Nível Nacional (FBI, CIA, ABIN-PF, FSB-SVR)

Nota 01 do bloco Tipologias e Interfaces, capítulo 13 (Contra-Inteligência).
Panorama das agências nacionais de contra-inteligência e seus papéis frente às ameaças cibernéticas, com foco na interface do setor privado: denúncia, cooperação, alertas e limites de jurisdição.
Dialoga com as notas 02 (Militar) e 03 (Ações da Lei) deste bloco e com a nota 02 do capítulo 05 (Atribuição de Ameaças).

1. Contexto e Posicionamento na Biblioteca

A organização corporativa não opera sozinha no enfrentamento de ameaças cibernéticas de origem estatal ou criminosa organizada: ao redor dela existe um sistema nacional de contra-inteligência com agências de mandatos distintos, canais de comunicação próprios e limites jurídicos rígidos. Esta nota mapeia esse sistema a partir de três exemplos nacionais que dominam a literatura pública do tema, os Estados Unidos, o Brasil e a Rússia, e deduz a parte que mais interessa ao profissional de CTI: como o setor privado se conecta a essas agências, o que esperar de cada canal e onde terminam as competências.

A posição do bloco é a de interfaces: a nota 02 cobre o ramo militar da contra-inteligência e a nota 03 cobre a conversão do caso em processo legal, e esta nota cobre o nível nacional que puxa os dois. O conteúdo é descritivo e público, baseado em mandatos oficiais, estruturas conhecidas e casos públicos documentados, e serve para calibrar expectativas: entender quem faz o quê evita tanto a paralisia de quem não sabe a quem reportar quanto a ingenuidade de quem acha que uma ligação resolve invasão.

2. Panorama de Agências e Papéis de CI

Nos Estados Unidos, o FBI concentra a contra-inteligência doméstica e a investigação criminal federal, com divisão cibernética dedicada e presença territorial por field offices; é o interlocutor natural de vítimas privadas em solo americano. A CIA opera inteligência externa, coletando fora do território, e não tem mandato policial doméstico: aparece no radar corporativo por meio de produtos conjuntos de alerta publicados com outras agências, e não como canal de reporte. O conjunto é complementado por CISA na defesa da infraestrutura e por NSA na coleta de sinais, e o padrão de alerta conjunto dessas agências é uma das principais fontes públicas de inteligência sobre grupos estatais.

No Brasil, a ABIN é o órgão central do Sistema Nacional de Contra-Inteligência (Sinci), responsável pela contrainteligência e contra-informação do Estado, incluindo a proteção de informações sensíveis do governo; sua interface com o setor privado é institucional e indireta, por meio do Gabinete de Segurança Institucional e dos mecanismos de alerta do sistema. A Polícia Federal é a polícia judiciária federal: investiga crimes de competência da União, incluindo crimes cibernéticos com interesse da União, interceptações e cooperação internacional, e é o canal formal de denúncia no Brasil. Na Rússia, o FSB é o serviço de segurança interna, com atribuição sobre segurança da informação no território, e o SVR é o serviço de inteligência externa; a relevância para o leitor da biblioteca é analítica, como atores cuja atividade é objeto de atribuição pública em relatórios de agências ocidentais, com grupos historicamente associados a cada serviço na literatura aberta.

Os produtos públicos desses atores são fonte formal no programa de CTI, e o capítulo 02 os registra com proveniência e cadência:

• Advisories conjuntos de agências (CISA, NSA, FBI e parceiros internacionais) com TTPs e IOC de grupos estatais.
• Relatórios e boletins do IC3, com panorama anual de perdas e padrões de fraude por setor.
• Alertas e diretrizes do sistema de contra-inteligência brasileiro, publicados pelo Gabinete de Segurança Institucional e difundidos pelo Sinci.
• Avisos dos CSIRTs governamentais brasileiros (CTIR e CERT.br) sobre vulnerabilidades e campanhas ativas.
• Relatórios de atribuição de agências parceiras, que nomeiam grupos e infraestrutura com nível de confiança declarado.

3. Como Operam Contra Ameaças Cibernéticas

O FBI opera contra ameaças cibernéticas pela combinação de investigação criminal e contra-inteligência: investiga invasões, opera task forces com agentes e analistas, executa operações técnicas de interdição em coordenação com o Departamento de Justiça (sequestro judicial de domínios de botnets, por exemplo) e produz alertas públicos conjuntos com CISA e NSA sobre grupos estatais. A lista de casos públicos é extensa, do indiciamento de operadores da unidade militar chinesa 61398 em 2014 às operações contra infraestrutura de ransomware na década seguinte, e o padrão do caso público é sempre o mesmo: vítima reporta, evidência privada sustenta mandado, autoridade executa a ação que a vítima não poderia executar. O produto de inteligência dessas agências chega ao defensor com marcação TLP e periodicidade definida, e a leitura profissional dele segue o método de qualquer fonte: avaliação de confiabilidade, extração de indicadores com validade e conversão das TTPs em detecção. O advisory conjunto bem aproveitado gera regras no SIEM, lacunas de telemetria mapeadas e hipóteses de hunting prontas, e o capítulo 04 (MITRE ATT&CK) fornece o vocabulário para cruzar o produto com a cobertura própria.

A CIA opera pela coleta externa e pela análise de inteligência, e seu produto chega ao setor privado por reflexo: relatórios conjuntos de alerta cibernético que citam ferramentas, TTPs e infraestrutura de grupos estatais, publicados em formato TLP e depois abertos. No Brasil, a PF investiga crimes cibernéticos federais por meio de suas unidades especializadas, com operações públicas recorrentes contra fraudes eletrônicas e grupos de extorsão, e participa da cooperação internacional via MLAT e Interpol; a ABIN, por sua vez, opera o ciclo de contra-inteligência do Estado, com alertas e diretrizes que descem pelo Sinci para órgãos e, em formato diluído, para o setor. FSB e SVR não publicam operações, e o conhecimento disponível sobre seu papel cibernético vem de atribuições feitas por agências ocidentais em relatórios públicos, como as que associaram o grupo conhecido como APT29 ao SVR e grupos de operações de influência e interdição ao FSB na literatura aberta; a nota 02 do capítulo 05 governa o uso dessas atribuições com confiança declarada. O arranjo brasileiro tem particularidades que o profissional precisa conhecer: a competência para crimes cibernéticos federais é da PF, com unidades especializadas nas superintendências regionais e o caso entrando pelo registro formal; a ABIN coordena a contra-inteligência do Estado, e a interface do setor privado é institucional, mediada pelos canais do sistema, não pelo contato informal de analista; e os CSIRTs governamentais cobrem a dimensão técnica de resposta com articulação de comunidade, complementando o papel policial e o papel de inteligência.

4. Interface do Setor Privado: Denúncia, Cooperação e Alertas

A interface se organiza em três modos com prazos e expectativas distintas. A denúncia é o modo formal: registro do crime junto à autoridade competente (PF no Brasil, FBI via IC3 nos EUA), com evidência preservada segundo a nota 03 deste bloco, e abre a maquinaria formal de inquérito. A cooperação é o modo relacional: participação em programas estruturados como o InfraGard nos EUA, task forces setoriais, canais diretos de campo estabelecidos antes da crise, e arranjos setoriais brasileiros de compartilhamento com CSIRTs governamentais como CTIR e CERT.br como pontos de articulação técnica. O alerta é o modo de consumo: as organizações privadas são recipientes dos produtos de alerta das agências, e o programa de CTI maduro trata esses produtos como fonte formal, com o tratamento de avaliação do capítulo 02.

Duas regras de conduta atravessam os três modos. Primeira, a organização não delega a investigação: entrega evidência e coopera, mas preserva sua própria cadeia de custódia e continua sua resposta, porque o prazo da agência não é o prazo do negócio. Segunda, a classificação TLP 2.0 governa tudo que circula: material recebido em TLP:AMBER não vai para o conselho sem autorização, e o descumprimento encerra o acesso do programa ao canal, porque a confiança é o único ativo que a agência exige. Para calibrar expectativas, o quadro abaixo lista o que cada ator tipicamente não faz, evitando o pedido impossível no meio da crise:

5. Limites de Jurisdição

A jurisdição é o filtro que decide qual agência pode agir, e três princípios resolvem a maioria dos casos. O princípio territorial: a autoridade competente é a do território onde o crime se consuma e onde está a vítima, de modo que invasão contra organização brasileira é matéria brasileira ainda que o operador esteja fora. O princípio de mandato: cada agência age dentro do seu perímetro, e a organização não escolhe quem investiga, escolhe a quem reporta primeiro e deixa o sistema distribuir; pedir diretamente a agência estrangeira sem passagem pelo canal formal do próprio país é caminho sem saída. O princípio de dados: dados que precisam vir de fora dependem de instrumentos de cooperação, e a existência do CLOUD Act nos EUA, dos MLATs e da Convenção de Budapeste não elimina o prazo: semanas a meses é o normal, e o planejamento do caso precisa assumir isso. O efeito prático dos três princípios aparece no desenho do caso: a organização reporta onde a vítima está, preserva o que está ao alcance e formaliza o que depende de fora, e a cronologia interna do dossiê reflete essa separação. A confusão entre os três princípios é a origem dos pedidos impossíveis que a seção seguinte lista.

Os casos de borda pedem análise caso a caso, e três padrões resolvem a maioria:

• Campanha com vítimas em vários países: cada vítima reporta no próprio território, e a coordenação entre autoridades é feita por elas, não pela vítima.
• Prova em provedor multinacional: preservação no provedor pelo canal rápido e MLAT formal pelo canal central, como detalha a nota 03 deste bloco.
• Ator estatal estrangeiro: a contra-inteligência do país da vítima decide a condução, e a organização mantém sigilo e cooperação estrita.

6. Implementação Prática: Canal de Comunicação Corporativa com Autoridade

O canal com autoridade se constrói antes da crise e se materializa em um registro de comunicação que define quem fala, com quem, sobre o quê e com qual classificação. O modelo abaixo ilustra o registro mínimo; a regra de ouro é que o canal tem dono único na corporação (normalmente o CISO ou o jurídico), pois interlocutores múltiplos e não autorizados encerram a confiança do lado da agência tão rápido quanto o vazamento de material TLP:AMBER.

# Registro de canal corporativo com autoridade nacional
canal: AUT-2025-002
autoridade: delegacia_especializada_de_crimes_ciberneticos
interlocutor_corporativo: ciso_com_delegacao_do_juridico
escopo: [denuncia_de_crime_cibernetico, pedido_de_orientacao, recebimento_de_alertas]
classificacao_padrao: TLP:AMBER
procedimento_de_denuncia:
  1: validacao_interna_do_caso_e_preservacao_de_evidencia
  2: representacao_do_caso_em_estrutura_acordada_com_a_autoridade
  3: entrega_da_evidencia_com_cadeia_de_custodia_documentada
  4: acompanhamento_por_protocolo_com_registro_em_cada_contato
proibicoes:
  - contato_de_times_tecnicos_sem_passagem_pelo_interlocutor
  - compartilhamento_de_material_classificado_sem_autorizacao
  - promessa_publica_de_acao_que_dependa_da_autoridade
revisao: semestral_com_teste_de_contato

O teste semestral de contato é a prática que distingue canal vivo de canal de papel: uma comunicação simples, sem caso real, verificando se o interlocutor da agência continua em função e se o formato de representação de caso continua aceito. Quando a crise chega, o canal testado reduz dias de burocracia, e o caso circula com o formato que a autoridade já conhece, acelerando a decisão de abrir ou não investigação formal. A representação de caso segue a estrutura que a autoridade espera, e o esqueleto abaixo cobre o conteúdo mínimo:

# Estrutura de representação de caso para autoridade nacional
identificacao:
  organizacao: Empresa Exemplo S.A.
  interlocutor: ciso_com_delegacao_do_juridico
  protocolo_interno: CI-2025-021
fato:
  resumo: invasao_e_exfiltracao_em_filiais_brasileiras
  tipo: suspeita_de_espionagem_com_indicios_de_grupo_organizado
evidencia_disponivel:
  - imagem_forense_com_cadeia_de_custodia
  - logs_de_acesso_e_egress_com_hash
  - analise_de_infraestrutura_do_adversario
pedidos:
  - instauracao_de_inquerito
  - orientacao_sobre_cooperacao_internacional
classificacao: TLP:AMBER_para_todo_o_material_acompanhante

A cronologia típica de um caso que chega à autoridade ajuda a calibrar expectativas internas e evita a pressão indevida sobre o interlocutor:

7. Erros Comuns e Pontos de Atenção

• Construir canal só depois do incidente; efeito: dias perdidos em descobrir quem procurar no meio da crise; correção: registro de canal com teste semestral.
• Múltiplos interlocutores informais na corporação; efeito: perda de credibilidade e de controle de classificação; correção: interlocutor único com delegação formal.
• Presumir atribuição como processo policial; efeito: expectativas irreais sobre identificação e prisão; correção: separar inteligência de persecução e usar a nota 02 do capítulo 05.
• Entregar evidência sem cadeia de custódia; efeito: material inutilizável e caso sem desfecho; correção: preservação formal antes de qualquer entrega, conforme a nota 03 deste bloco.
• Vazar material recebido em TLP:AMBER; efeito: encerramento do acesso ao canal; correção: controle de classificação e distribuição mínima interna.
• Escolher agência estrangeira direto; efeito: caminho sem saída e nenhuma competência acionada; correção: reporte pelo canal do país da vítima com cooperação formal.
• Tratar alerta de agência como feed qualquer; efeito: priorização errada de material de alta fidelidade; correção: alertas oficiais com peso próprio na matriz de fontes do capítulo 02.
• Prometer internamente resultado da autoridade; efeito: expectativa que a corporação não controla; correção: comunicar protocolo e condução, nunca desfecho.
• Misturar canal de alerta com canal comercial de segurança; efeito: confusão de competência e atraso no caso; correção: catálogo de canais com dono, conforme o registro desta nota.

8. Integração com o Restante da Biblioteca

A nota conecta a esteira analítica ao sistema estatal: os alertas conjuntos de agências são fonte formal no capítulo 02, os casos públicos que originam alimentam a análise de atribuição do capítulo 05, e os indicadores deles chegam ao capítulo 03 com proveniência de altíssima qualidade. A nota 03 deste bloco recebe o caso quando a via criminal é escolhida, e a nota 02 cobre o ramo militar que compartilha jurisdição em temas de defesa.

Para o profissional de CTI, a lição operacional que atravessa a nota: a agência nacional é ao mesmo tempo fonte, canal e força que a organização não tem, e o programa que trata a interface com o nível nacional como parte formal do ciclo de CI, com dono, registro e teste, transforma em horas o que seria semanas de descoberta burocrática no meio de um incidente. O contraponto técnico final: nada do que a agência entrega substitui a evidência própria, e a organização que preserva bem é a que mais recebe, porque autoridades priorizam vítimas capazes de sustentar o caso.