Hack-back legalizado: Trump autoriza a empresas privadas a contraatacar ofensivamente contra cibercriminales extranjeros

Un memo presidencial encomienda al National Coordination Center crear un programa de hack-back enmarcado. Las empresas privadas de ciberseguridad podrán solicitar autorizaciones para realizar ataques ofensivos contra organizaciones criminales extranjeras.

(1) Qué: un memorándum ejecutivo que formaliza el hack-back privado

Un memorándum firmado por Donald Trump encomienda al National Coordination Center (NCC) establecer un programa que permita a las empresas privadas de ciberseguridad solicitar autorizaciones para operaciones ofensivas contra organizaciones criminales extranjeras. En pocas palabras: el hack-back —largo tiempo en una zona gris legal en Estados Unidos— obtiene un marco oficial, al menos en intención.

El memorándum no otorga acceso inmediato al hack-back. Solicita al NCC construir el programa, con sus criterios de elegibilidad, límites y controles.

(2) Quién se ve afectado

Por parte de las empresas de seguridad: aquellas que ya operaban en una zona gris ofensiva (takedowns de Command & Control, interrupción de infraestructura criminal, sinkholing) ahora cuentan con una señal política fuerte —y con una posible vía de legitimación formal.

Por parte de las víctimas: las organizaciones objetivo son explícitamente las "organizaciones de cibercriminalidad extranjera" —grupos de ransomware, fraude financiero, etc.— que operan desde el extranjero. Los Estados-nación están teóricamente excluidos, pero la frontera entre criminalidad organizada y actores estatales suele ser difusa (Rusia, Corea del Norte, Irán).

Por parte del CFAA: el Computer Fraud and Abuse Act prohíbe históricamente cualquier acción ofensiva contra sistemas de terceros, incluso como represalia. Un memorándum ejecutivo puede crear un régimen de excepción, pero no modifica la ley en sí misma. Persiste una incertidumbre jurídica.

(3) Qué hacer

La reacción de la comunidad de seguridad está dividida. Algunos expertos celebran la clarificación de las reglas de engagement; otros expresan su preocupación por la falta de salvaguardas explícitas contra operaciones mal atribuidas (y los daños colaterales en infraestructuras compartidas son reales en este tipo de operaciones).

Qué hacer ahora:

• CISO y equipos de seguridad: no se requiere acción inmediata. El programa aún no existe —esperen la publicación de las directrices del NCC antes de considerar cualquier medida.
• Despachos jurídicos de seguridad: comiencen a documentar sus operaciones actuales de "defensa activa" anticipando posibles criterios de elegibilidad.
• No inicien ninguna iniciativa ofensiva basándose únicamente en este memorándum —el marco legal sigue incompleto y el riesgo de exposición al CFAA persiste.