La Casa Blanca ha autorizado a empresas privadas a lanzar ciberataques ofensivos contra ciberdelincuentes extranjeros. El memorándum que he analizado rompe una línea que administraciones anteriores, republicanas y demócratas, habían mantenido durante años: la acción ofensiva en el ciberespacio quedaba reservada al Ejército y a los servicios de inteligencia.
Hasta ahora, la colaboración con compañías tecnológicas se limitaba a proporcionar medios, información sobre amenazas y herramientas. Ahora, según el documento, las empresas seleccionadas podrán intervenir directamente para penetrar sistemas, vigilar redes criminales e incluso alterar o destruir infraestructuras digitales. La Casa Blanca sostiene que esta puerta le permitirá combatir las crecientes amenazas; los expertos consultados por El Periódico advierten del coste de externalizar un ámbito tan sensible de la seguridad nacional.
Una autorización sin precedentes
El memorándum fija tres condiciones operativas que conviene desglosar:
- Compañías previamente seleccionadas y con autorización gubernamental.
- Coordinación con los Departamentos de Justicia y de Seguridad Nacional.
- Limitación a organizaciones criminales transnacionales consideradas independientes de un gobierno extranjero, salvo que existan datos de inteligencia claros que demuestren conexión estatal.
Ese matiz final cambia la naturaleza del permiso. Introduce una excepción que puede abrir la puerta a ataques contra infraestructuras con vínculo estatal si la inteligencia lo justifica. Para Pekín, Moscú o Teherán, la diferencia entre un grupo criminal y un apéndice del Estado no siempre es nítida.
“Si conviertes el ciberespacio en un territorio donde todo vale y cualquiera puede atacar a quien quiera, puedes estar sentando las bases de un escenario de ciberataques mucho más escalatorio” — Josephine Wolff, directora del Centro Hitachi de Tecnología y Asuntos Internacionales de la Universidad de Tufts, en declaraciones a El Periódico.
Wolff añade una consecuencia directa: no solo estarán los delincuentes que ya lanzaban ciberataques, sino también empresas tecnológicas que toman represalias. El problema de fondo, me detengo en él, es la atribución.
El riesgo de la atribución y la negación creíble
Atribuir el origen de un ataque no es tan sencillo. “Puedes saber con bastante seguridad de qué máquina salió un ataque, pero no quién estaba controlando esa máquina cuando se inició”, explica la experta. Un ciberdelincuente puede apropiarse de máquinas ajenas y usarlas para ocultar su origen. Por tanto, una empresa estadounidense podría atacar a un usuario intermediario o caer en una provocación deliberada contra un tercero.
Ese riesgo de error introduce la llamada negación creíble: un Estado puede beneficiarse de acciones realizadas por actores ajenos a sus instituciones, sobre todo si algo sale mal. El temor no es abstracto: si Moscú, Pekín o Teherán interpretan que Washington ha golpeado infraestructura estratégica, la represalia podría ser inmediata y el Gobierno estadounidense tendría margen para calificarla de no provocada.
“Si permites que una empresa estadounidense ataque al Gobierno chino, no está del todo claro que la legislación estadounidense sea la ley más importante que podría estar infringiendo” — Josephine Wolff, directora del Centro Hitachi, en declaraciones a El Periódico.
Esa ironía resume la fragilidad jurídica del cambio: los ataques cibernéticos no respetan fronteras y ninguna legislación nacional puede blindarlos por sí sola.
Un giro hacia un ciberespacio más escalatorio
Aquí es donde veo la contradicción central. Existe consenso en que los gobiernos no consiguen contener por sí solos el volumen creciente de delitos, espionaje y ataques contra infraestructuras críticas, y en que el sector privado está más avanzado tecnológicamente. La discrepancia no está en el diagnóstico, sino en la solución.
Facilitar que más agentes puedan lanzar ciberataques no reduce la superficie del problema: la multiplica. La propia Wolff defiende justo lo contrario: “hay que hacer más difícil lanzar ciberataques e invertir más recursos en tecnologías defensivas”. Y el efecto dominó es previsible: si Estados Unidos autoriza a sus empresas, otros Estados reclamarán el mismo derecho para no quedar en desventaja.
El resultado, en mi lectura, es un ciberespacio más poblado de actores con capacidad ofensiva y menos responsables políticamente. Cambiar la legislación estadounidense no convierte una acción en legal fuera de sus fronteras; el carácter transnacional de los ataques complica aún más la regulación. Habrá que seguir la respuesta de la Unión Europea y de los aliados de la OTAN, porque una doctrina de ciberataque privado autorizado altera los equilibrios globales de disuasión.
🌍 El impacto en España y Europa
El impacto directo en España es limitado en lo operativo, pero relevante en lo normativo y en la exposición indirecta del sector tecnológico.
- Las grandes empresas de ciberseguridad europeas y estadounidenses con operaciones en España podrían verse presionadas a posicionarse ante un marco que externaliza la respuesta ofensiva.
- El ecosistema español de ciberseguridad, muy dependiente de tecnología estadounidense, deberá vigilar si sus socios entran en la lista de compañías autorizadas para hack back.
- En el plano geopolítico, si la UE replica una doctrina similar para contrarrestar a China y Rusia, Bruselas y Madrid tendrán que aclarar reglas de responsabilidad legal; el sector financiero y las infraestructuras críticas europeas son objetivo prioritario de campañas apoyadas por Estados.
- No hay impacto inmediato en el Euríbor ni en las hipotecas variables, pero un ciberespacio más escalatorio eleva la prima de riesgo sistémico que el BCE vigila en sus pruebas de resistencia a la banca.
