La Casa Blanca otorga autoridad a empresas de seguridad privada para hackear ciberdelincuentes en el extranjero

En un cambio de política sin precedentes, la Casa Blanca emitió esta semana un memorándum que empodera a empresas de seguridad privada para llevar a cabo ciberataques contra ciberdelincuentes en el extranjero. La directiva, firmada por la Oficina de la Presidencia, marca la primera vez que una administración estadounidense ha sancionado formalmente a actores no gubernamentales para que participen en hackeos ofensivos en territorio extranjero.

El memorándum establece un marco de cooperación entre el Departamento de Seguridad Nacional (DHS) y empresas privadas verificadas, permitiéndoles atacar infraestructuras maliciosas, interrumpir pagos de ransomware y tomar el control de servidores de mando y control. La participación estará sujeta al estricto cumplimiento de un nuevo "Código de Conducta para Ciberataques Ofensivos", que exige proporcionalidad, verificación de atribución y presentación de informes posteriores a la operación al Buró Federal de Investigaciones (FBI).

Si bien la administración presenta este movimiento como una escalada necesaria en la lucha contra sindicatos transnacionales de ransomware, grupos de libertades civiles advierten sobre posibles consecuencias no deseadas. La base legal del memorándum se sustenta en una interpretación ampliada de estatutos existentes de ciberdefensa, pero evita la autoridad explícita otorgada por la Ley de Fraude y Abuso Informático (CFAA), que tradicionalmente limita las acciones ofensivas a entidades gubernamentales. Los críticos argumentan que difuminar la línea entre operaciones cibernéticas públicas y privadas podría socavar el debido proceso e invitar a ataques de represalia contra infraestructuras estadounidenses.

Desde un punto de vista técnico, la participación de empresas privadas podría acelerar los tiempos de respuesta. Las compañías especializadas en la caza de amenazas poseen un profundo conocimiento en análisis de malware y capacidades ágiles de mando y control que a menudo carecen las agencias gubernamentales. Sin embargo, el riesgo de daños colaterales —como la interrupción accidental de redes civiles o la escalada de conflictos a nivel estatal— sigue siendo significativo. El requisito del memorándum de "fuerza mínima necesaria" es vago, y los mecanismos de supervisión parecen limitados a auditorías internas en lugar de revisiones independientes por parte del Congreso.

La política también plantea interrogantes sobre el cumplimiento del derecho internacional. Las operaciones cibernéticas ofensivas podrían violar el principio de soberanía bajo la Carta de las Naciones Unidas si no se coordinan con las naciones afectadas. El memorándum no aborda la coordinación con servicios de inteligencia aliados, lo que podría fracturar el tejido colaborativo que sustenta la mitigación del cibercrimen a nivel global.

A medida que Estados Unidos navega esta nueva frontera, se pondrá a prueba el equilibrio entre la neutralización rápida de amenazas y la preservación de normas legales. Los actores involucrados —desde equipos de seguridad corporativa hasta legisladores— deberán enfrentar los imperativos duales de proteger infraestructuras críticas y salvaguardar el Estado de derecho en el ciberespacio.

Foto: GuerrillaBuzz / Unsplash (https://unsplash.com/@guerrillabuzz)