El presidente Trump firmó el 12 de agosto un memorando de seguridad nacional. Autoriza operaciones cibernéticas del sector privado contra redes criminales extranjeras bajo supervisión federal.
El documento, titulado Expanding Capabilities to Combat Transnational Cyber-Enabled Crime, encarga a los departamentos de Justicia y de Seguridad Nacional crear un programa para vetar a empresas estadounidenses, con el fin de que ejecuten cyber surveillance operations y cyber effects operations contra organizaciones criminales transnacionales habilitadas cibernéticamente (CE-TCO, por sus siglas en inglés).
Por qué la Casa Blanca rompe ahora el molde
Lo veo así: la administración de Trump ha salido del limbo doctrinal en el que se movía desde la Estrategia Nacional de Ciberseguridad de marzo. Aquel texto ya advertía de que el gobierno usaría todas sus capacidades, incluidas las ofensivas, pero se detenía antes de entregar a los privados la llave del ciberataque. El nuevo memorando cruza esa línea, aunque con un corsé de control que lo aleja del hack back libre que durante años reclamaron los sectores más agresivos de la industria.
Ya advertí en El quinto elemento que ‘el próximo 11S empezará con un clic’. Este memorando es el primer paso institucional para que ese clic lo ejecute un contratista privado, no un operador de una agencia de inteligencia. La diferencia es de camisa de fuerza, pero no de naturaleza.
La supervisión, federal, directa y escrita, convierte a los contratistas en apéndices del Estado. Según el análisis publicado por Lawfare, las operaciones deberán realizarse bajo la dirección y supervisión directa de la agencia autorizante, con revisión y aprobación por escrito antes de cualquier acción. No se trata, por tanto, de una autorización para que una empresa se lance por su cuenta a vigilar redes.
El diablo está en los contratos. El programa exige acuerdos con el Departamento de Justicia o con el de Seguridad Nacional. El Centro Nacional de Coordinación (NCC) gestionará la lista de empresas vetadas, con auditoría federal y tolerancia a la ambigüedad legal.
La Casa Blanca ha privatizado el vector de disrupción cibernética, pero mantiene el gatillo bajo supervisión estatal.
El agujero legal de la CFAA: la exención 1030(f)
Le adelanto que el plan operativo no se conocerá hasta el 11 de octubre. Hasta ese día, la gran incógnita es jurídica: la Computer Fraud and Abuse Act prohíbe el acceso no autorizado a sistemas informáticos, y el memorando lo sabe. Por eso se acoge a la exención del artículo 1030(f), que no aplica a ‘cualquier actividad de investigación, protección o inteligencia legalmente autorizada’ de una agencia de aplicación de la ley o de inteligencia. Pero ningún tribunal ha aclarado si un contratista privado queda cubierto por ese paraguas.
Es la zona gris más delicada. La administración asume que la supervisión del Departamento de Justicia y del de Seguridad Nacional blanquea la operación. Sin embargo, como advierte Lawfare, la exención se ha usado históricamente para desmantelar botnets o reparar malware con autorización judicial o en coordinación con socios extranjeros. Aquí se pisa territorio nuevo.
El memorando también introduce una presunción inquietante: un grupo criminal extranjero se considera no estatal salvo que exista inteligencia clara que demuestre lo contrario. Eso abre la puerta a atacar proxys de Moscú, Pekín o Teherán con la coartada de la delincuencia común, sin las salvaguardas de un conflicto armado cibernético atribuido. Es, como poco, una bandera de advertencia para los adversarios y para los jueces.
Las operaciones que produzcan ‘resultados críticos’ quedan prohibidas para los directores del programa. Hablamos de pérdida de vidas, lesiones graves, uso de fuerza o ataque armado según el derecho internacional. Pero el texto no aclara si alguien puede aprobar excepciones a ese umbral, o si el límite es absoluto. Para una maquinaria que va a operar en redes de terceros, esa indefinición es un agujero de seguridad jurídica.
Dossier Moncloa: Ojos en la Sombra
Si usted ha seguido la doctrina de disuasión cibernética de la Casa Blanca, verá que esto no es un episodio aislado. Es la confluencia de dos tendencias que llevan años gestándose: la privatización de la inteligencia y la ofensiva contra el cibercrimen como coartada geopolítica. Lo que se dice ahora en Washington lo escuchan con atención los servicios europeos, y no por casualidad.
El vector de amenaza es inequívoco: ciberataque. El programa autoriza vigilancia y efectos disruptivos en redes extranjeras, con un control federal que intenta domesticar el riesgo de escalada. La agencia atacante es el sector privado estadounidense, vestido de contratista del Departamento de Justicia y del de Seguridad Nacional. La agencia defensora no existe en el sentido clásico: son las CE-TCO, organizaciones criminales sin estructura estatal formal. Los terceros que miran son Rusia, China, Irán y Corea del Norte, cuyos proxys pueden quedar atrapados en la definición de ‘no estatal’ si la inteligencia no demuestra lo contrario.
Reconozco que me cuesta encajar este memorando en los estándares europeos. En España, el CNI no puede operar así contra el sector privado sin autorización judicial, y el CCN-CERT actúa como autoridad de ciberseguridad, no como habilitador de empresas ofensivas. Si Bruselas intenta copiar el modelo, chocará con el Convenio de Budapest y con la jurisprudencia del Tribunal de Justicia de la Unión Europea sobre vigilancia y derechos fundamentales. Eso, al menos, es lo que me consta tras años de seguir la arquitectura normativa europea.
El precedente histórico no es Stuxnet, sino la larga tradición de contratistas de inteligencia que ejecutan tareas que el Estado no puede asumir directamente. En lugar de una operación legendaria, aquí se abre un mercado regulado para la disrupción cibernética, con cláusulas de auditoría y supervisión. El listón de ‘resultados críticos’ es la única línea roja, y está sin definir.
El CNI no es ajeno a esta discusión. En la Casa de Castelló se sigue con preocupación la posibilidad de que Washington presione a los aliados para adoptar reglas similares. Si cinco años después de SolarWinds alguien creía que la atribución estatal era madura, este memorando lo desmiente: la presunción de no estatal azuza la confusión.
El 11 de octubre sabremos si el plan de implementación aporta la autorización judicial que falta o si se limita a protocolos internos. Hasta entonces, la contradicción es evidente: la Casa Blanca quiere exportar una guerra cibernética privada sin admitir que lo sea. No me sorprende la ambición; me preocupa la ambigüedad.
Esa es la partida.
