Cibersegurança nas relações internacionais

A cibersegurança, nas relações internacionais, reúne disputas, regras e capacidades ligadas à proteção dos sistemas digitais usados por Estados e sociedades. O tema começa na segurança de computadores, mas se torna internacional quando uma operação digital altera a margem política de um governo. Um hospital paralisado, comunicações diplomáticas roubadas ou uma eleição manipulada podem obrigar autoridades a tratar o incidente como algo maior do que uma falha técnica. Nesse ponto, o problema atinge a soberania e a confiança pública, além da estabilidade entre Estados.

Essa agenda cresceu à medida que funções estatais migraram para infraestrutura conectada. Repartições públicas, autoridades financeiras, sistemas militares e provedores de serviços essenciais dependem de redes que atravessam fronteiras. Uma falha de software, uma credencial roubada ou um fornecedor comprometido pode produzir efeitos políticos longe do território em que a intrusão começou. A cibersegurança transforma a segurança internacional ao converter dependência digital em exposição estratégica. A mesma rede pode sustentar serviços públicos e coleta de inteligência, ou virar canal para lucro criminal, coerção e preparação militar.

Resumo

• A cibersegurança entrou na agenda internacional quando operações digitais passaram a afetar serviços públicos, segredos de Estado e eleições sem ocupação territorial.
• A atribuição é difícil quando atacantes se escondem atrás de infraestrutura intermediária, atores terceirizados e rastros técnicos enganosos.
• A dissuasão no ciberespaço combina resiliência, defesa e punição para reduzir o benefício esperado de uma operação hostil.
• As normas da ONU definem comportamento estatal responsável, embora não criem um tratado único para toda operação cibernética entre Estados.
• A cooperação internacional é indispensável em investigações que dependem de provas eletrônicas e provedores de serviço em vários países.

O ciberespaço como domínio de conflito

O ciberespaço costuma ser descrito como um quinto domínio de conflito, ao lado dos domínios militares mais antigos. A comparação é útil: redes digitais podem transportar ordens militares, coleta de inteligência e pressão estratégica. A analogia exige cautela. O ciberespaço repousa sobre uma base civil de infraestrutura privada, software comercial e dispositivos cotidianos que atravessam fronteiras jurídicas e políticas.

Por isso, uma operação cibernética raramente pertence a uma única categoria. Um ataque de negação de serviço pode parecer perturbação temporária. Em uma crise, a mesma técnica ganha peso estratégico se derruba bancos, portais públicos ou serviços de emergência. Uma intrusão em rede governamental pode colher inteligência no presente e preparar sabotagem futura. Uma operação de influência apoiada por e-mails invadidos pode afetar o debate público sem destruir equipamento físico.

Essa ambiguidade aproxima a cibersegurança da diplomacia digital e do hard power. Quando um Estado usa meios digitais para comunicar, prestar serviços ou negociar regras técnicas, ele opera no campo diplomático. Quando usa uma operação cibernética para elevar o custo de resistência de outro Estado, o mecanismo se aproxima do poder coercitivo. O mesmo ambiente tecnológico pode sustentar cooperação e influência. Em uma disputa política, pode rapidamente se deslocar para espionagem ou pressão.

Tipos de ataques e incidentes

As operações cibernéticas variam conforme o objetivo. A espionagem busca informação valiosa, de mensagens diplomáticas a planejamento militar. A sabotagem tenta tornar um sistema pouco confiável ou inutilizável, sobretudo quando o alvo pertence a redes elétricas, processos industriais ou serviços públicos. O ransomware bloqueia acesso para exigir pagamento. Ele se torna questão de segurança nacional quando a vítima é um hospital, oleoduto, tribunal ou órgão público. Campanhas de influência digital usam material roubado, contas coordenadas e mensagens segmentadas para afetar confiança social ou eleições.

Alguns episódios ajudam a entender a evolução do problema. Os ataques contra a Estônia em 2007 derrubaram páginas e serviços digitais em meio a uma disputa política com a Rússia, tornando visível a vulnerabilidade de um Estado altamente conectado. O Stuxnet, descoberto em 2010, mostrou que um código malicioso poderia afetar equipamentos industriais ligados ao programa nuclear iraniano. As revelações de Edward Snowden, em 2013, expuseram a escala da vigilância eletrônica dos Estados Unidos e criaram crise diplomática com aliados e parceiros. A interferência russa na eleição presidencial dos Estados Unidos de 2016 demonstrou como intrusão, vazamento e manipulação informacional podem atuar sobre a política doméstica de uma potência.

Outros casos mostram a passagem do dano digital para custos econômicos e sociais. O WannaCry, em 2017, atingiu computadores em vários países e afetou serviços do sistema de saúde britânico. O NotPetya começou no mesmo ano ligado à Ucrânia e espalhou prejuízos por empresas globais. A intrusão SolarWinds, revelada em 2020, comprometeu uma cadeia de fornecedores de software e alcançou órgãos públicos e empresas. O ataque ao Colonial Pipeline, em 2021, interrompeu um importante oleoduto nos Estados Unidos e mostrou como ransomware privado pode gerar efeitos públicos.

Esses episódios mostram que o dano cibernético ganha significado internacional quando altera capacidade estatal: prestação de serviços, sigilo, confiança pública e margem de negociação. Incidentes técnicos tornam-se estratégicos quando mudam as condições políticas em que Estados atuam. A Estônia tornou visível a dependência de serviços governamentais em rede. O Stuxnet levou a discussão para equipamentos industriais. O caso Snowden afetou a confiança entre aliados. O Colonial Pipeline aproximou crime privado, infraestrutura crítica e segurança energética.

Por que atribuir um ataque é difícil

A atribuição é o processo de identificar quem realizou uma operação cibernética e quem a ordenou, patrocinou ou tolerou. Ela combina análise técnica e decisão política. As provas importam, assim como o momento em que um governo aceita ligar consequências diplomáticas a essas provas. Analistas examinam rastros técnicos, comparam métodos e estudam os alvos. A acusação pública vem quando autoridades decidem que as evidências disponíveis, a inteligência sigilosa e o custo diplomático justificam nomear outro Estado.

O problema começa com a dissimulação. Atacantes podem passar por sistemas de terceiros, reutilizar ferramentas roubadas ou plantar pistas enganosas. Além disso, o fato de uma operação usar infraestrutura localizada em determinado país não prova, por si só, que o governo desse país a comandou. Essa distinção aparece nos debates do Manual de Tallinn e nos relatórios da ONU sobre comportamento responsável dos Estados. Contexto, consequências, capacidade técnica e vínculo com atores estatais precisam ser avaliados em conjunto.

A atribuição pública pode servir como instrumento de pressão. Quando governos expõem um operador, impõem sanções ou apresentam acusações criminais, tentam reduzir a impunidade e sinalizar que a operação terá custos. A exposição sozinha raramente impede novas intrusões. Em muitos casos, a resposta pública atinge operadores e entidades intermediárias; a estrutura estatal beneficiada pela operação preserva margem de negação.

A atribuição funciona melhor quando se conecta a uma política de resposta. Uma acusação pública pode preparar sanções, justificar cooperação policial, alertar empresas vulneráveis ou criar base diplomática para ação conjunta. Se a acusação fica isolada, o atacante pode absorver o custo reputacional e continuar por novos canais. A pergunta central é qual custo político, jurídico ou operacional a atribuição consegue produzir após a identificação do atacante, e se esse custo muda o cálculo futuro da agressão.

Dissuasão: negação, punição e resiliência

A dissuasão cibernética busca convencer um adversário de que um ataque não trará benefício suficiente. No ciberespaço, essa dissuasão raramente depende de uma única ameaça. A negação torna a operação mais difícil ou menos útil. A punição faz o atacante esperar custos. A resiliência mantém serviços essenciais e ajuda sistemas a se recuperar rapidamente.

A dissuasão por negação começa pela defesa prática. Ela fecha vulnerabilidades, separa redes sensíveis, reforça autenticação e prepara recuperação antes do incidente. Seu efeito político é direto: se o atacante não consegue produzir dano relevante, a operação perde utilidade estratégica. Essa forma de dissuasão é menos visível do que uma ameaça militar. Para provedores de serviços essenciais, costuma ser mais decisiva porque nega ao atacante uma crise aproveitável.

A dissuasão por punição pode envolver sanções, expulsão de diplomatas, processos criminais, exposição pública ou operações de resposta. Ela é mais difícil de calibrar, pois muitos ataques ficam abaixo do limiar de uso da força armada. Uma resposta excessiva pode escalar a crise; uma resposta fraca pode reforçar a percepção de impunidade. Muitos governos constroem uma escala de resposta que conecta ação jurídica, coordenação com aliados, inteligência e diplomacia pública.

Essa lógica diferencia a dissuasão cibernética da dissuasão nuclear clássica. No campo nuclear, a ameaça principal costuma ser excepcional, visível e concentrada em poucos atores. No ciberespaço, a atividade hostil pode ser contínua e barata, com intermediários que dão margem de recuo ao patrocinador. A defesa cotidiana, a redundância de sistemas e a recuperação rápida tornam-se parte da própria dissuasão porque reduzem o ganho político de uma intrusão antes que seja necessário responder com punição. A resiliência vira ativo diplomático.

Normas internacionais e cooperação

A ONU trata o tema das tecnologias da informação e comunicação no contexto da segurança internacional desde o fim da década de 1990. O Grupo de Peritos Governamentais de 2019-2021, presidido pelo diplomata brasileiro Guilherme Patriota, reafirmou que as ameaças digitais ficaram mais amplas e sofisticadas. O relatório consolidou a ideia de que o direito internacional se aplica ao comportamento estatal no ciberespaço e de que normas voluntárias podem reduzir riscos.

Essas normas orientam os Estados para contenção prática. Elas enfatizam cooperação, proteção de infraestrutura crítica, assistência a pedido, respeito a direitos e salvaguardas para equipes de resposta a emergências. O mesmo conjunto de normas pede prevenção contra usos maliciosos do território nacional quando há capacidade de agir. O ponto central é prático: não existe autoridade mundial capaz de policiar todas as redes. A estabilidade depende de condutas mínimas, canais de contato, medidas de confiança e capacidade nacional, não da fantasia de que uma polícia global única possa proteger a internet.

O Grupo de Trabalho Aberto da ONU sobre TICs, com mandato de 2021 a 2025, ampliou a participação dos Estados e discutiu um mecanismo permanente para continuar esse processo. Em paralelo, a Convenção de Budapeste, em vigor desde 2004, oferece uma base jurídica para crimes cibernéticos e cooperação em provas eletrônicas. A Convenção das Nações Unidas contra Crimes Cibernéticos, adotada em 2024 e aberta à assinatura em Hanói em 2025, busca criar um marco global para cooperação penal e compartilhamento de provas digitais. Sua implementação, porém, continuará dependente de ratificações, leis nacionais e salvaguardas de direitos.

A diferença entre esses instrumentos é relevante. Os relatórios da ONU sobre comportamento estatal tratam principalmente de estabilidade estratégica: o que Estados devem evitar e como devem reduzir riscos de crise. A Convenção de Budapeste e a nova convenção da ONU tratam do eixo penal, sobretudo crimes, investigação, provas e assistência jurídica. As duas agendas se encontram quando uma operação tem aparência criminosa, atravessa fronteiras e ao mesmo tempo beneficia um governo ou pressiona outro Estado.

Soberania, direitos e setor privado

A cibersegurança cria uma tensão permanente entre soberania e interdependência. Estados querem proteger redes nacionais, dados sensíveis e infraestrutura crítica. Ao mesmo tempo, a internet funciona por protocolos, empresas e serviços transfronteiriços. Um governo pode exigir controle local de dados para proteger cidadãos. A mesma linguagem de segurança pode justificar vigilância, censura ou isolamento tecnológico.

O setor privado torna essa tensão mais complexa. Partes essenciais da infraestrutura estão nas mãos de empresas de software, provedores de nuvem, operadoras de telecomunicações, plataformas digitais e companhias de segurança cibernética. Estados dependem dessas empresas para prevenir ataques, detectar intrusões, preservar provas e recuperar sistemas. A cibersegurança internacional é um campo de negociação entre governos, agências de segurança, reguladores, comunidades técnicas e empresas cujos incentivos nem sempre coincidem.

Essa dependência muda a diplomacia de crises. Um governo pode precisar de registros técnicos mantidos por uma empresa estrangeira, de atualização emergencial de um fornecedor privado ou de cooperação de plataformas para conter uma campanha de influência. Quando essas empresas estão sediadas fora do país, a resposta envolve direito interno, tratados de assistência jurídica, relações diplomáticas e confiança entre reguladores. Soberania digital significa capacidade de negociar, regular e proteger dependências que atravessam fronteiras.

O Brasil na agenda cibernética

O Brasil entrou nessa agenda por várias vias. No plano doméstico, o Marco Civil da Internet de 2014 estabeleceu princípios como liberdade de expressão, proteção da privacidade, neutralidade de rede e estabilidade da internet. A Lei Geral de Proteção de Dados, de 2018, reforçou a dimensão de proteção de dados pessoais. Na área de defesa, o Exército assumiu papel central na defesa cibernética, com estruturas como o Centro de Defesa Cibernética e o Comando de Defesa Cibernética.

No plano internacional, o Brasil defende equilíbrio entre segurança, direitos humanos, privacidade, abertura da internet e governança multissetorial. A adesão brasileira à Convenção de Budapeste, em 2022, ampliou instrumentos de cooperação jurídica para crimes cibernéticos. Na ONU, diplomatas brasileiros tiveram papel relevante em grupos de peritos sobre comportamento responsável dos Estados. Essa atuação reflete uma posição recorrente: combater crimes e ataques digitais sem transformar a segurança cibernética em licença para controle político da rede.

A experiência brasileira mostra por que capacidade nacional e cooperação externa caminham juntas. Instituições de defesa, CTIR Gov e CERT.br ajudam a organizar prevenção, alerta e resposta dentro do país. Vazamentos de dados, ataques contra órgãos públicos e investigações de ransomware ainda podem envolver servidores, pagamentos, autores e vítimas em diferentes jurisdições. Sem cooperação rápida sobre provas eletrônicas, a capacidade doméstica fica incompleta.

Limites da dissuasão cibernética

A cibersegurança não elimina o conflito internacional. Ela reduz riscos quando melhora a defesa, cria canais de comunicação, aumenta custos para atacantes e oferece mecanismos jurídicos de cooperação. A lógica do ciberespaço ainda favorece operações abaixo do limiar de guerra aberta. Espionagem, roubo de dados, sabotagem limitada e influência informacional continuam atraentes porque permitem obter ganhos sem assumir publicamente a autoria.

A agenda internacional de cibersegurança combina técnica e política. Firewalls, criptografia e equipes de resposta são indispensáveis. Sozinhos, não definem conduta lícita, não constroem confiança e não administram escalada. Estados precisam de normas, atribuição responsável, cooperação policial, proteção de infraestrutura crítica, debate sobre direitos e canais diplomáticos para crises. A estabilidade cibernética depende dessa combinação: capacidade de defender sistemas, disposição para cooperar e clareza sobre quais usos digitais tornam a convivência internacional mais perigosa. A estabilidade cibernética é uma forma de gestão política da interdependência digital e de suas vulnerabilidades compartilhadas. Ela não promete eliminar intrusões. Busca impedir que incidentes técnicos se transformem em crises diplomáticas, colapsos de serviços essenciais ou escalada militar.