Estados Unidos prepara un cambio significativo en su enfoque de la lucha contra el delito cibernético. Según un memorando presidencial publicado recientemente, el Gobierno permitirá por primera vez que ciertas ciberataques privados sean ejecutados por compañías privadas evaluadas, con el objetivo de frenar a bandas criminales y hackers internacionales.
La propuesta busca aprovechar “capacidades innovadoras” del sector privado para combatir amenazas que afectan a personas en el país. Entre ellas se mencionan ataques de ransomware, estafas financieras y casos de sextorsión.
Qué cambia con los ciberataques privados
Hasta ahora, la postura del Gobierno estadounidense, bajo leyes federales sobre intrusión informática, era clara: las empresas privadas podían defender frente a ataques entrantes, pero no lanzar ni operar operaciones ofensivas o de interrupción sin autorización judicial.
Este memorando introduce una excepción práctica: autoriza que empresas participantes puedan llevar a cabo acciones ofensivas dentro de un programa gubernamental. Eso incluye actividades de vigilancia —por ejemplo, mediante spyware para recopilar inteligencia— y también ataques con propósito disruptivo, orientados a dañar datos o sistemas asociados a criminales.
El giro representa un cambio profundo respecto a la posición histórica: el Gobierno busca coordinar operaciones que antes estaban fuera del alcance directo del sector privado.
Vigilancia y ataques disruptivos: alcance del programa
El memorando no se limita a “ciberdefensa”. De acuerdo con la información disponible, el programa permite que las empresas participantes realicen operaciones que pueden incluir:
- Recolección de inteligencia mediante herramientas de vigilancia, como spyware.
- Acciones disruptivas destinadas a inutilizar o destruir información/sistemas vinculados a delincuentes.
- Operaciones bajo supervisión federal, con aprobación previa.
Sin embargo, el propio documento marca límites relevantes para evitar que la práctica se convierta en una vía abierta para cualquier tipo de actividad ofensiva.
Cómo se controlará la operación: supervisión y autorizaciones
Una de las piezas centrales del memorando es el mecanismo de control. Cualquier operación requerirá sign-offs (aprobaciones formales) por parte de representantes del Departamento de Justicia y del Departamento de Seguridad Nacional.
Además, se indica que las operaciones deberán ejecutarse exclusivamente bajo la supervisión del Gobierno federal. En otras palabras, no se trata de que las compañías actúen por cuenta propia con libertad total, sino dentro de un marco donde el Estado conserva el control del proceso.
El memorando también establece que las empresas deberán informar al Gobierno si detectan un ciberataque inminente contra infraestructura crítica en EE. UU., como redes eléctricas o proveedores de agua.
Requisitos para entrar: guía en dos meses y reglas sobre objetivos
Aunque la política ya existe en forma de memorando, se encuentra en una etapa temprana. El Gobierno aún no ha definido completamente cómo funcionará el programa en la práctica.
El texto señala que en los próximos dos meses se emitirá una guía con los requisitos que deberán cumplir las compañías interesadas antes de ser admitidas. La guía contemplaría empresas de distintos tamaños, incluyendo organizaciones pequeñas, que podrían estar mejor posicionadas para operaciones especializadas.
Un punto clave es la orientación sobre objetivos: se ordena crear procedimientos para impedir que cualquier operación apunte a estadounidenses o a sistemas basados en EE. UU.
Depósito en garantía de un millón de dólares
El memorando introduce un incentivo y, a la vez, una sanción financiera. Las compañías participantes deben depositar 1 millón de dólares en escrow.
Ese dinero se perdería si el Gobierno determina que la empresa no está cumpliendo con sus reglas sobre cómo llevar a cabo estas operaciones ofensivas. La intención es que haya consecuencias claras ante incumplimientos del marco autorizado.
“Hack back” no está permitido y crecen las críticas
El cambio de política no equivale a autorizar el llamado “hack back”, es decir, una respuesta ofensiva automática o generalizada contra amenazas cibernéticas. El memorando se queda corto en ese punto, lo que sugiere que el Gobierno quiere mantener una línea: operaciones ofensivas sí, pero integradas en un programa y bajo control.
Aun así, la medida enfrenta oposición. Críticos han argumentado durante años que el sector privado no debería participar en operaciones de hacking vinculadas al Gobierno.
Entre los riesgos señalados se encuentran posibles tensiones diplomáticas: si una compañía estadounidense participa en una acción ofensiva, un gobierno extranjero podría alegar que el ataque provino de un actor privado en vez de un Estado, complicando la atribución y la respuesta internacional.
Riesgos para personas: posibles repercusiones en el extranjero
Un veterano del sector de ciberseguridad, Jake Williams, advierte que la medida podría exponer a profesionales estadounidenses que trabajen en empresas privadas a riesgos legales y operativos en otros países.
Williams sostiene que quienes participen en estas operaciones podrían ser tratados como combatientes no uniformados al viajar al extranjero, dependiendo del contexto y de acusaciones que podrían surgir. También indica que ni siquiera sería necesario que las acusaciones sean ciertas: el solo hecho de que la política exista podría dar cobertura para que terceros hagan imputaciones.
Su crítica también menciona que, aunque el documento probablemente incluye información adicional clasificada sobre cómo se eligen objetivos, no convence de que el programa no pueda ser abusado.
Por qué el Gobierno impulsa la medida
El Gobierno no ofreció una explicación extensa para la decisión, más allá de señalar que enfrenta una amenaza “en crecimiento” contra estadounidenses y empresas.
Este movimiento ocurre además en un contexto de desafíos para la ciberseguridad en el ámbito federal. Desde el inicio del segundo periodo de la administración en enero de 2025, se reportan recortes y reestructuraciones, incluyendo despidos de personal de ciberseguridad en el sector público.
Paralelamente, diversas agencias estatales han reportado incidentes en infraestructura sensible. En particular, se informó sobre ataques contra redes de agua en varios estados, con atribuciones privadas hacia hackers respaldados por Irán, aunque no se habrían emitido alertas públicas de seguridad del agua.
La presión del escenario internacional y el papel de la IA
El memorando también llega en un momento en que la competencia y el conflicto cibernético se intensifican. El texto menciona meses de guerra prolongada entre EE. UU. e Israel, con Irán como actor relevante, además de respuestas con misiles e impactos en centros de datos y ataques digitales contra negocios y sistemas críticos.
Por otro lado, los gobiernos enfrentan una ola de ciberataques impulsados por IA, descritos como más autónomos, dirigidos a empresas y organizaciones en distintos países.
Se menciona que laboratorios y organizaciones como Anthropic, OpenAI, Meta y el UK’s AI Safety Institute han reportado casos en los que modelos de IA de frontera rompieron salvaguardas técnicas para ejecutar ataques cibernéticos.
Qué esperar a partir de ahora
Aunque el memorando establece el marco general, el trabajo real está por comenzar. El Gobierno debe publicar la guía de requisitos en los próximos dos meses y definir cómo operará el programa con precisión.
Además, es probable que la política enfrente retos legales y resistencia por parte de sectores que se oponen a que el sector privado participe en operaciones de hacking asociadas al Estado.
En cualquier caso, el paso de EE. UU. hacia ciberataques privados bajo supervisión federal marca un precedente: el debate sobre eficacia, control, legalidad y riesgos internacionales entra en una nueva etapa.
Conclusión
El memorando presidencial de EE. UU. abre la puerta a que empresas privadas evaluadas puedan realizar operaciones cibernéticas ofensivas, combinando vigilancia y acciones disruptivas contra criminales y hackers. La autorización, por ahora, incluye supervisión gubernamental, aprobaciones y restricciones sobre objetivos, además de requisitos financieros como el depósito en escrow.
Sin embargo, el cambio también despierta preocupación: desde posibles implicaciones diplomáticas hasta riesgos para profesionales estadounidenses en el extranjero. Con la guía por venir y las posibles impugnaciones legales, el futuro del programa dependerá de cómo se implemente y de qué límites se consoliden en la práctica.
