El presidente Donald Trump está pavimentando una vía legal para que las empresas estadounidenses inicien ciberataques en bandas cibercriminales extranjeras, una medida significativa y potencialmente controvertida que pondría a las firmas de tecnología y ciberseguridad aprobadas en las primeras líneas de combate digital.

El memorándum presidencial, lanzado el miércoles pasado, viene como la administración Trump ha empujado repetidamente a una acción más agresiva para contrarrestar estafas y ciberataques extranjeros, que la Casa Blanca dijo que costaron a los estadounidenses casi $21 mil millones el año pasado.

El memorando representa uno de los mayores cambios en la política cibernética de los Estados Unidos emprendidos en los últimos años. Empoderaría a las empresas tecnológicas y de seguridad, cuyos datos y control sobre la infraestructura de Internet a menudo ofrecen una visión única de las operaciones de piratería externa, para montar huelgas digitales con sanciones estatales.

Si bien muchas de esas empresas ya trabajan en estrecha colaboración con los organismos de inteligencia y represión de los Estados Unidos, una red de limitaciones jurídicas y políticas les ha impedido desde hace mucho tiempo adoptar medidas directas dentro de las redes extranjeras.

Las empresas que quieran participar deberán firmar contratos tanto con el Departamento de Justicia como con el Departamento de Seguridad Nacional y someterse a lo que el memorando describe como “veta rígora” mientras trabajan con el gobierno. El esfuerzo general sería supervisado por un Centro Nacional de Coordinación, establecido en un anterior orden ejecutivo de la administración Trump, con directores co-ejecutivos de DOJ y DHS.

Sin embargo, el memorando afirma que ninguna operación de las empresas sería aprobada hasta que los directores ejecutivos de DOJ y DHS establezcan “procesos de consenso” con el Consejo de Seguridad Nacional de la Casa Blanca garantizando “supervisión completa y control del desempeño de las empresas participantes”.

Esos procedimientos deben redactarse en un plazo de 60 días. Es probable que sean extensas.

Esbozarán pasos para que las empresas participantes obtengan aprobación para las operaciones de piratería ofensiva propuestas, por lo que el gobierno puede confirmar que los objetivos son bandas criminales y asegurar que las operaciones sean compatibles con la ley estadounidense y no socavan los esfuerzos de inteligencia de Estados Unidos. Las empresas podrían proponer operaciones de vigilancia para ayudar a identificar delincuentes o operaciones de “efectos” para degradar los sistemas que utilizan para organizar sus ataques.

Las empresas participantes tendrían que aprobar normas mínimas para los conocimientos técnicos y la investigación del personal, y tendrían que notificar al gobierno federal si creen que las operaciones aprobadas pueden dar lugar a la pérdida de vidas o al aumento del nivel de uso de la fuerza en virtud del derecho internacional.

Algunos ven el memorando como un paso crítico para ayudar al gobierno de Estados Unidos a contrarrestar las pandillas ciberdelincuentes extranjeras que operan fuera del alcance de la policía estadounidense.

“Durante años hemos llamado a la industria tecnológica estadounidense como un activo estratégico pero lo dejamos en las líneas cibernéticas”, dijo Joe Lin, CEO y cofundador de Veinte, un start-up que construye herramientas cibernéticas ofensivas para el gobierno de Estados Unidos en una declaración. “Esta administración está cambiando el paradigma”.

El memorando señala que sólo se autorizará a las empresas a dirigirse a delincuentes que “no son una parte institucional de un gobierno extranjero o operado totalmente bajo la dirección de un gobierno extranjero”.

Incluso con la ayuda de la comunidad de inteligencia estadounidense, hacer esa distinción podría ser difícil.

Adversarios como Rusia, China e Irán han apuntado persistentemente la infraestructura crítica estadounidense, incluyendo sistemas de agua, puertos e infraestructura de telecomunicaciones, mientras que los sindicatos del crimen multinacional han defraudado miles de millones de dólares anuales de los estadounidenses a través de complejos esquemas en línea.

Pero muchas pandillas cibernéticas en Europa del Este se cree que operan con el consentimiento tácito del gobierno ruso, mientras que los hackers estatales en Irán y China a veces la luz de la luna como cibercriminales para ganar dinero extra o desviar la culpa por los ataques de sus gobiernos.

En términos más generales, no siempre es fácil para los investigadores digitales determinar quién es responsable de un ciberataque dado, o a quién pertenecen diferentes redes informáticas, otro riesgo que el memo contempla.

Las empresas que accidentalmente realicen operaciones dirigidas a un ciudadano o red de los Estados Unidos serán obligadas a pausar inmediatamente la operación y notificar al gobierno de los Estados Unidos, los estados del memorando. No parece excluir las actividades deliberadamente “dirigidas” a una persona estadounidense, siempre y cuando reciban “cualquier autorización necesaria, judicial o de otro tipo, antes de la aprobación de la operación”. Bajo la ley estadounidense, una “persona estadounidense” puede referirse a un negocio u organización estadounidense.

Muchos legisladores y expertos en seguridad han apoyado ampliamente los llamamientos al sector privado para que desempeñe un papel más importante en la respuesta al delito cibernético, aunque no todos aprueban otorgarles la capacidad de lanzar esfuerzos activos de piratería.

En los últimos años, algunos miembros de la Cámara han debatido la idea de emitir “cartas de marque” a empresas privadas para llevar a cabo ciberataques en nombre del gobierno de los Estados Unidos, similar a la Armada de los Estados Unidos autorizando barcos privados para interrumpir el transporte marítimo británico durante la Guerra de 1812.

Como parte de una postura cibernética más asertiva, Trump ha recurrido al Comando Cibernético de Estados Unidos para montar ataques digitales en tándem con operaciones militares estadounidenses, incluso en Irán y Venezuela. Firmó una orden ejecutiva este mes de marzo para aferrarse a países que no toman medidas contra centros de estafa operando dentro de sus fronteras.

Ese mismo mes, la Casa Blanca exhortó al sector privado a que le ayudara en términos generales a “disruptar” a los adversarios extranjeros en su nueva estrategia cibernética nacional, aunque dejó de decirle a las empresas privadas que tomaran medidas más riesgosas y consiguientes, como lanzar ataques directamente contra delincuentes extranjeros.

Algunas de las operaciones de fraude en línea más prolíficas se cree que emanan de compuestos de estafa en el sudeste asiático. Pero los hackers de Corea del Norte —que durante años han robado cientos de millones de personas en criptomoneda de víctimas en todo el mundo— probablemente estarían exentos de atacar por las empresas estadounidenses desde que trabajan en la dirección del gobierno norcoreano.