EUA abrem espaço para que empresas privadas integrem operações contra cibercriminosos
O governo dos Estados Unidos deu um passo inédito ao criar um programa oficial que permite a participação de empresas privadas em ações ofensivas contra grupos de cibercrime no exterior. A medida foi formalizada em um memorando presidencial assinado por Donald Trump em 12 de agosto de 2026 e representa uma mudança profunda na forma como o país enxerga e utiliza a capacidade técnica do setor privado na esfera da segurança digital.
O programa ficará sob coordenação do National Coordination Center e será conduzido em conjunto pelos departamentos de Justiça e de Segurança Interna. Não se trata de uma “liberação geral” para que empresas passem a atacar criminosos por conta própria. Toda atuação dependerá de contratos específicos e será feita sob direção, controle e supervisão diretos do governo federal, com regras claras, limites bem definidos e forte estrutura de governança.
As operações previstas vão além da simples coleta de informações. As empresas contratadas poderão realizar vigilância sobre redes usadas por grupos criminosos e conduzir ações técnicas capazes de manipular, interromper, degradar ou até inutilizar sistemas digitais ligados a organizações transnacionais. O escopo inclui, por exemplo, infraestruturas usadas para ataques de ransomware, campanhas de phishing em larga escala, esquemas de fraudes financeiras e outros tipos de golpes direcionados contra cidadãos, empresas e instituições norte‑americanas.
O desenho do programa parte de um reconhecimento explícito: a maior parte da expertise de ponta em cibersegurança e capacidades ofensivas sofisticadas está hoje no setor privado. Ao criar um modelo formal para contratar essas competências, o governo norte‑americano sai da lógica em que apenas agências estatais conduzem operações de contra-ataque e passa a usar o mercado como um braço adicional de sua estratégia de defesa e dissuasão no ciberespaço.
Para participar, as empresas interessadas precisarão passar por uma triagem rigorosa. Serão avaliadas não só as capacidades técnicas, como histórico operacional em projetos complexos, maturidade de processos internos, políticas de segurança física e digital, e, sobretudo, a confiabilidade dos profissionais envolvidos. O objetivo é garantir que apenas organizações com altos padrões de governança e ética sejam habilitadas a atuar em nome do governo em operações sensíveis.
Há, ainda, um componente financeiro pensado para reforçar a responsabilização. Os contratos podem exigir garantias, como depósito de pelo menos 1 milhão de dólares, valor que pode ser perdido em caso de descumprimento das condições ou de violação das regras do programa. Esse mecanismo funciona como uma espécie de seguro de desempenho e de conformidade: a empresa assume um risco econômico real se agir fora dos parâmetros autorizados.
Cada operação, por sua vez, precisará de autorização por escrito antes de ser executada. Isso evita que a aprovação genérica para atuar em “operações ofensivas” seja interpretada como carta branca para conduzir ataques sem controle. A lógica é próxima à de mandados específicos: para cada ação concreta, deve haver uma análise prévia de riscos, objetivos, métodos, alvos e possíveis impactos colaterais, culminando em um aval formal documentado.
Os limites da atuação também foram detalhadamente estabelecidos no memorando. Foram exigidos procedimentos operacionais destinados a reduzir ao máximo o risco de afetar, por engano, cidadãos, empresas ou sistemas localizados em território norte‑americano. Caso uma operação gere algum efeito indesejado nessas entidades, as ações devem ser interrompidas imediatamente, e o incidente precisa ser comunicado sem demora às autoridades responsáveis. Essa exigência reforça a prioridade de proteger infraestruturas domésticas e evitar que operações contra criminosos se voltem contra a própria população.
Determinadas atividades foram classificadas como “resultados críticos” e, por isso, não poderão ser aprovadas pelos diretores conjuntos do programa. Enquadram-se nessa categoria ações com potencial de causar mortes, ferimentos graves ou que possam equivaler, em termos jurídicos, ao uso da força segundo o direito internacional. Esse ponto deixa claro que o programa não pretende militarizar por completo o ciberespaço, nem delegar ao setor privado o equivalente digital de ações de guerra, mantendo uma linha vermelha bem definida entre operações de combate ao crime e iniciativas de natureza militar.
O memorando também estipula um prazo para que as regras operacionais detalhadas – os chamados procedimentos padrão, critérios técnicos, fluxos de aprovação e mecanismos de supervisão – sejam formalizados: até 60 dias após a assinatura. Essa janela relativamente curta indica pressa em transformar o desenho político da iniciativa em prática concreta, reduzindo o tempo entre o anúncio da política pública e a sua efetiva implementação.
Esse movimento dos Estados Unidos evidencia uma mudança de paradigma mais ampla na forma como Estados lidam com o componente ofensivo da segurança cibernética. Até recentemente, desmantelar infraestrutura de grupos criminosos internacionais era atribuição quase exclusiva de agências governamentais, como unidades de inteligência, forças armadas ou órgãos policiais especializados. Ao abrir espaço para que empresas privadas passem a desempenhar parte desse papel de maneira coordenada, o governo reconhece que a fronteira entre capacidades estatais e privadas se tornou porosa no ambiente digital.
Quando se observa esse cenário a partir da realidade brasileira, o contraste é marcante. Enquanto Washington já discute e regulamenta a contratação de capacidades ofensivas do mercado, o debate nacional ainda se concentra em questões preliminares, como a construção de uma cultura mínima de cibersegurança e a consolidação do tema como política de Estado, e não apenas como uma agenda pontual ou reativa. O Brasil segue majoritariamente na etapa de resposta a incidentes, sem um desenho maduro de como operar de forma coordenada em nível estratégico.
No contexto brasileiro, ainda não há clareza sobre o que exigir das empresas em termos de padrões mínimos de segurança, nem sobre como aproveitar de forma estruturada a expertise técnica existente no setor privado. Falta uma definição de qual papel o país quer e pode desempenhar em um cenário em que sua infraestrutura crítica – energia, telecomunicações, sistema financeiro, transportes – se torna alvo recorrente de ataques externos. Essa indefinição mantém o país em posição defensiva, enquanto outras nações convertem capacidade tecnológica em instrumentos concretos de dissuasão e contra-ataque.
A experiência norte‑americana não significa que o modelo deva ser simplesmente copiado, mas oferece insumos importantes para reflexão. Um dos pontos centrais é o reconhecimento formal de que o Estado, sozinho, não consegue acompanhar o ritmo de inovação e especialização técnica observado no mercado. Empresas de segurança, provedores de nuvem, plataformas de tecnologia e startups especializadas muitas vezes possuem ferramentas e talentos mais avançados do que os disponíveis em órgãos públicos, especialmente em áreas como análise de malware, engenharia reversa, resposta a incidentes complexos e operações em redes criminosas.
Outra lição relevante é a importância de estabelecer balizas jurídicas claras antes de autorizar qualquer tipo de ação ofensiva. Sem um arcabouço normativo robusto, a contratação de capacidades privadas para esse tipo de operação pode escorregar para a terceirização de atividades sensíveis, com risco de abusos, danos colaterais e violações de direitos fundamentais. O modelo dos EUA, ao exigir supervisão governamental, contratos formais, garantias financeiras e limites operacionais bem definidos, tenta equilibrar o ganho de eficiência com mecanismos de controle e responsabilização.
Também merece destaque o impacto geopolítico desse tipo de política. Ao institucionalizar a possibilidade de usar empresas privadas em operações contra cibercriminosos transnacionais, os Estados Unidos enviam um recado não apenas aos grupos de crime organizado, mas também a outros Estados: o país está disposto a ampliar o leque de ferramentas à sua disposição para proteger seus cidadãos e seus ativos digitais. Isso tende a pressionar outros governos a reverem suas estratégias, seja para acompanhar o nível de capacidade, seja para responder a possíveis ações que cruzem fronteiras de forma mais assertiva.
Para países que ainda se encontram em estágio inicial de desenvolvimento de uma política de cibersegurança de Estado, como o Brasil, a discussão sobre o envolvimento do setor privado em ações mais ativas precisa começar pela base: definição de responsabilidades, exigência de padrões mínimos para empresas que operam infraestruturas críticas, criação de canais estruturados de cooperação e compartilhamento de informações entre governo e indústria. Só a partir de um ecossistema minimamente maduro faz sentido cogitar modelos em que o setor privado possa ter papel mais direto em operações complexas de combate ao cibercrime.
Outro aspecto fundamental é o debate ético. Permitir que empresas privadas participem de ações ofensivas levanta questões sobre até que ponto interesses comerciais podem se misturar com objetivos de segurança nacional. Há o risco de que empresas usem esse tipo de contrato para reforçar seu próprio poder de mercado, acessar dados sensíveis ou atuar de forma desproporcional sob o escudo da “cooperação com o governo”. Por isso, é essencial que qualquer modelo de participação privada venha acompanhado de auditorias independentes, transparência compatível com o sigilo necessário e mecanismos rigorosos de prestação de contas.
Em paralelo, a evolução rápida de tecnologias de inteligência artificial, automação de ataques e ferramentas de detecção e defesa muda o patamar do conflito no ciberespaço. A mesma IA que hoje ajuda analistas a diferenciar um simples scan automatizado de um pentest avançado também potencializa capacidades de ataque – tanto de criminosos quanto de Estados. Nesse ambiente, quem conseguir articular melhor as capacidades de governo, setor privado e academia tende a construir uma vantagem estratégica relevante.
Por fim, a decisão dos Estados Unidos não resolve, por si só, o problema do cibercrime internacional, mas redesenha o tabuleiro. Ao formalizar a participação de empresas privadas em ações ofensivas, o país institucionaliza algo que, em muitos lugares, permanece em uma zona cinzenta – seja em arranjos informais, seja em práticas que orbitam a legalidade. O resultado prático desse novo modelo ainda levará tempo para ser avaliado, mas o recado é claro: a fronteira entre segurança pública, defesa nacional e mercado de tecnologia nunca esteve tão próxima, e ignorar essa realidade pode significar ficar para trás em um cenário digital cada vez mais hostil.