La administración Trump puso en marcha un inédito programa que autoriza por primera vez a empresas privadas de ciberseguridad a lanzar ciberataques ofensivos contra bandas criminales internacionales, siempre bajo supervisión federal. El anuncio quedó plasmado en un memorando presidencial publicado el miércoles por la Casa Blanca, que establece el marco regulatorio para una cooperación sin precedentes entre el gobierno de Estados Unidos y compañías del sector privado en operaciones de hacking ofensivo.
La nueva política representa un cambio sísmico respecto a la postura mantenida por sucesivas administraciones estadounidenses. Hasta ahora, las leyes federales de intrusión informática prohibían de forma general que empresas privadas lanzaran ciberataques o realizaran operaciones de disrupción sin autorización judicial. Bajo el esquema actual, el sector privado podía defenderse de ataques cibernéticos, pero no iniciarlos. El memorando rompe esa barrera al considerar a las empresas como una fuerza "subutilizada" en la lucha contra redes criminales.
Según el documento, las compañías seleccionadas podrán llevar a cabo tareas de vigilancia, incluido el uso de programas espía para recopilar inteligencia, así como ataques disruptivos orientados a destruir los datos o sistemas de los grupos criminales. El Departamento de Justicia y el Departamento de Seguridad Nacional supervisarán las operaciones, y cualquier acción requerirá la aprobación de representantes de ambas agencias antes de su ejecución. Las empresas participantes deberán demostrar "competencia técnica, rendimiento probado en operaciones cibernéticas y seguridad de instalaciones", entre otros requisitos, y depositar un millón de dólares en garantía que perderán si incumplen las reglas.
El programa se dirige específicamente a combatir amenazas como ataques de ransomware, estafas financieras y sextorsión que afectan a estadounidenses. No obstante, el memorando prohíbe expresamente que las operaciones tengan como objetivo a grupos que sean parte institucional de un gobierno extranjero o que operen bajo sus órdenes directas. El gobierno federal publicará en los próximos dos meses una guía con los requisitos detallados para las empresas interesadas, que podrían incluir firmas de menor tamaño especializadas en operaciones puntuales.
La medida ha generado un intenso debate entre expertos. Jason Healey, investigador senior en conflicto cibernético de la Universidad de Columbia, advirtió a Cybersecurity Dive que "cualquier persona que realice estas operaciones lo hace bajo un riesgo legal personal sustancial". Jake Williams, vicepresidente de investigación y desarrollo de Hunter Strategy, alertó que "los estadounidenses que participen en estas operaciones podrían ser fácilmente clasificados como combatientes no uniformados cuando viajen al extranjero", señalando que las acusaciones no necesitan ser ciertas para que un gobierno extranjero los detenga, del mismo modo que Estados Unidos ha procesado a hackers chinos, iraníes y rusos.
Ben Bernstein, gerente del equipo de asesores de ciberseguridad de Huntress, planteó otra preocupación técnica: "Los actores de amenazas no lanzan ataques desde servidores etiquetados en Moscú; enrutan el tráfico a través de infraestructura inocente comprometida, como un router vulnerable en un consultorio dental de Ohio o una red hospitalaria. Eso hace que prácticamente sea imposible 'contraatacar' sin afectar a transeúntes inocentes".
La dificultad para distinguir qué organizaciones criminales tienen vínculos con gobiernos extranjeros podría arrastrar a las empresas de ciberseguridad a conflictos geopolíticos o legales no deseados, según analistas. El memorando no equivale a una autorización general de "hack back" y establece procedimientos para evitar que las operaciones afecten a estadounidenses o sistemas en territorio nacional. Asimismo, obliga a las compañías participantes a notificar al gobierno si descubren un ataque inminente contra infraestructura crítica estadounidense, como redes eléctricas o sistemas de agua.
La Casa Blanca no respondió a las preguntas de TechCrunch sobre si alguna empresa ya se sumó al programa y se limitó a remitir a la hoja de datos oficial. La política, según expertos citados por ambos medios, probablemente enfrentará desafíos legales y oposición de críticos que durante años han argumentado que el sector privado no debería involucrarse en operaciones de hacking gubernamental.
El cambio se inscribe en una estrategia más amplia de la administración Trump para ampliar el arsenal ofensivo cibernético de Estados Unidos. El año pasado, según informó Bloomberg, el presidente comenzó a planificar la incorporación de empresas privadas de ciberseguridad a estas operaciones, una línea que ahora se concreta en un programa piloto cuya efectividad y riesgos quedarán definidos en los próximos meses, cuando se conozca la regulación específica y se inicien las primeras operaciones supervisadas.