EE.UU. externaliza la piratería ofensiva. Saber a quién atacar es el problema

El memorando presidencial parece una división limpia del trabajo: el gobierno establece las reglas, las empresas privadas de ciberseguridad hacen el hacking. En la práctica, el programa otorga a esas empresas el poder de vigilar y perturbar redes criminales extranjeras, y les pide que tomen una decisión de selección de objetivos que, según los investigadores de seguridad, suele ser imposible.

El programa, reportado por primera vez por Bloomberg y detallado por The Verge, describe a las empresas privadas como "subutilizadas" en la lucha contra las redes criminales. "Es política de los Estados Unidos utilizar todos los instrumentos del poder nacional, incluidas las capacidades innovadoras del sector privado, para combatir el cibercrimen", afirma el memorando presidencial.

Lo que el memorando realmente autoriza

Las empresas que se unen operan "bajo el control y supervisión" del gobierno federal, con permiso para vigilar y perturbar redes criminales. El Departamento de Justicia y el Departamento de Seguridad Nacional las supervisan, y las empresas deben cumplir requisitos de evaluación que incluyen "competencia técnica, desempeño comprobado de operaciones cibernéticas, seguridad de las instalaciones" y más.

El respaldo financiero es una fianza o depósito en garantía de al menos 1 millón de dólares, que las empresas pierden si no cumplen con el acuerdo contractual. El memorando también establece un límite en los objetivos: las empresas solo pueden hackear a grupos que "no sean una parte institucional de un gobierno extranjero ni estén totalmente operados bajo la dirección de un gobierno extranjero".

Requisito	Lo que dice el memorando
Supervisión	DOJ y DHS; las empresas actúan "bajo el control y supervisión" del gobierno federal
Elegibilidad	"Competencia técnica, desempeño comprobado de operaciones cibernéticas, seguridad de las instalaciones" y más
Garantía financiera	Fianza o depósito en garantía de al menos 1 millón de dólares, perdido por incumplimiento
Límite de objetivos	Grupos que no sean "una parte institucional de un gobierno extranjero ni estén totalmente operados bajo la dirección de un gobierno extranjero"

El problema de atribución que el memorando no puede resolver

Ese límite de objetivos suena como una barrera de protección. Aplicarlo es otra cuestión. Cybersecurity Dive, que señaló el problema después de que apareciera el memorando, señala que identificar qué grupos criminales están afiliados a gobiernos extranjeros suele ser difícil, y que un error podría poner a las empresas en riesgo de avivar conflictos geopolíticos o legales.

Ben Bernstein, gerente del equipo de asesores de ciberseguridad en Huntress, explica por qué la distinción se desmorona en la práctica. "Los actores de amenazas no lanzan ataques desde servidores etiquetados en Moscú; enrutan el tráfico a través de infraestructura comprometida e inocente, como un router vulnerable en una consulta dental en Ohio o una red hospitalaria", dice Bernstein. "Eso hace que sea prácticamente imposible 'responder al ataque' sin afectar a inocentes que no tienen nada que ver."

Una política diseñada para atacar a delincuentes es, en la práctica, una política de atacar infraestructura que no pertenece a nadie en particular.

Riesgo legal y personal para los operadores estadounidenses

Quienes hacen el trabajo cargan con una exposición que un contrato federal no borra. Jason Healey, investigador senior de conflictos cibernéticos en la Universidad de Columbia, dijo a Cybersecurity Dive que "cualquiera que realice estas operaciones lo hace con un riesgo legal personal sustancial".

Jake Williams, vicepresidente de investigación y desarrollo en Hunter Strategy, dijo a TechCrunch, según informó The Verge, que "los estadounidenses que participan en estas operaciones podrían ser fácilmente clasificados como combatientes no uniformados mientras viajan al extranjero".

Esa etiqueta tiene un peso real. Un combatiente no uniformado no recibe las protecciones que recibe un soldado. En una jurisdicción extranjera, un contratista que irrumpe en la red equivocada no puede apoyarse en la inmunidad soberana; el lenguaje de "control y supervisión" del memorando es precisamente la línea que se pondría a prueba si una operación saliera mal.

La fianza opera de la misma manera. Existe para mantener honestas a las empresas, pero también significa que el primer golpe financiero en cualquier operación fallida recae sobre la empresa, no sobre el gobierno.

Del monopolio estatal al ciberataque ofensivo privatizado

El cambio pone fin a un acuerdo de larga data. El gobierno de EE.UU. llevaba a cabo sus propias operaciones cibernéticas en lugar de depender de terceros, y el presidente Donald Trump comenzó a hacer planes para incorporar a las empresas privadas de ciberseguridad el año pasado, según Bloomberg.

Externalizar el hacking ofensivo no es como externalizar otros trabajos gubernamentales. Las decisiones de criterio ocurren a través de las fronteras, con una atribución que rara vez es clara y consecuencias difíciles de contener. La advertencia de Cybersecurity Dive sobre conflictos geopolíticos no es hipotética: describe lo que sucede cuando una empresa privada, persiguiendo una red criminal, aterriza en infraestructura que un gobierno extranjero considera propia.

El programa es una apuesta a que el gobierno pueda evaluar y supervisar a empresas que a su vez apuestan un millón de dólares, y la libertad de sus empleados, a la cuestión de la selección de objetivos. El memorando no explica cómo el gobierno hará que esa pregunta pueda responderse. Solo llama al sector privado "subutilizado". La brecha entre la ambición y la mecánica es donde esta política vivirá o morirá.