O governo dos Estados Unidos criou um programa que permitirá a empresas privadas selecionadas participar de operações cibernéticas contra organizações criminosas estrangeiras. O memorando presidencial foi assinado por Donald Trump em 12 de agosto de 2026.
A iniciativa ficará sob responsabilidade do National Coordination Center e será dirigida conjuntamente pelos departamentos de Justiça e Segurança Interna. As empresas atuarão somente mediante contrato e sob direção, controle e supervisão do governo federal.
As ações poderão envolver vigilância de redes criminosas e operações capazes de manipular, interromper, degradar ou inutilizar sistemas digitais usados por grupos transnacionais. O foco inclui estruturas ligadas a ransomware, phishing, fraudes financeiras e outros golpes contra norte-americanos.
O contraste com o Brasil salta aos olhos. Enquanto Washington já regulamenta como contratar capacidade ofensiva do mercado, o debate brasileiro segue preso à etapa anterior, tratando cibersegurança como pauta emergente em vez de política de Estado.
Não há clareza sobre o que exigir das empresas em matéria de segurança, sobre como aproveitar a competência técnica que existe no setor privado nacional, nem sobre qual papel o país pretende ocupar quando sua infraestrutura crítica for alvo. Enquanto essa definição não chega, o Brasil continua reagindo a incidentes enquanto outros constroem capacidade.
No programa americano, as empresas interessadas passarão por avaliações de capacidade técnica, histórico operacional, segurança física e confiabilidade de funcionários. Os contratos poderão exigir garantia financeira ou depósito de pelo menos US$ 1 milhão, valor sujeito a perda em caso de descumprimento das regras, e cada operação precisará de autorização escrita antes de ser executada.
Os limites também foram definidos. O memorando exige procedimentos para evitar que ações atinjam cidadãos, empresas ou sistemas localizados nos Estados Unidos por engano, com interrupção imediata e comunicação do incidente caso ocorra. Atividades com risco de mortes, ferimentos graves ou que alcancem o nível de uso da força segundo o direito internacional são classificadas como resultados críticos e não poderão ser aprovadas pelos diretores comuns do programa. As regras operacionais devem sair em até 60 dias.
A decisão marca uma virada na forma como governos tratam a capacidade ofensiva privada. Até aqui, atacar infraestrutura criminosa era atribuição exclusiva de agências estatais. Ao contratar empresas para essa função, os Estados Unidos reconhecem que a capacidade técnica de ponta está concentrada no setor privado e criam um mecanismo formal para acessá-la, decisão que tende a pressionar outros países a revisar suas próprias posições sobre o tema.
