SUA implică firme private în operațiuni cyber: de ce nu este „hack-back” liber

Casa Albă a publicat pe 12 august 2026 un memorandum prezidențial de securitate națională care cere National Coordination Center să creeze un program prin care firme americane aprobate pot desfășura operațiuni de supraveghere și operațiuni cu efecte cyber împotriva organizațiilor criminale transnaționale din afara Statelor Unite. Activitățile trebuie să fie executate în numele, sub controlul și sub supravegherea Guvernului federal, prin autoritățile sale legale.

Ce autorizează documentul, concret

• Programul va fi administrat de National Coordination Center și supravegheat de doi directori executivi desemnați de Department of Justice și Department of Homeland Security.
• Companiile participante vor putea propune și executa operațiuni de supraveghere cyber și operațiuni care manipulează, perturbă, degradează, indisponibilizează sau distrug sisteme și infrastructură digitală controlată de organizații criminale eligibile.
• Fiecare pachet operațional trebuie analizat, coordonat și aprobat în scris înainte de acțiune; activitatea se desfășoară exclusiv în numele și sub supravegherea Guvernului federal.
• Firmele participante trebuie să aibă un contract cu DOJ sau DHS, să treacă prin verificări și să respecte procedurile operaționale care urmează să fie definite.
• Țintele sunt grupări străine care comit infracțiuni cyber împotriva intereselor americane și care nu sunt parte instituțională a unui guvern străin sau operate integral la ordinul acestuia.

Memorandumul stabilește cadrul și termenele, nu oferă dovada că o primă operațiune a început deja. Procedurile comune trebuie create în 60 de zile, iar primul raport despre starea programului este cerut în 180 de zile. Numele firmelor participante, primele ținte și mecanismele publice de audit nu sunt încă anunțate.

De ce anunțul produce atât de mult zgomot

Până acum, parteneriatul public-privat american era prezentat în principal prin schimb de informații, acțiuni judiciare, blocarea infrastructurii și suport pentru operațiuni conduse de stat. În martie 2026, oficiali americani spuneau public că nu urmăresc campanii cyber ofensive executate de companii. Textul din august merge mai departe: definește explicit accesul fără autorizarea proprietarului, supravegherea clandestină și efectele tehnice produse de firme participante sub control federal.

Aceasta este o schimbare operațională importantă, nu o simplă campanie de awareness. În același timp, nu este echivalentul unor „corsari digitali” care își aleg singuri țintele. Guvernul păstrează autoritatea, aprobarea, coordonarea și supravegherea, iar companiile acționează contractual în interiorul programului.

Garanțiile prevăzute și întrebările încă deschise

• Standardele trebuie să acopere competența tehnică, istoricul operațional, securitatea facilităților, verificarea personalului, fiabilitatea și evaluarea anuală a fiecărei companii.
• DOJ și DHS pot impune o garanție sau un escrow de cel puțin un milion de dolari, care poate fi pierdut dacă firma nu respectă contractul; textul nu spune că această condiție va fi identică pentru fiecare participant.
• Un mecanism de deconflictionare trebuie să coordoneze operațiunile cu diplomația, Trezoreria, apărarea, justiția și comunitatea de informații, iar o anexă clasificată conține detalii care nu sunt publice.
• Dacă o operațiune depășește parametrii și ajunge neintenționat la o persoană americană, un sistem din SUA sau un sistem controlat de o persoană americană, compania trebuie să oprească activitatea, să minimizeze datele și să notifice NCC și DOJ.
• Directorii programului nu pot aproba singuri activități susceptibile să provoace pierderi de vieți, vătămări grave sau să atingă pragul utilizării forței ori al unui atac armat în dreptul internațional.
• Rămân necunoscute criteriile aplicate cazurilor în care infrastructura criminală este partajată cu utilizatori legitimi, atribuirea este contestată sau o grupare are legături neclare cu un stat.

Ce nu primește voie să facă o companie din România

Memorandumul american nu schimbă legea română, dreptul Uniunii Europene sau limitele contractuale ale unei echipe de securitate din România. O organizație atacată nu dobândește dreptul de a accesa serverul presupusului atacator, de a șterge date, de a instala un beacon în afara mediului propriu sau de a produce indisponibilitate ca represalii.

• Un furnizor care spune că este „partener autorizat” nu primește acces la mediul tău fără verificarea identității, a contractului, a scopului și a autorității legale aplicabile.
• Partajarea de indicatori și loguri cu un furnizor ori cu autoritățile nu înseamnă autorizarea unei operațiuni ofensive în numele organizației tale.
• Faptul că infrastructura pare localizată în alt stat nu demonstrează cine o controlează; poate fi compromisă, închiriată, partajată sau folosită ca intermediar.
• O echipă internă rămâne responsabilă să izoleze sistemele proprii, să păstreze dovezile și să urmeze procesul juridic și de raportare, nu să urmărească atacatorul în afara perimetrului autorizat.

Playbook defensiv când apare tentația de „a lovi înapoi”

• Oprește efectul în mediul propriu: izolează activele, revocă sesiunile și credențialele compromise și blochează indicatorii confirmați fără să distrugi probele.
• Construiește o cronologie verificabilă și păstrează logurile, imaginile de sistem, mesajele, artefactele și deciziile cu acces controlat și lanț de custodie.
• Implică echipa juridică, asigurătorul și autoritățile competente înainte de orice acțiune care ar putea depăși sistemele pe care organizația are dreptul să le administreze.
• Trimite furnizorilor de cloud, registratorilor, băncilor și platformelor cereri de conservare, blocare sau eliminare prin canalele lor legale și de abuse, cu dovezi proporționale.
• Separă faptele de ipoteze: un IP, un domeniu sau un portofel nu demonstrează singur identitatea operatorului și nu justifică o acțiune intruzivă.
• Documentează cine poate vorbi cu autoritățile și ce date pot fi partajate, astfel încât urgența să nu producă o a doua breșă sau o încălcare de confidențialitate.

Nou scenariu de inginerie socială: „suntem operatorul federal autorizat”

Vizibilitatea anunțului poate fi folosită imediat în pretexte. Un atacator poate pretinde că lucrează pentru o firmă americană aprobată, pentru DOJ, DHS sau un centru de coordonare și poate cere loguri brute, acces la cloud, instalarea unui agent, dezactivarea EDR sau păstrarea secretului față de management. Cunoașterea termenilor din memorandum nu dovedește identitatea solicitantului.

• Nu folosi numărul, domeniul sau documentul trimis de solicitant pentru verificare; pornește separat de la contactele oficiale și de la ownerul contractual intern.
• Nicio solicitare urgentă nu ocolește change management, aprobarea juridică, principiul minimului privilegiu și jurnalizarea accesului.
• Nu transmite parole, tokenuri, chei private, exporturi complete sau date personale pentru a „ajuta operațiunea”; stabilește exact scopul și minimul necesar.
• Orice cerere de a opri logarea, de a ascunde activitatea față de proprietarul sistemului sau de a instala software neaprobat trebuie escaladată imediat.

Tabletop pentru management, SOC, juridic și comunicare

Exercițiul nu simulează o operațiune ofensivă. Testează dacă organizația poate răspunde legal și controlat când presiunea publică, dorința de atribuire și o solicitare externă credibilă apar simultan.

• Inject 1 — după un ransomware, un analist găsește un server cu date aparent furate și propune ștergerea lor. Cine oprește acțiunea și cine verifică proprietatea infrastructurii?
• Inject 2 — o persoană care pretinde că reprezintă o companie participantă la programul american cere acces la loguri și un cont temporar. Ce dovezi și aprobări sunt obligatorii?
• Inject 3 — un furnizor spune că a primit o cerere guvernamentală pe care nu o poate arăta și cere dezactivarea unei reguli EDR. Cine validează solicitarea printr-un canal independent?
• Inject 4 — presa întreabă dacă firma „va contraataca”. Cum explică echipa diferența dintre apărare, cooperare cu autoritățile și o operațiune federală autorizată?
• Inject 5 — indicatorii arată spre infrastructură dintr-o țară aliată, dar atribuirea rămâne incertă. Ce se comunică, ce se păstrează și cine decide următorul pas?

Comportamente care merită măsurate

• Procentul participanților care refuză hack-back-ul improvizat și aleg conservarea dovezilor și escaladarea legală.
• Timpul necesar pentru verificarea independentă a unei solicitări care pretinde autoritate guvernamentală.
• Procentul echipelor care pot identifica ownerul pentru relația cu autoritățile, furnizorii de infrastructură și asigurătorul cyber.
• Numărul acțiunilor externe blocate până când ținta, autoritatea, scopul, impactul colateral și aprobarea sunt documentate.
• Timpul dintre confirmarea incidentului și trimiterea unui pachet de dovezi minim, coerent și protejat către canalul legitim.

Concluzia corectă pentru un program de awareness

Memorandumul american este important tocmai pentru că trece de la simpla cooperare la un cadru în care firme private selectate pot produce efecte în rețele străine sub comandă federală. Dar lecția pentru majoritatea organizațiilor nu este „acum putem ataca”. Este opusul: operațiunile intruzive cer autoritate explicită, ținte delimitate, aprobare scrisă, coordonare, oprire la depășirea scopului și responsabilitate demonstrabilă.

Learning Awarely poate transforma cazul într-un exercițiu pe roluri pentru SOC, management, juridic, achiziții și comunicare. Rezultatul urmărit este ca echipa să recunoască diferența dintre apărare și represalii, să verifice o solicitare externă și să păstreze dovezile fără a crea un incident juridic sau tehnic suplimentar.