El gobierno federal está abriendo una puerta que ha estado cerrada durante décadas: permitir que las empresas privadas contraataquen a los hackers a la ofensiva, no solo a la defensiva. Bajo una nueva política de la administración Trump, las firmas de seguridad verificadas pronto podrían estar autorizadas a lanzar operaciones cibernéticas privadas de EE. UU. contra redes criminales extranjeras que apunten a estadounidenses en línea, un cambio que rompe con décadas de política que prohibía a actores privados tomar medidas ofensivas sin la aprobación de un tribunal.
Summary
Puntos clave
- Un Memorando Presidencial de Seguridad Nacional, fechado el 13 de agosto de 2026, ordena al Centro Nacional de Coordinación (NCC) crear un programa que permita a firmas privadas verificadas llevar a cabo operaciones cibernéticas ofensivas contra ciberdelincuentes extranjeros.
- Los objetivos elegibles incluyen bandas de ransomware, esquemas de sextorsión, campañas de phishing, redes de fraude financiero y estafas de suplantación de identidad vinculadas a organizaciones criminales transnacionales.
- Las empresas participantes deben ser aprobadas por los Departamentos de Justicia y de Seguridad Nacional, cumplir estrictos estándares técnicos y de verificación, y depositar un depósito en garantía de 1 millón de dólares que se pierde en caso de incumplimiento.
- Las operaciones pueden incluir el despliegue de software espía, bloqueos basados en cifrado y ataques distribuidos de denegación de servicio, pero no pueden causar pérdida de vidas, lesiones graves ni llegar al nivel de “uso de la fuerza” según el derecho internacional.
- Los Departamentos de Justicia y de Seguridad Nacional tienen 60 días para detallar cómo funcionará realmente el programa.
El gobierno de EE. UU. autoriza operaciones cibernéticas ofensivas del sector privado
Por primera vez, Washington está invitando a empresas privadas a contraatacar a hackers en el extranjero bajo autorización federal, en lugar de confinarlas estrictamente a la defensa. El memorando, firmado por el presidente Donald Trump, instruye al Centro Nacional de Coordinación, que depende del Grupo de Trabajo de Seguridad Nacional, a desarrollar un programa formal para estas operaciones, con la supervisión dividida entre los Departamentos de Justicia y de Seguridad Nacional.
La política está dirigida directamente a las organizaciones criminales transnacionales, grupos que el memo define como entidades extranjeras que cometen delitos habilitados por medios cibernéticos contra el gobierno de EE. UU., personas estadounidenses o intereses estadounidenses sin ser un brazo oficial de otro gobierno. Una hoja informativa publicada junto con la orden menciona a los operadores de ransomware, esquemas de sextorsión, campañas de phishing, redes de fraude financiero y estafas de suplantación de identidad como objetivos legítimos para las firmas participantes. Según las cifras citadas en la hoja informativa de la Casa Blanca, los consumidores estadounidenses reportaron haber perdido más de 20,8 mil millones de dólares por delitos habilitados por medios cibernéticos solo en 2025, una cifra que subraya por qué los funcionarios están mirando más allá de las herramientas tradicionales de aplicación de la ley.
¿Por qué esto importa más allá del lenguaje de la política? Marca un cambio estructural en la forma en que EE. UU. enfrenta el ciberdelito que cruza fronteras. En lugar de depender únicamente de investigaciones del FBI, sanciones o presión diplomática, el gobierno ahora está posicionando la experiencia del sector privado como un arma de primera línea contra redes criminales que a menudo han operado con casi total impunidad desde jurisdicciones a las que EE. UU. no puede acceder fácilmente.
Requisitos de participación y limitaciones operativas
No cualquier proveedor de seguridad puede inscribirse. Las firmas que deseen participar deben superar un proceso de verificación gestionado conjuntamente por los Departamentos de Justicia y de Seguridad Nacional antes de firmar un contrato formal, y el listón de entrada es deliberadamente alto.
Verificación, estándares y el depósito en garantía de 1 millón de dólares
El memo establece estándares mínimos que las empresas participantes deben cumplir, incluyendo competencia técnica, un historial comprobado en operaciones cibernéticas, seguridad de las instalaciones, verificación del personal, competencia y fiabilidad. Los directores ejecutivos del programa, trabajando con el Consejo de Seguridad Nacional, determinarán exactamente cómo se ve una “alta confianza” en la capacidad de una firma antes de aprobarla.
En el plano financiero, las apuestas también son reales. Las empresas deben depositar al menos 1 millón de dólares en una cuenta de depósito en garantía**, dinero que se pierde si violan los términos de su acuerdo contractual. Las firmas también están obligadas a detener inmediatamente las operaciones y notificar al NCC si detectan actividad que exceda los límites aprobados, incluyendo cualquier objetivo accidental de ciudadanos estadounidenses o sistemas ubicados en EE. UU. Esa salvaguarda está destinada a evitar escenarios de fuego amigo en los que una operación ofensiva se desvíe hacia redes domésticas.
Operaciones cibernéticas permitidas y límites legales
El programa traza una línea clara entre tácticas digitales agresivas y cualquier cosa que pueda causar daño en el mundo real. Las firmas aprobadas podrán llevar a cabo lo que el memo denomina Operaciones de Vigilancia Cibernética y Operaciones de Efectos Cibernéticos, una terminología que deja espacio para un conjunto de herramientas ofensivas bastante amplio.
Qué está permitido y qué está fuera de los límites
Según el lenguaje del memo, las empresas podrían desplegar software espía, usar cifrado para bloquear a los grupos criminales de sus propios sistemas o lanzar ataques distribuidos de denegación de servicio diseñados para interrumpir la infraestructura de un objetivo. Hasta ahora, el gobierno generalmente ha prohibido al sector privado realizar este tipo de acciones ofensivas sin aprobación autorizada por un tribunal, lo que hace que este cambio sea notable.
Sin embargo, existe un techo rígido sobre lo que está permitido. Las operaciones no pueden producir lo que el memo denomina “Resultados Críticos”, lo que significa que no puede haber pérdida de vidas, ni lesiones graves, ni nada que califique como uso de la fuerza o ataque armado según el derecho internacional. Esa restricción está destinada a evitar que las operaciones de contraataque se conviertan en algo que se asemeje a un conflicto armado, incluso mientras otorga a actores privados herramientas que antes estaban reservadas para agencias gubernamentales.
Qué sucede a continuación
El marco existe sobre el papel, pero la realidad operativa aún se está escribiendo. Los Departamentos de Justicia y de Seguridad Nacional tienen 60 días para definir los detalles de cómo funcionará el programa en el día a día, incluyendo cómo se estructuran los contratos y cómo se aplicará realmente la supervisión.
Escepticismo de expertos sobre los incentivos
El investigador de seguridad independiente Kevin Beamont acogió parte del concepto, pero señaló una preocupación real sobre cómo se desarrollará en la práctica. “Definitivamente hay mérito en la idea de hackear a los grupos de ransomware y de hecho ya sucede (no me preguntes cómo lo sé)”, dijo, y añadió que “tienen que existir los incentivos correctos”.
Beamont fue más allá, señalando un patrón que ha observado en la industria: “El mayor problema que he tenido al luchar contra el ransomware en los últimos 5 años es que las empresas cibernéticas privadas básicamente hacen lobby para que nada cambie. Muchas empresas han ganado mucho dinero, así que ponerlas a cargo de detenerlo parece optimista”.
Esa tensión toca la cuestión central que se cierne sobre toda esta iniciativa. Entregar capacidades ofensivas a empresas que se benefician de la persistencia del ciberdelito podría crear un programa que parezca duro sobre el papel pero que tenga dificultades para ofrecer resultados si los incentivos subyacentes no cambian. Si los Departamentos de Justicia y de Seguridad Nacional incorporan suficiente rendición de cuentas cuando finalicen las normas en las próximas semanas probablemente determinará si este nuevo capítulo de operaciones cibernéticas privadas de EE. UU. se convierte en una interrupción significativa de las redes de hacking transnacionales o simplemente en otra capa de burocracia contratada.
Preguntas frecuentes
¿Qué tipos de grupos ciberdelincuentes pueden ser objetivo de las firmas privadas bajo el nuevo programa?
Las firmas privadas pueden tener como objetivo a organizaciones criminales transnacionales extranjeras involucradas en ransomware, sextorsión, phishing, fraude financiero y estafas de suplantación de identidad.
¿Qué restricciones se imponen a las operaciones cibernéticas realizadas por firmas de seguridad privadas?
Las operaciones no deben causar pérdida de vidas, lesiones graves ni calificar como uso de la fuerza según el derecho internacional, y deben cumplir con las leyes y la supervisión de EE. UU.
¿Cómo se seleccionan las firmas de seguridad privadas para participar en el programa cibernético ofensivo?
Las firmas deben ser verificadas y aprobadas por los Departamentos de Justicia y de Seguridad Nacional, cumplir con estándares técnicos y de seguridad, y depositar un millón de dólares en garantía.
¿Cuándo se publicarán los procedimientos operativos detallados para este programa?
Los Departamentos de Justicia y de Seguridad Nacional están obligados a definir los detalles del programa dentro de los 60 días a partir de la fecha del memorando.
{«@context»:»https://schema.org»,»@type»:»FAQPage»,»mainEntity»:[{«@type»:»Question»,»name»:»¿Qué tipos de grupos ciberdelincuentes pueden ser objetivo de las firmas privadas bajo el nuevo programa?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Las firmas privadas pueden tener como objetivo a organizaciones criminales transnacionales extranjeras involucradas en ransomware, sextorsión, phishing, fraude financiero y estafas de suplantación de identidad.»}},{«@type»:»Question»,»name»:»¿Qué restricciones se imponen a las operaciones cibernéticas realizadas por firmas de seguridad privadas?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Las operaciones no deben causar pérdida de vidas, lesiones graves ni calificar como uso de la fuerza según el derecho internacional, y deben cumplir con las leyes y la supervisión de EE. UU.»}},{«@type»:»Question»,»name»:»¿Cómo se seleccionan las firmas de seguridad privadas para participar en el programa cibernético ofensivo?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Las firmas deben ser verificadas y aprobadas por los Departamentos de Justicia y de Seguridad Nacional, cumplir con estándares técnicos y de seguridad, y depositar un millón de dólares en garantía.»}},{«@type»:»Question»,»name»:»¿Cuándo se publicarán los procedimientos operativos detallados para este programa?»,»acceptedAnswer»:{«@type»:»Answer»,»text»:»Los Departamentos de Justicia y de Seguridad Nacional están obligados a definir los detalles del programa dentro de los 60 días a partir de la fecha del memorando.»}}]}
Artículo producido con la ayuda de inteligencia artificial y revisado por el equipo editorial.
