Trump autoriza a empresas a lanzar ciberataques: a quiénes podrán atacar y qué tienen prohibido

Internacional

|

Suscriptores

El presidente Donald Trump firmó el miércoles 12 de agosto un memorando que autoriza a determinadas empresas privadas a llevar a cabo ciberataques patrocinados por el gobierno contra grupos de piratería informática extranjeros, acciones que hasta ahora habían sido competencia exclusiva de las agencias de seguridad nacional de Estados Unidos.

El memorando autoriza al gobierno a contratar empresas estadounidenses para piratear e interrumpir redes digitales en el extranjero pertenecientes a “organizaciones criminales transnacionales con capacidad cibernética”.

El memorando estipula que las empresas, bajo la supervisión del gobierno federal, pueden vulnerar sistemas informáticos para realizar labores de vigilancia y manipular o destruir infraestructuras digitales o físicas “controladas por sistemas de información”, pero tienen prohibido atacar a gobiernos extranjeros o realizar acciones que resulten en “pérdida de vidas” o “lesiones graves”.

La medida supone un cambio significativo respecto del enfoque más moderado de administraciones anteriores, que prohibía a las empresas que sufrían intrusiones contraatacar los sistemas de sus atacantes por temor a represalias geopolíticas. Ahora, la administración Trump quiere involucrar al sector privado para combatir a los ciberdelincuentes.

“El presidente Trump está desplegando todas las herramientas disponibles para detener a las organizaciones criminales organizadas con sede en el extranjero que explotan a los estadounidenses en el ciberespacio”, dijo la Casa Blanca en una hoja informativa que acompañaba al memorando.

Algunos analistas y ejecutivos del sector elogiaron la medida y afirmaron que debería ayudar al gobierno a debilitar la capacidad de los delincuentes extranjeros para atacar a los estadounidenses. “Los ciberataques son baratos de lanzar, pero caros de contrarrestar”, declaró Joe Lin, cofundador y director general de una empresa emergente del norte de Virginia que proporciona software de ciberataque al gobierno estadounidense. “Cuanto más podamos obstaculizar a nuestros adversarios a gran escala mediante socios comerciales de confianza, menos podrán atacar a Estados Unidos”.

Otros expertos afirman que la medida podría suponer riesgos legales y geopolíticos para el gobierno federal y las propias empresas.

“¿Qué ocurre si una empresa lleva a cabo una operación contra lo que cree que es un grupo criminal iraní o ruso, pero ese grupo en realidad está controlado, influenciado o protegido por Teherán o Moscú?”, dijo Matt Curtis, quien se desempeñó como director sénior de política cibernética de la Casa Blanca en la administración Biden.

“De repente, lo que se concibió como una operación contra delincuentes podría ser visto como una operación cibernética autorizada por Estados Unidos contra un actor estatal… y potencialmente desencadenar represalias o una escalada”, dijo.

El memorando establece un centro de coordinación nacional que será administrado conjuntamente por el Departamento de Justicia y el Departamento de Seguridad Nacional, el cual evaluará a las empresas participantes. Las empresas podrían ser multadas con hasta un millón de dólares por incumplimiento de contrato.

El memorando plantea interrogantes sobre la posible responsabilidad de las empresas en virtud de la Ley de Fraude y Abuso Informático, que tipifica como delito federal el acceso no autorizado a ordenadores conectados a internet. Si la empresa actúa como agente del gobierno estadounidense, probablemente no estaría sujeta a esta ley, según algunos analistas, pero sí tendría que cumplir con las protecciones de la Cuarta Enmienda, que exigen una orden judicial para acceder ilegalmente a un sistema nacional. El memorando no aborda directamente esta cuestión.

El máximo responsable de ciberseguridad del FBI afirma que el memorando es un intento de normalizar lo que actualmente es una colaboración “ad hoc” entre la industria y el gobierno.

El mes pasado, el FBI y Google desmantelaron una red de bots utilizada por cientos de piratas informáticos criminales y patrocinados por Estados que no querían que sus ataques fueran rastreados hasta Pekín, Teherán y Moscú, por lo que los enrutaron a través de al menos 2 millones de direcciones IP proxy a dispositivos de transmisión de televisión y enrutadores domésticos, según declaró el subdirector de ciberseguridad del FBI, Brett Leatherman, en una entrevista con The Washington Post.

Armado con una orden judicial, el FBI confiscó cientos de dominios proxy y Google deshabilitó las cuentas en sus propias redes que la red de bots estaba utilizando para controlar el malware.

Según explicó, el memorando presidencial tiene como objetivo “proporcionar autoridad y capacidad adicionales” para “fortalecer” a la industria estadounidense a fin de ayudar al gobierno a combatir a los ciberdelincuentes extranjeros.

Leatherman mencionó el ciberataque Salt Typhoon, patrocinado por el Estado chino y descubierto a finales del 2024, que comprometió a varias de las mayores empresas de telecomunicaciones estadounidenses y tuvo como objetivo los teléfonos móviles de figuras políticas de Estados Unidos, incluido el entonces candidato presidencial Donald Trump y su compañero de fórmula, J. D. Vance. Al menos una empresa china colaboró con la campaña y fue sancionada por el Departamento del Tesoro el año pasado, según Leatherman.

China y Rusia suelen recurrir a empresas privadas para llevar a cabo ciberataques que les permiten negar en cierta medida la responsabilidad del Estado.

“Son personas de la industria [en China] las que están haciendo esto”, dijo Leatherman, refiriéndose a Salt Typhoon. “Si no cerramos las brechas… seguiremos quedándonos atrás”.

Agencias estadounidenses como el FBI, el Comando Cibernético de las Fuerzas Armadas de Estados Unidos y la Agencia de Seguridad Nacional pueden piratear legalmente sistemas en el extranjero. Sin embargo, las empresas del sector privado no cuentan con esa autoridad independiente.

Jason Kikta, exoperador del Comando Cibernético de Estados Unidos, afirmó que utilizar contratistas para realizar trabajos gubernamentales “no nos hace mejores que China e Irán”, donde, según señaló, la industria ha llevado a cabo operaciones de ransomware, atacado bancos estadounidenses y realizado operaciones indiscriminadas de ciberespionaje.

“Estados Unidos ha luchado contra estos abusos durante años, y esto ahora nos hace parecer hipócritas”, dijo Kikta, actual director de tecnología de Automox, una empresa de ciberseguridad.

El exabogado militar especializado en ciberseguridad Gary Corn señaló que el Comando Cibernético se centra principalmente en contrarrestar las amenazas de Estados extranjeros, no a los delincuentes. El comando carece del personal y los recursos necesarios para hacer frente a la amenaza criminal. Por lo tanto, la medida del gobierno podría ayudar a subsanar esa importante deficiencia, afirmó Corn, quien anteriormente fue el principal asesor jurídico del comando y ahora dirige el Programa de Tecnología, Derecho y Seguridad de la American University.

Curtis, exasesor de la Casa Blanca y actual director general de la empresa de ciberseguridad 190 Intel, afirmó que las empresas privadas poseen una enorme capacidad técnica, gran cantidad de datos y una velocidad impresionante. Con las medidas de seguridad adecuadas, añadió, “esta podría ser una forma muy eficaz de desarticular redes criminales que, de otro modo, serían difíciles de alcanzar”.

Charlie “Tuna” Moore, exsubcomandante del Comando Cibernético de Estados Unidos, ha abogado durante mucho tiempo porque el gobierno colabore con el sector privado en la realización de ataques cibernéticos. “Es la única manera de lograr la calidad y la cantidad necesarias para defender a la nación”, afirmó Moore, ahora profesor visitante en Vanderbilt.

El memorando contiene un anexo clasificado que describe cómo las empresas y los organismos encargados de hacer cumplir la ley coordinarán sus acciones con los organismos militares y de inteligencia, un proceso conocido como “desconflicto”.

Moore señaló que las fuerzas armadas y los servicios de inteligencia cuentan con amplias normas para la resolución de conflictos y que será “fundamental” ver cuán bien pensado está el nuevo proceso.