Un nuevo memorando presidencial que busca integrar a empresas del sector privado en operaciones de hackeo de la ley federal contra organizaciones criminales plantea una serie de desafíos legales, prácticos y éticos, advierten expertos en ciberseguridad en declaraciones a CyberScoop, un día después de la publicación de la orden.
Mientras que algunos celebran este memorando como una medida tardía para combatir más agresivamente a los cibercriminales, otros lo consideran arriesgado en el mejor de los casos y potencialmente destructivo en el peor. Tanto partidarios como críticos, así como aquellos que ocupan una posición intermedia, coinciden en que el desarrollo de este programa dependerá de los resultados que se obtengan en el plazo de 60 días que establece el memorando para su implementación.
Michael Garcia, ex alto funcionario de la Agencia de Ciberseguridad e Infraestructura (CISA), señala que este memorando representa "un cambio masivo en la comunidad de políticas cibernéticas". Se trata, según él, de un cambio filosófico significativo.
Desde una perspectiva crítica, Davi Ottenheimer, consultor de seguridad y defensor de conceptos como el "hack back" o "defensa activa", que promueven un papel más destacado para el sector privado, no escatimó en sus críticas hacia el memorando de Trump. "Es una vergüenza para América", declaró a CyberScoop. "Es como ver a alguien montado a caballo en dirección contraria, mirando por el extremo equivocado de un rifle".
El enfoque del memorando de Trump se ha comparado con el concepto de "cartas de marca" utilizado en la historia temprana de Estados Unidos, que autorizaba a los corsarios a atacar y capturar barcos y bienes enemigos en nombre del país. Sin embargo, Ottenheimer, fundador de Ottenheimer GmbH, subrayó que esta práctica cayó en desuso en el siglo XIX por buenas razones, dado el nivel de violencia que desencadenaba y su contribución al mercenarismo.
Además, el memorando plantea una serie de cuestiones relacionadas con la definición de objetivos. Ottenheimer expresó su preocupación por las intenciones de Trump, ya que el documento se refiere específicamente al uso de las empresas participantes contra organizaciones criminales transnacionales. "Para él, la oposición de izquierda, los liberales, los antifascistas... todos son criminales", señaló Ottenheimer. "Por tanto, al autorizar ataques contra criminales, se da pie a que organizaciones privadas puedan hackear a personas que él designe como criminales".
El memorando exige que el programa establezca procedimientos legales y constitucionales para la aprobación previa de la identificación de ciudadanos estadounidenses como objetivos, así como desarrollar mecanismos para evitar cualquier objetivo involuntario de personas o sistemas estadounidenses. Sin embargo, Ottenheimer considera que la limitación en el objetivo de los criminales crea un incentivo perverso para los atacantes y una defensa peculiar para aquellos que sean atacados. Imaginó un escenario en el que una empresa participante en el programa dice: "estamos hackeando [un objetivo], y este responde: 'Hola, somos el estado'. Y entonces [las empresas privadas] se sienten obligadas a decir: 'Oh, ya no puedo hackearte más'. Boom. Ellos deciden cuándo puedes y no puedes hackear".
Asimismo, advirtió que "se incentiva a las personas a saber lo menos posible para que las [operaciones] puedan ser autorizadas". El memorando también plantea preocupaciones éticas para Ottenheimer: "No puedes atacar a alguien y luego decir que es tu culpa por no haberles notificado que no querías ser atacado".
"No hay aviso para que te designen. No hay prevención para que seas designado. No hay forma de que sepas que estás siendo designado", subrayó Ottenheimer. "Es como si una persona se sentara a tu lado y encendiera un cigarrillo, soplando humo en tu cara y diciéndote: 'Oye, tienes que decir que no te gusta el cáncer si no quieres que te haga esto ahora mismo'".
Garcia, que ahora es vicepresidente de la práctica de ciberseguridad en Monument Advocacy, afirmó que apoya algunas de las ideas del memorando, pero expresa su preocupación por la forma en que se ejecutará. "Todo se reduce a la atribución, y si haces una apuesta arriesgada sobre a quién atribuimos [los ataques], ahí es donde las cosas pueden complicarse", señaló a CyberScoop.
Podría haber presión para atribuir más rápidamente, lo que podría llevar a una menor certeza sobre quién está siendo atacado, y eso, a su vez, podría resultar en que una empresa del sector privado ataque accidentalmente a un gobierno extranjero. Esto genera interrogantes legales: "Está en la Constitución: el gobierno federal tiene la capacidad de hacer la guerra. Y existen leyes que prohíben a los ciudadanos privados tomar las armas", argumentó Garcia.
Desea que el memorando incluya supervisión judicial sobre el programa, similar a lo que se ha requerido para las operaciones de eliminación del sector privado. Además, no está seguro de que haya un número suficiente de empresas dispuestas a participar en operaciones cibernéticas ofensivas. "Desde la perspectiva legal, se plantea: '¿Estás dispuesto a asumir este tipo de riesgo legal? ¿Y quién sabe qué protecciones ofrecerá el gobierno?'", expresó. "Me gustaría ver cuál es la reacción de los gobiernos extranjeros: 'Vamos a cortar lazos con cualquier empresa que participe en esto'".
Robert Graham, CEO de Errata Security, comentó que bajo el programa, las empresas "no están hackeando de manera indiscriminada", dado los elementos de supervisión federal. "Sin embargo, me pregunto si eventualmente no se convertirá en que las fuerzas del orden digan: 'Dejen de molestarnos, hagan lo que consideren mejor'".
El gobierno de Trump y los partidarios del memorando lo han presentado como un medio para fortalecer la posición de Estados Unidos en el ciberespacio. Amanda Naylor, directora de política cibernética en el Consejo de Seguridad Nacional y quien trabajó en la redacción del memorando, declaró en LinkedIn que este fue diseñado "para incorporar las capacidades, la velocidad y la innovación del sector privado estadounidense en la lucha contra el cibercrimen y el fraude transnacional".
Joshua Steinman, ex funcionario de ciberseguridad de la Casa Blanca bajo Trump, considera que el memorando es un paso hacia la "paridad", dado cómo operan los adversarios de Estados Unidos en el ciberespacio. "Los chinos y los rusos hacen esto a gran escala, y estoy seguro de que tienen muy pocas herramientas limitadoras cuando lo hacen", afirmó Steinman, ahora fundador de la firma de seguridad Gavalnick. "Esto abre una fuerza laboral completamente nueva que nos permite salir y alcanzar objetivos estratégicos". Las restricciones establecidas en el memorando son, según él, de vital importancia.
Las cuestiones más sensibles seguirán siendo gestionadas por personal uniformado y civil autorizado, pero existen una gran cantidad de objetivos accesibles, es decir, organizaciones criminales, afirmó Steinman, quien no muestra preocupación por un posible desbordamiento del programa en cuestión.
“Operamos como un Boy Scout en el ciberespacio”, comentó. “Nuestro enfoque es medido y razonado”, haciendo una analogía con la Ley del Derecho a Probar en relación a medicamentos. Además, anticipó un notable interés en la participación del sector privado en esta iniciativa.
Por su parte, Ari Redbord, responsable global de políticas en TRM Labs, elogió el memorando, describiéndolo como “un gran paso hacia el empoderamiento del sector privado en un momento crítico”, que “tiene una oportunidad real de ser verdaderamente transformador”. Redbord subrayó que “los estafadores están utilizando inteligencia artificial para operar con una velocidad y escala sin precedentes, robando miles de millones de dólares en ahorros vitales de estadounidenses promedio y pequeñas empresas”. Destacó que “el sector privado tiene los datos, mientras que el sector público posee la autoridad. Este [memorando] los une”.
El centro de coordinación encargado de establecer el programa mencionado tiene un plazo de 60 días para completar su labor, un proceso que podría tener un impacto significativo. Graham observó que el memorando incluye un anexo clasificado, lo que sugiere que hay aspectos del mismo que no se han hecho públicos.
Sin embargo, el documento no aclara qué sucederá con los activos incautados, una cuestión que también fue planteada por Redbord en relación con la ejecución del memorando. “¿Cómo se ve la dirección y el control del gobierno en medio de una operación en curso?”, planteó en una lista de preguntas. “¿Cómo se transforma la interrupción en dinero real que regresa a los bolsillos de las víctimas, y podemos establecer un verdadero fondo de compensación para las víctimas como parte de este programa? ¿Qué ocurre cuando una operación afecta a un tercer país con sus propias leyes e intereses? Y, por último, ¿cómo se mide el éxito, en términos de dinero recuperado y redes desmanteladas?”.
Will Barker, asesor en ciberseguridad de Huntress, afirmó que lo que venga a continuación podría ser fundamental. “La guía de implementación de 60 días es donde reside la verdadera sustancia”, comentó en una declaración escrita. “Estándares mínimos, procedimientos operativos y el marco adjudicativo para la selección de objetivos”.
Esta situación plantea interrogantes importantes sobre la dirección futura de la ciberseguridad y el papel del sector privado en la lucha contra el crimen digital.