Trump firma un memorándum de seguridad nacional que autoriza a empresas privadas a realizar hacking ofensivo contra organizaciones criminales transnacionales. La Casa Blanca lo confirmó el miércoles con un cambio doctrinal que, si se aplica sin matices, altera la línea que separa al Estado del sector privado en el ciberespacio.
El documento ordena a un centro federal de coordinación crear, gestionar y mantener un programa para autorizar a empresas participantes a llevar a cabo operaciones de vigilancia cibernética y operaciones de efectos cibernéticos contra organizaciones criminales transnacionales extranjeras habilitadas por el ciberespacio. Todo bajo control y supervisión del Gobierno federal. Le adelanto que el matiz no es menor: no se trata de abrir la veda, sino de integrar al sector privado en operaciones policiales y de inteligencia ya existentes.
Según el texto publicado por CyberScoop, la literalidad del memorándum cita ‘la ingeniosidad del sector privado’ como palanca contra el fraude sostenido y otras campañas habilitadas por el ciberespacio atribuidas a estas organizaciones. La orden ejecutiva de marzo sobre fraude fue presentada por la Casa Blanca solo como un primer paso. Ahora el memorándum amplía el campo de juego.
Qué autoriza el memorándum y bajo qué supervisión
Las empresas que quieran participar deberán firmar contratos con el Departamento de Justicia o con Seguridad Nacional y someterse a un proceso de investigación riguroso. El texto también les permite cerrar acuerdos comerciales con otras entidades privadas para recibir información sobre amenazas. No me parece un detalle menor: ese flujo privado de inteligencia técnica puede multiplicar el alcance de las operaciones sin pasar por un solo servidor gubernamental.
Los acuerdos con administraciones federales, estatales y locales estarán orientados a identificar amenazas y a proponer operaciones cibernéticas al centro de coordinación. La supervisión evaluará la competencia técnica, garantizará que empresas pequeñas y grandes puedan participar y exigirá informes regulares. Sobre el papel, el programa debe adherirse a las leyes vigentes, incluida la Computer Fraud and Abuse Act.
Eso significa que el memorándum no modifica la principal norma federal contra el hacking, pese a que propuestas anteriores de participar al sector privado en operaciones ofensivas sí buscaban reformarla. Lo advirtió con claridad Chris Wysopal, cofundador de Veracode: es ‘un cambio bastante grande en la política cibernética de Estados Unidos’, aunque se queda corto respecto a otras iniciativas de hack back. Veo aquí una decisión deliberada de contener el daño político y legal.
El Estado no renuncia al monopolio del ataque cibernético; lo cede bajo contrato, supervisión y con la ley intacta.
La iniciativa reaviva un debate viejo en los círculos conservadores: la idea de conceder cartas de marca digitales al sector privado, inspiradas en las patentes de corso que autorizaron a corsarios contra el comercio enemigo en los siglos XVII y XVIII. Algunos sectores llevan años pidiendo recurrir a expertos privados para operaciones ofensivas. Otros, en cambio, temen que dar demasiado margen al sector privado en este terreno abra el ciberespacio a un caos difícil de revertir.
Del corsario del siglo XVIII al hack back del siglo XXI
La referencia histórica no es retórica vacía. Las cartas de marca permitieron a navíos privados atacar objetivos del enemigo con autorización estatal y a cambio de una parte del botín. La diferencia es que, en el ámbito cibernético, el botín es intangible: credenciales, accesos, capacidad de persistencia. Y el daño colateral puede dispararse si la atribución falla.
Jason Kitka, exresponsable del Cyber Command, ha sido especialmente crítico. En una publicación en redes sociales calificó el mecanismo de ‘máquina de movimiento perpetuo para amenazas facturables’. Comparto su desconfianza en parte: si la facturación se convierte en el incentivo principal, la sobreactuación se vuelve probable. No obstante, Josh Steinman, exalto cargo de la Casa Blanca durante el primer mandato de Trump y cofundador de Galvanick, celebró la decisión.
Le pongo en contexto. Estados Unidos ya recurre al sector privado en labores defensivas y de inteligencia de amenazas. Este memorándum da un paso hacia la ofensiva, aunque bajo contratos gubernamentales. La novedad es institucional: las empresas no solo analizan, sino que pueden proponer operaciones de efectos. El precedente importa para el CNI y el CCN-CERT. Si Washington normaliza esta herramienta, otros estados pueden responder con sus propios programas privados.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza que aquí se regula no es un malware concreto ni una campaña atribuida: es la transferencia de capacidad ofensiva estatal a actores privados. Eso, en términos de clasificación, equivale a material sensible de uso restringido. Estimando con la prudencia que exige el oficio, el memorándum se moverá en nivel Confidencial, no por voluntad de transparencia, sino porque los protocolos operativos que desarrolle el centro de coordinación difícilmente verán la luz.
La agencia atacante, si podemos llamarla así, será una constelación de empresas autorizadas bajo supervisión de de los Departamentos de Justicia y Seguridad Nacional. La defensora no es una agencia extranjera, sino un entramado difuso de organizaciones criminales transnacionales que usan infraestructura digital ajena. Los terceros que miran con atención no son pocos: aliados Five Eyes, China, Rusia y también Madrid. El CNI y el CCN-CERT no participan en esta operación doctrinal, pero su lectura es obligada. Cualquier norma que permita a corporaciones estadounidenses lanzar ataques contra redes criminales en territorio extranjero puede rozar, tarde o temprano, la soberanía digital de terceros países.
El precedente histórico que yo rescataría no es una filtración ni un asesinato, sino SolarWinds. Aquella campaña, atribuida al SVR, se infiltró en una empresa privada para alcanzar agencias gubernamentales. Aquí se trata de lo inverso: una agencia gubernamental que instrumentaliza a empresas privadas para alcanzar objetivos externos. Hay una diferencia clave: en un caso la empresa fue víctima; en el otro, será instrumento. El oficio del espía siempre supo que el mensajero importa tanto como el mensaje.
Reconozco que la atribución de este cambio doctrinal no ofrece dudas: se trata de una decisión pública. Lo que sí me genera más cautela es su aplicación operativa. Nadie ha detallado aún qué tipo de efectos cibernéticos se autorizarán, contra qué infraestructura exacta, ni con qué reglas de notificación al país anfitrión. Esa ambigüedad es el verdadero riesgo. Si usted ha seguido el debate sobre el hack back, sabrá que el diablo no está en la autorización, sino en el manual de instrucciones.
El próximo hito será la publicación de los primeros contratos tipo y, sobre todo, del informe inicial que el programa deberá remitir a los responsables federales. Ahí se verá si las empresas participantes actúan como brazos técnicos del Estado o como corsarios digitales con incentivos propios. Me temo que pasarán meses antes de conocer los primeros casos. Si llegan.
En mi opinión, el memorándum no es una simple ampliación administrativa. Es un ensayo general de privatización del ataque cibernético, con las mismas luces y sombras que acompañaron a la privatización de la seguridad física. Hace años escribí en El quinto elemento que ‘el próximo 11S empezará con un clic’. La frase hoy cobra un matiz distinto: ese clic podría ejecutarlo un empleado de una corporación privada, con un contrato federal en el bolsillo y sin uniforme que lo identifique.
Cosas que pasan en 2026.
