A Operação Epic Fury não começou com bombas. Tudo começou com código. Nas horas anteriores à descolagem do primeiro B-2 de Whiteman, ataques cibernéticos coordenados tiveram como alvo a infraestrutura de comando e controlo, as redes de comunicações e os sistemas de sensores iranianos.
O General Dan Caine, Presidente do Estado-Maior Conjunto, confirmou que “as operações espaciais e cibernéticas coordenadas perturbaram efetivamente as comunicações e as redes de sensores” antes dos principais ataques cinéticos, com o objetivo explícito de deixar o Irão “perturbado, desorientado e confuso”.
Operadores israelitas comprometeram a aplicação de oração Calendário BadeSaba – descarregada por mais de cinco milhões de iranianos – e enviaram notificações push incitando o pessoal militar a desertar, com mensagens que incluíam “A ajuda chegou” e “É hora de ajuste de contas”. A emissora estatal IRIB foi sequestrada e forçada a transmitir discursos de Trump e Netanyahu.
A conectividade doméstica à Internet no Irão caiu para 1 a 4 por cento dos níveis normais durante mais de sessenta horas – o que é atribuído pelas organizações de monitorização a uma combinação de ataques físicos a centros de dados e perturbações cibernéticas em grande escala.
A questão jurídica que esta sequência levanta quase não recebeu atenção analítica sustentada: em que condições um ataque cibernético constitui um acto de guerra e como é que a resposta muda quando o ataque cibernético é conduzido simultaneamente com ataques cinéticos pelo mesmo Estado?
Leia mais: Guerrilhas Digitais: O Campo de Batalha Cibernético no Irã e o Conflito EUA-Israel
Este não é um quebra-cabeça jurídico abstrato. Determina quais as regras que se aplicam às operações cibernéticas, que autoridade legal o Estado visado tem para responder às mesmas e quais as obrigações que o Estado atacante tem ao abrigo do direito humanitário internacional em relação aos danos civis resultantes da perturbação da rede. A resposta fornecida pelo quadro jurídico existente é incompleta, contestada e ainda não testada por qualquer órgão jurídico internacional autorizado.
O Manual de Tallinn 2.0, a declaração não vinculativa de maior autoridade do direito internacional aplicável às operações cibernéticas, compilada pelo Centro de Excelência Cooperativa de Defesa Cibernética da OTAN, aplica os princípios tradicionais do direito humanitário internacional – distinção, proporcionalidade, precaução – às operações cibernéticas, com base no facto de essas operações serem regidas pelas mesmas regras que os ataques cinéticos quando são conduzidos no contexto de um conflito armado.
Neste quadro, um ataque cibernético constitui um ataque no sentido jurídico quando causa danos físicos ou ferimentos – e as perturbações na rede que reduziram a conectividade à Internet do Irão para 1 a 4 por cento durante sessenta horas quase certamente se qualificam.
A perturbação da infra-estrutura de comunicações utilizada pelas redes civis e militares; o comprometimento de um aplicativo de oração usado por milhões de civis; a desfiguração de meios de comunicação civis – estas operações afectam infra-estruturas civis sob a protecção do princípio de distinção civil do DIH de uma forma que a segmentação cinética da mesma infra-estrutura exigiria uma justificação legal para ser realizada.
A complicação é que a análise do DIH sobre operações cibernéticas depende de uma atribuição com precisão suficiente para impor responsabilidade legal – e a atribuição de operações cibernéticas estatais, mesmo quando tecnicamente estabelecidas, é rotineiramente contestada a nível político de uma forma que a atribuição cinética não o é. O Irão negou a responsabilidade pelos ataques cibernéticos que lhe são atribuídos.
Os Estados Unidos não reconheceram publicamente as operações cibernéticas específicas que a declaração de CJCS Caine confirmou implicitamente. Os mais de 170 grupos hacktivistas que reivindicam operações durante o conflito – Handala Hack, a Resistência Cibernética Islâmica, Team 313, FADTEAM – operam na intersecção do patrocínio estatal e da motivação independente de formas que a lei da responsabilidade estatal não resolveu.
Quando mais de 600 reclamações distintas de ataques cibernéticos foram registradas nos canais do Telegram no prazo de quinze dias após o início do conflito, a arquitetura de atribuição necessária para aplicar o DIH a essas operações não existe em nenhuma forma legalmente utilizável.
A resposta cibernética do Irão demonstrou uma capacidade específica e anteriormente subestimada: o ataque à Stryker Corporation, em 11 de Março de 2026, marcou uma operação de limpeza destrutiva contra um fabricante de defesa dos EUA, executada sem malware personalizado – em vez disso, abusou da infra-estrutura legítima de gestão de dispositivos móveis para obter acesso à rede e implementar capacidade destrutiva. A Unidade 42 da Palo Alto Networks documentou isto como uma “mudança qualitativa na capacidade operacional iraniana”.
Os grupos APT iranianos, incluindo o TA453, continuaram o phishing de credenciais direcionado contra grupos de reflexão dos EUA e ministérios do governo do Golfo durante todo o conflito – operações confirmadas como sendo executadas a partir de infraestruturas estrangeiras que não foram afetadas pelo apagão doméstico da Internet no Irão. A análise da ZENDATA observou que os ataques cibernéticos aumentaram 700% nas 48 horas após a abertura do conflito, com Israel absorvendo 12,2% de todos os ataques globais em 2025.
Os Estados do Golfo – EAU, Kuwait, Arábia Saudita – apareceram entre os cinco principais alvos pela primeira vez, reflectindo as repercussões do seu papel como Estados anfitriões de activos militares dos EUA.
Leia mais: Do crime cibernético ao terrorismo cibernético: o ponto cego da América
A arquitectura jurídica interna para responder a este ambiente é igualmente inadequada do lado dos EUA. A Agência de Segurança Cibernética e de Infraestruturas, responsável por proteger as infraestruturas críticas dos EUA exatamente do tipo de atividade APT iraniana documentada durante o conflito, estava a funcionar com pessoal drasticamente reduzido devido a falhas de financiamento do DHS – confirmadas pelo relatório de ameaças da Unidade 42.
Os grupos iranianos de APT adquiriram acesso inicial ao software de sistemas de controle industrial da Rockwell Automation. O acesso SCADA e PLC na infra-estrutura crítica dos EUA teria sido vendido por agentes ameaçadores em mercados subterrâneos durante o período do conflito. O responsável institucional pela protecção daquela infra-estrutura estava com falta de pessoal no momento de ameaça máxima.
A dimensão cibernética da Operação Epic Fury não é um espetáculo secundário da campanha cinética. É o ambiente operacional através do qual ocorreram as actividades juridicamente mais inovadoras e menos governadas do conflito – e definirá o carácter do próximo conflito, independentemente da forma como a guerra do Irão terminar. O processo do Manual de Tallinn produziu uma análise académica rigorosa. Não produziu um direito internacional vinculativo.
O Grupo de Peritos Governamentais da ONU sobre normas cibernéticas produziu princípios acordados que os estados mais envolvidos em operações cibernéticas ofensivas não aplicaram de forma consistente.
As questões específicas levantadas pela dimensão cibernética do Epic Fury – quando é que a perturbação cibernética pré-cinética constitui um acto de guerra, que regras do DIH se aplicam à actividade hacktivista patrocinada pelo Estado, como é que os danos civis resultantes do apagão deliberado da Internet se comparam aos ataques à infra-estrutura cinética sob o princípio da proporcionalidade – não têm respostas legais autorizadas. A próxima guerra começará online também. A arquitetura de governação para essa eventualidade ainda não existe.
UM
UM
UM
*As opiniões apresentadas neste artigo são de responsabilidade do autor e não refletem necessariamente as opiniões do The Diplomatic Insight.*
Aleena Saif Ullah
Aleena Saif Ullahé bolsista de mestrado em Relações Internacionais na Universidade de Punjab, Lahore. Ela pode ser contatada em[email protected]
