La Casa Blanca publicó un memorando presidencial que crea una base jurídica para involucrar a empresas privadas de ciberseguridad en la realización de operaciones ofensivas contra grupos delictivos extranjeros. Las operaciones se llevarán a cabo mediante contratos estatales, bajo la supervisión del Departamento de Justicia y del Departamento de Seguridad Nacional, con la obligación de acordar previamente los objetivos y los métodos de actuación. La iniciativa afecta tanto a la industria estadounidense de ciberseguridad, que recibe una clase de contratos públicos fundamentalmente nueva, como a la comunidad internacional del ciberdelito, contra la cual por primera vez puede dirigirse el recurso del sector privado con sanción oficial del Estado.
Parámetros clave del programa
Según el memorando, la preparación del programa correrá a cargo del National Coordination Center (NCC), y las normas para la ejecución de las operaciones deberán presentarse en un plazo de 60 días. El programa prevé dos tipos de acciones: inteligencia encubierta en la infraestructura de delincuentes extranjeros y las denominadas Cyber Effects Operations, es decir, interferencia en el funcionamiento de los sistemas, interrupción o bloqueo de su operatividad y destrucción de datos e infraestructuras.
De acuerdo con el boletín informativo de la Casa Blanca, los objetivos de las operaciones podrán ser grupos dedicados a:
- extorsión mediante el uso de programas de cifrado (ransomware);
- phishing y fraude financiero;
- esquemas de suplantación de identidad;
- extorsión sexual (sextortion).
Como justificación para la creación del programa se citan las pérdidas de los usuarios estadounidenses por delitos informáticos, que, según la Casa Blanca, superaron los 20,8 mil millones de dólares solo en 2025.
Mecanismos de control y limitaciones
El memorando establece un sistema de restricciones multinivel. Solo podrán participar en el programa las empresas que superen una verificación especial basada en cuatro criterios: capacidades técnicas, experiencia en la realización de ciberoperaciones, seguridad de su propia infraestructura y fiabilidad del personal. El cumplimiento de estos requisitos deberá confirmarse anualmente.
Las garantías financieras incluyen un depósito obligatorio o cuenta de escrow de al menos 1 millón de dólares por cada empresa contratista. Estos fondos podrán ser confiscados en caso de incumplimiento de las condiciones del contrato.
Las limitaciones operativas incluyen varias prohibiciones fundamentales:
- se prohíben los ataques contra organizaciones que formen parte de la estructura de Estados extranjeros o estén completamente controladas por ellos;
- se prohíben las operaciones que puedan provocar la muerte o lesiones graves a personas;
- se prohíben las acciones que el derecho internacional pueda calificar como uso de la fuerza o ataque armado;
- en caso de impacto accidental sobre ciudadanos de EE. UU. o sistemas estadounidenses, el contratista está obligado a detener inmediatamente la operación y notificar al NCC.
Incertidumbre jurídica
La base jurídica de la iniciativa sigue siendo objeto de debate. Anteriormente, a las empresas estadounidenses se les prohibía llevar a cabo de forma independiente ciberataques de represalia (las llamadas operaciones de hack-back) sin autorización judicial. Según los juristas citados en el material original, para el funcionamiento pleno del programa podrían ser necesarios cambios legislativos. Al mismo tiempo, se señala que el Computer Fraud and Abuse Act (CFAA) contiene una excepción para investigaciones, operaciones defensivas y de inteligencia sancionadas por el Estado, y que esta excepción podría extenderse potencialmente a los contratistas privados que actúen por indicación directa de las autoridades. Sin embargo, esta interpretación aún no está respaldada por jurisprudencia ni por un dictamen jurídico oficial.
Reacción de la industria y consecuencias estratégicas
El cofundador de Veracode, Chris Wysopal, describió el memorando como un cambio importante en la ciberpolítica de EE. UU. y una expansión significativa del papel del sector privado en las operaciones ofensivas.
El investigador Kevin Beaumont reconoció que la idea de atacar la infraestructura de los grupos de ransomware tiene sentido, pero expresó dudas sobre el interés de las propias empresas de ciberseguridad: muchas de ellas llevan años ganando dinero precisamente combatiendo las mismas amenazas que ahora se propone eliminar mediante métodos ofensivos. Este conflicto de intereses es uno de los principales problemas que habrá que resolver al formar el grupo de contratistas.
Desde el punto de vista estratégico, el memorando crea una nueva clase de relaciones entre el Estado y el sector privado en el ciberespacio. Hasta ahora, las operaciones cibernéticas ofensivas seguían siendo una prerrogativa exclusiva de los militares y los servicios de inteligencia. La participación de empresas comerciales aumenta potencialmente las capacidades operativas, pero al mismo tiempo genera riesgos: desde la filtración de herramientas ofensivas hasta la posible escalada de conflictos con Estados bajo cuya jurisdicción actúan los grupos delictivos. La prohibición de ataques contra estructuras estatales pretende minimizar este riesgo, pero en la práctica la frontera entre ciberdelincuencia “estatal” y “no estatal” suele ser difusa.
Las empresas que operan en el ámbito de la ciberseguridad en el mercado estadounidense deberían seguir de cerca la publicación de las normas para la realización de operaciones —que deberán aparecer en un plazo de 60 días— y evaluar si sus capacidades técnicas y estructura organizativa cumplen los criterios de acceso al programa. Para las organizaciones fuera de EE. UU., especialmente aquellas cuya infraestructura pueda solaparse con la de grupos delictivos, este es un aviso para reforzar la segmentación de redes y la documentación de la legitimidad de sus operaciones, con el fin de evitar ser objetivo por error de la actuación de los contratistas.
