La Casa Blanca abre la puerta a que empresas privadas realicen ciberoperaciones ofensivas

El nuevo programa contra la ciberdelincuencia extranjera

Un memorando presidencial estadounidense firmado el miércoles encarga al National Coordination Center (NCC) la creación de un programa para involucrar a empresas privadas de ciberseguridad en operaciones ofensivas contra organizaciones cibercriminales extranjeras.

La noticia se hizo pública el 13 de agosto de 2026. La iniciativa pretende atacar a grupos dedicados al ransomware, el phishing, el fraude financiero, la sextorsión, las estafas basadas en la suplantación de identidad y las operaciones de fraude romántico o financiero gestionadas desde los llamados compound.

El Gobierno estadounidense mantendrá el control de las actividades. Por tanto, las empresas no recibirán una autorización general para actuar de forma autónoma contra infraestructuras criminales, sino que podrán operar dentro de misiones definidas y aprobadas por las autoridades federales.

La Casa Blanca sostiene que los consumidores estadounidenses declararon pérdidas superiores a 20.800 millones de dólares por ciberdelincuencia en 2025. El objetivo declarado es aprovechar capacidades del sector privado que, según el memorando, no se habrían utilizado suficientemente para identificar y desarticular redes criminales en línea.

No se sabe si alguna empresa ya ha aceptado participar o si las operaciones ya han comenzado. Tampoco se han indicado los nombres de las compañías autorizadas, los productos de software implicados, el malware, las direcciones IP, los dominios u otros indicadores técnicos.

Cómo funcionarán las autorizaciones y la supervisión federal

Cada operación deberá ser aprobada previamente por funcionarios del Department of Justice (DOJ) y del Department of Homeland Security (DHS). El memorando establece que cada “paquete” operativo deberá ser revisado y aprobado por escrito.

Antes del inicio, la empresa recibirá instrucciones formales sobre los límites y objetivos de la actividad. La supervisión estará a cargo de directores ejecutivos designados por el DOJ y el DHS, mientras que el NCC coordinará el programa.

Las agencias federales tendrán dos meses para definir los procedimientos operativos, los estándares mínimos de participación, los criterios de selección de objetivos y la forma en que las empresas deberán informar de sus actividades al Gobierno.

Los requisitos deberían incluir:

• competencia técnica verificable;
• experiencia documentada en operaciones cibernéticas;
• seguridad de las instalaciones;
• verificación del personal;
• fiabilidad empresarial;
• garantías organizativas y operativas adicionales.

Las compañías deberán firmar contratos con el DOJ o el DHS y comunicar al Gobierno federal todas sus relaciones contractuales. Además, estarán sujetas a evaluaciones anuales para conservar su autorización, deberán presentar informes periódicos y colaborar con autoridades federales, estatales, locales, tribales y territoriales.

El programa también podría permitir el acceso a información gubernamental sobre amenazas para planificar las operaciones. Este elemento podría aumentar la eficacia de las misiones, pero hace aún más relevantes los controles sobre la gestión de información clasificada o sensible.

Límites operativos y gestión de errores

El memorando excluye las operaciones que pudieran provocar pérdidas de vidas humanas o alcanzar el umbral de “uso de la fuerza” o de “ataque armado” conforme al derecho internacional.

También se contemplan procedimientos para los errores de identificación y para superar los límites autorizados. Si una empresa atacara involuntariamente a una persona estadounidense, un sistema situado en Estados Unidos o un sistema controlado por un ciudadano estadounidense, debería interrumpir inmediatamente la operación.

Asimismo, tendría que aplicar medidas de minimización, informar al NCC y aportar los elementos necesarios para la posterior notificación al Department of Justice.

Las empresas también estarían obligadas a informar al Gobierno sobre:

• ataques inminentes contra infraestructuras críticas estadounidenses;
• conspiraciones o actividades potencialmente capaces de causar víctimas.

Las actividades deberán respetar la Constitución de Estados Unidos, la legislación federal y las obligaciones internacionales aplicables. Sin embargo, el documento deja menos claro cómo se tratarán los casos en los que un grupo criminal transnacional esté vinculado a servicios de inteligencia, estructuras militares o Gobiernos extranjeros.

Esta zona gris es fundamental. Una operación contra una organización aparentemente criminal podría generar consecuencias diplomáticas o militares si su infraestructura estuviera respaldada, protegida o controlada por un Estado.

Garantías económicas y responsabilidad de las empresas

Las empresas participantes deberán aceptar importantes obligaciones contractuales. Se contempla una garantía o un depósito en escrow de al menos un millón de dólares, que podría perderse en caso de incumplimiento de los acuerdos.

El mismo umbral también se describe como la penalización mínima aplicable a la violación de cualquier parte del contrato. El texto publicado no aclara todos los detalles del mecanismo, pero el principio es claro: la empresa deberá asumir una exposición económica directa si no respeta las reglas operativas.

Otros aspectos de la responsabilidad siguen siendo menos claros. Expertos en ciberseguridad han señalado la escasez de protecciones legales explícitas y la falta de detalles sobre los protocolos que deberán seguirse cuando una operación cause daños o afecte al objetivo equivocado.

La seguridad personal de los operadores también constituye un problema concreto. Las empresas involucradas podrían convertirse en objetivos de represalias, al igual que sus empleados y directivos. El riesgo podría aumentar en operaciones contra grupos respaldados directa o indirectamente por Gobiernos extranjeros.

Jason Kikta, CTO de Automox y antiguo directivo de la Cyber National Mission Force, criticó el posible incentivo a producir actividades ofensivas facturables. Chris Wysopal, cofundador de Veracode, describió en cambio el plan como un cambio significativo en la política cibernética estadounidense y una ampliación relevante del papel del sector privado en las operaciones ofensivas.

Un cambio de alcance para la ciberseguridad privada

El memorando modifica la frontera tradicional entre las actividades defensivas comerciales y las operaciones cibernéticas dirigidas por el Estado. Hasta ahora, las empresas de seguridad han podido analizar infraestructuras criminales, recopilar indicadores, colaborar con las autoridades y contribuir a la respuesta ante incidentes.

El nuevo modelo pretende autorizarlas también a intervenir contra redes criminales, aunque el control seguirá en manos del Gobierno federal. Potencialmente, Estados Unidos podría obtener más capacidad para interrumpir ransomware, fraudes e infraestructuras utilizadas para atacar a ciudadanos y empresas.

Sin embargo, los riesgos incluyen errores de atribución, daños colaterales, escaladas internacionales y la implicación involuntaria de sistemas estadounidenses. A esto se suma la incertidumbre sobre la responsabilidad cuando una acción autorizada produce consecuencias imprevistas.

Bennie Thompson, congresista demócrata por Misisipi y miembro destacado de la comisión de Homeland Security, expresó su preocupación por las implicaciones jurídicas y los efectos no deseados. Según Thompson, los procedimientos de supervisión aún no están claros y la Administración debería abordar el asunto junto con el Congreso.

La iniciativa está vinculada a una orden ejecutiva emitida en marzo, que orientó a las agencias federales hacia un enfoque más agresivo contra la ciberdelincuencia. Ese mismo mes, el National Cyber Director Sean Cairncross ya había aludido a un posible papel ofensivo del sector privado.

Por tanto, el programa todavía no constituye una campaña operativa documentada públicamente. Se trata, sobre todo, de la definición de un marco institucional que podría convertir a algunas empresas en ejecutoras autorizadas de misiones ofensivas, bajo supervisión federal, pero con responsabilidades y riesgos aún por precisar.