Donald Trump firmó ayer un memorando que autoriza a las empresas de ciberseguridad estadounidenses a ejecutar ciberoperaciones ofensivas contra redes criminales transnacionales bajo dirección del gobierno.
No es un gesto retórico. El texto, fechado el 13 de agosto, crea un programa formal gestionado por el Centro Nacional de Coordinación y distingue entre operaciones de vigilancia cibernética —inteligencia— y operaciones de efectos cibernéticos —perturbación, denegación, degradación o destrucción de infraestructuras—. Cada acción debe ser aprobada por escrito antes de ejecutarse.
El memorando, cuyo contenido ha desvelado Security Affairs, sostiene que el sector privado estadounidense es ‘el más innovador y tecnológicamente avanzado del mundo’ y que su capacidad ofensiva ha estado históricamente infrautilizada. Lo leo como una declaración de guerra administrativa contra el cibercrimen organizado.
La letra pequeña excluye expresamente a entidades que forman parte de gobiernos extranjeros o que operan bajo dirección de un gobierno extranjero. Según el documento, un grupo no es dirigido por un Estado salvo que exista inteligencia clara en contra. El programa apunta al crimen transnacional, no a adversarios estatales, pero la línea entre ambos rara vez es nítida en el terreno.
La cuestión legal que sobrevuela el programa es si la exención de la Computer Fraud and Abuse Act para actividades investigativas autorizadas se extiende a empresas privadas que actúan bajo contrato gubernamental. Los abogados del despacho Jenner & Block señalan que la exención probablemente aplica cuando hay dirección directa del gobierno, pero no cubriría operaciones ofensivas independientes sin supervisión. Por eso el memorando insiste en la aprobación escrita previa y en que cualquier contacto no intencionado con una persona o sistema estadounidense detenga de inmediato la acción y lo notifique al Departamento de Justicia.
Ese control minucioso es un intento deliberado de blindar el programa frente a los tribunales. Y aquí le adelanto mi lectura: el control convierte al contratista en un apéndice del Estado, no en un actor privado autónomo.
El próximo 11S empezará con un clic; este memorando oficializa que el clic también puede ser de Washington.
Advertí en El quinto elemento que el próximo 11S empezará con un clic. La frase ha envejecido peor de lo que me gusta reconocer. Ahora Washington da un paso más: autoriza legalmente, con supervisión gubernamental, que ese clic lo dé una empresa privada contra infraestructura criminal extranjera.
Un programa diseñado para sortear la línea entre vigilancia y ataque
El programa exige una fianza mínima de un millón de dólares que se ejecuta si la empresa incumple el contrato. Las compañías interesadas deben acreditar capacidad técnica, someterse a evaluaciones anuales y aceptar que la Casa Blanca, el Departamento de Justicia, y el Departamento de Seguridad Nacional supervisen cada paso. Los procedimientos operativos deben quedar listos en un plazo de sesenta días.
Este es un punto que quiero subrayar: la decisión de Washington ha encendido el debate entre juristas y veteranos del oficio. La exención de la CFAA que protege a las fuerzas del orden no se ha probado en los tribunales cuando quien hackea es un empleado de una compañía con ánimo de lucro. Y la fianza de un millón apenas araña la superficie de lo que estas operaciones pueden costar si algo sale mal.
No se equivoque conmigo: la idea no es nueva. La CIA y el Pentágono llevan décadas usando contratistas para operaciones ciber y de inteligencia. Le recuerdo que Operación Olympic Games, el sabotaje con Stuxnet contra Natanz, se montó con conocimiento de Israel y probablemente con apoyo de ingenieros externos. La novedad aquí es la formalización de una doctrina que convierte a empresas privadas —sujetas a intereses bursátiles y accionistas— en instrumentos ofensivos del poder nacional, con un blindaje legal sin jurisprudencia consolidada.
La línea roja que separa el crimen transnacional del ciberespionaje estatal
La distinción es esencial: el memorando excluye a entidades que forman parte de gobiernos extranjeros o que operan bajo su dirección. Sin embargo, la línea entre redes criminales y ciberespionaje estatal es mucho más borrosa de lo que asume el texto. Grupos como Lazarus (Corea del Norte) o APT29 (SVR ruso) han mezclado en ocasiones motivación económica con misión estatal. Si una empresa privada lanza una operación de efectos contra una botnet que resulta ser instrumental para un servicio extranjero, el incidente diplomático está servido.
Además, el memorando define como objetivo a cualquier organización criminal transnacional que use cibermedios contra intereses de EE.UU., una red lo bastante amplia como para incluir foros de ransomware, plataformas de fraude o infraestructura de blanqueo. Cada operación de efectos cibernéticos —manipulación, denegación, degradación o destrucción— debe ser coaprobada por escrito por los directores ejecutivos del programa en el Departamento de Justicia y el Departamento de Seguridad Nacional. Y las que puedan producir lo que el documento llama ‘resultados críticos’ requieren una autorización adicional, un reconocimiento explícito de que ciertas acciones cibernéticas cruzan al territorio del derecho de los conflictos armados.
Quien haya seguido la evolución del cibermando estadounidense sabe que esta decisión no es un rayo en cielo despejado. El memorando implementa la estrategia cibernética de la Casa Blanca anunciada en marzo, que prometía ‘desatar’ al sector privado como instrumento ofensivo. Yo ya sostuve en mi libro que el próximo gran ataque contra Estados Unidos no vendría de un misil, sino de un clic. La paradoja es que ahora el clic también se usa como respuesta, y no siempre sabremos contra quién.
Dossier Moncloa: Ojos en la Sombra
El vector de amenaza que se normaliza con este memorando es el ciberataque ofensivo delegado en empresas privadas. No es una infiltración HUMINT ni una deserción, pero tiene implicaciones de contrainteligencia profundas. Las agencias atacantes son, en última instancia, el Departamento de Justicia y el Departamento de Seguridad Nacional, que dirigen y supervisan; los brazos ejecutores son compañías tecnológicas estadounidenses. Los defensores son, paradójicamente, las propias redes criminales transnacionales, que carecen de estatus jurídico comparable al de un Estado. Entre los terceros que miran de reojo están los servicios europeos, incluido el CNI, que ven cómo el aliado principal privatiza la ofensiva ciber sin consulta multilateral.
El nivel de clasificación estimado del material involucrado es, a mi juicio, confidencial en el caso de los procedimientos operativos y secreto cuando se alcancen ‘resultados críticos’ que rocen el conflicto armado. El memorando marco es público, pero las operaciones concretas quedarán protegidas. Y ese es el riesgo de fondo: la supervisión del Departamento de Justicia no garantiza transparencia hacia el Congreso ni hacia los aliados.
Un precedente que conviene recordar: la NSA ya subcontrató tareas sensibles a Booz Allen Hamilton, donde trabajaba Edward Snowden. La externalización no es mala por sí misma, pero multiplica los puntos de fallo y los incentivos comerciales. Si una empresa puede ofrecer a sus accionistas ingresos por ‘ciberoperaciones defensivas’ y ahora también ofensivas, el interés en que haya amenazas persistentes crece. No digo que todas vayan a falsear informes; digo que el ojo que mira la red de otro es el mismo que firma un contrato.
Mi posición es clara: la atribución de ciberataques ya era un campo minado; esta doctrina la hace más opaca. Aplaudo la intención de golpear a las mafias digitales, pero le pido que no olvide que el derecho internacional no ha resuelto todavía si una empresa privada puede lanzar un ataque informático sin que sea un acto de guerra atribuible a su Estado. El Departamento de Justicia lo sabe; por eso exige autorización escrita previa. El próximo informe del ODNI o la primera revisión judicial del programa serán el momento de comprobar si el control es real o cosmético.
