A administração de Donald Trump quer contratar empresas americanas para perseguir cibercriminosos estrangeiros em operações digitais antes reservadas ao governo. O memorando presidencial não libera uma temporada de caça sem regras: exige contrato federal, investigação prévia e supervisão do Departamento de Justiça ou do Departamento de Segurança Interna. Ainda assim, abre uma porta juridicamente pesada. Pela primeira vez, companhias privadas poderiam receber autorização para acessar redes estrangeiras, coletar inteligência e interromper sistemas de grupos classificados pelo governo como criminosos.
O que o memorando permite às empresas privadas?
A proposta permite que empresas privadas contratadas pelo governo americano investiguem e interrompam operações digitais de cibercriminosos estrangeiros selecionados pelo Estado. O texto menciona ações capazes de manipular, interromper, negar, degradar ou destruir sistemas de informação. Em linguagem menos burocrática, não se trata apenas de analisar logs ou limpar um botnet depois do estrago: a empresa poderia receber um alvo e autorização para agir contra sua infraestrutura.
Esse detalhe altera o papel tradicional do setor privado. Companhias de segurança já colaboram há anos com órgãos federais para localizar servidores maliciosos, derrubar redes de computadores infectados e preservar evidências. A Microsoft, por exemplo, participou de operações contra botnets como a Waledac. A diferença está na iniciativa: antes, a empresa funcionava como fornecedora técnica de uma operação governamental; agora, o desenho admite que ela assuma parte da ação ofensiva, ainda sob contrato público.
O memorando não modifica diretamente as leis americanas contra invasão de computadores, que em geral proíbem empresas e indivíduos de acessar infraestrutura digital sem autorização. Ele determina, porém, que qualquer participante esteja contratado pelo governo federal e passe por uma avaliação rigorosa. O acordo também exigiria uma garantia de US$ 1 milhão, valor que o governo poderia recolher se a companhia não cumprisse suas obrigações. É um mecanismo de controle, embora não responda à pergunta essencial: quem será responsabilizado quando o alvo estiver errado?
Como funcionariam os contratos e a escolha dos alvos?
Os contratos seriam firmados com o Departamento de Justiça ou o Departamento de Segurança Interna, mas o processo de seleção dos alvos ainda permanece incompleto. O memorando dá aos dois órgãos dois meses para resolver parte das questões legais, operacionais e administrativas necessárias à implementação.
A lacuna é grande. O documento não detalha quais empresas poderão participar, como ocorrerá a fiscalização em tempo real, que evidências serão suficientes para classificar uma organização como criminosa nem quais tipos de ataque estarão autorizados. Também não esclarece a base jurídica para operações conduzidas fora dos Estados Unidos, onde a mesma intrusão pode ser considerada crime, espionagem ou ato de guerra, conforme o país e o contexto.
Joshua Steinman, que foi diretor sênior de política cibernética do Conselho de Segurança Nacional no primeiro mandato de Trump, vê oportunidade para empresas menores, startups financiadas por capital de risco e companhias interessadas em contratos federais mais lucrativos. Arthur Tellis, ex-funcionário do Departamento de Defesa e pesquisador do Institute for Progress, avalia que essas empresas talvez sejam mais eficazes em vigilância do que em sabotagem. A distinção importa: observar uma rede é uma coisa; derrubá-la sem atingir terceiros é outra, muito mais próxima de manejar dinamite num prédio cheio.
Por que parte da indústria de cibersegurança se opõe?
Parte da indústria considera a proposta uma direção perigosa porque operações privadas no exterior podem violar leis locais, provocar retaliações e atingir alvos civis por engano. O memorando não autoriza ataques contra governos estrangeiros, mas muitos grupos criminosos operam numa zona cinzenta entre quadrilhas independentes, empresas de fachada e estruturas apoiadas por Estados.
Paul Rosenzweig, que foi secretário adjunto de Segurança Interna para política no governo George W. Bush, resumiu sua avaliação dizendo que a ideia não é incomparavelmente ruim, mas é ruim. Seu argumento é jurídico e geográfico: qualquer ação realizada fora dos Estados Unidos provavelmente contrariará as leis de vários países, enquanto a internet atravessa fronteiras com a indiferença de uma estrada sem placas. A autorização americana não transforma automaticamente uma invasão em atividade legal no território onde os servidores estão instalados.
Chris Wysopal, cofundador da empresa Veracode, também rejeita participar de operações desse tipo por causa do risco de responsabilidade. Um ataque pode atingir uma empresa americana, desencadear uma resposta maior ou ampliar demais seu raio de impacto. Derrubar o servidor usado por criminosos talvez também derrube sistemas de transporte, hospitais ou serviços públicos hospedados na mesma estrutura. Na segurança digital, o alvo raramente vem sozinho; às vezes chega acompanhado de uma creche, uma estação de tratamento de água e uma planilha que ninguém sabia que existia.
Atacar cibercriminosos resolve o problema?
Operações ofensivas podem atrapalhar grupos criminosos, mas não eliminam sozinhas a ameaça crescente de ransomware, fraude e roubo de dados. Americanos perdem bilhões de dólares por ano em ataques digitais, segundo o relatório de 2025 do Internet Crime Complaint Center, conhecido como IC3.
O dano não fica restrito a grandes empresas. Criminosos invadem negócios privados e serviços públicos, sequestram informações para exigir resgate, ameaçam divulgar dados pessoais e manipulam vítimas para que transfiram dinheiro. Chris Wysopal observou que golpes e ransomware pioram continuamente, lembrando que até pessoas experientes precisam confirmar se uma mensagem recebida é verdadeira. A escala do problema transforma cada usuário em uma possível porta de entrada, não apenas em espectador de uma guerra entre hackers.
O risco também alcança a segurança nacional. Em julho de 2026, autoridades de Minnesota informaram que mais de 30 sistemas de água haviam sido alvo de um ataque contra sua tecnologia operacional; a inteligência americana associou a ação ao Irã. Esse episódio mostra por que o governo procura respostas mais rápidas, mas também por que errar o golpe pode ser catastrófico. Para Wysopal, não é possível construir segurança apenas pela ofensiva: sempre surgirá outro grupo, outro servidor, outra vulnerabilidade. A proposta pode ampliar a capacidade de contra-ataque, mas não substitui defesa, investigação, resiliência e cooperação internacional.
