Un memorándum presidencial del 12 de agosto habilita a empresas estadounidenses a ejecutar vigilancia y ataques cibernéticos contra grupos extranjeros, con aprobación caso por caso del gobierno.
La administración Trump emitió el 12 de agosto un memorándum presidencial que autoriza a empresas privadas estadounidenses a conducir operaciones cibernéticas ofensivas contra organizaciones cibercriminales extranjeras, bajo supervisión federal directa. El programa, gestionado por el Centro Nacional de Coordinación, permite dos tipos de acción: vigilancia cibernética — acceso no autorizado a sistemas — y operaciones de efectos cibernéticos, que incluyen interferencia o destrucción de infraestructura. Cada operación propuesta requiere aprobación escrita del gobierno antes de ejecutarse, y las empresas participantes deben contratar formalmente con el Departamento de Justicia o el Departamento de Seguridad Nacional. Los funcionarios tienen 60 días para establecer los procedimientos operativos del programa.
Cómo funciona el modelo de contratación y aprobación operacional
El memorándum establece que toda acción operacional será conducida exclusivamente en nombre del Gobierno Federal y bajo su supervisión. Las empresas admitidas al programa pasan por un proceso de verificación gubernamental y deben formalizar contratos con una de las dos agencias designadas. A diferencia de escenarios de «hack back» independiente — donde una empresa responde por cuenta propia a un ataque —, este esquema centraliza la autorización: ninguna operación puede ejecutarse sin aprobación escrita previa del Centro Nacional de Coordinación para cada caso específico.
Las empresas participantes pueden recibir información de amenazas recolectada por organizaciones del sector privado durante actividades comerciales normales, y usar esos datos para proponer operaciones cibernéticas al Centro. Esto convierte la inteligencia de amenazas empresarial — tradicionalmente usada para defensa — en insumo potencial para acciones ofensivas coordinadas con el gobierno.
El problema del daño colateral en infraestructura compartida y comprometida
Pareekh Jain, CEO de Pareekh Consulting, señaló que evitar daño colateral es extremadamente difícil en este contexto. Los cibercriminales rara vez operan desde infraestructura propia: se ocultan dentro de redes corporativas legítimas, comprometen dispositivos domésticos inteligentes o alquilan servidores en la nube usando tarjetas de crédito robadas. Un objetivo identificado incorrectamente podría pertenecer a una organización inocente o caer bajo jurisdicción de otro país, y una acción disruptiva podría provocar represalias contra la empresa de seguridad que la ejecuta.
El memorándum incluye una salvaguarda: las empresas deben detener una operación e informar inmediatamente al Centro Nacional de Coordinación si apuntan inadvertidamente a ciudadanos estadounidenses o sistemas vinculados a EE.UU. Jain indicó que la efectividad de esta medida dependerá de qué tan precisamente puedan identificarse los objetivos y de las reglas operativas que aún no se han desarrollado. Jonathan Ong, analista senior de servicios de seguridad gestionada en Omdia, agregó que el panorama de responsabilidad para las empresas participantes permanece poco claro: el memorándum no otorga inmunidad ni indemnización visible, y las empresas comerciales no cuentan con la protección frente a capacidades de estados-nación que sí tiene una agencia gubernamental.
Qué cambia para los CISO en el uso de telemetría empresarial
Para los responsables de seguridad corporativa, la política podría alterar el propósito final de la inteligencia de amenazas recopilada durante operaciones comerciales normales. Datos provistos por empresas podrían alimentar propuestas de operaciones cibernéticas aprobadas por el gobierno. Neil Shah, vicepresidente de investigación en Counterpoint Research, advirtió que los CISO deberían ser cuidadosos antes de alimentar telemetría en estos programas: la inteligencia de amenazas se usa tradicionalmente para bloquear y defender, pero si en el futuro se emplea bajo este marco para monitoreo, inteligencia y para interrumpir o destruir activamente, sería perjudicial.
Shah también planteó que los CISO querrán garantías de que la información compartida no expone detalles de su propia infraestructura, particularmente donde los sistemas ya puedan haber sido comprometidos por atacantes. El intercambio de datos podría generar preocupaciones de privacidad si involucra seguimiento profundo de clientes. Jain recomendó que los CISO verifiquen si los contratos existentes y las reglas de privacidad permiten compartir información que posteriormente podría usarse para una operación ofensiva. La atribución agrega otra complicación: la infraestructura asociada con un ataque puede haber sido comprometida ella misma, lo que significa que una dirección IP o servidor puede no identificar al atacante real detrás de una intrusión.
Por qué las empresas de ciberseguridad podrían no participar
El caso comercial para la participación sigue siendo incierto. Ong indicó que no ve el incentivo financiero para que una empresa de ciberseguridad de gran capitalización asuma los riesgos. El acceso a infraestructura adversaria podría ofrecer valor de inteligencia, pero esa información no necesariamente se traduce en material utilizable para ingeniería de detección o feeds comerciales de amenazas. Las empresas enfrentarían exposición operacional y legal sin protecciones claras, mientras que el retorno en términos de producto comercializable o ventaja competitiva no está definido.
El modelo también introduce una dependencia de aprobaciones gubernamentales caso por caso, lo que podría ralentizar la capacidad de respuesta que las empresas de seguridad suelen valorar en operaciones defensivas. Sin inmunidad formal ni indemnización, y con la posibilidad de represalias directas de actores extranjeros, el perfil de riesgo para participantes privados es sustancialmente más alto que en actividades tradicionales de inteligencia de amenazas o respuesta a incidentes.
Nuestro análisis
Este memorándum representa un cambio estructural en cómo EE.UU. distribuye capacidades ofensivas cibernéticas: externaliza ejecución operacional a contratistas privados bajo un marco de autorización centralizada. El modelo se asemeja a esquemas de contratación militar, pero aplicado a operaciones cibernéticas donde la atribución es inherentemente ambigua y la infraestructura objetivo frecuentemente compartida o comprometida. La ausencia de inmunidad formal para empresas participantes y la falta de procedimientos operativos definidos — que recién se establecerán en los próximos 60 días — dejan abierta la pregunta de qué empresa asumiría responsabilidad legal y reputacional por errores de atribución o daño colateral en jurisdicciones extranjeras.
Para América Latina, el esquema plantea un precedente que otros gobiernos podrían replicar con marcos regulatorios menos restrictivos. Si empresas de seguridad regionales o filiales de multinacionales operando en México, Brasil o Colombia adoptaran modelos similares bajo autorización de sus respectivos gobiernos — o peor, sin ella —, la superficie de conflicto cibernético entre actores privados y estatales se expandiría sin mecanismos internacionales de arbitraje claros. La dependencia regional de infraestructura en la nube compartida con operaciones estadounidenses también aumenta el riesgo de verse afectado como daño colateral en operaciones dirigidas a cibercriminales que usan servidores alquilados en la misma infraestructura que empresas latinoamericanas legítimas. ¿Qué pasaría si un error de atribución en una operación autorizada por este programa interrumpe servicios críticos en un país tercero sin mecanismo de compensación ni responsabilidad internacional definida?