Trump recluta contratistas cibernéticos privados para hackear grupos criminales extranjeros
La estructura puede invitar a comparaciones con proxies cibernéticos negables, pero las aprobaciones por escrito y el control federal directo están diseñados para abordar la responsabilidad de los contratistas, no para oscurecer el papel de Washington.
By RuntimeWire Staff · Published
Primary source: The White House
Why it matters
The program creates a new federal market for offensive security companies, including startups, while placing them inside operations carrying unusual legal, diplomatic and technical risk.
President Donald Trump firmó un memorando del 12 de agosto que equivale a un programa de mercenarios cibernéticos controlado por el gobierno: empresas estadounidenses verificadas pueden ser contratadas para penetrar, vigilar y perturbar sistemas informáticos usados por grupos extranjeros de ciberdelincuencia.
El límite importa. Estas empresas serán operadores privados ofensivos que trabajarán bajo contrato federal. No serán hackers independientes que elijan sus propios objetivos. El Department of Justice (DOJ) y el Department of Homeland Security (DHS) deben aprobar cada misión, y los contratistas deben actuar en nombre del gobierno de EE. UU. bajo sus autoridades legales.
Esa estructura limita las comparaciones con el modelo de proxys negables que a menudo se asocia con las operaciones cibernéticas rusas. Actores privados ejecutarán misiones, pero los contratos de agencia, las aprobaciones por escrito y las instrucciones emitidas por el gobierno harán explícita la dirección desde EE. UU.
El arreglo puede trasladar la ejecución y parte del riesgo operativo a los contratistas. En el papel, sin embargo, no está diseñado para ocultar el papel de Washington ni reducir la responsabilidad gubernamental por las misiones aprobadas. Su estrategia de responsabilidad va en la dirección contraria: integrar a los contratistas dentro de la cadena de autoridad federal para que puedan alegar autorización legal.
Las empresas participantes podrán llevar a cabo vigilancia encubierta y lo que el memorando llama "operaciones de efectos cibernéticos" bajo la supervisión del cumplimiento de la ley federal. Esas operaciones pueden incluir manipular, interrumpir, negar, degradar o destruir sistemas de información, redes e infraestructura.
La vigilancia puede incluir acceder a sistemas sin la autorización del propietario, permanecer sin ser detectado y recopilar inteligencia para futuras misiones de interrupción.
El programa será gestionado por el National Coordination Center, un organismo interinstitucional al que Trump asignó un rol en ciberdelincuencia mediante una orden ejecutiva del 6 de marzo. DOJ y DHS nombrarán cada uno un director ejecutivo para supervisar el programa.
Toda operación propuesta requerirá la aprobación y las instrucciones por escrito de ambos directores. Las empresas operarán mediante contratos con DOJ o DHS, y sus acciones deben ser realizadas en nombre del gobierno federal.
Un mercado federal para empresas cibernéticas ofensivas
El memorando ordena a los funcionarios redactar reglas de elegibilidad que acomoden tanto a grandes contratistas como a empresas más pequeñas adecuadas para asignaciones especializadas.
Eso abre un mercado federal para fundadores de seguridad ofensiva que históricamente han vendido herramientas, inteligencia sobre amenazas o experiencia técnica mientras dejaban al gobierno la ejecución de intrusiones.
Las empresas deberán demostrar:
- Competencia técnica
- Experiencia operativa
- Instalaciones seguras
- Personal verificado
- Fiabilidad y competencia
DOJ y DHS también pueden exigir que cada participante mantenga una fianza o cuenta de garantía de al menos $1 millón, que puede ser confiscada por violar su contrato.
Los participantes pueden firmar acuerdos comerciales con empresas que recopilan datos sobre amenazas mediante operaciones ordinarias. Las agencias estatales, locales, tribales y territoriales también pueden identificar grupos criminales y proporcionar esa información a los contratistas, que luego pueden proponer operaciones al centro de coordinación.
Todas esas relaciones deben ser divulgadas al gobierno.
Eso crea un modelo de negocio más allá de un contrato federal de servicios convencional. Un proveedor de seguridad podría recibir inteligencia de bancos, proveedores de nube, empresas de telecomunicaciones u otros objetivos frecuentes, preparar una operación y solicitar la autorización gubernamental para ejecutarla.
Las reglas de implementación decidirán cómo se paga a los contratistas, cómo se maneja la información y qué empresas pueden cumplir los requisitos de seguridad.
Los funcionarios tienen 60 días para redactar esos procedimientos. El primer informe del programa debe entregarse dentro de 180 días, seguido de informes anuales al asesor de seguridad nacional de la Casa Blanca y al director nacional de ciberseguridad.
El gobierno mantiene el control de objetivos y misiones
El programa es más estrecho que una autorización general para que las empresas tomen represalias contra hackers.
Los contratistas no pueden elegir un objetivo y atacar de forma independiente. DOJ y DHS deben revisar cada paquete de operaciones, coordinarse con otras agencias de seguridad nacional y autorizar la actividad antes de que comience.
El memorando limita los objetivos a organizaciones criminales transnacionales extranjeras habilitadas por medios cibernéticos. Excluye a grupos que sean partes institucionales de gobiernos extranjeros o que operen totalmente bajo la dirección de un gobierno.
El programa presumirá que un grupo es independiente a menos que inteligencia clara establezca una conexión estatal.
Esa presunción pone la atribución en el centro del riesgo. Grupos de ransomware y otras operaciones de ciberdelito pueden tener relaciones cambiantes con servicios de inteligencia, funcionarios gubernamentales y autoridades locales. Una clasificación errónea podría convertir una interrupción policial en una operación contra infraestructura vinculada a un estado extranjero.
Los dos directores del programa no pueden aprobar una operación que sea probable que cause la muerte o lesiones graves, ni una que califique como uso de la fuerza o ataque armado según el derecho internacional.
Los contratistas deben detener una operación, minimizar cualquier información recogida y alertar al gobierno si, sin intención, atacan a una persona de EE. UU., a un sistema con base en EE. UU. o a un sistema controlado por una persona de EE. UU.
También deben notificar al centro de coordinación si una operación puede producir uno de esos resultados críticos, o si descubren un ataque inminente contra infraestructura crítica de EE. UU.
El memorando intenta resolver el problema de responsabilidad por contraataques
El hacking privado ha conllevado durante mucho tiempo exposición penal y civil bajo la Computer Fraud and Abuse Act, incluso cuando una empresa cree que está persiguiendo a un atacante.
La ley contiene una excepción para actividad investigativa, de protección o de inteligencia legalmente autorizada por una agencia de aplicación de la ley o de inteligencia de EE. UU.
El memorando de Trump se estructura alrededor de esa excepción. Requiere contratos de agencia, aprobación federal y supervisión gubernamental directa, y dice que las empresas participantes actuarán bajo la autoridad de EE. UU.
Eso puede reducir la exposición de los contratistas bajo la ley estadounidense. No crea la distancia asociada con un proxy negable. La cadena de mando por escrito fortalece la conexión entre una operación aprobada y el gobierno federal.
Un análisis de Lawfare publicado antes de que se estableciera el programa advirtió que la acción ejecutiva por sí sola podría no resolver la responsabilidad de los contratistas bajo leyes federales, estatales y extranjeras.
Las reglas operativas tendrán que abordar esa exposición si DOJ y DHS esperan que empresas más pequeñas acepten misiones que podrían desencadenar litigios, represalias o disputas con gobiernos extranjeros.
El gobierno ya ha mostrado cómo una intrusión supervisada puede desmantelar infraestructura criminal. En la operación de 2023 contra el ransomware Hive, el FBI penetró encubiertamente la red del grupo, obtuvo claves de descifrado y más tarde incautó servidores con las autoridades alemana y neerlandesa. DOJ dijo que la operación ayudó a evitar más de $130 millones en demandas de rescate.
El programa de Trump está diseñado para añadir capacidad del sector privado a ese modelo. Su alcance dependerá de qué contratistas superen el proceso de verificación, qué protección legal provean sus acuerdos y si DOJ y DHS pueden supervisar a operadores privados sin entorpecer la velocidad que los hizo atractivos en primer lugar.