.webp){kind=small}
O novo plano do presidente Donald Trump de recrutar empresas privadas para ajudar a desmantelar cibercriminosos no exterior pode enfrentar um problema fundamental quando se trata da Rússia: distinguir hackers criminosos de agentes apoiados pelo Estado. Os serviços de inteligência russos há muito toleram, protegem ou, intermitentemente, recrutam hackers com motivação financeira sem exercer controle total sobre eles. Essa dinâmica dá a Moscou acesso mais fácil a talentos da área de hacking e complica uma importante exceção na nova diretiva de Trump que exclui grupos que fazem parte de um governo estrangeiro ou são dirigidos por ele, dizem especialistas e ex-funcionários dos EUA.
"A linha entre controle governamental, afiliado ao governo e reconhecido pelo governo é certamente tênue na Rússia", disse Michael Daniel, presidente e CEO da Cyber Threat Alliance e ex-coordenador de segurança cibernética da Casa Branca durante o governo do presidente Barack Obama. "Determinar a relação exata entre agentes maliciosos e o governo russo tem sido um desafio constante e, muitas vezes, é impossível." Um memorando da Casa Branca assinado na semana passada abre caminho para que empresas americanas aprovadas realizem vigilância cibernética e operações que manipulem, interrompam e destruam sistemas usados por grupos criminosos estrangeiros. As empresas trabalhariam sob contratos com o Departamento de Justiça e o Departamento de Segurança Interna, e cada operação exigiria aprovação por escrito.
O memorando afirma que os alvos elegíveis não podem ser “parte institucional de um governo estrangeiro” ou “totalmente operados sob a direção de um governo estrangeiro”. Em seguida, instrui as autoridades a presumirem que um grupo não faz parte de, ou é totalmente controlado por, um governo estrangeiro, a menos que “informações claras” estabeleçam essa conexão. Essa coleta de informações de agências de espionagem como a Agência de Segurança Nacional (NSA) e a CIA pode ajudar as empresas a determinar os critérios de direcionamento, embora possa não ser suficiente para o cenário cibernético em constante evolução da Rússia.
“A rede cibernética da Rússia é opaca e está sempre mudando, confundindo as linhas entre governo e cibercriminosos, sem uma única regra para entender cada relacionamento”, disse Justin Sherman, CEO da Global Cyber Strategies, uma empresa de pesquisa e consultoria com sede em Washington, D.C. Parte dessa ambiguidade é intencional e permite ao Kremlin expandir o leque de hackers que pode recrutar secretamente, disse Sherman. Também reflete um cenário de corrupção mais amplo e generalizado na Rússia. Empresas americanas podem ter informações sobre esses grupos, mas não possuem a mesma inteligência abrangente disponível para o governo. Enquanto isso, as agências federais só podem compartilhar ou desclassificar uma quantidade limitada de informações, afirmou. "Empresas privadas têm informações cruciais em alguns aspectos e limitadas em outros", disse Sherman.
Com um quadro incompleto, "é inevitável errar algumas vezes". Indicadores simples não resolvem necessariamente as questões de atribuição, acrescentou. Vínculos com o FSB — o Serviço Federal de Segurança da Rússia, sucessor da KGB soviética — não comprovam, por si só, que um grupo criminoso é controlado pelo Estado, nem o uso de ferramentas desenvolvidas por criminosos por um serviço de inteligência russo estabelece um controle governamental contínuo. "Ideias simplistas, dignas de adesivo de para-choque, para decidir se um cibercriminoso russo é ou não um agente estatal, muitas vezes falham na prática", disse Sherman. Casos anteriores ilustram como essas relações podem funcionar. Em 2017, o Departamento de Justiça acusou dois oficiais do FSB de dirigir e proteger hackers criminosos envolvidos na invasão do Yahoo.
Os promotores disseram que um dos hackers também realizou intrusões separadas para obter lucro pessoal. O Departamento do Tesouro afirmou de forma semelhante que Maksim Yakubets, o suposto líder da organização de cibercrime Evil Corp, trabalhava para o FSB e era encarregado de projetos em nome do Estado russo, enquanto sua organização realizava ataques com motivação financeira. "Os russos não são estranhos ao uso de intermediários do setor privado para obter o que desejam, desde que não os ataquem", disse Chris Painter, ex-coordenador cibernético do Departamento de Estado e funcionário cibernético da Casa Branca. Ele questionou como uma empresa poderia determinar onde um determinado grupo se encaixa nesse espectro quando a resposta muitas vezes não é imediatamente óbvia, mesmo para governos com muitos recursos.
A nova política é o passo mais recente em uma postura cibernética ofensiva que o governo vem construindo ao longo do último ano. A estratégia nacional de segurança cibernética de Trump, divulgada em março, pedia uma “coordenação sem precedentes” entre o governo e a indústria em missões ofensivas e defensivas. Ela prometia “liberar o setor privado” criando incentivos para que as empresas identificassem e interrompessem as redes adversárias. Mas essa configuração permaneceu obscura por meses. O Diretor Nacional de Cibersegurança, Sean Cairncross, disse logo após a divulgação da estratégia que “não estava falando sobre o setor privado, a indústria ou empresas envolvidas em uma campanha cibernética ofensiva”. Em vez disso, ele descreveu empresas compartilhando informações e capacidades que permitiriam ao governo responder.
Alguns executivos do setor entrevistados pela Nextgov/FCW em abril, no entanto, previram que o governo acabaria contratando empresas para apoiar operações cibernéticas. Eles também levantaram questões não resolvidas sobre as autoridades legais e como os especialistas definiriam a tênue linha divisória entre criar obstáculos para os adversários e hackeá-los ofensivamente. O governo avançou ainda mais em maio, quando sua estratégia antiterrorista identificou explicitamente as operações cibernéticas ofensivas como uma das ferramentas que Washington poderia usar contra grupos ameaçadores e os estados que os apoiam. Esse documento ofereceu poucos detalhes sobre como tais operações funcionariam. Sherman argumentou que os EUA não deveriam deixar que a incerteza sobre os vínculos cibernéticos da Rússia, os impedisse de agir.
Os Estados Unidos já deveriam ter reconsiderado as suposições sobre contenção e feito mais para combater a atividade cibernética ofensiva da Rússia, disse ele, mas uma postura mais agressiva não facilita as decisões de atribuição subjacentes.
