Imagen: Lunarbunny / Wikimedia Commons, CC BY-SA 3.0.
Estados Unidos pondrá en marcha un programa para incorporar a compañías privadas seleccionadas en operaciones contra organizaciones criminales extranjeras que utilizan internet para cometer fraudes y ataques. La medida aparece en un memorando presidencial firmado el 12 de agosto de 2026.
El documento amplía la estrategia federal contra el cibercrimen transnacional y busca aprovechar la capacidad técnica del sector privado. Sin embargo, no concede autorización general para que cualquier empresa realice ataques por cuenta propia: las operaciones deberán ejecutarse en nombre del Gobierno, bajo su dirección, control y autoridad legal.
¿Qué establece el nuevo programa?
El memorando ordena al Centro Nacional de Coordinación crear, administrar y mantener un programa que permita a compañías estadounidenses participantes realizar dos tipos de actividades contra organizaciones criminales cibernéticas extranjeras:
- Operaciones de vigilancia cibernética: actividades destinadas a obtener información o inteligencia de sistemas vinculados con los grupos criminales.
- Operaciones de efectos cibernéticos: acciones que pueden manipular, interrumpir, degradar o inutilizar infraestructura digital controlada por los objetivos autorizados.
El programa será codirigido por representantes designados del Departamento de Justicia y del Departamento de Seguridad Nacional. Cada paquete operativo tendrá que ser revisado y contar con aprobación y dirección escritas antes de que una compañía pueda actuar.
No será una autorización abierta para “hackear”
Uno de los puntos más importantes es que la iniciativa no legaliza acciones cibernéticas privadas independientes. Las compañías deberán ser aceptadas formalmente, firmar contratos con el Gobierno y cumplir procedimientos operativos que todavía deben ser desarrollados.
El memorando exige criterios de competencia técnica, experiencia, seguridad de instalaciones, evaluación del personal, confiabilidad y cumplimiento. También permite que las autoridades requieran una fianza o depósito de garantía de al menos US$1 millón, que podría perderse si una empresa incumple su contrato.
Cuáles serán los objetivos
Las operaciones se dirigirán contra organizaciones criminales transnacionales extranjeras que utilicen medios cibernéticos para perjudicar al Gobierno, ciudadanos o intereses estadounidenses. El texto excluye de la definición a grupos que formen parte institucional de un gobierno extranjero o que estén completamente dirigidos por este.
La iniciativa busca combatir redes vinculadas con fraude, extorsión digital y otras actividades delictivas. En los últimos años, las modalidades de ransomware como servicio, el robo de credenciales y los fraudes financieros han aumentado la presión sobre empresas y organismos públicos.
Controles para reducir daños y errores
El programa deberá actuar conforme a la Constitución, las leyes estadounidenses y las obligaciones internacionales del país. Los procedimientos también tendrán que incluir mecanismos para evitar objetivos equivocados y detener una operación si excede los límites autorizados.
Cuando una actividad involucre a una persona estadounidense o pueda afectar obligaciones constitucionales, legales o internacionales, deberá obtener las autorizaciones necesarias, incluso judiciales cuando corresponda.
El memorando define como resultados críticos aquellos que probablemente provoquen pérdida de vidas, lesiones graves o alcancen el nivel de uso de la fuerza o ataque armado bajo el derecho internacional. Los responsables ordinarios del programa no podrán aprobar acciones que produzcan esos resultados.
Cuándo comenzaría a funcionar
Los directores del programa deberán establecer procedimientos operativos consensuados dentro de los 60 días siguientes al memorando. Además, deberán presentar un informe sobre su estado dentro de 180 días y continuar reportando anualmente.
Esto significa que el anuncio crea la estructura y las reglas generales, pero la ejecución práctica dependerá de las normas de implementación, la selección de las compañías y la aprobación individual de las operaciones.
Qué significa para las empresas estadounidenses
Para el sector tecnológico y de ciberseguridad, la medida puede abrir oportunidades de contratación y colaboración federal. Las empresas grandes aportarían capacidad e infraestructura, mientras que compañías más pequeñas podrían participar en tareas especializadas.
Al mismo tiempo, las exigencias legales, técnicas y financieras serán elevadas. Una operación mal atribuida o ejecutada fuera de los límites podría provocar consecuencias legales, diplomáticas o daños a sistemas de terceros. Por eso, el control gubernamental y la calidad de la inteligencia serán decisivos.
Las organizaciones no deben bajar la guardia
El nuevo programa no sustituye las medidas básicas de protección. Empresas, escuelas, hospitales y entidades públicas deben mantener copias de seguridad aisladas, autenticación multifactor, actualizaciones de seguridad, segmentación de redes, capacitación contra el phishing y un plan probado de respuesta a incidentes.
La Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) y el FBI publicaron recientemente una advertencia conjunta sobre Gunra, una modalidad de ransomware como servicio que combina el cifrado de archivos con la amenaza de divulgar información robada. Ese tipo de doble extorsión demuestra por qué la defensa preventiva sigue siendo esencial.
Conclusión
Estados Unidos está ensayando una colaboración más ofensiva entre el Gobierno y el sector privado contra el cibercrimen internacional. La novedad es significativa, pero sus límites también lo son: las compañías deberán ser seleccionadas, trabajar mediante contratos y recibir aprobación federal para cada operación.
Fuentes: memorando presidencial de la Casa Blanca del 12 de agosto de 2026 y alerta conjunta de CISA sobre el ransomware Gunra.
