El gobierno de Estados Unidos ha autorizado, por primera vez en su historia, que empresas privadas seleccionadas puedan llevar a cabo operaciones cibernéticas ofensivas contra grupos criminales y hackers internacionales. Firmado por el presidente Donald Trump el 12 de agosto, el Memorando de Seguridad Nacional (NSPM) marca un giro radical en la política de ciberseguridad del país.

Un nuevo marco de colaboración público-privada

El NSPM establece un programa supervisado por el Centro Nacional de Coordinación (NCC) del Grupo de Trabajo de Seguridad Nacional, liderado por dos directores ejecutivos del Departamento de Justicia y del Departamento de Seguridad Nacional.

Las compañías participantes podrán firmar acuerdos con otras empresas y con entidades gubernamentales federales, estatales y locales para recopilar inteligencia sobre grupos cibercriminales transnacionales y proponer operaciones de interrupción. El memorando especifica que se establecerán «procedimientos rigurosos» para la revisión y ejecución de operaciones «limitadas», realizadas solo bajo dirección del gobierno y en cumplimiento de la Constitución, las leyes federales y acuerdos internacionales.

La administración Trump argumenta que, ante la magnitud del daño causado por los ciberataques, es necesario emplear «todas las herramientas disponibles». Los consumidores estadounidenses perdieron más de $20.800 millones en ciberdelitos durante 2025, y el 73% de los adultos en EE. UU. ha sufrido algún tipo de estafa o ataque en línea.

¿Qué implica realmente esta autorización?

El nuevo permiso permite a las empresas del programa realizar vigilancia —como el uso de software espía para recopilar información— y ataques disruptivos para destruir datos o sistemas de los delincuentes. La administración aclara que esta política no autoriza a las empresas a tomar represalias por su cuenta (el llamado ‘hack back’); todas las operaciones deben ser aprobadas y supervisadas por el gobierno federal.

Para evitar abusos, las empresas participantes deberán depositar $1 millón en garantía, suma que perderán si incumplen las normas. Cualquier operación requiere la aprobación conjunta de representantes del Departamento de Justicia y del Departamento de Seguridad Nacional, y está prohibido atacar a ciudadanos estadounidenses o infraestructuras con sede en EE. UU.

Reacciones encontradas en la comunidad de ciberseguridad

La decisión ha generado intenso debate. Chris Wysopal, cofundador de Veracode, calificó la medida como un «gran cambio» en la política cibernética de EE. UU., señalando una expansión significativa del rol del sector privado en operaciones ofensivas.

Nick Carr, director técnico del Centro de Inteligencia de Amenazas de Microsoft (MSTIC) y ex analista jefe de CISA, expresó su principal preocupación: «Mi mayor inquietud con la acción ofensiva del sector privado contra el crimen… es lo difícil que resulta la atribución en operaciones criminales, y lo pocas organizaciones que pueden hacerlo correctamente de forma repetida».

Dr. Lukasz Olejnik, investigador independiente en ciberseguridad, advirtió que la autorización para destruir infraestructura controlada cibernéticamente podría afectar a sistemas vinculados a estados, elevando el riesgo de escalada y conflicto internacional.

Jake Williams, vicepresidente de I+D en Hunter Strategy, alertó: «Los estadounidenses que participen en estas operaciones podrían ser clasificados fácilmente como combatientes no uniformados cuando viajen al extranjero». Williams calificó la política de «a medio cocinar» y expresó dudas sobre posibles abusos.

El gobierno tiene un plazo de dos meses para publicar directrices detalladas sobre los requisitos de participación, y las empresas interesadas deberán depositar $1 millón en garantía para ser admitidas en el programa.