Estados Unidos habilita a empresas privadas a lanzar ciberataques bajo supervisión del Gobierno
Una nueva directiva firmada por Donald Trump permitirá que compañías estadounidenses seleccionadas participen en operaciones cibernéticas ofensivas contra organizaciones criminales extranjeras
La medida rompe con décadas de cautela frente al “hack back” privado y abre interrogantes sobre atribución, daños colaterales y escalada internacional.
Durante décadas, en Estados Unidos existió una frontera relativamente clara: las empresas podían defender sus redes, investigar incidentes y colaborar con las autoridades, pero atacar los sistemas del adversario era terreno reservado fundamentalmente al Estado.
Esa frontera acaba de moverse.
El presidente Donald Trump firmó un memorando de seguridad nacional que crea un marco para que compañías privadas previamente seleccionadas participen en operaciones cibernéticas ofensivas contra organizaciones criminales transnacionales que operan desde el extranjero. No se trata de una autorización general para que cualquier empresa víctima de ransomware pueda contraatacar por su cuenta. Las operaciones deberán realizarse bajo dirección, control y autoridad del Gobierno estadounidense.
El cambio, sin embargo, es considerable: Estados Unidos está institucionalizando un modelo en el que capacidades ofensivas que tradicionalmente pertenecían a agencias gubernamentales podrán ser ejecutadas también por actores privados.
De defender la red a atacar al adversario
La nueva política apunta especialmente contra organizaciones involucradas en ransomware, fraude financiero y otras modalidades de ciberdelito transnacional.
El Departamento de Seguridad Nacional (DHS), a través del centro de coordinación de las Homeland Security Task Forces, deberá crear un programa específico para seleccionar empresas y coordinar las operaciones. El Departamento de Justicia también tendrá funciones de supervisión.
Las compañías participantes podrán realizar dos grandes categorías de actividades: operaciones de vigilancia cibernética y operaciones de efectos cibernéticos.
La segunda categoría es la que marca la diferencia.
Según la definición recogida en el memorando, estas operaciones pueden incluir la manipulación, interrupción, denegación, degradación o destrucción de sistemas de información, redes e incluso infraestructura física o virtual controlada mediante sistemas informáticos.
Es decir, no estamos hablando solamente de recopilar inteligencia sobre un grupo de ransomware.
Una operación podría potencialmente infiltrarse en la infraestructura utilizada por los atacantes, inutilizar servidores, destruir información o impedir que determinados sistemas continúen funcionando.
La política estadounidense pasa así de una lógica estrictamente defensiva a otra mucho más cercana a la disrupción activa del adversario.
No será un “hack back” libre
La diferencia es importante porque el concepto de hack back lleva años generando controversia.
La idea parece sencilla: si alguien ataca a una empresa, ¿por qué esa empresa no podría identificar al atacante y devolver el golpe?
El problema es que Internet rara vez funciona de manera tan limpia.
Los ciberdelincuentes utilizan servidores comprometidos, servicios legítimos, dispositivos pertenecientes a terceros, infraestructura alquilada y múltiples capas de intermediarios. Atacar una máquina desde la que parece provenir una operación maliciosa no significa necesariamente estar atacando al verdadero responsable.
La nueva iniciativa intenta evitar ese escenario estableciendo que las empresas privadas solo podrán actuar sobre objetivos específicamente autorizados y bajo supervisión federal. Las compañías deberán cumplir requisitos técnicos y de seguridad y mantener además una garantía o depósito de al menos un millón de dólares como mecanismo de responsabilidad.
Por lo tanto, una empresa estadounidense que sufra ransomware no obtiene automáticamente permiso para perseguir a sus atacantes.
Lo que aparece es algo diferente: un ecosistema de compañías privadas autorizadas para ejecutar determinadas operaciones ofensivas en nombre del Estado.
El problema que ninguna autorización puede eliminar: la atribución
Incluso bajo supervisión gubernamental permanece uno de los problemas fundamentales de cualquier operación cibernética ofensiva: saber con suficiente certeza quién está realmente detrás de una infraestructura.
Un servidor utilizado por una organización criminal puede estar comprometido sin conocimiento de su propietario. Una operación de ransomware puede utilizar infraestructura distribuida entre varios países. Y determinados grupos criminales pueden mantener relaciones ambiguas con servicios de inteligencia o gobiernos extranjeros.
Esa última posibilidad resulta especialmente delicada.
La nueva política está orientada contra organizaciones criminales extranjeras, no contra Estados. Pero separar ambos mundos no siempre es sencillo.
Un grupo aparentemente independiente puede actuar desde un territorio donde las autoridades lo toleran, colaborar ocasionalmente con organismos estatales o funcionar como intermediario de operaciones de inteligencia.
Un error de atribución podría convertir una operación contra ciberdelincuentes en un incidente diplomático.
Y un ataque técnicamente exitoso podría generar consecuencias inesperadas si la infraestructura afectada presta también servicios legítimos.
Expertos citados por distintos medios han señalado precisamente estos riesgos: escalada, responsabilidad jurídica, daños involuntarios y dificultades de coordinación entre organizaciones involucradas.
De contratistas de defensa a “corsarios digitales”
La medida también introduce una transformación interesante en la relación entre Estados y empresas tecnológicas.
Los gobiernos llevan décadas contratando empresas privadas para desarrollar armamento, sistemas de inteligencia, infraestructura militar y herramientas de ciberseguridad. La industria de defensa siempre ha tenido un componente privado enorme.
Pero desarrollar una capacidad ofensiva no es exactamente lo mismo que ejecutar el ataque.
La nueva política acerca ambos mundos.
Empresas especializadas podrían aportar infraestructura, investigadores, herramientas de explotación, inteligencia sobre amenazas y capacidades operativas directamente dentro de campañas gubernamentales.
La analogía histórica inevitable es la del corsario.
Durante siglos, algunos Estados entregaban autorizaciones a embarcaciones privadas para atacar barcos enemigos. No eran exactamente parte de la marina estatal, pero tampoco simples piratas: actuaban bajo autorización política y dentro de determinados límites.
El paralelismo no es perfecto, pero ayuda a entender el cambio conceptual.
En el siglo XXI, el barco puede ser una empresa tecnológica. La ruta comercial es Internet. Y el objetivo ya no es capturar un cargamento, sino comprometer la infraestructura digital del adversario.
Una privatización parcial del poder cibernético
La administración Trump presenta el programa como una forma de aprovechar capacidades que ya existen en el sector privado.
El argumento tiene una base concreta: algunas compañías de ciberseguridad poseen telemetría global, equipos de inteligencia, investigadores y conocimiento técnico extraordinariamente sofisticados. En determinados ámbitos, su visibilidad sobre el ecosistema digital puede incluso superar la de muchas agencias gubernamentales.
Incorporar esas capacidades podría aumentar considerablemente la velocidad con la que Estados Unidos identifica y desmantela infraestructura criminal.
Pero también aparece una pregunta más profunda.
¿Qué ocurre cuando la capacidad de ejercer fuerza en el ciberespacio empieza a distribuirse entre actores privados?
La cuestión supera a Estados Unidos.
Si el modelo demuestra ser eficaz, otros países podrían adoptar mecanismos similares. Empresas privadas podrían terminar participando en operaciones ofensivas patrocinadas por distintos Estados, cada una operando bajo marcos jurídicos nacionales diferentes sobre una infraestructura —Internet— que no respeta esas fronteras.
La consecuencia podría ser un ecosistema mucho más difícil de interpretar: agencias de inteligencia, fuerzas militares, grupos criminales, hacktivistas y compañías privadas operando simultáneamente sobre las mismas redes.
El ciberespacio entra en una nueva etapa
Durante años, la discusión sobre operaciones ofensivas giró alrededor de qué podían hacer los Estados frente a adversarios que aprovechaban la velocidad y el anonimato relativo de Internet.
La decisión estadounidense introduce una variable adicional: quién puede ejercer ese poder.
Por ahora, el programa establece controles gubernamentales, selección previa de empresas y operaciones limitadas contra objetivos específicos. No es una legalización general del contraataque privado.
Pero el precedente es importante.
Estados Unidos acaba de reconocer formalmente que determinadas empresas pueden dejar de ser solamente proveedoras o víctimas dentro del conflicto digital y convertirse también en operadores activos con capacidad de producir efectos sobre sistemas extranjeros.
La línea entre ciberseguridad privada, aplicación de la ley y operaciones ofensivas estatales acaba de volverse bastante más difusa.
Y si otros países siguen el mismo camino, el próximo gran cambio en la geopolítica digital quizá no sea una nueva vulnerabilidad ni una inteligencia artificial más poderosa.
Puede ser algo mucho más estructural: la aparición de un mercado privado autorizado para ejercer poder ofensivo en Internet.