El gobierno de Estados Unidos habilitará a empresas privadas a lanzar ciberataques contra grupos criminales
Un programa federal permitirá vigilar, manipular y desactivar infraestructura digital utilizada para fraudes, estafas y ataques de ransomware.
Estados Unidos habilitará a empresas privadas previamente seleccionadas a participar en operaciones cibernéticas ofensivas contra organizaciones criminales extranjeras.
La decisión surge de un memorando presidencial firmado por el presidente Donald Trump, en el cual presentó un programa de respuesta a redes de ciberdelincuentes radicadas fuera de su país que realizan ataques de ransomware, campañas de phishing, fraudes financieros, extorsión sexual y estafas de suplantación contra ciudadanos y organizaciones estadounidenses.
El alcance económico de estos delitos ayuda a explicar la decisión. El centro de denuncias del FBI recibió más de un millón de reportes por presuntos delitos informáticos durante 2025 y registró pérdidas informadas por casi 21.000 millones de dólares.
La medida, que modifica la frontera tradicional que mantenía la defensa digital privada dentro de las redes propias y reservaba las acciones ofensivas al gobierno, no autoriza a cualquier compañía a responder por su cuenta cuando sufra un ataque.
El memorando, en cambio, anuncia que se creará un grupo de proveedores contratados que actuará por encargo del gobierno federal, con objetivos definidos y una aprobación escrita antes de cada intervención.
Qué podrán hacer las empresas durante los ciberataques
El documento de la Casa Blanca contempla dos clases de intervenciones. Las operaciones de vigilancia permitirán ingresar sin permiso en los sistemas de una organización investigada y permanecer ocultos para obtener información de inteligencia. Ese material podrá servir para preparar una acción posterior.
Las llamadas operaciones de efectos tendrán un alcance mayor: podrán manipular, interrumpir, bloquear, degradar o destruir datos, redes e infraestructura controlada mediante sistemas informáticos. En términos concretos, una empresa contratada podría inutilizar servidores empleados para una estafa, interrumpir una plataforma delictiva o borrar información utilizada por una banda.
Los blancos deberán ser organizaciones criminales extranjeras que cometan delitos informáticos contra el gobierno, personas o intereses de Estados Unidos. La definición excluye a los grupos que formen parte de otro Estado o se encuentren completamente dirigidos por un gobierno extranjero cuando exista inteligencia clara que demuestre ese vínculo.
Esa distinción puede resultar compleja en las redes que combinan actividad criminal con apoyo estatal. El memorando incluye un anexo clasificado sobre la selección de objetivos, por lo que una parte de los criterios operativos permanecerá fuera del alcance público.
Quién autorizará los ataques y cómo se realizarán
El Centro Nacional de Coordinación (NCC, por sus siglas en inglés) administrará el programa mediante dos codirectores: uno designado por el Departamento de Justicia y otro por el Departamento de Seguridad Nacional. Ambos deberán coordinarse y revisar cada propuesta antes de que una compañía pueda actuar.
El circuito previsto funcionará de la siguiente manera:
- Organismos públicos o entidades privadas compartirán información sobre una amenaza.
- Una empresa admitida en el programa podrá presentar una operación al Centro Nacional de Coordinación.
- Los codirectores revisarán el objetivo, el método y los riesgos, y deberán emitir una aprobación escrita.
- La compañía ejecutará la acción en nombre del gobierno estadounidense y bajo supervisión federal.
- El participante informará los resultados y comunicará de inmediato cualquier desvío respecto del plan autorizado.
Las empresas deberán firmar un contrato con el Departamento de Justicia o Seguridad Nacional y superar una evaluación de capacidad técnica, experiencia, seguridad de sus instalaciones y confiabilidad del personal. El programa admitirá compañías grandes y firmas pequeñas especializadas en tareas puntuales.
Los controles para evitar daños a sistemas ajenos
Si una empresa alcanza por error a una persona estadounidense, un sistema alojado en Estados Unidos o una infraestructura controlada por un ciudadano del país, tendrá que detener la actividad, reducir el impacto y notificar de inmediato al Centro Nacional de Coordinación y al Departamento de Justicia.
Los codirectores tampoco podrán aprobar acciones que previsiblemente puedan causar muertes, lesiones graves o consecuencias consideradas como uso de la fuerza o ataque armado según el derecho internacional. También deberán recibir una alerta cuando una compañía detecte un ataque inminente contra infraestructura crítica estadounidense.
Estas condiciones muestran que la medida no equivale a una licencia general para devolver un ataque, una práctica conocida como hack back. Las compañías solo podrán actuar dentro de operaciones federales de investigación, protección o inteligencia y deberán respetar la legislación estadounidense y las obligaciones internacionales del país.
Fuente: TN