La administración estadounidense anunció por primera vez que permitirá a empresas privadas auditadas participar en operaciones cibernéticas ofensivas contra bandas criminales y piratas informáticos internacionales, en virtud de un nuevo memorando presidencial. El memorando afirma que el objetivo es aprovechar las capacidades del sector privado para hacer frente a amenazas dirigidas contra los estadounidenses, entre ellas los ataques de ransomware, el fraude financiero y la extorsión sexual.
La política no constituye una autorización general para que las empresas lancen ataques por iniciativa propia, ya que el memorando establece que las operaciones se llevarán a cabo exclusivamente bajo la supervisión del gobierno federal y después de obtener la aprobación de representantes del Departamento de Justicia y del Departamento de Seguridad Nacional. El gobierno tampoco ha resuelto aún los detalles operativos del programa, y se espera que las directrices de participación se publiquen durante los próximos dos meses.
Facultades ofensivas con controles financieros y legales
El nuevo marco permite a las empresas participantes llevar a cabo operaciones de vigilancia, como el uso de programas espía para recopilar información, además de ataques disruptivos destinados a destruir los datos o los sistemas de los delincuentes. A cambio, las empresas estarán obligadas a depositar un millón de dólares en una cuenta de garantía, que podrán perder si el gobierno concluye que no cumplieron las normas que regulan estas operaciones.
El gobierno establecerá procedimientos para impedir que se ataque a estadounidenses o a sistemas ubicados dentro de Estados Unidos. Asimismo, las empresas deberán informar al gobierno si detectan un ciberataque inminente contra infraestructura estadounidense crítica, como las redes eléctricas o las instalaciones de agua. Las directrices previstas abarcarán a empresas de todos los tamaños, incluidas las pequeñas empresas, que podrían estar mejor preparadas para llevar a cabo operaciones especializadas.
Un cambio respecto de la política estadounidense anterior
La decisión representa un cambio significativo respecto de la posición estadounidense mantenida durante sucesivas administraciones, que permitía al sector privado defenderse de los ataques entrantes, pero le prohibía lanzar ataques o ejecutar operaciones disruptivas. Las empresas privadas están sujetas a las mismas leyes federales que prohíben llevar a cabo ciberataques sin la debida autorización judicial.
Sin embargo, el memorando no llega a permitir que las empresas ejecuten de forma independiente operaciones de «hack back» contra cualquier entidad que las amenace. La Casa Blanca tampoco aclaró si alguna empresa privada se ha incorporado ya al programa, y remitió las preguntas de TechCrunch a una hoja informativa emitida por ella.
Preocupación por las repercusiones internacionales
Los críticos consideran que la participación de empresas privadas en operaciones gubernamentales podría abrir la puerta a disputas legales y diplomáticas, especialmente si un gobierno extranjero afirma que una empresa estadounidense lanzó un ataque contra su territorio o sus sistemas. La política podría enfrentar impugnaciones legales y oposición de sectores que durante mucho tiempo han rechazado la participación del sector privado en operaciones de intrusión gubernamentales.
Jake Williams, vicepresidente de investigación y desarrollo de la empresa de ciberseguridad Hunter Strategy, afirmó que la política podría exponer a trabajadores estadounidenses de empresas de ciberseguridad al riesgo de ser acusados o detenidos fuera del país. Añadió que esos empleados podrían ser clasificados como «combatientes irregulares» mientras viajan, incluso si no se demuestra su participación en las operaciones. Williams describió la política como «inmadura» y expresó sus dudas sobre la posibilidad de impedir su uso indebido.
Contexto de amenazas crecientes
El memorando llega mientras la administración afirma que Estados Unidos enfrenta una amenaza creciente, y en un contexto de ataques contra infraestructuras hídricas en varios estados que, según evaluaciones de inteligencia comunicadas a autoridades locales, fueron atribuidos a piratas informáticos respaldados por el gobierno iraní. El informe también señaló ataques que interrumpieron el funcionamiento de empresas e infraestructuras estadounidenses, al mismo tiempo que aumentaban las amenazas cibernéticas respaldadas por programas de inteligencia artificial autónomos.