Las empresas privadas de EE. UU. ahora pueden llevar a cabo operaciones cibernéticas en el extranjero. Los hackers respaldados por el estado están excluidos.

      Donald Trump firmó el memorando el 12 de agosto y la Casa Blanca lo publicó esa noche.

      Consta de cinco secciones. Un Centro Nacional de Coordinación crea y gestiona el programa. Dos Directores Ejecutivos del Programa lo supervisan. El Fiscal General designa uno, y el Secretario de Seguridad Nacional designa al otro.

      Lo que dice la Casa Blanca que es para

      La Sección 1 establece el razonamiento. Las organizaciones criminales transnacionales “representan una amenaza creciente para los ciudadanos estadounidenses, las empresas y la seguridad nacional”, afirma el memorando.

      Declara una política de utilizar todos los instrumentos del poder nacional, “incluidas las capacidades innovadoras del sector privado”. También dice que las capacidades de las empresas estadounidenses “han sido históricamente subutilizadas” para interrumpir redes criminales.

      La hoja informativa adjunta presenta cifras. Los consumidores estadounidenses perdieron $20.8 mil millones debido a delitos cibernéticos en 2025.

      Afirma que el 73% de los adultos en EE. UU. han experimentado estafas o ataques en línea. Estima en un 98% la proporción que considera las estafas una amenaza para el país. Uno de cada siete jóvenes víctimas de sextorsión informó sobre autolesiones.

      La administración dice que estas campañas tienen como objetivo a personas mayores, niños y familias de bajos ingresos a través de ransomware, phishing, fraude y sextorsión.

      Lo que autoriza el memorando

      La Sección 4 define dos tipos de operación. Una Operación de Vigilancia Cibernética recopila información o inteligencia. Implica acceder a sistemas sin autorización, con “la intención de permanecer indetectado”.

      Una Operación de Efectos Cibernéticos es una actividad que resulta en “la manipulación, interrupción, negación, degradación o destrucción de sistemas de información, redes, infraestructura física o virtual”.

      TechCrunch informa que la vigilancia puede incluir el uso de spyware.

      Quién puede ser objetivo, y quién no

      El memorando define su objetivo como una organización criminal transnacional habilitada por cibernética. Eso significa “cualquier grupo extranjero que realice delitos habilitados por cibernética” contra el gobierno de EE. UU., una persona estadounidense o intereses estadounidenses.

      La definición luego excluye dos categorías. Un grupo que es parte institucional de un gobierno extranjero no califica. Tampoco uno que opere completamente bajo la dirección de un gobierno extranjero.

      Varios medios señalan lo que eso deja fuera. Los hackers norcoreanos trabajan bajo dirección estatal, informó Politico. La red ha cubierto cómo construyen sus propias herramientas de IA.

      Politico también informa sobre las áreas grises. Se piensa que muchas pandillas de Europa del Este operan con el consentimiento tácito del gobierno ruso. Los hackers estatales chinos e iraníes a veces trabajan como criminales.

      No es un hack-back

      Varios medios describieron el memorando como una licencia para hackear de vuelta. TechCrunch, cuyo editor de seguridad leyó el documento, informa que no llega a eso.

      Hackear de vuelta describe a una víctima que ataca a quien la atacó, por su propia iniciativa. Bajo este programa, las empresas actúan bajo contrato, contra objetivos aprobados, supervisados por el gobierno federal.

      TechCrunch también señala la posición de larga data de EE. UU. Sostenida a través de administraciones, es que las empresas privadas pueden defenderse contra ataques pero no lanzarlos.

      La red cubrió la firma como un memorando cibernético dirigido a grupos de crimen transnacional.

      Lo que las empresas deben hacer

      La Sección 3 otorga a los Directores Ejecutivos del Programa 60 días para establecer procedimientos operativos. Se debe presentar un informe inicial dentro de 180 días.

      Los estándares mínimos cubrirán la competencia técnica, la experiencia en operaciones cibernéticas, la seguridad de las instalaciones, la verificación del personal y la fiabilidad. La elegibilidad debe acomodar tanto a grandes empresas como a “empresas más pequeñas y ágiles”.

      Las empresas deben divulgar todas las relaciones contractuales al Centro Nacional de Coordinación. También deben mantener un bono o depósito de “no menos de $1 millón” contra el incumplimiento.

      Cada empresa enfrenta una revisión de su participación continua al menos anualmente. Los Directores Ejecutivos del Programa deben revisar cada paquete de operaciones cibernéticas y dar aprobación por escrito antes de que ocurra cualquier cosa.

      Los límites que establece el memorando

      Las operaciones no pueden producir lo que el documento llama Resultados Críticos. Esas son acciones que probablemente resulten en pérdida de vidas o lesiones graves. También incluyen cualquier cosa que alcance el nivel de uso de la fuerza o ataque armado bajo el derecho internacional.

      La actividad dirigida a una persona estadounidense debe recibir “cualquier autorización necesaria, judicial o de otro tipo, antes de la aprobación”.

      Una cláusula cubre errores. Se aplica a la identificación no intencionada de una persona estadounidense, un sistema en los Estados Unidos, o un sistema controlado por una persona estadounidense. La empresa debe cesar, minimizar la conducta y notificar de inmediato.

      Las empresas también deben alertar al gobierno sobre ataques inminentes a la infraestructura crítica de EE. UU. La Sección 5 establece que el memorando crea “ningún derecho o beneficio, sustantivo o procesal, exigible por ley o en equidad”.

      Lo que dicen los partidarios

      Figuras de la industria lo han acogido. Joe Lin es director ejecutivo de Twenty, que construye herramientas ofensivas para el gobierno. “Durante años hemos llamado a la industria tecnológica estadounidense un activo estratégico pero la hemos dejado al margen cibernético”, dijo.

      Mike Centrella es jefe de políticas públicas en SecurityScorecard. Le dijo a Nextgov que el memorando “representa un cambio importante en cómo Estados Unidos aborda las amenazas cibernéticas que provienen del extranjero”.

      Describió un cambio de método. El trabajo público-privado pasa de compartir información sobre amenazas a utilizar las autoridades gubernamentales y las capacidades privadas para interrumpir redes criminales.

      Lo que dicen los críticos

      Jake Williams, vicepresidente de investigación y desarrollo en Hunter Strategy, planteó un riesgo para los individuos. “Los estadounidenses que participan en estas operaciones podrían ser fácilmente clasificados como combatientes no uniformados mientras viajan al extranjero”, le dijo a TechCrunch.

      Agregó que “las alegaciones de que un estadounidense participó en estas operaciones no necesitan ser ciertas”. Williams describió la política como poco elaborada y dijo que no estaba convencido de que resistiría el abuso.

      También dijo que el memorando tiene un apéndice clasificado, que espera aborde cómo se eligen los objetivos.

      TechCrunch informa que es probable que la política enfrente desafíos legales. También preguntó a la Casa Blanca si alguna empresa ya está participando. Un portavoz no respondió.

      La cuestión legal

      La Ley de Fraude y Abuso Informático prohíbe el acceso no autorizado, y un memorando no enmienda un estatuto.

      Los abogados de Jenner & Block, escribiendo para Lawfare, señalaron la sección 1030(f). Exime la actividad investigativa, protectora o de inteligencia autorizada legalmente por una agencia gubernamental.

      Su conclusión fue reportada por The Register. “Ningún tribunal ha abordado si esta excepción proporciona alguna protección para entidades del sector privado contratadas para realizar estas actividades en nombre del gobierno de EE. UU.”, escribieron.

      Los abogados de Skadden llegaron a una opinión similar en marzo. Involucrar al sector privado en operaciones cibernéticas ofensivas probablemente requeriría cambios legales y regulatorios adicionales, escribieron.

      El contexto reportado a su alrededor

      TechCrunch señala que el memorando llega después de recortes y despidos en la Agencia de Ciberseguridad y Seguridad de Infraestructura desde enero de 2025. Gizmodo informa que el presupuesto propuesto para 2027 recortaría la agencia en otros $707 millones.

      California anunció su propio Programa de Defensa Cibernética de IA el 10 de agosto. Coloca un oficial de ciberseguridad de IA en cada agencia estatal, con un plan que debe presentarse en 120 días.

      TechCrunch también informa sobre intrusiones en proveedores de agua locales en más de una docena de estados. Funcionarios de inteligencia atribuyen esas intrusiones a hackers del gobierno iraní.

      Los ataques también se están volviendo más rápidos. Taiwán dice que una campaña impulsada por IA comprometió su gobierno en cuatro días. Una campaña de vishing llegó a Blackstone y KKR por teléfono.

      Las empresas de seguridad han tenido un año fuerte. CrowdStrike y Palo Alto Networks alcanzaron máximos históricos este mes.

      Lo que sucede a continuación

      Los procedimientos operativos deben presentarse en 60 días, y ninguna operación puede ser aprobada antes de que existan. El primer informe sigue en 180 días.

      Tres preguntas permanecen abiertas. Qué empresas participarán. Qué contiene el apéndice clasificado. Y si el Congreso o los tribunales pondrán a prueba la base legal.