La administración Trump quiere permitir que las empresas pirateen a los ciberdelincuentes extranjeros

WASHINGTON – El presidente Trump quiere que las empresas privadas pirateen a los piratas informáticos.

En un memorando emitido el miércoles por la noche, la administración Trump anunció un programa que podría autorizar a algunas empresas estadounidenses a perseguir a ciberdelincuentes extranjeros seleccionados por el gobierno.

En el pasado, ese trabajo lo realizaban agencias gubernamentales.

El memorando presidencial no explica completamente cómo permitiría que una empresa privada tomara la iniciativa en trabajos tradicionalmente realizados por el gobierno de EE. UU., como espionaje u operaciones cibernéticas disruptivas.

Leyes anti-piratería de EE. UU. en términos generales bar impedir que personas y empresas pirateen la infraestructura digital, con algunas excepciones para permitir el trabajo policial. Este memorando no cambia esas leyes, pero exige que cualquier empresa participante tenga contratos con el gobierno federal.

Sin embargo, el memorándum presenta una desviación dramática de la forma en que el sector privado estadounidense se comporta actualmente en el ciberespacio. Si se implementa, permitiría a algunas empresas privadas perturbar organizaciones extranjeras que el gobierno considera cibercriminales o recopilar información de inteligencia sobre esos grupos.

“Existe una variedad de objetivos potenciales… como el crimen organizado… personas que se dedican al lavado de dinero u otras actividades criminales”, dijo Joshua Steinman, quien se desempeñó como director senior de política cibernética en el Consejo de Seguridad Nacional durante el primer mandato del presidente Trump.

Desde que la administración Trump asumió el poder el año pasado, dos congresistas republicanos presentaron legislación eso requeriría ciber”corsarios“, un término que proviene de la guerra naval del siglo XVI, para llevar la lucha a los piratas informáticos extranjeros. Este memorando no otorga a las empresas privadas esa capacidad, aunque provocó elogios en línea de los defensores de la idea.

El meollo de la cuestión

No está claro qué empresas podrían querer aprovechar esta oportunidad para el gobierno.

Las corporaciones privadas han trabajado durante mucho tiempo con el gobierno federal para ayudar interrumpir a los ciberdelincuentespero en gran medida como contratistas que cumplen una función de apoyo, no como saboteadores digitales que tienen un objetivo.

“Habrá mucha gente que verá esto como una vía de acceso para realizar trabajo adicional para el gobierno de Estados Unidos”, dijo Steinman.

Eso podría incluir empresas más pequeñas, nuevas empresas respaldadas por capital de riesgo y empresas que buscan participar en contratos gubernamentales potencialmente lucrativos.

“Estoy seguro de que muchas de estas empresas verán esto como una oportunidad potencial para… mejorar su visibilidad o controlar directamente los recursos del gobierno”, dijo Arthur Tellis, ex miembro del Departamento de Defensa y actual miembro del Instituto para el Progreso.

Tellis dijo que estas empresas privadas probablemente serían mejores en vigilancia que en desbaratar empresas criminales.

Las empresas participantes firmarían contratos con el Departamento de Justicia o el Departamento de Seguridad Nacional, se someterían a una “rigurosa investigación de antecedentes” y reservarían un millón de dólares que el gobierno puede recaudar si una empresa no cumple con sus obligaciones.

Estas empresas luego obtendrían permiso para intentar acceder a las redes informáticas de grupos extranjeros y tomar acciones que “resulten en la manipulación, interrupción, negación, degradación o destrucción de los sistemas de información”, según el memorando.

Gran parte de cómo sería esa investigación de antecedentes y el proceso mediante el cual se seleccionarían los objetivos potenciales no se describe en el memorando. Tampoco lo son los tipos de ataques disruptivos ni la justificación legal de los mismos.

Stacy O’Mara, directora de políticas de la empresa de ciberseguridad Armadin, dijo que el documento la tiene en modo “esperar y ver”. Ella cree que cualquier empresa que decida registrarse tendría que responder una serie de preguntas legales.

“Hay todos estos otros componentes que aún están pendientes”, dijo O’Mara. “Especialmente en torno a las autoridades legales y las protecciones”.

El memorando da al DOJ y al DHS dos meses para resolver algunas de estas cuestiones abiertas.

Oposición de la industria

Algunos en la industria de la ciberseguridad piensan que el memorando lleva las defensas digitales del país en la dirección equivocada. Paul Rosenzweig está en ese campo. Dirige una empresa de consultoría en Washington, DC y fue subsecretario adjunto de seguridad nacional para políticas durante la presidencia de George W. Bush.

“No es una idea muy mala, pero sí una mala idea”, afirmó Rosenzweig.

También dice que la orden no aborda la cantidad de cuestiones prácticas y legales con las que cualquier actor privado tendría que lidiar si pirateara una organización extranjera.

“Cualquier cosa que nuestros nuevos actores del sector privado cibernético hagan en el extranjero seguramente irá en contra de las leyes internas de una serie de países en los que actúan”, dijo Rosenzweig. “Internet no está delimitada por fronteras soberanas de la misma manera que lo está el espacio físico”.

El memorando no permitiría a empresas privadas lanzar ataques cibernéticos contra otros gobiernos, pero muchos ciberdelincuentes extranjeros operan en un área gris entre los patrocinados por el estado y los no patrocinados. Apuntar al grupo equivocado podría terminar provocando un incidente internacional.

Chris Wysopal, un veterano profesional de la ciberseguridad y cofundador de la empresa de seguridad Veracode, dijo a NPR que no está interesado en participar en el tipo de operaciones expuestas en el memorando.

Le preocupa la posible responsabilidad. ¿Qué pasa si algo sale mal? ¿Qué pasa si un ataque apunta por error a una empresa estadounidense? ¿Qué pasa si un contraataque va demasiado lejos?

“No querrás sufrir daños colaterales cuando el radio de la explosión sea demasiado grande en el centro de datos que intentabas derribar y derribaste los servidores de una empresa de transporte o de un hospital”, dijo Wysopal.

Los riesgos de los ciberataques

los estadounidenses pierden miles de millones de dólares cada año a ciberataques.

Los ciberdelincuentes irrumpen tanto en empresas privadas como en servicios públicos, amenazando con retener datos como rehenes o filtrarlos si no se les paga. Roban información personal de las víctimas y manipulan a las personas para que les transfieran dinero.

“El ransomware y las estafas son cada vez peores”, afirmó Wysopal. “Tengo una madre que me envía correos electrónicos preguntándome: ‘¿Es esto real? ¿Es esto real?’ Y me imagino que eso está sucediendo en todas partes”.

Los ciberataques también son una amenaza a la seguridad nacional. El mes pasado, Minnesota informó docenas de sistemas de agua locales habían sido blanco de un ataque coordinado, que Estados Unidos enlaces de inteligencia a Irán.

Steinman, el exfuncionario de Trump, dijo que un sector privado que avance más rápido puede ayudar a las capacidades cibernéticas ofensivas del país, siempre y cuando se haga con cuidado.

“El objetivo de esto es comenzar”, dijo, “y confío en que las personas que lo dirigen serán muy mesuradas en sus esfuerzos iniciales para tratar de desarrollar esta capacidad”.

Pero otros dicen que incluso si se resuelven las cuestiones legales y técnicas del memorando del presidente, eso no solucionará la creciente amenaza del cibercrimen, especialmente en el corto plazo.

“No creo que puedas ofenderte para llegar a la seguridad”, dijo Wysopal. “Siempre habrá otro actor amenazador… la idea de que esto vaya a resolver el problema parece realmente tonta”.