Operação cibernética, informacional ou cinética conduzida por um ator que deliberadamente forja indicadores técnicos, linguísticos, comportamentais ou contextuais para imputar a autoria a terceiro — visando ocultar a responsabilidade real, induzir retaliação errônea ou explorar narrativas alternativas de atribuição.
Definição
A expressão bandeira falsa (false flag) tem origem na guerra naval do século XVI–XVIII, designando o expediente de embarcações que içavam pavilhão de potência neutra ou amistosa para aproximarem-se da presa antes do combate. Transportada para o domínio cibernético e informacional, a categoria designa operações em que o autor real constrói deliberadamente uma trilha de evidências apontando para outro ator — Estado, grupo hacktivista, organização criminosa — com o objetivo de mascarar a autoria genuína.
No contexto contemporâneo de guerra informacional e operações de informação, a bandeira falsa opera em três camadas analíticas que a análise de atribuição deve desconstruir:
- Camada técnica: artefatos de malware contendo strings, comentários ou time zones sugerindo origem geográfica diversa; uso de infraestrutura (VPS, domínios) anteriormente associada a outro ator; reaproveitamento de código aberto público de grupos conhecidos;
- Camada linguística e cultural: emprego de idioma, gírias, transliterações ou padrões regionais característicos do ator que se deseja incriminar;
- Camada narrativa e comportamental: assunção de persona — manifesto público, conta de mídia social, identidade fictícia (e.g., “Cyber Caliphate”, “Guccifer 2.0”, “Cyber Berkut”) — que reivindica autoria em nome do ator simulado.
Casos paradigmáticos:
- Guccifer 2.0 (2016): persona hacktivista que reivindicou o vazamento DNC, posteriormente atribuída ao GRU russo pelo Mueller Report (2019) — exemplo seminal de falsa-bandeira combinando vetor cibernético e malinformação;
- Olympic Destroyer (2018): ataque cibernético contra os Jogos Olímpicos de Pyeongchang, com artefatos forjados apontando inicialmente para a Coreia do Norte (Lazarus Group) e a China; análise técnica posterior reatribuiu ao GRU (Sandworm) — caso emblemático estudado por Andy Greenberg;
- Cyber Caliphate (2015): persona “jihadista” responsável por ataques a TV5Monde (França) e outros alvos europeus, posteriormente atribuída à APT28 (GRU).
Distingue-se da inautenticidade coordenada (que mascara coordenação, mas não necessariamente forja atribuição alternativa) e da operação encoberta clássica (que oculta autoria, sem necessariamente fabricar autor falso).
Uso e Contexto
A categoria é central para a doutrina de atribuição cibernética e informacional. A literatura especializada (RID, 2020; GREENBERG, 2019) destaca que a sofisticação técnica e contextual das operações de bandeira falsa cresceu dramaticamente após 2014, tornando a atribuição responsável um exercício multicamadas que exige convergência de evidência técnica, human intelligence, análise de padrões operacionais (TTPs) e infrastructure tracking — raramente decidível em janelas curtas e nunca por evidência isolada.
No léxico público, o termo é frequentemente apropriado por teorias da conspiração para alegar autoria estatal não comprovada em atentados reais — uso retórico que difere radicalmente do conceito técnico e contra o qual a análise responsável deve manter rigor metodológico.
Ver Também
- Atribuição
- Análise de Atribuição
- Maskirovka
- Hacktivismo
- Inautenticidade Coordenada (CIB)
- Bandeira Falsa (verbete completo)
Referências
RID, Thomas. Active Measures: The Secret History of Disinformation and Political Warfare. New York: Farrar, Straus and Giroux, 2020.
GREENBERG, Andy. Sandworm: A New Era of Cyberwar and the Hunt for the Kremlin’s Most Dangerous Hackers. New York: Doubleday, 2019.
RID, Thomas; BUCHANAN, Ben. Attributing cyber attacks. Journal of Strategic Studies, v. 38, n. 1–2, p. 4–37, 2015.
Verbete submetido ao NEGISC — GEPSI / IREL / UnB. Licença CC BY-SA 4.0.