Pirataria chinesa: o DOJ corrige as suas declarações e reduz o número de vítimas confirmadas

O Departamento de Justiça dos Estados Unidos acaba de retificar um comunicado oficial sobre uma operação de ciberespionagem chinesa — uma correção que altera radicalmente o alcance do caso.

Agências tão sensíveis como a NASA, a Reserva Federal ou o Senado americano foram inicialmente apresentadas como vítimas. A realidade é mais matizada, e o DOJ teve de o reconhecer publicamente.

Esta retificação levanta questões sobre o rigor das comunicações oficiais em matéria de cibersegurança — e sobre a verdadeira dimensão da ameaça chinesa às infraestruturas críticas americanas.

O DOJ retifica: alvos vs. vítimas, uma distinção fundamental

A 26 de agosto de 2026, o Departamento de Justiça publicou um comunicado de imprensa descrevendo uma campanha de ciberespionagem orquestrada pelo grupo QTFY, patrocinado pela República Popular da China. Na sua versão inicial, o texto designava como vítimas uma lista de agências federais de primeiro plano: a NASA, a Reserva Federal americana, o Senado dos EUA, o Departamento de Energia, o próprio Departamento de Justiça, o Departamento de Saúde e Serviços Humanos (HHS), bem como os National Institutes of Health (NIH).

O problema: o affidavit subjacente — o documento jurídico que sustenta as apreensões de domínios — não confirma intrusões em todas essas entidades. O DOJ corrigiu então o seu comunicado, substituindo o termo «vítimas» por «alvos». Uma nota explicativa precisa que as alterações visam «refletir com exatidão as alegações do governo no affidavit».

Esta distinção não é trivial. No domínio da cibersegurança, ser um alvo significa que foi detetada ou presumida uma tentativa de intrusão — sem que a comprometimento do sistema esteja provado. Ser uma vítima implica uma intrusão confirmada, com acesso efetivo a dados ou sistemas. Confundir os dois conceitos num comunicado oficial constitui um erro factual grave.

O que o affidavit revela realmente: intrusões confirmadas, mas limitadas

De acordo com os elementos do affidavit, as intrusões efetivamente confirmadas concentram-se num perímetro mais restrito do que aquele que o comunicado inicial sugeria. Em setembro de 2024, três laboratórios nacionais sob tutela do Departamento de Energia foram comprometidos, assim como os NIH, uma agência do HHS e um fabricante americano de dispositivos de segurança informática.

A tentativa de pirataria visando a NASA, por sua vez, falhou. A agência espacial havia aplicado uma correção ao software visado pelo grupo QTFY antes de a intrusão poder concretizar-se — um caso exemplar em matéria de gestão de vulnerabilidades. Esta precisão ilustra a importância crítica das atualizações de segurança na proteção das infraestruturas sensíveis.

A correção do DOJ reduz, assim, o balanço oficial desta campanha de ciberespionagem de longa duração contra as redes americanas. Levanta igualmente uma questão de fundo: como pôde uma agência tão rigorosa como o Departamento de Justiça publicar um comunicado tão distante dos factos estabelecidos no seu próprio affidavit? Para os atores da cibersegurança — e para os mercados cripto que acompanham de perto os riscos sistémicos associados às infraestruturas financeiras — este tipo de imprecisão oficial alimenta uma desconfiança legítima face à comunicação institucional em períodos de crise.