La nueva política de EE. UU. que permite a empresas privadas hackear ciberdelincuentes extranjeros

Requisitos clave

El memorando establece varias salvaguardas para las empresas participantes :

• Depósito en garantía de $1 millón — Las empresas participantes deben depositar $1 millón en garantía, que se pierde si el gobierno determina que no cumplen con las reglas del programa .
• Aprobación conjunta del DOJ/DHS — Cada operación requiere la aprobación escrita de los "Directores Ejecutivos del Programa" que representan tanto al Departamento de Justicia como al Departamento de Seguridad Nacional antes de que se pueda tomar cualquier acción .
• Prohibición de atacar a estadounidenses o sistemas con sede en EE. UU. — El memorando ordena procedimientos que impiden que cualquier operación tenga como objetivo a personas estadounidenses o sistemas ubicados en los Estados Unidos .
• Umbral de "Resultados Críticos" — Las operaciones que probablemente causen pérdida de vidas o lesiones graves, o que alcancen el nivel de "uso de la fuerza" según el derecho internacional, están prohibidas a menos que se autoricen por separado .
• Informes anuales — Los Directores Ejecutivos del Programa deben informar al Asesor de Seguridad Nacional y al Director Cibernético Nacional dentro de los 180 días y anualmente a partir de entonces .
• Divulgación contractual — Las empresas participantes deben revelar al NCC todas las relaciones contractuales con las organizaciones criminales objetivo .

Cambio legal y político

La política representa una reversión histórica de décadas de política de ciberseguridad de EE. UU. Bajo la Ley de Abuso y Fraude Informático (CFAA), las empresas privadas han estado sujetas a las mismas restricciones que cualquier otra persona —prohibidas en gran medida de realizar accesos no autorizados, piratería informática u operaciones de interrupción sin una orden judicial . La posición de larga data del gobierno de EE. UU., consistente a través de múltiples administraciones, ha sido que el sector privado puede defenderse contra los ciberataques entrantes, pero no puede lanzar ni realizar ciberataques ofensivos .

Este memorando elimina esa prohibición para los contratistas verificados que actúan bajo supervisión federal, creando efectivamente un programa de "contraataque" controlado por el gobierno que delega la autoridad cibernética ofensiva a empresas privadas . La Casa Blanca declaró que la política permite al gobierno federal "aprovechar la capacidad y la innovación del sector privado" para combatir el cibercrimen y las amenazas que atacan a los estadounidenses, como los ataques de ransomware, las estafas financieras y la sextorsión .

Críticas y preocupaciones

Los críticos han advertido que es probable que la política enfrente desafíos legales y la oposición de quienes argumentan que las empresas privadas no deberían participar en operaciones de piratería informática del gobierno . El propio memorando reconoce el riesgo, exigiendo que las empresas participantes mantengan un bono financiero sustancial que podría ser embargado por incumplimiento. El programa no autoriza operaciones de "contraataque" sin restricciones —cada acción sigue sujeta a la aprobación federal—, pero los críticos señalan que delegar capacidades cibernéticas ofensivas a empresas privadas crea nuevas vías para posibles abusos y escaladas .