Estados (Vantagem Estratégica e Espionagem Econômica)

Nota do capítulo "13 - Contra-Inteligência (CI)", pasta "05 - Ecossistema de Ameaças".
Abre o mapeamento do ecossistema de ameaças tratando o Estado-nação como o adversário de referência da contra-inteligência corporativa.
Dialoga com as notas de APTs e de Crime Organizado da mesma pasta, com a Atribuição de Ameaças do capítulo 05 e com a nota de Marcos Legais da pasta "07 - Liderança e Governança".

1. Contexto e Posicionamento na Biblioteca

A contra-inteligência corporativa herda da doutrina estatal um princípio central: antes de defender, é preciso conhecer quem ataca, por que ataca e com quais recursos. Esta nota abre a pasta de ecossistema de ameaças apresentando o Estado-nação como o adversário mais capaz, mais paciente e melhor financiado que uma organização pode enfrentar. Compreender as motivações estatais, que vão de vantagem estratégica e segurança nacional até espionagem econômica e operações de influência, é o que permite converter uma lista genérica de ameaças em PIRs (Priority Intelligence Requirements) com relevância real para o negócio.

O posicionamento desta nota é anterior às notas de APTs e de Crime Organizado da mesma pasta por uma razão lógica: a etiqueta APT descreve a assinatura operacional, enquanto a motivação estatal descreve a causa raiz. Muitos dos grupos mais sofisticados rastreados pela indústria operam a serviço ou sob a tolerância de governos, e a diferença entre espionagem e crime lucrativo muda por completo a resposta esperada. As implicações práticas aparecem na priorização de hunts, no desenho de controles e nos limites legais que o setor privado respeita, tema desenvolvido nas notas de Liderança e Governança deste capítulo.

2. Por que o Estado é o Adversário de Referência em CI

O Estado combina características que nenhum outro adversário reúne na mesma intensidade. As cinco listadas abaixo definem por que a doutrina de contra-inteligência nasceu em contexto estatal e por que sua tradução corporativa começa por este ator, antes de qualquer discussão técnica de ferramentas.

• Orçamento e pessoal em escala estatal: serviços de inteligência sustentam unidades dedicadas por décadas, compram ou desenvolvem exploits de dia zero e reúnem talentos de engenharia, operações e análise que o mercado privado raramente combina em um único time.
• Paciência e horizonte temporal: campanhas estatais medem progresso em meses e anos, aceitam longos períodos de coleta passiva e não dependem de resultado imediato para justificar continuidade da operação.
• Combinação de disciplinas: a operação cibernética se integra a HUMINT (recrutamento de pessoas), SIGINT (interceptação formal), OSINT e coleta aberta legal, produzindo um quadro de reconhecimento que a organização raramente percebe por inteiro.
• Proteção jurisdicional: o ator opera a partir de território onde a persecução penal é improvável ou impossível, o que reduz o efeito dissuasor do direito penal e desloca a defesa para a elevação do custo de cada etapa da intrusão.
• Infraestrutura dedicada: delegações, universidades e laboratórios financiados sustentam ferramentas, testes e comando e controle com qualidade profissional, rotação disciplinada e longevidade de anos.

A consequência direta para a empresa é que métricas de defesa baseadas apenas em bloqueio de indicadores ficam insuficientes contra este adversário. A resposta sensata opera em outro nível: reduzir a informação disponível sobre a organização, aumentar o custo de cada fase da cadeia de intrusão e detectar comportamento em vez de artefato isolado.

3. Motivações Estatais: Estratégia, Economia e Influência

A motivação determina o alvo, a intensidade e a tolerância a ruído, e por isso a tipologia abaixo é o insumo mais valioso desta nota para o programa de inteligência. A tabela compara as três motivações dominantes documentadas em campanhas públicas nos últimos anos.

A mesma organização pode ser alvo de mais de uma motivação simultaneamente, e o entendimento equivocado da motivação gera resposta errada. Um adversário de influência trata dados de funcionários como material de campanha, enquanto um adversário econômico trata os mesmos dados como subproduto irrelevante, e a prioridade de proteção muda conforme o caso. Por isso a avaliação de motivação deve ser revisada a cada nova campanha atribuída, e não assumida como constante.

Na prática de programa, a motivação muda o requisito de inteligência antes de mudar qualquer tecnologia. Contra espionagem econômica, os PIRs perguntam quais ativos valeriam a um concorrente estrangeiro; contra vantagem estratégica, perguntam quais ativos dariam posição ou acesso em cadeia; contra influência, perguntam quais dados e narrativas internas seriam material de campanha. A seção seguinte converte essa pergunta em um quadro por setor, para que a priorização aconteça com vocabulário comum entre CI, negócio e diretoria.

4. Motivações por Setor e o Perfil de Exposição

A mesma motivação estatal produz exposições muito diferentes conforme o setor, e converter motivação em perfil de exposição é o que permite priorizar controles sem depender de alertas de notícia. A tabela abaixo relaciona setores representativos, a motivação dominante documentada em campanhas públicas, os ativos mais visados e a implicação prática de defesa correspondente. O exercício recomendado é repetir essa leitura para o setor da própria organização e para os setores que mais consomem seus dados, pois a exposição do cliente se transmite pela cadeia.

Duas ressalvas evitam o uso mecânico do quadro. A motivação dominante muda com o ciclo político e econômico, e um setor secundário hoje pode se tornar prioritário após mudança regulatória ou de mercado, o que exige revisão anual do perfil. E a exposição real é a interseção entre setor, cadeia de fornecedores e valor informativo dos dados, razão pela qual o perfil deve ser validado com os EEIs (Essential Elements of Information) da organização, e não apenas com a categoria econômica.

5. Padrões Operacionais Conhecidos de Atores Estatais

A indústria acompanha há mais de uma década campanhas atribuídas a serviços de inteligência, e os padrões abaixo aparecem com regularidade suficiente para orientar prioridades de detecção. Nenhum padrão é exclusivo de ator estatal, mas a combinação disciplinada deles, mantida por anos, é fortemente sugestiva de mão estatal e deve ser registrada como hipótese formal.

• Acesso inicial de alta qualidade: spearphishing com contexto verdadeiro sobre a vítima, comprometimento de fornecedores e de cadeias de suprimento de software, e uso de credenciais válidas obtidas fora do ambiente em vez de exploits ruidosos.
• Infraestrutura dedicada e estável: domínios registrados e cultivados com histórico legítimo, redes residenciais e comerciais comprometidas como intermediários, e rotação de infraestrutura com disciplina de cobertura.
• Persistência silenciosa: preferência por coleta contínua em vez de destruição, exfiltração em volumes baixos e longos, fora de horários de pico, com atenção à impressão deixada nos logs da vítima.
• Reconhecimento profundo: mapeamento de organograma, projetos, fornecedores e pessoas-chave antes da intrusão técnica, frequentemente com apoio de redes sociais profissionais e de vazamentos públicos.
• Contramedidas contra investigação: limpeza de logs, uso de ferramentas legítimas do ambiente (living off the land) e atenção deliberada a artefatos forenses que permitiriam atribuição rápida.

O padrão mais instrutivo dos últimos anos é o de posição pré-operacional documentada em avisos conjuntos de agências ocidentais sobre campanhas atribuídas a atores chineses em infraestrutura crítica. Nesses casos, o adversário passou longos períodos usando apenas ferramentas nativas do ambiente, sem malware de assinatura, mantendo a capacidade de interromper sem jamais exercê-la. Para a CI corporativa, o alerta é direto: a ausência de malware conhecido não é evidência de ausência de intrusão, e a detecção precisa cobrir o uso anômalo de ferramentas legítimas, como execução remota de serviços, criação de contas e acesso a repositórios fora do papel.

A nota de APTs desta mesma pasta detalha grupos específicos e suas TTPs mapeadas no MITRE ATT&CK, com exemplos de APT29, APT41 e Lazarus. A leitura conjunta das duas notas evita o erro de tratar Estado como ameaça abstrata sem tradução operacional para detecção e caça.

6. Grupos Atribuídos a Serviços de Inteligência

A indústria de segurança mantém, em relatos públicos, um conjunto de grupos cuja atribuição predominante aponta para serviços estatais ou patrocinadores de regime, e esses grupos funcionam como referência concreta do padrão operacional descrito na seção anterior. A tabela abaixo consolida exemplos consagrados, o foco declarado de suas campanhas e o padrão marcante que costuma orientar hipóteses de caça. Os nomes variam entre fornecedores, e o dicionário interno de aliases da organização deve mapear as variações para evitar contagem duplicada de ameaças.

Três cuidados governam o uso desta tabela no programa. A atribuição é inferência probabilística sujeita a revisão, e o nível de confiança deve ser registrado conforme orienta a nota de Atribuição de Ameaças do capítulo 05. A seleção de grupos para monitoramento segue os PIRs da organização, e não a frequência com que o nome aparece no noticiário. E a tabela funciona como índice de perfis vivos no TIP (Threat Intelligence Platform), e não como catálogo fechado, pois grupos se reorganizam e nomes mudam de dono.

7. Implicações para o Setor Privado Brasileiro e Global

Globalmente, a fronteira entre alvo estatal e alvo comercial desapareceu, porque empresas privadas detêm dados, tecnologia e infraestrutura que antes eram monopólio de governos. Operadoras de telecomunicações, provedores de nuvem, fabricantes de software e consultorias de auditoria tornam-se alvo prioritário justamente porque servem de ponte de acesso para milhares de outras organizações. O setor financeiro e o de energia concentram interesses de vantagem estratégica e de espionagem econômica ao mesmo tempo, o que exige perfis de adversário separados por campanha.

No Brasil, o interesse estatal estrangeiro documentado em campanhas públicas inclui infraestrutura energética, agroindústria, setor elétrico, instituições financeiras e entidades ligadas a eleições e a políticas públicas. Somam-se fatores locais que elevam a exposição: posição do país em commodities estratégicas, expansão do ecossistema financeiro digital e relevância geopolítica de recursos naturais. Para a CI corporativa brasileira, isso significa incluir atores estatais nos PIRs, monitorar relatórios de parceiros internacionais e de ISACs setoriais e traduzir essas ameaças em requisitos de proteção e detecção.

Há também uma implicação de governança que não pode ser adiada. Operações estatais envolvem frequentemente abordagem e recrutamento de pessoas internas, o que conecta esta nota ao modelo MICE tratado na sequência da pasta. E qualquer tratativa sobre suspeitas envolvendo funcionários deve respeitar LGPD e os limites legais vigentes, tema central das notas de Marcos Legais e de Ética da pasta de Liderança e Governança.

8. Sinais de Interesse Estatal na Organização

Reconhecer cedo que a organização entrou no radar de um ator estatal é uma das entregas mais valiosas da contra-inteligência. A tabela lista sinais observáveis, a fonte onde costumam aparecer e a ação de CI correspondente a cada um.

// Caça: autenticação bem-sucedida na VPN a partir de ASN nunca visto para o usuário
SigninLogs
| where AppDisplayName has "VPN" and ResultType == 0
| summarize FirstSeen = min(TimeGenerated), LastSeen = max(TimeGenerated),
            ASNs = make_set(AutonomousSystemNumber) by UserPrincipalName
| where array_length(ASNs) > 1
| project FirstSeen, LastSeen, UserPrincipalName, ASNs
| order by LastSeen desc

A consulta acima exemplifica como converter o sinal de autenticação anômala em caça executável, e o mesmo gabarito serve para variações como troca de agente de usuário entre sessões com o mesmo token ou login bem-sucedido seguido de enumeração fora do papel. Em qualquer variação, o resultado é hipótese e não acusação, pois ASN novo tem causas benignas frequentes, como mudança de operadora e viagem do colaborador. O valor da caça está em revalidar a linha de base de cada identidade privilegiada e em reduzir a janela entre o primeiro uso abusivo de credencial e a detecção.

A ausência desses sinais por um trimestre não prova ausência de interesse; ela indica ausência de visibilidade ou ausência de interesse, e a CI precisa distinguir as duas hipóteses explicitamente. Registre a verificação como produto formal, mesmo com resultado negativo, pois a avaliação documentada sustenta decisões de investimento melhor do que intuições.

9. Exemplo Prático: Cenário de Espionagem Econômica

O cenário abaixo ilustra uma campanha de espionagem econômica contra uma empresa brasileira de tecnologia agrícola, com fases, sinais e decisões de CI. Ele serve de gabarito para exercícios de mesa com o comitê de segurança e para validação de telemetria mínima por fase.

Contexto: empresa com portfólio proprietário de genética vegetal e dados de
produtividade de clientes.
Ameaça: ator estatal de terceiro país interessado em transferir vantagem para
um conglomerado estatal do próprio país.

Fase 1 (meses 1 a 3, coleta aberta e humana)
  - Perfis falsos em rede profissional abordam engenheiros e cientistas com
    propostas de consultoria de curta duração e pagamentos em criptoativo.
  - Sinal: duas denúncias de colaboradores ao RH, nenhum dado vazado ainda.
  - Decisão de CI: registrar caso, orientar alvos abordados, mapear quem
    recebeu contato e revisar necessidade de conhecimento dos projetos.

Fase 2 (meses 4 a 6, reconhecimento técnico)
  - Varredura discreta do portal de parceiros e registro de domínios com
    nomes semelhantes aos da marca.
  - Sinal: certificados recém-emitidos e resoluções DNS de homografia
    capturados por monitoramento de superfície externa.
  - Decisão de CI: bloqueio preventivo no gateway, alerta às áreas de
    negócio e caça retroativa nos logs de acesso do portal.

Fase 3 (meses 7 a 9, intrusão via fornecedor)
  - Comprometimento de integrador com acesso remoto legítimo ao ambiente.
  - Sinal: logins do integrador em horários atípicos seguidos de
    enumeração de contas e repositórios incomum para o perfil do contrato.
  - Decisão de CI: notificar resposta a incidentes, restringir acessos do
    terceiro e caçar as TTPs da campanha em todo o parque.

Fase 4 (meses 10 a 12, coleta e exfiltração)
  - Acesso recorrente a repositórios de pesquisa com leitura incremental.
  - Sinal: volume de leitura em repositório sensível sem projeto novo
    associado e transferências externas concentradas em janela noturna.
  - Resultado: contenção antes da exfiltração relevante; lições para
    vetting de fornecedores e monitoramento de repositórios críticos.

Três lições do cenário merecem destaque. Primeira: o sinal mais precoce foi humano, não técnico, o que reforça a integração entre CI, RH e compliance desde o desenho do programa. Segunda: cada fase deixou evidência detectável, e a janela de detecção dependeu de telemetria existente e de hipóteses já formuladas. Terceira: a resposta eficaz exigiu decisão executiva rápida, o que conecta este cenário à nota de Responsabilidade Executiva da pasta de Liderança e Governança.

10. Erros Comuns e Pontos de Atenção

• Tratar Estado como ameaça mitológica: afirmar que a organização não é alvo, sem análise, é um pressuposto e não uma hipótese avaliada; registre o raciocínio com critérios explícitos, mesmo quando a conclusão for de não interesse.
• Focar na atribuição nominal em vez de na TTP: perseguir o nome do grupo trava o programa quando a atribuição muda; priorize técnicas e comportamentos, que sobrevivem à troca de rótulos e à reorganização dos atores.
• Ignorar a dimensão humana: espionagem estatal recorre a pessoas dentro do ambiente com mais frequência do que a exploits sofisticados, e a parceria com RH e compliance é parte estrutural da defesa, não um anexo do programa.
• Copiar prioridades alheias sem adaptação: a lista de atores relevantes para um banco europeu não serve integralmente a uma agroindústria brasileira; filtre sempre pelas motivações e pelos ativos da própria organização.
• Confundir descoberta com autorização: detectar espionagem estatal não autoriza contramedida ofensiva contra indivíduos ou infraestrutura; os limites estão nas notas de Marcos Legais e de Ética do capítulo.
• Deixar de reportar o negativo: a informação de que não há indícios de interesse estatal, com critérios declarados, é produto valioso e evita decisões corporativas motivadas por sensacionalismo de notícias.
• Confundir interesse estatal com oportunismo criminal: varredura de massa e ransomware genérico não configuram interesse estatal; classifique a campanha por objetivo e comportamento antes de rotular, e registre o critério usado.
• Superestimar capacidades e paralisar decisões: imaginar o adversário onipotente produz investimento defensivo incoerente e fadiga de diretoria; avalie capacidade por campanha documentada, e não por reputação lendária.

11. Integração com o Restante da Biblioteca

Esta nota fornece o contexto de adversário que as notas seguintes da pasta convertem em instrumento operacional: APTs traduzem o interesse estatal em TTPs mapeáveis no ATT&CK, e Crime Organizado mostra o outro polo do ecossistema, com economia própria de RaaS. A nota de Atribuição de Ameaças do capítulo 05 fornece o método para expressar confiança na ligação entre campanha e Estado, e a Pirâmide de Dor do capítulo 04 explica por que investir em detecção acima do nível de indicadores. As notas de Requisitos de Inteligência e PIRs do capítulo 01 recebem daqui os insumos de priorização por motivação.

Na dimensão de governança, a nota de Marcos Legais da pasta "07 - Liderança e Governança" define o que a organização pode fazer ao detectar interesse estatal, e a nota de Responsabilidade Executiva mostra quem autoriza respostas sensíveis e com qual registro. No plano de execução, as campanhas descritas aqui alimentam hunts orientadas por hipótese do capítulo 07 e os controles de mapeamento do grupo MAP do Framework CTH. O objetivo final é simples de enunciar e difícil de sustentar: transformar a hipótese de interesse estatal em plano de proteção de informação, de detecção comportamental e de resposta, com registros que resistam a auditoria.