Ataque cibernético com atribuição incerta: responder, calar ou negociar?
Um ataque de ransomware criptografa prontuários de três hospitais universitários e derruba o portal de consultas de um tribunal regional eleitoral. Uma empresa privada de inteligência atribui o ataque a um grupo ligado, 'com probabilidade moderada', a uma unidade de inteligência estrangeira; o relatório se baseia em infraestrutura compartilhada e em código reutilizado, sem acesso a fontes governamentais. O órgão de segurança cibernética estima 40 dias para restabelecer os sistemas e calcula prejuízo de R$ 90 milhões. O Itamaraty precisa decidir, em uma semana, entre atribuição pública formal, contramedidas cibernéticas, acionamento do Conselho de Segurança e silêncio. A embaixada do país suspeito pediu reunião.
1. O padrão de prova descrito sustenta atribuição pública de responsabilidade internacional a um Estado? Justifique e indique o que faltaria.
Read the worked answer
Não sustenta, no estado atual. A atribuição de conduta ao Estado exige que o órgão atue nessa qualidade, ou que o grupo seja instruído, dirigido ou controlado pelo Estado - e o teste aplicado é exigente (controle efetivo), não bastando afinidade ideológica ou tolerância.
O que o relatório oferece: infraestrutura compartilhada e código reutilizado. Ambos são indicadores fracos e com explicações alternativas (aluguel de servidores, vazamento de ferramentas, grupos criminosos que imitam rotinas estatais). 'Probabilidade moderada' é um rótulo de análise de risco, não um padrão de prova.
Faltaria: corroboração por fonte governamental independente da empresa; dados técnicos verificáveis (amostras de malware, registros de comando e controle, horários compatíveis com fuso e jornada); convergência entre serviço de inteligência e CERT; e distinção explícita entre 'grupo criminoso tolerado' e 'órgão do Estado'. Sem isso, a atribuição pública formal pode ser desmentida depois - custo de credibilidade difícil de recuperar.
2. Compare contramedidas, retorsão e invocação de necessidade como respostas, indicando requisitos e riscos de cada uma.
Read the worked answer
Retorsão é resposta inamistosa, mas lícita - expulsar adido, reduzir cooperação técnica, suspender exercício militar conjunto. Não exige violação prévia comprovada e é o passo compatível com atribuição incerta.
Contramedidas pressupõem ato ilícito anterior e são, elas mesmas, exceção à ilicitude. Requisitos: exigência prévia de cumprimento, proporcionalidade ao dano, reversibilidade, direcionamento ao Estado responsável e respeito a obrigações inderrogáveis (proibição do uso da força, direitos humanos, inviolabilidade diplomática). Risco: escalada assimétrica e erro de alvo se a atribuição estiver errada.
Necessidade (art. 25) só cabe como salvaguarda excepcional: interesse essencial em perigo grave e iminente, ausência de outro meio e não afetação grave de interesse essencial de terceiro. É a mais difícil de sustentar em ciberoperação, porque raramente se demonstra ausência de alternativas.
Sequência recomendada: retorsão e cooperação policial agora; guardar contramedidas e medida equivalente para quando houver atribuição corroborada.