EE.UU. incorpora al sector privado en operaciones cibernéticas ofensivas: ¿una nueva era o una zona de riesgo?
La administración estadounidense ha dado un paso radical en el ámbito de la ciberseguridad, autorizando oficialmente a empresas privadas certificadas a participar en operaciones ofensivas contra grupos cibercriminales transnacionales. El memorando correspondiente, firmado por el presidente el 12 de agosto, marca una transición de la cooperación pasiva a acciones activas bajo el auspicio del Estado.
No se trata simplemente de recopilar inteligencia. Según el nuevo documento, los contratistas obtienen el derecho a un «impacto directo» sobre los sistemas informáticos de los atacantes, desde el bloqueo y la interrupción de su funcionamiento hasta la destrucción total de equipos y datos. El objetivo principal es combatir los programas de rescate (ransomware), los fraudes financieros y otros delitos digitales que se originan en el extranjero.
Mecánica y control
El punto clave es una estricta vertical de mando. Las operaciones serán dirigidas por el Centro Nacional de Coordinación dependiente del Departamento de Seguridad Nacional, y la supervisión estará a cargo del Departamento de Justicia. Las empresas privadas no podrán actuar a su discreción: el gobierno les determinará los objetivos, y la selección independiente estará estrictamente prohibida.
El acceso al programa es un procedimiento no apto para los débiles de corazón. Además de una competencia técnica y experiencia confirmadas, el contratista deberá depositar una fianza o colocar en una cuenta de depósito en garantía al menos $1 millón. Estos fondos podrán ser confiscados en caso de violación de los términos del contrato. También es importante la limitación en cuanto a los objetivos: los ataques solo están permitidos contra estructuras criminales extranjeras que no formen parte ni sean un instrumento directo de ningún Estado.
La preparación para este giro venía gestándose desde hace tiempo. Ya en marzo, un decreto presidencial ordenó desarrollar un plan para contrarrestar los centros de estafa extranjeros, y desde entonces se estaba sentando la idea de involucrar al sector privado. Ahora esa idea ha adquirido contornos legales concretos en forma de un programa separado.
Precedentes y primeros resultados
Es importante entender que la cooperación entre las autoridades y los gigantes tecnológicos no es nueva. Basta recordar la operación de mayo Scam Center Strike Force, en la que participaron Apple, Coinbase, Google, Meta, Microsoft y SpaceX. En aquella ocasión, utilizando los datos de las autoridades sobre redes fraudulentas en el Sudeste Asiático, las empresas bloquearon más de 1,4 millones de cuentas, desactivaron servidores y congelaron más de $3,8 millones en criptomonedas. En Tailandia, como resultado de la operación, siete sospechosos fueron detenidos.
Sin embargo, las acciones previas de las empresas se limitaban al ámbito de sus propias plataformas. El nuevo memorando elimina estas restricciones, elevando la cooperación a un nivel fundamentalmente distinto: el nivel de ataques directos.
Aquí radica el principal escollo. Atraer al sector privado a acciones ofensivas es un arma de doble filo. Existen serios riesgos de agresión de represalia por parte de los hackers, la probabilidad de daños colaterales a inocentes y las inevitables dificultades de coordinación entre múltiples agencias y empresas. Esto no es solo un desafío técnico, sino un campo minado legal y ético.
Mi opinión: Este paso es un reconocimiento del hecho de que el Estado, por sí solo, ya no es capaz de combatir eficazmente la ciberdelincuencia transnacional, especialmente considerando los daños que, según estimaciones de la ONU, alcanzaron los $114 mil millones solo en la región de Asia-Pacífico. Pero transferir capacidades ciberofensivas a manos de contratistas privados crea un peligroso precedente. La cuestión no es si podrán hacerlo técnicamente, sino quién y cómo asumirá la responsabilidad por los inevitables «efectos secundarios» en la red global.