Resumen de la publicación
El 12 de agosto Trump firmó un memo presidencial que autoriza, por primera vez, a empresas privadas de seguridad de EE.UU. a ejecutar operaciones cibernéticas ofensivas (vigilancia encubierta y ataques que degradan o destruyen sistemas) contra organizaciones criminales en el exterior, bajo supervisión federal.
En este artículo analizo por qué esto nos importa aunque estemos a 8.000 kilómetros: la infraestructura que usan los criminales es casi siempre infraestructura ajena comprometida, y un servidor argentino mal parcheado puede terminar siendo el blanco «legítimo» de un contraataque que nadie acá votó.
El 12 de agosto la Casa Blanca publicó un memorándum presidencial de seguridad nacional que rompe con décadas de doctrina: por primera vez, empresas privadas de EE.UU. van a poder ejecutar operaciones cibernéticas ofensivas contra organizaciones criminales en el exterior, con autorización formal del gobierno.
Lo que hasta hace una semana era delito bajo la ley de fraude informático estadounidense (la CFAA), ahora es un programa con vetting, contratos y aprobaciones. El famoso «hack-back» (contraatacar al que te atacó, entrando a sus sistemas) dejó de ser tabú y pasó a ser política pública.
Desde mi punto de vista, esto abre una caja de Pandora. Y lo que más me preocupa no es lo que pasa en EE.UU.: es lo que nos puede pasar a nosotros, que administramos infraestructura en el medio del campo de tiro.
Qué autoriza el memo de verdad (y qué no)
Primero seamos precisos, porque los titulares exageran. El memo, titulado «Expanding Capabilities to Combat Transnational Cyber-Enabled Crime», no habilita a cualquier empresa a devolver el golpe cuando la atacan. Crea un programa administrado por el National Coordination Center donde «empresas participantes» seleccionadas pueden ejecutar dos tipos de operaciones:
- Operaciones de vigilancia: acceso encubierto a sistemas de organizaciones criminales para recolectar inteligencia, con la intención de no ser detectados.
- Operaciones de efectos: acciones que manipulan, interrumpen, degradan o directamente destruyen los sistemas del adversario.
Las salvaguardas existen y no son triviales. Las empresas tienen que pasar un escrutinio de competencia técnica y confiabilidad, firmar contratos con Justicia o Seguridad Nacional, depositar una garantía de al menos un millón de dólares que pierden si violan las reglas, y cada operación requiere aprobación previa y por escrito de funcionarios de ambos departamentos.
Además, los blancos válidos son solo organizaciones criminales transnacionales extranjeras: el memo excluye explícitamente a gobiernos y actores estatales, prohíbe operaciones contra personas o sistemas estadounidenses, y veta resultados «críticos» como pérdida de vidas o cualquier cosa que califique como uso de la fuerza bajo derecho internacional.
Es decir: no es el far west que algunos imaginan. Pero el problema de fondo no está en el papel, está en la práctica.
El contexto que lo empuja: plantas de agua y 20.800 millones de dólares
El memo no cae del cielo. Llega en medio de una ola de intrusiones contra plantas de agua en EE.UU. que la inteligencia estadounidense atribuye, extraoficialmente, a la Guardia Revolucionaria iraní.
Desde fines de julio se reportaron ataques coordinados contra sistemas de agua en más de 30 comunidades de Minnesota, con el FBI confirmando incidentes en al menos siete estados. Los atacantes fueron directo a los PLC (los controladores lógicos programables que operan válvulas y bombas) expuestos a internet, y causaron pérdida de presión, inundaciones y declaraciones de emergencia en algunos municipios.
A eso se suma el argumento económico: los estadounidenses reportaron más de 20.800 millones de dólares en pérdidas por cibercrimen en 2025, y la sensación (bastante fundada) de que el Estado no da abasto.
Acá aparece la primera ironía. El clima político que empuja el memo lo generan ataques atribuidos a un Estado, pero el memo prohíbe justamente atacar Estados.
Los blancos habilitados son bandas de ransomware y granjas de estafas, no la Guardia Revolucionaria. Se vende como respuesta a Irán algo que, por diseño, no puede tocar a Irán.
El problema que ningún escrow resuelve: la atribución
Todo el edificio del hack-back descansa sobre una premisa: saber a quién le estás pegando. Y la atribución es, de lejos, lo más difícil de esta disciplina.
Los grupos criminales operan detrás de capas de infraestructura ajena: servidores comprometidos, proxies residenciales, VPS alquilados con identidades robadas. Distinguir al dueño del fierro del que lo está usando exige tiempo, acceso y honestidad intelectual, tres cosas que escasean cuando hay un contrato comercial que justificar.
Los expertos vienen marcando esto desde el día uno. Jake Williams, exoperador de la NSA, calificó la política de «a medio cocinar» y advirtió algo que me parece central: los empleados de estas empresas podrían ser considerados combatientes sin uniforme por otros países, con todo lo que eso implica si viajan al exterior.
Y hay un incentivo perverso que no veo discutido lo suficiente. Una agencia estatal puede darse el lujo de decir «no tenemos certeza suficiente, no operamos». Una empresa que cobra por operar, que puso un millón de dólares en garantía y que necesita mostrar resultados, tiene todos los incentivos para convencerse de que su atribución es correcta.
Los servidores nuestros en el medio
Acá es donde esto deja de ser una discusión de política exterior estadounidense y pasa a ser un problema nuestro.
La infraestructura «del criminal» rara vez es del criminal. Es el WordPress desactualizado de una pyme de Rosario, la VM olvidada en un datacenter de Buenos Aires, el servidor de un municipio que nadie parchea desde 2023.
Si esa máquina comprometida funciona como proxy o como servidor de comando y control de una banda, para el que está del otro lado es infraestructura criminal operativa, y una «operación de efectos» autorizada puede degradarla o destruirla.
El memo exige minimizar daños colaterales y notificar de inmediato si una operación afecta a personas o infraestructura estadounidense. Sobre el resto del mundo, silencio. Si el daño colateral es un servidor argentino, no hay obligación de avisar a nadie, y no existe ningún mecanismo por el cual el dueño pueda reclamar.
Para quien administra infraestructura en Argentina o en la región, la conclusión práctica es incómoda pero simple: la higiene de seguridad ya no solo te protege de que te roben, te protege de quedar en la línea de fuego de un contraataque ajeno. Concretamente:
- Inventariá lo que tenés expuesto a internet: hace dos semanas repasábamos que más de 86.000 interfaces de gestión BMC están accesibles públicamente, y los PLC de las plantas de agua atacadas estaban en la misma condición.
- Monitoreá el tráfico saliente: un servidor que de golpe habla con destinos raros es un servidor que quizás ya trabaja para otro.
- Tomá en serio los reportes de abuso: ese mail de abuse que nadie lee puede ser el único aviso de que tu IP figura en la infraestructura de una banda.
- Guardá logs con retención razonable: si algún día tenés que demostrar que fuiste víctima y no cómplice, los logs son tu única evidencia.
Si EE.UU. puede, todos pueden
El otro costo de esta decisión es el precedente. La norma no escrita de que la fuerza ofensiva en el ciberespacio es monopolio de los Estados venía golpeada, pero seguía en pie. EE.UU. acaba de voltearla formalmente, y en el Congreso ya circuló un proyecto que va más lejos: patentes de corso digitales, el equivalente moderno de autorizar corsarios.
¿Con qué argumento le decimos ahora a otros gobiernos que no autoricen a sus propias empresas a hacer lo mismo? Cada país que copie el modelo lo va a copiar con sus propios estándares de vetting, sus propios incentivos y, casi seguro, menos salvaguardas. El resultado es más actores ofensivos operando sobre la misma infraestructura global compartida, cada uno con su propia lista de blancos «legítimos».
Lo que me llama la atención es la velocidad: pasamos de «el hack-back es delito federal» a «firmá acá y depositá un millón» en un solo memo, con 60 días de plazo para tener los procedimientos operativos listos. Las cajas de Pandora no avisan cuando se abren; se notan cuando ya es tarde para cerrarlas.
La frontera ya no la marca un Estado
No me quiero quedar en la crítica fácil: el problema que este memo intenta atacar es real. Las bandas operan desde jurisdicciones donde la extradición es una fantasía, y las víctimas se cuentan en miles de millones de dólares por año.
Pero la respuesta a «el Estado no da abasto» no puede ser repartir armas digitales entre contratistas con fines de lucro y esperar que la atribución siempre salga bien. Sobre todo cuando los que vamos a poner los daños colaterales somos los que administramos infraestructura en países que no firmaron nada.
Mientras tanto, lo que está a nuestro alcance es no ser parte del campo de batalla: menos superficie expuesta, más visibilidad sobre lo que sale de nuestras redes, y la certeza de poder demostrar quiénes somos si alguien pregunta. ¿Vos sabés hoy si alguna de tus IP figura en una lista de infraestructura comprometida? Te leo en los comentarios.
