EE. UU. permitirá a empresas privadas vetadas lanzar ciberataques ofensivos

La Casa Blanca informó el miércoles que, por primera vez, permitirá que empresas privadas vetadas lancen operaciones cibernéticas ofensivas contra bandas criminales internacionales y hackers, según un memorando presidencial recién publicado por la administración Trump. La política representa un cambio sísmico respecto a la postura histórica del gobierno: durante años, las leyes federales de delitos informáticos han prohibido ampliamente que las empresas privadas realicen ciberataques u operaciones de disrupción sin autorización judicial, y solo les permitían defenderse de ataques entrantes, no lanzarlos ni operarlos.

Según el memorando, las empresas participantes podrán realizar labores de vigilancia —incluido el uso de spyware para recopilar inteligencia— así como ataques disruptivos orientados a destruir los datos o sistemas de los delincuentes, aunque la política no permite a las empresas tomar represalias por iniciativa propia contra las amenazas. Cada operación requerirá la aprobación del Departamento de Justicia y del Departamento de Seguridad Nacional antes de poder ejecutarse, y se llevará a cabo exclusivamente bajo la supervisión del gobierno federal. El memorando también ordena al gobierno federal crear procedimientos que impidan que cualquier operación tenga como blanco a ciudadanos estadounidenses o a sistemas radicados en Estados Unidos.

Las empresas participantes deberán depositar USD 1 millón en garantía, que se pierde si el gobierno determina que una empresa no cumple con las reglas del programa, y deberán notificar al gobierno si detectan un ciberataque inminente contra infraestructura crítica estadounidense, como redes eléctricas o proveedores de agua. El gobierno dijo que emitirá directrices sobre los requisitos del programa en los próximos dos meses, y que podrán participar empresas de todos los tamaños —incluidas las más pequeñas, que podrían estar mejor preparadas para operaciones especializadas—. La política aún se encuentra en una etapa temprana, y un portavoz de la Casa Blanca no confirmó si alguna empresa ya está participando.

Los críticos advierten que la política corre el riesgo de generar fricciones diplomáticas si un gobierno extranjero acusa a una empresa estadounidense de atacar sus sistemas. Jake Williams, vicepresidente de investigación y desarrollo de la firma de ciberseguridad Hunter Strategy, calificó la política de poco desarrollada y advirtió que los estadounidenses involucrados en estas operaciones “podrían ser clasificados fácilmente como combatientes no uniformados mientras viajan al extranjero” —y que un gobierno extranjero podría hacer esa acusación sin importar si es cierta o no—. La administración no dio una razón para el cambio más allá de citar una amenaza creciente contra los estadounidenses y las empresas; la medida se produce tras fuertes recortes al personal federal de ciberseguridad desde que comenzó la segunda administración Trump en enero de 2025, y coincide con que, según se informa, funcionarios han atribuido en privado una ola de ataques contra proveedores de agua en más de una docena de estados de EE. UU. a hackers respaldados por el gobierno iraní.

Por qué importa

Al trasladar las operaciones cibernéticas ofensivas a manos privadas, Washington está poniendo a prueba un modelo que otros gobiernos podrían observar de cerca —y generando nueva exposición legal y diplomática para las empresas que participen.