EUA autorizam empresas privadas a realizar ataques cibernéticos contra criminosos estrangeiros

Requisitos principais

O memorando estabelece várias salvaguardas para as empresas participantes :

• Depósito caução de US$ 1 milhão — As empresas participantes devem depositar US$ 1 milhão em caução, passível de confisco se o governo identificar descumprimento das regras do programa .
• Aprovação conjunta DOJ/DHS — Cada operação exige aprovação por escrito dos "Diretores Executivos do Programa" representando tanto o Departamento de Justiça quanto o Departamento de Segurança Interna antes que qualquer ação possa ser tomada .
• Proibição de alvejar americanos ou sistemas baseados nos EUA — O memorando determina procedimentos que impeçam qualquer operação de alvejar pessoas americanas ou sistemas localizados nos Estados Unidos .
• Limite de "Resultados Críticos" — Operações que possam causar perda de vidas ou ferimentos graves, ou que atinjam o nível de "uso da força" segundo o direito internacional, são proibidas, a menos que autorizadas separadamente .
• Relatórios anuais — Os Diretores Executivos do Programa devem relatar ao Conselheiro de Segurança Interna e ao Diretor Nacional de Cibersegurança dentro de 180 dias e anualmente a partir de então .
• Divulgação contratual — As empresas participantes devem divulgar ao NCC todas as relações contratuais com as organizações criminosas alvo .

Mudança legal e política

A política representa uma reversão histórica de décadas de política de segurança cibernética dos EUA. Sob o Computer Fraud and Abuse Act (CFAA), as empresas privadas estavam sujeitas às mesmas restrições que qualquer pessoa — amplamente proibidas de realizar acesso não autorizado, hacking ou operações de interrupção sem uma ordem judicial . A posição de longa data do governo dos EUA, consistente em várias administrações, era de que o setor privado poderia defender-se contra ataques cibernéticos recebidos, mas não poderia lançar ou operar ataques cibernéticos ofensivos .

Este memorando elimina essa proibição para contratantes credenciados que atuam sob supervisão federal, criando efetivamente um programa de "hack-back" controlado pelo governo que delega autoridade cibernética ofensiva a empresas privadas . A Casa Branca declarou que a política permite que o governo federal "aproveite a capacidade e a inovação do setor privado" para combater o cibercrime e ameaças direcionadas a americanos, como ataques de ransomware, fraudes financeiras e sextorsão .

Críticas e preocupações

Críticos alertaram que a política provavelmente enfrentará desafios legais e oposição daqueles que argumentam que empresas privadas não deveriam estar envolvidas em operações de hacking governamentais . O próprio memorando reconhece o risco, exigindo que as empresas participantes mantenham um vínculo financeiro substancial que pode ser perdido por não conformidade. O programa não autoriza operações irrestritas de "hack-back" — toda ação permanece sujeita à aprovação federal —, mas os críticos observam que delegar capacidades cibernéticas ofensivas a empresas privadas cria novos caminhos para potencial abuso e escalada .