Hack-back legalizado: Trump autoriza empresas privadas a retaliar ofensivamente contra cibercriminosos estrangeiros

Um memorando presidencial encarrega o National Coordination Center de criar um programa de hack-back estruturado. Empresas privadas de cibersegurança poderão candidatar-se a autorizações para realizar ataques ofensivos contra organizações criminosas estrangeiras.

(1) O que: um memorando executivo que formaliza o hack-back privado

Um memorando assinado por Donald Trump autoriza o National Coordination Center (NCC) a estabelecer um programa que permita às empresas privadas de cibersegurança candidatarem-se a autorizações para operações ofensivas contra organizações criminosas estrangeiras. Em resumo: o hack-back — há muito tempo uma zona cinzenta legal nos Estados Unidos — ganha um enquadramento oficial, pelo menos em intenção.

O memorando não concede acesso imediato ao hack-back. Ele pede ao NCC que construa o programa, com seus critérios de elegibilidade, limites e controles.

(2) Quem é impactado

Do lado das empresas de segurança: aquelas que já atuavam em uma zona cinzenta ofensiva (takedowns de Command & Control, interrupção de infraestrutura criminosa, sinkholing) agora têm um sinal político forte — e uma possível via de legitimação formal.

Do lado das vítimas: as metas são explicitamente as "organizações de cibercrime estrangeiras" — grupos de ransomware, fraudes financeiras, etc. — que operam do exterior. Os Estados-nação são teoricamente excluídos, mas a fronteira entre criminalidade organizada e atores estatais é muitas vezes permeável (Rússia, Coreia do Norte, Irã).

Do lado do CFAA: o Computer Fraud and Abuse Act historicamente proíbe qualquer ação ofensiva contra sistemas de terceiros, mesmo em retaliação. Um memorando executivo pode criar um regime de exceção, mas não altera a lei em si. Uma margem de incerteza jurídica permanece.

(3) O que fazer

A reação da comunidade de segurança permanece dividida. Alguns especialistas aplaudem a clarificação das regras de engajamento; outros se preocupam com a ausência de salvaguardas explícitas contra operações mal atribuídas (e os danos colaterais em infraestruturas compartilhadas são reais nesse tipo de operação).

O que fazer agora:

• CISOs e equipes de segurança: nenhuma ação imediata é necessária. O programa ainda não existe — aguarde a publicação das orientações do NCC antes de considerar qualquer iniciativa.
• Escritórios jurídicos de segurança: comece a documentar suas operações atuais de "defesa ativa" na expectativa de possíveis critérios de elegibilidade.
• Não tome nenhuma iniciativa ofensiva com base apenas neste memorando — o enquadramento legal ainda está incompleto e o risco de exposição ao CFAA persiste.