TL;DR:
- Donald Trump firmó el 12 de agosto de 2026 un memorando que autorizará a empresas privadas estadounidenses a espiar y sabotear sistemas de organizaciones criminales extranjeras, bajo contrato y aprobación escrita del gobierno.
- Cada empresa deberá mantener una fianza o depósito en garantía de al menos 1 millón de dólares, que pierde si incumple su contrato.
- El texto no modifica la Computer Fraud and Abuse Act ni concede inmunidad expresa a las compañías; los procedimientos operativos se conocerán antes del 11 de octubre de 2026.
Donald Trump firmó el 12 de agosto de 2026 un memorando de seguridad nacional que abrirá a empresas privadas estadounidenses la posibilidad de vigilar y atacar sistemas de organizaciones criminales extranjeras, bajo contrato con los departamentos de Justicia y de Seguridad Nacional. Hasta ahora la posición oficial, a lo largo de varios gobiernos, era que una empresa puede defenderse de un ataque, no lanzarlo. El memorando no modifica la ley federal que prohíbe hackear: se apoya en una excepción de la Computer Fraud and Abuse Act que ningún tribunal ha aplicado a contratistas privados, exige una fianza mínima de 1 millón de dólares por compañía y deja los procedimientos concretos para dentro de 60 días. Quedan abiertos tres riesgos: el legal para las empresas, el diplomático para los países donde estén los sistemas y el daño a terceros.
Vigilar y destruir: las dos operaciones que autoriza el programa
El memorando ordena al National Coordination Center (NCC), que opera dentro del Homeland Security Task Force, crear un programa que autorice a las empresas admitidas a ejecutar dos tipos de misión contra lo que llama organizaciones criminales transnacionales habilitadas por medios cibernéticos (CE-TCO). El documento las define por separado, y la diferencia importa: una entra a los sistemas para mirar y la otra para romper.
| Elemento | Operación de vigilancia | Operación de efectos |
|---|---|---|
| Propósito declarado | Recolectar información, incluida la que sirva para operaciones de efectos posteriores | Manipular, interrumpir, denegar, degradar o destruir |
| Acceso a los sistemas | Sin autorización del dueño u operador, o excediendo el acceso permitido, con la intención de no ser detectada | El memorando define el resultado buscado, no la vía de entrada |
| Daño admitido | Manipulación o interrupción temporal, sin efectos físicos ni sobre la usabilidad de la infraestructura | Sistemas, redes, infraestructura controlada por sistemas y la información alojada en ellos |
Ninguna de las dos puede producir lo que el texto llama "Critical Outcomes": una acción con probabilidad de causar muertes o lesiones graves, o que alcance el nivel de uso de la fuerza o ataque armado según el derecho internacional. Cada paquete de operación necesita revisión y aprobación por escrito de dos codirectores ejecutivos, uno del Departamento de Justicia y otro del de Seguridad Nacional, y esos codirectores tienen prohibido aprobar cualquier cosa que caiga en esa categoría. Las empresas además deberán detener la operación, aplicar procedimientos de minimización y avisar de inmediato si tocan por accidente a una persona estadounidense, a un sistema ubicado en Estados Unidos o a uno controlado por una persona estadounidense.
La justificación llegó con cifras. La Casa Blanca sostiene que los consumidores estadounidenses reportaron más de 20,800 millones de dólares en pérdidas por delitos cometidos con medios cibernéticos durante 2025, y que 73% de los adultos del país sufrió alguna estafa o ataque en línea. La política que fija el memorando es usar "todos los instrumentos del poder nacional" contra el cibercrimen, incluida la capacidad del sector privado.
La ley que prohíbe hackear no cambió y la excepción nunca se probó en corte
La Computer Fraud and Abuse Act (CFAA), la principal ley antihackeo federal, sigue exactamente igual. El memorando ni siquiera pide enmendarla: al contrario, ordena que el programa opere conforme a ella.
La salida está en el apartado 1030(f) del título 18 del Código de Estados Unidos, que exceptúa de la prohibición la actividad investigativa, protectora o de inteligencia legalmente autorizada de una agencia estadounidense. Abogados del despacho Jenner & Block, en un análisis publicado por Lawfare y recogido por The Register, apuntaron que ninguna corte ha resuelto si esa excepción protege a una empresa privada contratada para hacer ese trabajo por cuenta del gobierno, ni bajo qué condiciones. Sí consideran improbable que un tribunal la extienda a operaciones ofensivas independientes, sin dirección ni participación oficial.
Especialistas del despacho Skadden ya habían advertido en marzo, cuando la Casa Blanca publicó su estrategia cibernética, que meter al sector privado en acciones ofensivas exigiría cambios legales o regulatorios adicionales. Su argumento: aunque la administración girara instrucciones para no perseguir estos casos, las sanciones civiles de la CFAA y su prescripción de cinco años seguirían en pie.
Ese vacío se traduce en exposición concreta. Jonathan Ong, analista senior de servicios de seguridad gestionada en Omdia, dijo a CSO Online que en el memorando no se ve inmunidad ni indemnización para las compañías, y que estas tampoco cuentan con la protección frente a capacidades de un Estado que sí tiene una agencia gubernamental. Ong añadió que no le encuentra el incentivo financiero para que una empresa grande de ciberseguridad asuma ese riesgo.
El daño colateral cae sobre infraestructura que no es de los criminales
El segundo riesgo es operativo y golpea a terceros que no cometieron ningún delito. Pareekh Jain, director ejecutivo de Pareekh Consulting, se lo resumió a CSO Online: "Evitar el daño colateral es extremadamente difícil". Los cibercriminales, explicó, rara vez compran su propia infraestructura: se esconden dentro de redes de compañías reales, secuestran dispositivos de casa inteligente y rentan servidores de nube estándar con tarjetas de crédito robadas. Un blanco mal identificado, agregó, puede pertenecer a una organización inocente o quedar bajo la jurisdicción de otro país, y la acción disruptiva puede provocar represalias contra la propia empresa de seguridad que la ejecutó.
Antes de romper algo hay que saber a quién pertenece, y ahí está la objeción técnica de fondo. Nick Carr, director técnico del equipo de inteligencia de amenazas de Microsoft (MSTIC) y antes analista técnico jefe de CISA, escribió en X que su mayor preocupación con la acción ofensiva privada contra el crimen es lo difícil que resulta la atribución. Pocas organizaciones la hacen bien de forma repetible, agencias de gobierno incluidas, según su publicación recogida por Infosecurity Magazine. Carr matizó que el programa podría mitigar el problema si se diseña para mejorar ese trabajo.
No todas las reacciones fueron críticas. Chris Wysopal, cofundador de Veracode, describió la medida como un cambio grande en la política cibernética estadounidense y precisó que no equivale a un "hack back", sino a una ampliación del papel del sector privado en operaciones ofensivas. Josh Steinman, cofundador de Galvanick y funcionario cibernético de la Casa Blanca durante el primer mandato de Trump, celebró el anuncio, según reportó CyberScoop.
El memorando presume que el grupo criminal no trabaja para ningún gobierno
La definición del blanco esconde la decisión más delicada del documento. Una CE-TCO es cualquier grupo extranjero que cometa delitos con medios cibernéticos contra el gobierno estadounidense, una persona estadounidense o intereses de ese país, siempre que no sea parte institucional de un gobierno extranjero ni opere por completo bajo su dirección. Y el texto agrega una presunción: se asumirá que el grupo no tiene ese vínculo salvo que exista inteligencia clara que lo establezca.
La presunción va en dirección contraria a lo que el propio gobierno estadounidense ha dicho. Funcionarios del Departamento de Estado afirmaron este año que hay evidencia que liga a muchas de las bandas chinas detrás de los centros de estafa del Sudeste Asiático con proyectos del gobierno chino, y el Departamento de Justicia implicó a funcionarios gubernamentales y militares de Camboya y Myanmar en acusaciones contra organizaciones criminales transnacionales, según recordó The Record. El memorando no explica qué pasa cuando la operación aprobada choca con esa realidad.
Conviene precisar el alcance, porque el documento no nombra a ninguna organización ni a ningún país: define el blanco por conducta, no por una lista de designados. Cualquier grupo extranjero encaja mientras cometa delitos con medios cibernéticos contra estadounidenses.
El congresista Bennie Thompson, demócrata por Misisipi y miembro de mayor rango del Comité de Seguridad Nacional de la Cámara, expresó preocupaciones serias por las implicaciones legales para las empresas participantes y por otros efectos no buscados, y observó que los procedimientos de supervisión no están claros, según recogió The Record. En la industria la inquietud es más personal. Jake Williams, vicepresidente de investigación y desarrollo en Hunter Strategy, dijo a TechCrunch que los estadounidenses que participen en estas operaciones "podrían ser clasificados fácilmente como combatientes no uniformados" al viajar al extranjero, y que la acusación ni siquiera necesitaría ser cierta para que un gobierno la use. El precedente en espejo ya existe: un ciudadano chino fue detenido de vacaciones en Italia y extraditado a Estados Unidos, acusado de trabajar para una empresa de ciberseguridad que atacó a compañías estadounidenses por encargo del gobierno chino.
El calendario deja poco margen para responder esas preguntas. Los codirectores del programa tienen hasta el 11 de octubre de 2026 para fijar los procedimientos operativos, que incluirán los estándares mínimos de competencia técnica, seguridad de instalaciones y verificación de personal exigidos para entrar. El primer informe de situación vence el 8 de febrero de 2027 y se repetirá cada año, junto con la reevaluación anual de cada compañía. Un anexo clasificado regula el flujo operativo y el marco para decidir blancos, así que la parte que definirá a quién se ataca no será pública. Cuando TechCrunch y The Record preguntaron si alguna empresa ya aceptó participar, la Casa Blanca no respondió.
