Estados Unidos permitirá que empresas tecnológicas participen en ciberoperaciones privadas contra organizaciones criminales extranjeras, una ampliación de capacidades que lleva al sector comercial a un terreno hasta ahora reservado principalmente a organismos públicos. El memorando presidencial firmado por Donald Trump el 12 de agosto autoriza operaciones de vigilancia y acciones capaces de manipular, interrumpir, degradar o destruir sistemas informáticos, siempre bajo dirección y supervisión del Gobierno federal. El alcance operativo es significativo, aunque la arquitectura de control diseñada por Washington intenta limitar la autonomía de las compañías participantes.
La medida encarga al National Coordination Center (NCC), integrado en la estructura de seguridad interior, la creación de un programa específico para combatir organizaciones criminales transnacionales que utilizan medios digitales contra ciudadanos, empresas o intereses estadounidenses. Justicia y el Departamento de Seguridad Nacional compartirán su dirección. Cada operación requerirá coordinación entre ambos departamentos y una autorización escrita previa antes de que una compañía pueda actuar.
El cambio reside precisamente en quién podrá ejecutar parte de esas acciones. Las empresas admitidas en el programa podrán penetrar sistemas sin permiso para recopilar inteligencia y, en determinadas operaciones, producir efectos sobre la infraestructura tecnológica del objetivo. Reuters destaca que la iniciativa extiende a compañías privadas actividades ofensivas que tradicionalmente han estado concentradas en agencias gubernamentales y que han suscitado durante años reservas por sus posibles consecuencias involuntarias y por el riesgo de escalada.
Las ciberoperaciones privadas quedan bajo mando federal
Washington intenta establecer una frontera clara entre contratar capacidad técnica y delegar decisiones operativas. Las compañías deberán firmar acuerdos con Justicia o Seguridad Nacional, superar controles sobre personal, instalaciones, competencia técnica, fiabilidad y experiencia y trabajar exclusivamente sobre objetivos autorizados. El memorando exige además que los criterios permitan incorporar tanto grandes proveedores, capaces de aportar escala, como empresas pequeñas especializadas en tareas concretas.
La Administración tiene 60 días para definir las reglas operativas. Ese marco tendrá que incluir procedimientos comunes para identificar objetivos, preparar los paquetes de operaciones, resolver posibles interferencias entre agencias y documentar la actividad realizada. También habrá mecanismos de coordinación con el Departamento de Estado, el Tesoro, Defensa, Justicia y la comunidad de inteligencia, algunos de ellos desarrollados en un anexo clasificado.
El diseño deja espacio para una nueva cadena comercial alrededor de estas misiones. Las empresas participantes podrán alcanzar acuerdos con otras compañías que dispongan de información sobre amenazas obtenida durante su actividad ordinaria. También podrán recibir información de organismos federales, estatales y locales para preparar propuestas de actuación y presentarlas al NCC.
Esa estructura amplía el papel potencial de proveedores de inteligencia de amenazas, especialistas en respuesta a incidentes, firmas de análisis de blockchain, compañías de seguridad ofensiva y otros actores que ya siguen infraestructuras criminales. Bloomberg ha descrito el programa como un salto en la incorporación del sector privado al arsenal cibernético estadounidense. Ari Redbord, responsable de asuntos gubernamentales de TRM Labs, recurrió a la expresión «cyber letters of marque», en referencia a las antiguas autorizaciones estatales concedidas a actores privados para perseguir determinadas amenazas.
La analogía tiene límites. Las compañías no recibirán una autorización general para atacar objetivos que consideren hostiles. Cada paquete operativo tendrá que pasar por los responsables del programa y la acción se realizará jurídicamente en nombre y bajo las facultades del Gobierno estadounidense. El documento también obliga a revisar al menos una vez al año la continuidad de cada proveedor.
Vigilancia encubierta y capacidad para alterar sistemas
El memorando utiliza dos categorías que delimitan hasta dónde puede llegar el programa. Las «Cyber Surveillance Operations» contemplan el acceso no autorizado, o más allá del acceso autorizado, a sistemas y redes para obtener información o inteligencia permaneciendo ocultos. Esa inteligencia podría utilizarse posteriormente para preparar otra operación.
Las «Cyber Effects Operations» van más lejos. Incluyen manipulación, interrupción, denegación, degradación o destrucción de sistemas, redes, infraestructuras físicas o virtuales controladas informáticamente y de la información almacenada en ellas. Son capacidades que convierten el programa en algo distinto de los esquemas habituales de intercambio de indicadores de amenazas entre empresas y administraciones.
Existen, sin embargo, límites explícitos. Los dos directores del programa no podrán aprobar mediante el procedimiento ordinario acciones que previsiblemente causen muertes o lesiones graves o que alcancen el umbral de uso de la fuerza o ataque armado conforme al derecho internacional. Si durante una misión aparece esa posibilidad, la compañía deberá avisar inmediatamente al NCC.
También tendrá que detener la actividad si descubre que ha rebasado accidentalmente los parámetros autorizados, por ejemplo al afectar a una persona estadounidense, a un sistema situado en Estados Unidos o a infraestructura controlada por una persona estadounidense. El memorando exige entonces medidas de minimización y notificación inmediata a Justicia. Las operaciones que afecten a ciudadanos del país o planteen obligaciones constitucionales, legales o internacionales deberán obtener previamente las autorizaciones correspondientes, incluidas las judiciales cuando sean necesarias.
El crimen digital impulsa un modelo más ofensivo
La Administración Trump viene preparando este giro desde marzo. La orden ejecutiva 14390 ya había exigido una célula operativa dentro del NCC para coordinar la detección y desarticulación de redes extranjeras dedicadas a estafas y ciberdelincuencia y había previsto utilizar capacidades e inteligencia procedentes de empresas comerciales de ciberseguridad. El nuevo memorando convierte aquella colaboración prevista en una estructura donde proveedores privados pueden participar directamente en las operaciones.
La estrategia cibernética presentada por la Casa Blanca el mismo mes también situó la coordinación entre Gobierno e industria entre sus prioridades y contempló el aprovechamiento de capacidades estadounidenses para misiones defensivas y ofensivas. La decisión de agosto aporta ahora el mecanismo operativo para una parte concreta de esa política: las organizaciones criminales transnacionales.
El argumento económico ocupa un lugar central. La Casa Blanca afirma que los consumidores estadounidenses declararon pérdidas superiores a 20.800 millones de dólares por delitos facilitados mediante tecnología digital durante 2025 y vincula buena parte de la amenaza con ransomware, phishing, fraude financiero, suplantaciones y sextorsión gestionados desde el extranjero. Es una cifra utilizada por la propia Administración para justificar la ampliación de capacidades y conviene distinguirla de la delimitación jurídica del programa.
Reuters señala que la participación empresarial en operaciones contra objetivos criminales ya había generado controversia anteriormente debido a los riesgos de escalada, efectos imprevistos y dificultades de coordinación entre agencias. El nuevo esquema intenta responder a esas objeciones mediante control federal, revisión jurídica y procedimientos comunes, pero una parte decisiva sigue pendiente: las reglas operativas que Justicia y Seguridad Nacional deberán redactar durante los próximos 60 días.
Entre esas reglas figura además la posibilidad de exigir a las compañías una fianza o depósito de al menos un millón de dólares, que podría perderse en caso de incumplimiento contractual. El texto presidencial autoriza a los departamentos a imponer esa condición, una formulación más matizada que una obligación automática aplicable desde ahora a todos los participantes.
Para la industria de ciberseguridad estadounidense se abre así un mercado vinculado directamente a operaciones federales y sometido a requisitos que van bastante más allá de una contratación tecnológica convencional. La capacidad técnica tendrá que convivir con controles de personal, trazabilidad de decisiones, coordinación diplomática e inteligencia y responsabilidad contractual. Las empresas que entren en el programa ganarán acceso a misiones hasta ahora excepcionalmente próximas al núcleo operativo del Estado, mientras asumen un riesgo jurídico y reputacional cuya dimensión dependerá, en buena medida, de las normas que Washington todavía tiene que escribir.
