas dos criminosos. Em contrapartida, as empresas serão obrigadas a depositar um milhão de dólares em uma conta de garantia, valor que poderão perder se o governo concluir que não cumpriram as regras que regem essas operações.
O governo estabelecerá procedimentos para impedir o direcionamento contra americanos ou sistemas localizados dentro dos Estados Unidos. As empresas também deverão informar ao governo caso descubram um ataque cibernético iminente contra uma infraestrutura americana crítica, como redes elétricas ou instalações de água. As diretrizes esperadas abrangerão empresas de todos os portes, incluindo pequenas empresas que podem ser mais adequadas para realizar operações especializadas.
Ruptura com a política americana anterior
A decisão representa uma mudança significativa em relação à posição americana mantida por administrações sucessivas, que permitia ao setor privado se defender contra ataques recebidos, mas o impedia de lançar ataques ou realizar operações de interrupção. As empresas privadas estão sujeitas às mesmas leis federais que proíbem a realização de ataques cibernéticos sem a devida autorização judicial.
Entretanto, o memorando não chega a permitir que as empresas realizem operações independentes de «hack back» contra qualquer entidade que as ameace. A Casa Branca também não esclareceu se empresas privadas já aderiram ao programa, pois encaminhou as perguntas da TechCrunch a uma folha informativa divulgada por ela.
Preocupações com as consequências internacionais
Críticos afirmam que envolver empresas privadas em operações governamentais pode abrir caminho para disputas legais e diplomáticas, especialmente se um governo estrangeiro alegar que uma empresa americana realizou um ataque contra seu território ou seus sistemas. A política poderá enfrentar contestações legais e oposição de entidades que há muito rejeitam a participação do setor privado em operações governamentais de invasão.
Jake Williams, vice-presidente de pesquisa e desenvolvimento da empresa de segurança cibernética Hunter Strategy, afirmou que a política poderá expor funcionários americanos de empresas de segurança cibernética ao risco de acusação ou detenção no exterior. Acrescentou que esses funcionários poderão ser classificados como «combatentes irregulares» durante suas viagens, mesmo que não seja comprovada sua participação nas operações. Williams descreveu a política como «imatura» e declarou não estar convencido de que seja possível impedir seu uso indevido.
Contexto de ameaças crescentes
O memorando surge enquanto a administração afirma que os Estados Unidos enfrentam uma ameaça crescente e em meio a ataques que atingiram infraestruturas hídricas em vários estados e que foram atribuídos, segundo avaliações de inteligência comunicadas a autoridades locais, a hackers apoiados pelo governo iraniano. O relatório também mencionou ataques que interromperam empresas e infraestruturas americanas, paralelamente à intensificação das ameaças cibernéticas apoiadas por softwares de inteligência artificial autônomos.