La Casa Blanca autoriza a empresas privadas a realizar operaciones cibernéticas ofensivas contra bandas criminales

El presidente Trump firmó el 12 de agosto un memorando presidencial de seguridad nacional que autoriza a empresas privadas estadounidenses verificadas a realizar operaciones cibernéticas ofensivas contra organizaciones criminales transnacionales extranjeras, según informes de The Guardian, The Record y múltiples medios de ciberseguridad. La medida revierte décadas de política estadounidense que generalmente prohibía a las entidades privadas “hackear de vuelta” contra atacantes, citando riesgos de escalada y complicaciones legales.

Cómo funciona el programa

El memorando ordena al National Coordination Center (NCC) crear un programa formal que autorice a las empresas participantes a realizar dos categorías de actividad: “operaciones de vigilancia cibernética” para recopilación de inteligencia, y “operaciones de efectos cibernéticos” más agresivas que pueden manipular, interrumpir, degradar o destruir infraestructura digital perteneciente a los grupos criminales objetivo. Cada operación requiere aprobación previa por escrito de funcionarios del Departamento de Justicia y el Departamento de Seguridad Nacional, que supervisan conjuntamente el programa.

La participación no está abierta a cualquier firma de seguridad que quiera unirse. Las empresas deben pasar controles técnicos, de personal y de seguridad, firmar acuerdos contractuales con el DOJ o el DHS, y mantener una fianza o depósito en garantía de al menos 1 millón de dólares. Si la operación de una empresa afecta accidentalmente a una persona o sistema estadounidense, debe detenerse de inmediato y notificar al NCC — un disyuntor incorporado destinado a limitar el daño colateral de la actividad ofensiva autorizada.

Qué está prohibido

La política traza una línea firme alrededor de lo que llama “Resultados Críticos”: acciones que podrían causar muerte o lesiones graves, o que calificarían como uso de la fuerza o ataque armado bajo el derecho internacional. Esas no pueden autorizarse a través del proceso de aprobación estándar del programa, sin importar el objetivo. El enfoque declarado son las organizaciones criminales transnacionales que dirigen campañas de ransomware, esquemas de fraude financiero y otros delitos habilitados por lo cibernético contra intereses estadounidenses — no el espionaje vinculado a estados o rivales geopolíticos, al menos según está delimitada actualmente la política.

Por qué esto es un cambio significativo

La política de ciberseguridad en EE. UU. históricamente ha tratado la actividad ofensiva de “hackeo de vuelta” por actores privados como legalmente riesgosa y diplomáticamente peligrosa — un ataque enrutado a través de infraestructura en un tercer país podría parecer un acto de guerra sin importar el objetivo o la intención real del atacante. Formalizar una capacidad ofensiva del sector privado verificada y supervisada por el gobierno es el intento de la Casa Blanca de resolver ese dilema: mantener la autoridad legal y el control de escalada en el DOJ y el DHS mientras aprovecha las capacidades técnicas de empresas privadas contra una categoría de amenaza — bandas de ransomware y redes de cibercrimen — que ha crecido más rápido que la capacidad gubernamental para contrarrestarla.

El National Coordination Center tiene 60 días desde la firma del memorando para publicar procedimientos operativos detallados, lo que significa que el alcance práctico del programa, el nivel de verificación y los primeros participantes probablemente no serán de conocimiento público durante varias semanas más. Se espera que investigadores de seguridad y grupos de libertades civiles escudriñen esos procedimientos de cerca, dado el historial de propuestas de “hackeo de vuelta” que han generado preocupaciones sobre la rendición de cuentas cuando se otorga a empresas privadas una autoridad normalmente reservada para agencias de inteligencia y de aplicación de la ley.