O governo federal está abrindo uma porta que ficou fechada por décadas: permitir que empresas privadas combatam hackers na ofensiva, e não apenas na defesa. Com uma nova política da administração Trump, empresas de segurança previamente avaliadas poderiam em breve ser autorizadas a lançar operações cibernéticas privadas dos EUA contra redes criminosas estrangeiras que miram americanos online — uma mudança que rompe décadas de política que impedia atores privados de agir ofensivamente sem a aprovação de um tribunal.
Principais lições
Um Memorando Presidencial de Segurança Nacional, datado de 13 de agosto de 2026, determina que o National Coordination Center (NCC) crie um programa para permitir que empresas privadas previamente avaliadas realizem operações cibernéticas ofensivas contra cibercriminosos estrangeiros.
Os alvos elegíveis incluem gangues de ransomware, esquemas de sextorsão, campanhas de phishing, quadrilhas de fraude financeira e golpes de personificação ligados a organizações criminosas transnacionais.
As empresas participantes devem ser aprovadas pelos Departamentos de Justiça e de Segurança Interna, atender a padrões técnicos e de verificação rigorosos e fazer um depósito em escrow de US$ 1 milhão, que será perdido em caso de não conformidade.
As operações podem incluir implantação de spyware, bloqueios baseados em criptografia e ataques de negação de serviço distribuídos, mas não podem causar perda de vida, ferimentos graves, nem atingir o nível de “uso da força” sob o direito internacional.
Os Departamentos de Justiça e de Segurança Interna têm 60 dias para detalhar como o programa funcionará de fato.
Governo dos EUA Autoriza Operações Cibernéticas Ofensivas no Setor Privado
Pela primeira vez, Washington está convidando empresas privadas a reagirem contra hackers no exterior sob autorização federal, em vez de confiná-las estritamente à defesa. O memorando, assinado pelo presidente Donald Trump, instrui o National Coordination Center (Centro Nacional de Coordenação), que fica sob a Homeland Security Task Force, a estruturar um programa formal para essas operações, com supervisão dividida entre os Departamentos de Justiça e de Segurança Interna.
A política mira diretamente organizações criminosas transnacionais, que o memorando define como entidades estrangeiras que cometem crimes cibernéticos contra o governo dos EUA, pessoas dos EUA ou interesses dos EUA, sem serem um braço oficial de outro governo. Uma ficha informativa divulgada junto com a ordem lista operadores de ransomware, esquemas de sextorsão, campanhas de phishing, quadrilhas de fraude financeira e golpes de personificação como alvos legítimos para as empresas participantes. De acordo com números citados na ficha informativa da Casa Branca, consumidores dos EUA relataram ter perdido mais de US$ 20,8 bilhões para crimes com suporte cibernético apenas em 2025, um dado que evidencia por que autoridades estão buscando ir além das ferramentas tradicionais de aplicação da lei.
Por que isso importa além da linguagem da política? Isso marca uma mudança estrutural na forma como os EUA enfrentam o cibercrime que atravessa fronteiras. Em vez de depender apenas de investigações do FBI, sanções ou pressão diplomática, o governo agora está posicionando a expertise do setor privado como uma arma na linha de frente contra redes criminosas que muitas vezes operaram com quase total impunidade em jurisdições que os EUA não conseguem alcançar facilmente.
Requisitos de Participação e Restrições Operacionais
Não é qualquer fornecedor de segurança que pode se inscrever. As empresas que esperam participar precisam passar por um processo de verificação conduzido em conjunto pelos Departamentos de Justiça e de Segurança Interna antes de entrar em um contrato formal, e a barreira de entrada é deliberadamente alta.
Verificação, Padrões e o Escrow de US$ 1 Milhão
O memorando estabelece padrões mínimos que as empresas participantes devem atender, incluindo proficiência técnica, histórico comprovado em operações cibernéticas, segurança das instalações, verificação de pessoal, competência e confiabilidade. Os diretores executivos do programa, em conjunto com o Conselho de Segurança Nacional, determinarão exatamente como é a “alta confiança” na capacidade de uma empresa antes de aprová-la.
Financeiramente, as apostas também são reais. As empresas devem depositar pelo menos US$ 1 milhão em uma conta de escrow**, dinheiro que é perdido se elas violarem os termos de seu acordo contratual. As empresas também são obrigadas a interromper imediatamente as operações e notificar a NCC se detectarem atividade que exceda os limites aprovados, incluindo qualquer direcionamento acidental de cidadãos dos EUA ou de sistemas baseados nos EUA. Essa salvaguarda existe para evitar cenários de fogo amigo em que uma operação ofensiva se desvie para redes domésticas.
Operações Cibernéticas Permitidas e Limites Legais
O programa traça uma linha firme entre táticas digitais agressivas e qualquer coisa que possa causar dano real no mundo físico. As empresas aprovadas poderão realizar as operações que o memorando chama de Operações de Vigilância Cibernética e Operações de Efeitos Cibernéticos, terminologia que deixa espaço para um kit ofensivo relativamente amplo.
O que é Permitido e o que é Proibido
Com base na redação do memorando, as empresas poderiam implantar spyware, usar criptografia para bloquear grupos criminosos dos próprios sistemas ou lançar ataques de negação de serviço distribuídos projetados para interromper a infraestrutura de um alvo. Até agora, o governo geralmente havia impedido o setor privado de realizar esse tipo de ação ofensiva sem aprovação autorizada por tribunal, o que torna essa mudança especialmente significativa.
No entanto, existe um limite rígido do que é permitido. As operações não podem produzir o que o memorando chama de “Resultados Críticos”, ou seja, nenhuma perda de vida, nenhum ferimento grave e nada que se qualificaria como uso da força ou ataque armado sob o direito internacional. Essa restrição serve para impedir que operações de ‘hack-back’ escalem para algo parecido com conflito armado, mesmo quando entrega a atores privados ferramentas antes reservadas a agências governamentais.
O que Acontece a Seguir
O arcabouço existe no papel, mas a realidade operacional ainda está sendo escrita. Os Departamentos de Justiça e de Segurança Interna têm 60 dias para definir os detalhes de como o programa funcionará no dia a dia, incluindo como os contratos são estruturados e como a supervisão será, na prática, aplicada.
Ceticismo Especialista Sobre Incentivos
O pesquisador independente de segurança Kevin Beamont acolheu parte do conceito, mas apontou uma preocupação real sobre como isso se desenrola na prática. “Definitivamente há mérito na ideia de hackear grupos de ransomware e isso de fato já acontece (não me pergunte como eu sei)”, disse ele, acrescentando que “os incentivos corretos têm que existir”.
Beamont foi além, apontando um padrão que ele observou na indústria: “O maior problema que tive ao combater ransomware nos últimos 5 anos é que empresas privadas de cibersegurança basicamente fazem lobby para nada mudar. Muitas empresas ganharam muito dinheiro, então colocá-las no comando de pará-lo parece otimista”.
Essa tensão está no cerne da pergunta que paira sobre toda esta iniciativa. Entregar capacidades ofensivas a empresas que lucram com a persistência do cibercrime poderia criar um programa que parece duro no papel, mas tem dificuldade em entregar resultados se os incentivos subjacentes não mudarem. Saber se o Departamento de Justiça e o Departamento de Segurança Interna incorporarão responsabilização suficiente ao finalizarem as regras nas próximas semanas provavelmente determinará se esta nova etapa das operações cibernéticas privadas dos EUA se tornará uma interrupção significativa às redes de hacking transnacional ou apenas mais uma camada de burocracia contratada.
FAQ
Que tipos de grupos criminosos cibernéticos as empresas privadas podem visar no novo programa?
As empresas privadas podem visar organizações criminosas transnacionais estrangeiras envolvidas em ransomware, sextorsão, phishing, fraude financeira e golpes de personificação.
Quais restrições são impostas às operações cibernéticas realizadas por empresas privadas de segurança?
As operações não devem causar perda de vida, ferimentos graves, nem se qualificar como uso da força sob o direito internacional, e devem cumprir as leis dos EUA e a supervisão.
Como as empresas privadas de segurança são selecionadas para participação no programa cibernético ofensivo?
As empresas devem ser avaliadas e aprovadas pelos Departamentos de Justiça e de Segurança Interna, atender a padrões técnicos e de segurança e depositar um escrow de US$ 1 milhão.
Quando serão publicados os procedimentos operacionais detalhados para este programa?
Os Departamentos de Justiça e de Segurança Interna devem definir os detalhes do programa em até 60 dias a partir da data do memorando.
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.