Resumo

  • A página de reporte do Australian Cyber Security Centre manda o crime cibernético para a polícia, os incidentes e vulnerabilidades para o ASD's ACSC e o pagamento de resgate ou de extorsão cibernética para o Department of Home Affairs, sob a section 27 do Cyber Security Act 2024.
  • A proteção mostrada ao informante na mesma página é apenas o título "How ASD protects your privacy: limited use obligation"; no texto capturado em 13 de novembro de 2026 não constam prazo, penalidade nem perímetro dessa obrigação.

A porta de entrada pública para relatar um incidente na Austrália não pergunta primeiro o que aconteceu. Pergunta a qual das categorias o episódio pertence. A resposta muda o destinatário.

Lida como instrumento, e não como formulário, a página de reporte do Australian Cyber Security Centre expõe a lógica sem rodeios. Crime cibernético vai para a polícia. Incidentes de segurança cibernética e vulnerabilidades vão para o ASD's ACSC. Pagamentos de resgate ou de extorsão cibernética vão para o Department of Home Affairs. Esse encaminhamento é o que a página do próprio centro apresenta; registro aqui o que foi capturado em 13 de novembro de 2026 como trecho reportado pelo provedor de busca, e não como arquivo integral da página.

O corredor do pagamento vem com uma citação legal. Vale ler devagar:

Report a ransomware or cyber extortion payment to the Department of Home Affairs. Under section 27 of the Cyber Security Act 2024, a reporting business entity has an obligation to report to the Government if you have made or are aware another entity has made on your behalf, a ransomware or cyber extortion payment.

O gatilho não é apenas o dinheiro que a própria empresa pagou. Também alcança quem sabe que outra entidade pagou em seu nome. Uma organização que não enviou um centavo ao extorsionário pode estar dentro da obrigação porque a seguradora, o consultor, o provedor de serviços gerenciados ou a controladora quitou a exigência. A frase sobe a hierarquia e chega ao departamento que descobre as coisas por último e as registra pior.

O trabalho de definição fica com a expressão "reporting business entity", que a página não define. O destinatário aparece como "the Government", e a página indica o Department of Home Affairs como corredor. Nenhuma das duas escolhas é acidental: é ali que se decide se a sua empresa está dentro da obrigação e em mãos de quem o registro fica.

Agora o outro lado da troca. Na mesma página, dentro da mesma estrutura, a proteção que se pede ao informante que confie aparece como título. "How ASD protects your privacy: limited use obligation".

Um título é uma classificação, não um perímetro. Perímetro responde a quatro perguntas. Que material está coberto: o relato do incidente, o relato do pagamento, os anexos, os nomes dos responsáveis, a cronologia forense. Que usos são permitidos. Que usos são excluídos: compartilhamento com outro regulador, incorporação a um processo de execução, publicação. Por quanto tempo o material fica retido e quem, fora da lista, pode autorizar um uso.

O texto capturado não traz nenhuma dessas respostas. É uma constatação limitada sobre duas páginas em 13 de novembro de 2026, e para aí. Não estar no material lido não significa não existir em lugar nenhum.

Nas páginas do centro capturadas em 13 de novembro de 2026 (página de reporte e página report-and-recover), não constam prazo para o relato da section 27, penalidade por não relatar, definição de reporting business entity nem o perímetro da limited use obligation. O texto sancionado do Cyber Security Act 2024 não faz parte do material consultado para esta análise, e nada aqui caracteriza a lei além da única citação que a página imprime. O silêncio de uma página de orientação não é o silêncio de um estatuto, e a leitura honesta do título é que a discussão ainda não foi encerrada.

A distinção importa porque define quem está sendo tranquilizado. Quando um incidente acontece, o público liga para o ASD's ACSC. A obrigação de pagamento é endereçada, via Government, ao Department of Home Affairs. Uma página, dois destinos, duas autoridades. O conselho de administração que lê isso como uma portaria única projeta um registro único, uma proteção única e um responsável único. O que existe é uma superfície com três corredores, e a responsabilidade precisa ser construída sobre todos eles.

O que um informante deve obter por escrito antes de entregar material do outro lado da parede é curto e sem glamour: a citação legal, e os termos operacionais em vez do resumo. Se a empresa é uma reporting business entity, e com base em quê. O prazo, e o instante em que ele começa a correr. A penalidade, e se é criminal ou administrativa. Sobre a proteção: usos permitidos, usos excluídos, regra de retenção e o cargo que pode abrir mais uma porta.

Pedir isso transforma o título em promessa com dono. Aceitar o título sem isso deixa o perímetro para ser definido depois, por quem estiver com o documento na mão.

O Australian Cyber Security Centre já tem um artigo anterior associado no diretório da BTW. Esta análise não caracteriza o conteúdo daquele artigo: as buscas desta apuração não o localizaram. O delta aqui está no objeto do olhar. Não é um perfil do centro, e sim a página de recebimento lida como ferramenta que decide onde a pior noite de uma empresa é arquivada.

A página do centro faz seu trabalho: diz qual porta empurrar. O que acontece com o que você carrega para dentro dela ainda não está dito. Até que responsável, regra de retenção e lista de exceções apareçam ao lado desse título, a organização que reporta assume o incidente e a incerteza no mesmo pacote.