Tempestades Digitais: O Enquadramento Jurídico das Ameaças Cibernéticas à Infraestrutura Marítima e Embarcações

O cenário marítimo contemporâneo passa por uma transição sistêmica da dependência mecânica para a integração digital. À medida que as embarcações se tornam sistemas ciberfísicos sofisticados e as infraestruturas portuárias evoluem para nós interconectados de uma rede logística global, os parâmetros tradicionais da segurança marítima estão sendo recalibrados. O surgimento de interferências de natureza cibernética — desde a falsificação de dados do Sistema de Identificação Automática (AIS) até a manipulação remota de Sistemas de Controle Industrial (ICS) a bordo de Navios Porta-Contêineres Ultragrandes (ULCVs) — representa um profundo desafio à *lex maritima* consolidada. Esta análise busca avaliar a adequação da Convenção das Nações Unidas sobre o Direito do Mar (CNUDM/UNCLOS) e da jurisprudência internacional associada no enfrentamento das ameaças intangíveis, porém existenciais, impostas por adversários cibernéticos.

A Arquitetura Regulatória e os Mandatos da OMI

A Organização Marítima Internacional (OMI) reconheceu que a salvaguarda da vida humana no mar (SOLAS) está agora inextricavelmente vinculada à resiliência cibernética. Por meio da Resolução MSC.428(98), a OMI determinou que a gestão de riscos cibernéticos seja integrada aos Sistemas de Gestão de Segurança (SMS) existentes, conforme definidos pelo Código Internacional de Gestão de Segurança (ISM). Contudo, sob uma perspectiva jurídica, esses mandatos administrativos frequentemente carecem do vigor coercitivo presente nas obrigações baseadas em tratados. A comunidade jurídica continua a debater se a falha em manter defesas cibernéticas robustas constitui violação da garantia de navegabilidade — um pilar do direito marítimo que, durante séculos, concentrou-se na integridade física do casco e na competência da tripulação.

Qual é a responsabilidade legal pelos ataques cibernéticos marítimos?

A determinação da responsabilidade legal por um ataque cibernético marítimo exige uma análise dos Artigos sobre a Responsabilidade dos Estados por Atos Internacionalmente Ilícitos (ARSIWA). Nos termos do Artigo 4, a conduta de qualquer órgão estatal é atribuível ao Estado. No entanto, as operações cibernéticas frequentemente ocupam uma zona cinzenta, na qual atores não estatais, potencialmente patrocinados ou tolerados por um poder soberano, executam ações disruptivas contra a navegação comercial. O julgamento histórico da Corte Internacional de Justiça (CIJ) no caso Nicarágua v. Estados Unidos estabeleceu o teste de controle efetivo, que fixa um patamar elevado para a atribuição de atos de indivíduos privados a um Estado. No contexto de um ataque cibernético ao sistema operacional de um terminal portuário, comprovar que um Estado exerceu controle efetivo sobre os pacotes digitais específicos enviados por um grupo de hackers permanece como um formidável obstáculo probatório.

Além disso, o princípio da diligência devida, tal como formulado no caso Estreito de Corfu (Reino Unido c. Albânia), sugere que todo Estado tem a obrigação de não permitir conscientemente que seu território seja utilizado para atos contrários aos direitos de outros Estados. Se um Estado costeiro tem conhecimento de que sua infraestrutura digital está sendo utilizada para interferir nos sinais do Sistema Global de Navegação por Satélite (GNSS) dentro de sua Zona Econômica Exclusiva (ZEE), mas não intervém, poderá incorrer em responsabilidade internacional, independentemente de ter ou não dirigido o ataque. A dificuldade reside no aspecto temporal da guerra cibernética; ao contrário das minas navais no Estreito de Corfu, as intrusões digitais ocorrem à velocidade da luz, tornando frequentemente obsoleto, na prática, o requisito do conhecimento antes que se possa buscar uma solução.

Como a CNUDM aborda as ameaças cibernéticas à navegação de embarcações?

A CNUDM, frequentemente referida como a constituição dos oceanos, foi redigida em uma era de navegação analógica. Consequentemente, não menciona explicitamente as atividades cibernéticas. Não obstante, as disposições da convenção sobre passagem inocente (Artigo 19) e os deveres do Estado de bandeira (Artigo 94) fornecem um arcabouço fundamental, ainda que forçado. Nos termos do Artigo 19(2), a passagem é considerada prejudicial à paz, à boa ordem ou à segurança do Estado costeiro se a embarcação praticar qualquer ato de poluição deliberada e grave, qualquer ato destinado a interferir em sistemas de comunicação ou qualquer outra atividade sem relação direta com a passagem.

Embora o Artigo 19 tenha sido concebido primordialmente para regular a conduta da própria embarcação, um crescente debate jurisprudencial questiona se um navio cujos sistemas de navegação foram comprometidos por terceiros ainda pode ser considerado em passagem inocente. Se o AIS de uma embarcação for falsificado para exibir uma posição incorreta, criando assim um risco de colisão em um estreito movimentado, o navio perde seu direito de passagem inocente? A visão predominante sugere que a inocência é determinada pela intenção e pela conduta da embarcação, e não por suas falhas técnicas. Contudo, se o Estado de bandeira deixar de exercer sua jurisdição e controle em questões administrativas, técnicas e sociais sobre o navio (conforme exigido pelo Artigo 94), o Estado costeiro poderá argumentar que a presença da embarcação constitui uma ameaça à segurança marítima, justificando a intervenção.

Comparação das Aplicações Jurisprudenciais às Ameaças Marítimas

Um ataque cibernético pode ser considerado um ato de pirataria sob o direito internacional?

A definição de pirataria prevista no artigo 101 da CNUDM exige três elementos estritos: um ato ilegal de violência, detenção ou depredação; cometido para fins privados; pela tripulação ou passageiros de um navio ou aeronave privados; em alto-mar. A aplicação desse artigo a ataques cibernéticos é problemática. A maioria das intrusões cibernéticas carece da violência física tradicionalmente associada ao hostis humani generis. Se um hacker, em um apartamento em terra firme, criptografa remotamente o software de propulsão de um navio e exige um resgate em bitcoin, o requisito das duas embarcações (o ataque deve ser lançado de um navio contra outro) não é atendido.

O incidente do Achille Lauro e as interpretações subsequentes da Corte Permanente de Arbitragem (CPA) sugerem que o direito da pirataria resiste à expansão. Embora alguns estudiosos defendam uma interpretação funcional — na qual a força digital seria equiparada à força física —, o consenso permanece no sentido de que os ataques cibernéticos de ransomware contra embarcações são mais bem classificados como terrorismo marítimo ou crime organizado transnacional, enquadrando-se na Convenção para a Repressão de Atos Ilícitos contra a Segurança da Navegação Marítima (Convenção SUA). O foco da Convenção SUA em atos suscetíveis de comprometer a segurança da navegação de um navio oferece uma base mais flexível para processar infratores cibernéticos, pois não exige a presença de uma segunda embarcação pirata.

Quem responde pelos danos causados por uma embarcação sequestrada ciberneticamente?

Em caso de colisão resultante de um ciberataque — como a manipulação de um Sistema Eletrónico de Visualização de Cartas e Informações (ECDIS) —, a questão da responsabilidade transfere-se para o domínio do direito privado, especificamente para a lex mercatoria e as Regras de Haia-Visby. O artigo III(1) das Regras de Haia-Visby determina que o transportador deve exercer a diligência devida para tornar o navio apto à navegação. Se um armador não atualizar correções de segurança críticas ou permitir a utilização de unidades USB não autorizadas nos sistemas da ponte de comando, o navio poderá ser considerado inapto para navegar desde o início da viagem.

Contudo, a Convenção sobre Abalroamento de 1910 e o princípio da responsabilidade baseada na culpa complicam o processo de ressarcimento. Se uma embarcação for sequestrada remotamente, poderá o proprietário invocar a defesa de pilotagem obrigatória ou de força maior? A jurisprudência do caso Plataformas Petrolíferas (Irão c. Estados Unidos) sugere que a necessidade de um nexo causal entre o ato e o dano é primordial. Se o armador conseguir demonstrar que o ciberataque apresentava um grau de sofisticação tal que nenhum padrão razoável de cuidado o poderia ter evitado, a responsabilidade poderá ser atenuada. Isto cria um padrão de cuidado mutável que evolui com o estado da arte tecnológico, impondo um ónus contínuo aos operadores marítimos no sentido de se manterem à frente da curva das ameaças digitais.

"A vulnerabilidade digital de um navio deixou de ser uma preocupação técnica periférica para se tornar um elemento central do estatuto jurídico da embarcação. Um navio incapaz de defender o seu perímetro digital é um navio que, em termos legais, pode ser considerado inapto para navegar e um perigo para a comunidade internacional."

Operações Cibernéticas e o Limiar do Uso da Força

Uma questão crítica consiste em determinar quando uma operação cibernética contra infraestruturas marítimas ultrapassa o limiar de um ataque armado, acionando o direito de legítima defesa ao abrigo do artigo 51.º da Carta das Nações Unidas. O Manual de Tallinn 2.0, embora não vinculativo, reflete um consenso emergente segundo o qual uma operação cibernética constitui uso da força se a sua escala e os seus efeitos forem comparáveis aos de uma operação não cibernética que seria classificada como uso da força. Por exemplo, se um ciberataque ao sistema automatizado de gruas de um porto provocar o seu colapso, resultando em perda significativa de vidas humanas e destruição física, a distinção jurídica entre um míssil e uma linha de código torna-se irrelevante. No entanto, a maioria dos incidentes cibernéticos marítimos — como violações de dados ou interrupções temporárias de serviços — situa-se abaixo deste limiar, deixando uma lacuna significativa no quadro jurídico relativo à escalada e à dissuasão.

Conclusão

A integração da cibersegurança ao direito marítimo exige mais do que a mera adaptação das convenções existentes; demanda uma reavaliação fundamental da relação entre soberania, tecnologia e alto-mar. Embora a CNUDM permaneça o principal instrumento de governança marítima, seu silêncio quanto às ameaças digitais impõe uma abordagem interpretativa proativa por parte de órgãos como o Tribunal Internacional do Direito do Mar (TIDM). A evolução do direito deve caminhar para um padrão unificado de diligência digital, no qual tanto os Estados de bandeira quanto os Estados costeiros sejam submetidos a um rigoroso nível de higiene cibernética. À medida que se aproxima o horizonte do navio autônomo, a comunidade jurídica deve assegurar que o Estado de Direito não seja submerso pela maré crescente da insegurança digital.