Estados Unidos habilitó a empresas privadas a lanzar ciberataques contra el crimen organizado extranjero. Con esa decisión aparece un tercer tipo de atacante que rompe el modelo con el que las organizaciones venían gestionando su riesgo digital.
Durante años, cualquier empresa que sufriera un ciberincidente podía hacerse la misma pregunta: ¿fue un delincuente detrás de un beneficio económico o un Estado detrás de información? De esa respuesta dependía casi todo: el plan de respuesta, la cobertura del seguro, la conversación con los abogados. Pero eso acaba de cambiar. Un memorándum firmado en la Casa Blanca el 12 de agosto acaba de sumar una tercera alternativa a esa lista y con ella, un problema que la mayoría de las organizaciones todavía no vio venir.
El documento, titulado “Expanding Capabilities to Combat Transnational Cyber-Enabled Crime”, autoriza por primera vez a empresas privadas estadounidenses previamente habilitadas a ejecutar no solo tareas de vigilancia, sino “operaciones de efectos cibernéticos” —una forma elegante de decir: ataques ofensivos— contra organizaciones criminales transnacionales que operan desde el exterior. La iniciativa funciona bajo un programa coordinado por el Departamento de Justicia y el de Seguridad Nacional, exige a las firmas participantes un aval de un millón de dólares y se apoya en una orden ejecutiva previa, la 14.390, dictada en marzo para combatir el fraude y las estafas digitales contra ciudadanos estadounidenses. Varios analistas legales ya lo describen como una versión digital de la vieja “patente de corso”: el permiso que un Estado otorgaba a un privado para atacar en su nombre.
El titular es llamativo, pero lo relevante para quien gestiona riesgo no es quién puede atacar, sino qué le pasa al resto. Porque el modelo mental con el que se construyó buena parte de la ciberseguridad corporativa reconocía dos adversarios posibles. El criminal, motivado por el lucro, con herramientas conocidas (aunque no siempre es así) y un objetivo predecible. Y el Estado-nación, con recursos casi ilimitados, paciencia y metas de inteligencia. Sobre esa distinción se apoyaban hasta hoy los manuales de respuesta a incidentes, las cláusulas de las pólizas de ciberseguro y buena parte del asesoramiento legal frente a una brecha de ciberseguridad. La pregunta "¿quién nos atacó?" tenía dos respuestas posibles, y de cada una, muchas compañías, sobre todo las más preparadas, desprendían un protocolo distinto.
Este nuevo tercer actor —el privado con licencia estatal— desordena el tablero. Usa herramientas parecidas a las de un delincuente, pero opera con un mandato del gobierno y un paraguas legal del que la víctima no dispone. El problema de fondo es la atribución. Un punto relevante que cabe analizar es que, incluso con las capacidades técnicas actuales, la falta de una clara identificación de un atacante y de su infraestructura, incluso el error en su determinación, o la falta de anticipación del daño colateral, podrían causar un perjuicio significativo a partes inocentes, tanto nacionales como extranjeras. Y es que este no es un detalle menor: las operaciones ofensivas suelen trasladarse a escenarios que involucran a servidores de terceros previamente comprometidos. El servidor de una empresa en la región puede ser, al mismo tiempo, el punto de relevo que usan los criminales y el blanco de una contraofensiva ajena. Casi como un tablero de ajedrez, donde lejos de ser una pieza, las víctimas son una parte componente de ese mismo tablero.
A eso se suma la cuestión de la responsabilidad. La ley estadounidense que penaliza el acceso no autorizado a sistemas informáticos —Computer Fraud and Abuse Act— sigue vigente, y las firmas participantes no pueden confiar en "garantías informales de que las violaciones no serán perseguidas". Para la víctima, la incógnita es peor: si una operación habilitada degrada su sistema por error, ¿quién responde? El propio memorándum contempla, entre sus definiciones, “resultados críticos” que podrían llegar a la pérdida de vidas o alcanzar el nivel de uso de la fuerza según el derecho internacional. La frontera entre un delito, un acto de guerra y una operación con mandato estatal se vuelve borrosa
justo cuando más claridad haría falta.
Otro ángulo interesante es dónde se acentúa el costo del incidente, pues ahora se traslada de manera casi silenciosa al seguro. Las pólizas de ciberriesgo se calculan sobre la base de la atribución y suelen excluir los “actos de guerra”; o las acciones patrocinadas por un Estado. Un atacante privado con licencia estatal cae exactamente en ese hueco. Una degradación provocada “por error” por una firma habilitada por Washington… ¿es un incidente cubierto o una acción asimilable a lo estatal y, por lo tanto, excluida? La
ambigüedad, por sí sola, ya pareciera acarrear un costo.
Para las organizaciones latinoamericanas conviene ser honesto en un punto: el memorándum protege a “personas y sistemas estadounidenses”, no a los de terceros países. Una empresa argentina, mexicana o colombiana con operaciones, proveedores o infraestructura vinculada a Estados Unidos no solo queda fuera de esas salvaguardas, sino que, por su ubicación en las rutas de estas campañas y por controles a menudo más débiles, tiene una probabilidad concreta de terminar como nodo intermedio o como daño
colateral. Y con menos recursos para reclamar.
De ahí que la respuesta no pase por descartar los marcos de gestión que ya se usan —NIST, ISO 27001—, sino por actualizar los modelos de amenazas para incorporar a este tercer actor, revisar la letra chica de las pólizas frente a exclusiones "asimilables a lo estatal" y reforzar el registro y la trazabilidad interna. Quizás la pregunta que un directorio deba hacerse ya no es solo quién querría atacarnos. Ahora también hay que poder responder otra, más incómoda: si nos alcanzan sin proponérselo, ¿estamos en condiciones de probar que no fuimos nosotros?
