Diferença de Contraespionagem (subconjunto Ofensivo)

Nota do Capítulo 13 que separa gênero e espécie: a contra-inteligência é o todo, e a contraespionagem é seu
subconjunto ofensivo voltado a operadores humanos adversários. Define atividades típicas, como identificar
recrutadores e montar dangles e doubles, e delimita risco, autorização e legalidade. Prepara as pastas 13/02.

1. Contexto e Posicionamento na Biblioteca

A nota 02 deste capítulo separou os modos defensivo e ofensivo da contra-inteligência, e a tabela comparativa
deixou implícita uma distinção adicional que merece nota própria: dentro do modo ofensivo, há um subconjunto cujo
alvo não é a infraestrutura do adversário, nem seu código, mas o operador humano que conduz a operação. Esse
subconjunto é a contraespionagem, herdeira direta da doutrina de serviços de inteligência de Estado, e ela
translada para o ambiente corporativo com especificidades fortes, porque a empresa opera sem poder de polícia e com
exposição jurídica máxima.

O papel desta nota na biblioteca é tríplice. Primeiro, fixar a relação lógica entre gênero e espécie: toda
contraespionagem é CI, mas nem toda CI é contraespionagem, e confundir os termos produz programas que tentam fazer
contrainspeção sofisticada sem maturidade de base. Segundo, descrever as atividades típicas do subconjunto, com
vocabulário correto. Terceiro, demarcar com rigor o que a empresa pode e não pode fazer nesse terreno, porque é
aqui que a distância entre doutrina de Estado e doutrina corporativa é maior.

2. Gênero e Espécie: Contra-Inteligência e Contraespionagem

A contra-inteligência é o gênero: o conjunto de atividades que impedem, detectam e neutralizam operações
adversárias contra a organização, em qualquer domínio, com qualquer vetor. Ela inclui o lado defensivo cotidiano,
como need-to-know, vetting, hardening e segurança física, e o lado ativo de engano e neutralização. A
contraespionagem é a espécie ofensiva desse gênero que se dirige especificamente à atividade humana de espionagem:
identificar quem está operando, para quem, como recruta e coleta, e agir sobre essa atividade por meio de engano,
controle e, dentro da lei, exposição ou desvio.

A tabela abaixo organiza a relação entre os termos e evita o uso impreciso que permeia o mercado.

Note na tabela que contra-ataque aparece como fora do gênero: atacar infraestrutura adversária não é
contraespionagem, é agressão ilegal, e sua inclusão em listas corporativas de contra-inteligência é um erro comum
que esta nota corrige. A contraespionagem legítima atua sobre a operação que mira a organização, e o faz
principalmente dentro do próprio perímetro, onde a organização tem autoridade sobre o terreno, as pessoas e a
informação em disputa.

3. O Alvo Humano: Operadores, Recrutadores e Acessos

O operador de espionagem é a pessoa que conduz a coleta ou a infiltração: o agente que se apresenta como consultor,
o recrutador que paga por informação, o funcionário cooptado que repassa dados, o contato que cultiva
relacionamento por meses antes de pedir. Diferentemente do malware, ele adapta, decide e desiste quando o custo
sobe, e é por isso que enfrentá-lo exige ferramentas diferentes das técnicas: análise de comportamento, controle de
informação, paciência e, quando autorizado, engano direcionado à pessoa.

No ambiente corporativo, as formas mais frequentes de operador humano adversário são o recrutador de fachada que
contrata especialistas para consultas pagas que visam mapear tecnologia e produtos; o headhunter que visa contratar
coletivamente uma equipe inteira para levar conhecimento embutido; o aparente parceiro comercial que cultiva acesso
para mapear processos e sistemas; e o insider cooptado, funcionário que aceita pagamentos por dados. A
contraespionagem corporativa aprende a reconhecer esses papéis cedo, registra o padrão e conduz a interação sob
controle, transformando a tentativa adversária em fonte de inteligência sobre a campanha.

4. Atividades Típicas: Identificar Recrutadores, Dangles e Doubles

As atividades clássicas do subconjunto têm vocabulário próprio da doutrina, e o mercado corporativo se beneficia de
usá-lo corretamente. A tabela abaixo define os termos centrais e seus equivalentes corporativos.

Duas dessas atividades merecem nota adicional pela sensibilidade. O dangle corporativo pode ser conduzido de duas
formas: com funcionário consciente, que aceita o papel e é treinado e apoiado, ou com persona técnica, como conta e
estação de trabalho que simulam um usuário vulnerável à cooptação, sem envolver pessoa real. A segunda forma
elimina a maior parte do risco trabalhista e ético e é a recomendada como ponto de partida. O double é a atividade
de maior risco do subconjunto, porque manipula uma interação real com pessoa possivelmente cooptada, e só deve ser
considerado com autorização executiva, jurídico acompanhando e objetivo documentado, como identificar o recrutador
e o escopo da coleta antes de encerrar o acesso da pessoa.

5. Risco e Autorização: Por que esta é a Atividade mais Sensível

A contraespionagem manipula pessoas e situações sociais, e é justamente aí que os riscos se multiplicam em relação
ao engano técnico. Há risco legal, porque monitorar e enganar pessoas toca LGPD, sigilo, direito de imagem e
direito do trabalho, e uma operação mal desenhada pode configurar assédio ou constrangimento. Há risco de segurança
pessoal, porque o operador adversário pode ser agente de serviço de Estado com capacidade real de retaliação, e
expor um funcionário a ele sem proteção é imprudência grave. Há risco de erro analítico, porque identificar uma
pessoa como recrutador adversário com base em indícios fracos destrói reputações e carreiras quando errado. E há
risco de contaminação do caso, porque a manipulação mal executada alerta o adversário e fecha a janela de coleta
para sempre.

Por tudo isso, a autorização para atividades de contraespionagem é executiva, formal e específica. O formato mínimo
de governança inclui o seguinte.

• Autorização por escrito da liderança competente, com escopo, prazo, objetivos e critérios de encerramento
  definidos antes do início.
• Parecer jurídico sobre base legal da coleta sobre pessoas, tratamento de dados e limites de monitoramento, com
  LGPD e CLT explicitados.
• Regra de proteção da pessoa envolvida, consciente ou não, incluindo anonimização em produtos internos e canal de
  suporte psicológico quando aplicável.
• Padrão de evidência para conclusões sobre identificação de recrutador ou de insider, separando fato apurado de
  avaliação com nível de confiança.
• Canal de escalada para abortar a operação a qualquer momento, com autoridade real de decisão.

6. Contraespionagem e CI Cibernética de Infraestrutura: a Diferença

A diferença entre os dois subconjuntos é de alvo, de método e de curva de habilidade. A CI de infraestrutura opera
sobre sistemas: planta honeypot, cria credencial isca, correlaciona telemetria, bloqueia IP e rotaciona segredo. A
contraespionagem opera sobre pessoas e interações: cultiva registro de abordagens, avalia intenção, controla canal
e decide quando revelar e quando alimentar. As habilidades pouco se sobrepõem, e é por isso que equipes de CI
maduras distinguem papéis: o analista técnico que conduz engano de infraestrutura não é automaticamente o
profissional que conduz um caso de recrutamento identificado.

Os dois subconjuntos convergem, porém, em dois pontos que o programa deve explorar. Primeiro, o operador humano
quase sempre usa infraestrutura: o recrutador tem domínio e endereço, a campanha de phishing dirigida tem servidor
e domínio recém-registrados, e a triagem técnica do contato alimenta a avaliação de contraespionagem. Segundo, a
confirmação técnica valida a avaliação humana: a interação do recrutador suspeito com um documento canário plantado
no compartilhamento que ele induziu o alvo a consultar converte hipótese social em fato corroborado. O exemplo da
próxima seção mostra essa convergência em detalhe.

7. Exemplo de Cenário de Contraespionagem Corporativa

Cenário: uma empresa de software industrial percebe que um analista de produto de área sensível recebeu proposta de
consultoria de uma empresa estrangeira de recrutamento, com pagamentos por respostas a questionários técnicos
detalhados. O RH registra a abordagem por meio do canal de ética, e o caso chega à CI. A organização decide
identificar o recrutador e o escopo da coleta antes de agir sobre o funcionário.

Operação controlada (passo a passo autorizado)
1. Avaliação: o padrão de abordagem casa com campanhas conhecidas de coleta
   contra o setor (confiança moderada); funcionário é tratado como alvo,
   não como suspeito, e é envolvido de forma voluntária e sigilosa.
2. Canal controlado: as respostas aos questionários passam a ser conduzidas
   com conteúdo aprovado pela CI, sem dados reais, mas plausíveis.
3. Isca de confirmação: um documento interno de especificação, versão falsa
   com canary token único, fica acessível ao funcionário; a consulta ao
   arquivo pelo domínio do recrutador confirma o canal de coleta.
4. Mapeamento: a infraestrutura do recrutador é analisada (domínio, ASN,
   histórico de registro) e casa com infraestrutura reutilizada em campanhas
   anteriores contra dois concorrentes, elevando a confiança da avaliação.
5. Encerramento: com escopo identificado, jurídico e liderança decidem a
   conduta; o funcionário é formalmente elogiado e protegido, os pagamentos
   recebidos são tratados conforme orientação jurídica, e a infraestrutura
   confirmada é compartilhada com o ISAC do setor sob TLP:AMBER.

O exemplo mostra a assinatura da contraespionagem bem conduzida: o funcionário saiu protegido, o adversário saiu
com informação falsa e com o canal queimado, a organização saiu com avaliação de confiança elevada e infraestrutura
confirmada, e nenhuma ação cruzou o perímetro legal. O custo foi tempo e disciplina de sigilo, e o ganho foi
desativar uma coleta ativa sem um único confronto.

8. Erros Comuns e Pontos de Atenção

• Chamar todo caso de contraespionagem: sem operador humano adversário em jogo, o caso é CI de infraestrutura ou
  apuração comum; inflar o rótulo infla a ansiedade e a exposição jurídica.
• Tratar o funcionário abordado como suspeito: o alvo da coleta é vítima e fonte de inteligência; tratá-lo como
  culpado quebra o canal de reporte de abordagens e cega o programa.
• Conduzir dangle com pessoa real como primeira opção: o risco trabalhista e ético é alto; a correção é começar por
  persona técnica e escalar para pessoa consciente apenas com preparo e apoio.
• Fazer double sem autorização e supervisão: manipular interação com pessoa possivelmente cooptada sem governança é
  a receita do desastre legal e operacional.
• Concluir identificação com evidência fraca: recrutador identificado por domínio sem histórico e sem correlação é
  hipótese, não fato; a correção é padrão de evidência documentado e níveis de confiança.
• Expor a operação internamente: quanto mais gente sabe da operação, maior a chance de vazamento; a correção é
  need-to-know estrito, conforme o CTI.10 da seção 15.

9. Integração com o Restante da Biblioteca

Esta nota sustenta conceitualmente as pastas de CI Ofensiva e de Ameaça Interna do capítulo 13: o dangle e o double
reaparecem na pasta ofensiva com detalhamento operacional, e a lógica de tratar o insider como alvo ou fonte
reaparece na nota 05 de ameaça interna. O vetting e o need-to-know da pasta de CI Defensiva são as barreiras que
reduzem a superfície sobre a qual a contraespionagem atua. Na seção 15, o CTI.10 fornece a OPSEC do programa e a
detecção de reconhecimento; nas seções 04 e 06, a análise de infraestrutura (DNS passivo, WHOIS, ASN) é a
ferramenta técnica que sustenta o mapeamento de recrutadores e de campanhas de coleta.