Estados Unidos (EE.UU.) ha dado un giro importante en su estrategia contra el cibercrimen internacional. Y es que esta semana, el presidente Donald Trump, firmó un memorando presidencial que permitirá a determinadas empresas privadas estadounidenses participar en operaciones cibernéticas ofensivas contra organizaciones criminales extranjeras. Estas compañías podrán infiltrarse en sistemas para obtener inteligencia e incluso ejecutar acciones destinadas a manipular, interrumpir, degradar o destruir sistemas, infraestructuras y datos utilizados por ciberdelincuentes.
Esto no significa que cualquier compañía estadounidense pueda responder por su cuenta a un ransomware atacando directamente a sus responsables. El nuevo programa estará administrado por el National Coordination Center (NCC) y todas las operaciones se realizarán por cuenta del Gobierno estadounidense, bajo su supervisión y empleando sus autoridades legales. Cada misión deberá recibir autorización previa y por escrito de responsables del Departamento de Justicia (DOJ) y del Departamento de Seguridad Nacional (DHS). Básicamente, todas estas empresas se convierten en una extensión controlada de las capacidades ofensivas del Gobierno y no en cibervigilantes independientes.
Las empresas podrán infiltrarse en servidores e incluso destruir los sistemas de grupos de ciberdelincuentes
El memorando diferencia entre dos tipos de operaciones. Las denominadas Operaciones de Cibervigilancia permitirán acceder sin autorización a los sistemas de los objetivos para recopilar información e inteligencia intentando permanecer ocultos. Esto incluye obtener datos que posteriormente puedan utilizarse para preparar un ataque ofensivo e incluso realizar determinadas manipulaciones o interrupciones temporales necesarias para mantener la operación encubierta.
El segundo nivel son las Operaciones de Efectos Cibernéticos, considerablemente más agresivas. Estas permiten realizar acciones destinadas a manipular, interrumpir, denegar, degradar o directamente destruir sistemas informáticos, redes, infraestructura física controlada digitalmente y los datos almacenados en ella. En la práctica, una empresa contratada por el Gobierno estadounidense podría infiltrarse en la infraestructura de un grupo de ransomware y, con la correspondiente autorización, inutilizar sus servidores o destruir la información que utiliza para operar.
No cualquier compañía podrá participar. DOJ y DHS tendrán que desarrollar en un plazo máximo de 60 días los procedimientos de funcionamiento, incluyendo requisitos de competencia técnica, experiencia previa en operaciones cibernéticas, seguridad de las instalaciones, fiabilidad y controles sobre el personal. El memorando exige que el sistema permita participar tanto a grandes empresas con una elevada capacidad operativa como a compañías más pequeñas especializadas en misiones concretas. Además, el Gobierno podrá exigirles mantener al menos 1 millón de dólares en una fianza o cuenta de depósito, cantidad que podrían perder si incumplen las condiciones de su contrato.
EE.UU. limita los objetivos a hackear, pero entrar en territorio extranjero genera importantes riesgos
El programa únicamente podrá dirigirse contra las llamadas Organizaciones Delictivas Transnacionales que utilizan medios cibernéticos (CE-TCO). Vamos, organizaciones extranjeras que utilicen medios cibernéticos para cometer delitos contra el Gobierno, ciudadanos o intereses estadounidenses. Quedan teóricamente fuera aquellos grupos que formen parte institucionalmente de un Gobierno extranjero o estén completamente dirigidos por este. Sin embargo, el propio memorando establece que una organización se considerará independiente salvo que exista inteligencia clara que demuestre su vinculación estatal, algo relevante en países donde grupos de ransomware pueden actuar con tolerancia gubernamental sin pertenecer formalmente al Estado.
También existirán importantes salvaguardas. Si durante una operación una empresa descubre que está afectando accidentalmente a un ciudadano estadounidense, un sistema situado en Estados Unidos o infraestructura controlada por una persona estadounidense, deberá detener inmediatamente la actividad, minimizar sus efectos y comunicarlo al NCC y al Departamento de Justicia. Las compañías tendrán igualmente que alertar si descubren un ataque inminente contra infraestructura crítica estadounidense. Las operaciones que puedan provocar muertes, lesiones graves o alcanzar el nivel de uso de la fuerza o ataque armado según el derecho internacional se consideran Resultados Críticos y no podrán ser autorizadas mediante el procedimiento ordinario de DOJ y DHS. Su tratamiento queda parcialmente regulado por un anexo clasificado.
La entrada EE.UU. autoriza a empresas privadas a hackear y destruir los sistemas de ciberdelincuentes extranjeros aparece primero en El Chapuzas Informático.
