1
EE.UU. autoriza a empresas de su país a realizar ciberataques a criminales
La administración Trump está alentando a las empresas estadounidenses a llevar a cabo sus propios ciberataques contra piratas informáticos delictivos
7 minutos de lectura'
La administración Trump está alentando a las empresas estadounidenses a llevar a cabo sus propios ciberataques contra piratas informáticos delictivos, una medida que, según funcionarios de la Casa Blanca, ayudará a abordar azotes digitales como el ransomware, pero que algunos exfuncionarios y expertos en seguridad advierten que podría conducir al caos.
Bajo un memorando de seguridad nacional que el presidente Trump firmó a última hora del miércoles, empresas seleccionadas trabajarían con los Departamentos de Justicia y de Seguridad Nacional para atacar a grupos ciberdelincuentes extranjeros con hackeos bajo ciertas condiciones. Los ataques permitirían tanto la vigilancia de las redes delictivas como tipos específicos de operaciones de hackeo que podrían llevar a la interrupción, manipulación o destrucción de sistemas de información y redes, incluidas infraestructuras virtuales y físicas.
No estaba claro qué empresas, si es que hay alguna, se inscribirían, pero la medida representa un drástico giro respecto a décadas de política de ciberseguridad a lo largo de administraciones republicanas y demócratas que, por lo general, priorizaban la mejora de las defensas corporativas y confinaban las ciberoperaciones ofensivas al ejército y a las agencias de inteligencia de EE.UU. Añade detalles a un cambio que los funcionarios de Trump habían dejado entrever en términos generales durante meses.
El concepto de dar al sector privado un papel más directo en acciones ciberofensivas ha existido durante años. Sin embargo, nunca antes había sido respaldado públicamente por una administración presidencial, en parte debido a las preocupaciones de que hacerlo pudiera provocar más ciberconflictos, plantear nuevas cuestiones de responsabilidad y exposición legal internacional para las empresas estadounidenses, y tener consecuencias imprevistas y potencialmente escalonadas. El nuevo memorando no aborda directamente muchas de esas preocupaciones, aunque afirma que la política busca aprovechar al “ingenio del sector privado” para frenar los costos cada vez mayores de los ciberataques.
Sin embargo, en lugar de permitir un “vale todo” en el campo de batalla digital, la conducta en la que pueden incurrir las empresas estadounidenses pretende ser relativamente circunscrita. Las empresas participantes deben ser investigadas previamente para ser incluidas en el programa, firmar un contrato con el gobierno que incluye multas de 1 millón de dólares por infracciones y recibir la aprobación por escrito de funcionarios de los Departamentos de Justicia y Seguridad Nacional antes de proceder con un ataque. La política no autorizará ataques que sea probable que provoquen pérdidas de vidas, lesiones graves o “alcancen el nivel de uso de la fuerza o ataque armado según el derecho internacional”, aunque exfuncionarios y expertos dijeron que calibrar con precisión las ciberoperaciones ofensivas es a veces tanto un arte como una ciencia.
La Casa Blanca no respondió a las preguntas sobre el memorando más allá de decir que las operaciones se basarían «en inteligencia». La administración Trump no ofreció una sesión informativa a los periodistas sobre la orden antes de su publicación a última hora del miércoles.
Amanda Naylor, directora de ciberpolítica del Consejo de Seguridad Nacional, que ayudó a redactar el memorando junto con la Oficina del Director Nacional de Ciberseguridad, dijo en una publicación de LinkedIn que el memorando daría “a los Estados Unidos nuevas herramientas para proteger a los estadounidenses del cibercrimen y el fraude”.
Pero muchos exfuncionarios y algunos ejecutivos de seguridad expresaron su preocupación de que el nuevo enfoque pudiera ser difícil de promulgar y corriera el riesgo de complicar el ya impredecible mundo de la ciberguerra moderna. Entre otros problemas, parecía que las empresas aprobadas podrían potencialmente tomar acciones que excedan las facultades otorgadas a las propias agencias de seguridad del gobierno, dijo un ex alto funcionario de inteligencia de EE.UU.
La acción ejecutiva de Trump contiene un anexo clasificado que establece un proceso para resolver conflictos entre los hackeos del sector privado y las propias operaciones del gobierno federal. El memorando también especifica que los ataques se limitarán a organizaciones delictivas transnacionales que se consideren independientes de un gobierno extranjero “a menos que exista inteligencia clara que establezca dicha conexión”.
Nick Carr, líder de inteligencia de amenazas en Microsoft y exfuncionario de ciberseguridad, dijo en una publicación de redes sociales que su mayor preocupación era “lo difícil que es la atribución en las operaciones delictivas y lo pocas organizaciones que pueden hacerlo de forma reiterada y correcta”, incluidas las agencias gubernamentales. Añadió, sin embargo, que la orden podría mejorar esos esfuerzos.
Aun así, a menudo es confuso si un grupo de piratas informáticos delictivos, como una banda de ciberladrones de habla rusa, tiene vínculos con una potencia extranjera o si a veces realiza trabajos para una agencia de espionaje de forma secundaria. Michael Garcia, quien se desempeñó como director asociado de política en la Agencia de Ciberseguridad y Seguridad de la Infraestructura hasta su partida en junio, dijo que si bien la atribución había mejorado a lo largo de los años, todavía no era perfecta y que “el ofuscamiento sigue siendo una táctica del demonio”.
Algunos exfuncionarios dijeron que la orden buscaba abordar un problema creciente e insostenible que probablemente solo empeoraría a corto plazo con la inteligencia artificial.
“El ritmo actual de las ciberoperaciones es insostenible solo para el ejército”, dijo Mieke Eoyang, una exfuncionaria del Pentágono que supervisó el uso de ciberarmas militares durante la administración Biden.
Eoyang, ahora profesora visitante en la Universidad Carnegie Mellon, dijo que el éxito del memorando dependería de los procedimientos clasificados para investigar a las empresas y aprobar los objetivos. Añadió que el proceso existente para aprobar ciberoperaciones militares, desarrollado durante la primera administración Trump, era “oneroso, pero tenía en cuenta las consecuencias colaterales y la resolución de conflictos”.
Hasta cierto punto, la nueva orden alinearía más a los Estados Unidos con algunos de sus principales ciberadversarios, incluidos China y Rusia, donde las agencias de espionaje han dependido durante mucho tiempo de piratas informáticos contratados que trabajan en el sector privado para promover sus misiones de seguridad nacional, en parte para otorgar al Estado una negación plausible. Las empresas de tecnología de defensa de EE.UU. también apoyan a la Agencia de Seguridad Nacional y al Cibercomando de EE.UU., pero esa relación generalmente implica suministrar herramientas de hackeo, ciberinteligencia y técnicas operativas a la comunidad de inteligencia y al ejército de EE.UU., en lugar de participar directamente en ciberoperaciones.
Dakota Cary, un experto en el ecosistema de hackeo de China, dijo que históricamente Pekín había copiado varias políticas de ciberseguridad de los Estados Unidos, pero que la nueva política de Trump era una inversión de ese acuerdo.
“En muchos sentidos, la destreza de hackeo de China proviene ahora del hecho de que copiaron nuestro sistema educativo”, dijo Cary, asesor en la empresa estadounidense de ciberseguridad SentinelOne. “Ahora parece que EE.UU. está interesado en copiar el sistema de China para comisionar a piratas informáticos del sector privado”.
Dadas todas sus complejidades, no estaba claro qué empresas podrían participar en el programa, el cual, según algunos abogados, parecía contener un riesgo sustancial.
“Este enfoque del gobierno plantea preguntas novedosas para las empresas que cotizan en bolsa en el sector: incluso si participan en actividades de ‘contraataque informático’ bajo la cobertura o dirección del gobierno de EE. UU., ¿cómo gestionarán el mayor riesgo operativo para sus negocios y clientes, y cómo y cuándo lo divulgarán?“, dijo Vanessa Le, socia de Latham & Watkins que asesora a empresas sobre riesgo geopolítico.
