Estados Unidos ha dado un paso poco habitual en su estrategia contra el cibercrimen internacional. El presidente Donald Trump firmó el 12 de agosto un memorando de seguridad nacional que crea un programa para que empresas privadas previamente seleccionadas puedan participar en operaciones cibernéticas contra organizaciones criminales extranjeras, incluida la infiltración, interrupción, degradación e incluso destrucción de sus sistemas. No se trata, sin embargo, de legalizar el hack back privado: las compañías actuarán por encargo y bajo las autoridades legales del Gobierno estadounidense.
Las claves de las operaciones cibernéticas privadas de EE.UU. en 30 segundos
- El nuevo programa permitirá contratar empresas privadas para actuar contra organizaciones criminales transnacionales que operen desde el extranjero.
- Las misiones podrán incluir vigilancia encubierta y operaciones destinadas a interrumpir o destruir sistemas informáticos.
- Las compañías no podrán actuar por iniciativa propia: cada operación estará sometida a autorización y supervisión federal.
- Las empresas participantes deberán superar controles técnicos y de seguridad y mantener una garantía mínima de 1 millón de dólares.
- La medida amplía una estrategia iniciada en marzo para perseguir ransomware, estafas y otras redes criminales internacionales.
La diferencia con lo que normalmente se conoce como hack back es importante. Una empresa estadounidense que sufra un ransomware no recibe permiso para localizar al atacante y devolverle el golpe. Lo que crea Washington es un mecanismo para incorporar capacidades privadas a operaciones gubernamentales.
En la práctica, Estados Unidos podrá contratar especialistas que hasta ahora trabajaban principalmente investigando amenazas, respondiendo a incidentes o realizando pruebas de penetración para que participen también en determinadas acciones ofensivas.
De observar al atacante a destruir su infraestructura
El programa contempla dos grandes categorías de operaciones.
Las primeras son las denominadas Cyber Surveillance Operations, operaciones de cibervigilancia destinadas a obtener información e inteligencia sobre organizaciones criminales.
Una compañía autorizada podría acceder a infraestructura controlada por un grupo investigado y permanecer dentro de sus sistemas mientras recopila información sobre servidores, miembros, herramientas, víctimas o futuras operaciones.
La segunda categoría va bastante más lejos.
Las Cyber Effects Operations permiten acciones destinadas a manipular, interrumpir, denegar, degradar o destruir sistemas de información e infraestructuras utilizadas por las organizaciones seleccionadas como objetivo. Reuters confirma que el programa contempla expresamente estas capacidades bajo control federal.
Aplicado al ransomware, por ejemplo, el Gobierno podría autorizar una operación contra la infraestructura que una organización utiliza para administrar ataques, comunicarse con víctimas o mantener determinados servicios.
Esto no significa que vaya a ocurrir en todos los casos ni que las empresas participantes dispongan permanentemente de esa autorización.
Cada misión tendrá que pasar por el procedimiento correspondiente.
El modelo se parece más a externalizar determinadas capacidades operativas del Estado que a entregar una patente de corso digital a las compañías de ciberseguridad.
El National Coordination Center (NCC), dentro de la estructura impulsada por el Departamento de Seguridad Nacional (DHS), tendrá un papel central en el programa. La iniciativa también implica al Departamento de Justicia (DOJ), que deberá garantizar que las operaciones se desarrollen bajo las autoridades legales aplicables.
No cualquiera podrá convertirse en un atacante autorizado
Una de las preguntas inevitables es qué compañías podrán participar.
El memorando no abre automáticamente la puerta a cualquier consultora de seguridad, proveedor de pentesting o equipo de red team.
Las empresas deberán ser seleccionadas y evaluadas por el Gobierno. Los criterios previstos incluyen su capacidad técnica, experiencia en operaciones cibernéticas, seguridad de las instalaciones y fiabilidad del personal que intervenga en las misiones.
Además, deberán presentar planes operativos para su evaluación antes de actuar.
El programa pretende permitir la participación tanto de grandes contratistas como de compañías más pequeñas especializadas en determinadas técnicas. Esta última posibilidad puede resultar relevante porque buena parte del conocimiento sobre ransomware, malware, criptomonedas, infraestructura criminal y vulnerabilidades se encuentra repartido entre empresas de tamaños muy diferentes.
Hay también una barrera económica.
Las compañías participantes deberán mantener al menos 1 millón de dólares en una fianza o cuenta de depósito, una medida destinada a reforzar el cumplimiento de las condiciones establecidas por el Gobierno.
Por tanto, una empresa no podrá simplemente identificar a un grupo de ransomware, localizar sus servidores y decidir atacarlos.
Ese comportamiento continuaría fuera del modelo creado por Washington.
¿A quién podrá atacar Estados Unidos?
Los objetivos son las organizaciones criminales transnacionales que utilizan medios cibernéticos contra ciudadanos, empresas o intereses estadounidenses.
El precedente inmediato está en una orden ejecutiva firmada por Trump el pasado 6 de marzo. Aquella iniciativa ordenaba revisar las herramientas disponibles contra organizaciones dedicadas a ransomware, phishing, fraude financiero, sextorsión y otras modalidades de delincuencia digital.
También ordenó crear una célula operativa específica dentro del National Coordination Center para coordinar la respuesta federal.
El nuevo memorando lleva esa política un paso más allá al establecer un mecanismo para incorporar empresas privadas a determinadas operaciones.
El problema más delicado aparece cuando una organización criminal opera desde infraestructura situada en otro país.
Internet raramente respeta fronteras de forma limpia. Un servidor utilizado por un grupo puede estar alojado en un proveedor legítimo, compartir infraestructura con terceros o encontrarse en una jurisdicción que interprete de manera diferente una intervención estadounidense.
Existe además otro problema conocido por cualquier investigador de ciberseguridad: atribuir correctamente un ataque es difícil.
Un servidor comprometido puede pertenecer a una víctima y estar siendo utilizado como intermediario. Una dirección IP tampoco identifica necesariamente a la persona responsable de una operación.
Cuanto más destructiva sea una respuesta, más graves pueden resultar las consecuencias de equivocarse.
El gran riesgo está en los daños colaterales y la escalada
Precisamente por eso el programa establece salvaguardas.
Si durante una operación se detecta que una actividad está afectando indebidamente a ciudadanos estadounidenses o infraestructura protegida, los participantes tendrán que detener determinadas actuaciones y comunicar el incidente.
También existen límites para operaciones que puedan producir consecuencias físicas graves.
Pero queda una zona especialmente complicada: la frontera entre ciberdelincuencia y actividad patrocinada o tolerada por un Estado.
Muchos grupos de ransomware no forman formalmente parte de las fuerzas de seguridad o inteligencia de un país. Eso no impide que puedan actuar desde su territorio, mantener relaciones con determinados organismos o beneficiarse de distintos grados de tolerancia política.
Atacar la infraestructura de una organización criminal situada dentro de otra potencia puede tener consecuencias muy diferentes a intervenir servidores controlados por delincuentes sin vínculos estatales.
Esta es una de las razones por las que durante años ha existido tanta resistencia a permitir que las empresas practiquen hack back.
El riesgo no consiste únicamente en romper el ordenador equivocado. Una compañía privada podría provocar involuntariamente un incidente diplomático o una escalada entre Estados.
El nuevo sistema intenta evitar ese escenario manteniendo la decisión jurídica y política en manos del Gobierno, aunque parte de la ejecución técnica se realice desde el sector privado.
Estados Unidos ya estaba utilizando al sector privado contra el cibercrimen
La colaboración tampoco empieza desde cero.
Empresas privadas llevan años proporcionando inteligencia de amenazas, análisis de malware, investigación de criptomonedas y otras capacidades a organismos estadounidenses.
El Departamento de Justicia, por ejemplo, mantiene una Scam Center Strike Force para perseguir centros de estafas internacionales. Participan la Fiscalía del Distrito de Columbia, la División Criminal del DOJ, el FBI y el Servicio Secreto, junto con otros organismos y colaboración del sector privado.
La diferencia introducida ahora está en el tipo de trabajo que determinadas compañías podrán realizar.
Pasar de analizar infraestructura criminal a entrar en ella y producir efectos sobre sus sistemas supone cruzar una frontera operativa considerable.
Para el sector de la ciberseguridad también abre un mercado completamente nuevo.
Compañías especializadas en inteligencia de amenazas, respuesta a incidentes, operaciones ofensivas, análisis de blockchain o investigación de ransomware podrían competir por contratos que hasta ahora estaban mucho más próximos a las capacidades internas de organismos gubernamentales.
También cambiará la responsabilidad que asumen.
Una prueba de penetración empresarial tiene un objetivo definido y la autorización de su propietario. Una operación contra una organización criminal extranjera puede atravesar proveedores cloud, operadores de telecomunicaciones, máquinas comprometidas y varias jurisdicciones antes de llegar al objetivo.
Ese escenario explica por qué el detalle más importante del memorando no es que una empresa pueda hackear a un ciberdelincuente, sino quién decide cuándo puede hacerlo.
Washington no ha entregado a las empresas estadounidenses el derecho general a contraatacar.
Ha decidido que, bajo determinadas circunstancias, el Gobierno podrá contratar a algunas de ellas para hacerlo en su nombre.
La diferencia jurídica parece pequeña desde fuera. Desde el punto de vista de Internet y de las operaciones ofensivas internacionales, es enorme.
Preguntas frecuentes
¿Puede ahora una empresa estadounidense hackear a quien le lance un ransomware?
No. El memorando no autoriza el hack back por iniciativa privada. Solo las compañías seleccionadas podrán realizar operaciones previamente autorizadas y bajo supervisión del Gobierno estadounidense.
¿Podrán destruir servidores de ciberdelincuentes?
El programa contempla Cyber Effects Operations capaces de manipular, interrumpir, degradar o destruir sistemas e infraestructura digital de las organizaciones seleccionadas como objetivos.
¿Qué empresas podrán participar?
El Gobierno deberá seleccionar y evaluar a los participantes atendiendo a criterios técnicos, operativos y de seguridad. Además, deberán mantener una fianza o depósito mínimo de 1 millón de dólares.
¿Por qué supone un cambio importante?
Porque las compañías privadas llevan mucho tiempo ayudando al Gobierno con inteligencia e investigación, pero el nuevo programa formaliza su participación en operaciones que pueden producir efectos directamente sobre sistemas criminales extranjeros.
