Por primera vez en la historia de EEUU, el gobierno federal autoriza formalmente a empresas privadas seleccionadas a realizar operaciones ofensivas de ciberseguridad contra grupos criminales transnacionales. El presidente Trump firmó el miércoles 12 de agosto un Memorándum de Seguridad Nacional (NSPM) que crea el marco legal para ese programa. Lo cubre TechCrunch el 13 de agosto de 2026.
La ruptura con décadas de política es real: hasta hoy, la posición oficial de EEUU había sido que las empresas privadas pueden defenderse de ciberataques pero no lanzarlos. La Ley de Fraude y Abuso Informático (CFAA) trataría como ilegal a cualquier empresa que hiciera lo que el NSPM ahora autoriza bajo programa supervisado.
Qué permite exactamente el decreto
El NSPM no crea un derecho general de «hack-back» para cualquier empresa. Crea un programa formal en el que empresas verificadas pueden realizar operaciones de ciberseguridad ofensiva contra grupos criminales transnacionales bajo supervisión directa del gobierno federal.
Los requisitos son múltiples. Las empresas deben pasar un proceso de verificación («vetting»). Cada operación específica requiere aprobación previa por escrito de representantes del Departamento de Justicia (DOJ) y el Departamento de Seguridad Nacional (DHS). El programa está gestionado por el National Coordination Center (NCC) del Homeland Security Task Force. Las empresas deben depositar 1 millón de dólares en garantía que puede ser confiscada si no cumplen las reglas. Las operaciones deben detenerse inmediatamente si así lo requiere el NCC, con obligación de minimización de exposición adicional. El programa prohíbe explícitamente que las operaciones apunten a ciudadanos americanos o sistemas ubicados en EEUU.
Los objetivos declarados del NSPM son las organizaciones criminales transnacionales (TCOs) que operan ransomware, phishing y sextorsión contra ciudadanos americanos desde el extranjero. En 2025, los ciudadanos americanos reportaron pérdidas de más de 20.800 millones de dólares en delitos habilitados por medios cibernéticos. El NSPM presenta esa cifra como la justificación económica del cambio de política.
Por qué esto es un cambio histórico
La posición que este decreto cambia llevaba vigente a través de múltiples administraciones, de ambos partidos. El argumento para no permitir el hack-back privado tenía varias dimensiones: el riesgo de escalar conflictos diplomáticos si una empresa americana ataca infraestructura en otro país sin coordinación gubernamental; el peligro de que empresas con recursos y motivación errónea actúen de forma desproporcionada; la imposibilidad práctica de garantizar que los sistemas que se atacan son realmente criminales y no infraestructura legítima de otro país.
El NSPM intenta resolver todos esos problemas con el modelo de autorización previa por operación. Las empresas no pueden decidir unilateralmente a quién atacar — cada operación específica necesita el visto bueno de DOJ y DHS antes de ejecutarse. Ese control centralizado es lo que, según sus defensores, hace al programa diferente del hack-back no supervisado.
Los críticos señalan que el modelo tiene puntos ciegos. Un abogado especializado en ciberseguridad citado por TechCrunch advirtió que los empleados de empresas privadas de ciberseguridad americanas participantes podrían ser arrestados o procesados por gobiernos extranjeros que no reconocen la autoridad americana para autorizar operaciones en su territorio. La legalidad americana de la operación no equivale a inmunidad en la jurisdicción del objetivo.
La convergencia entre la posición de EEUU hacia las operaciones ofensivas de IA y la proliferación de modelos capaces de ciberataques autónomos plantea una pregunta que el NSPM no aborda directamente: ¿el marco del programa autoriza también el uso de sistemas de IA ofensivos, o solo de técnicas convencionales de hacking?
La conexión con el Daybreak Red de OpenAI — el programa que da a empresas de seguridad acceso a GPT-5.6-Cyber para encontrar zero-days — no es incidental. El NSPM y Daybreak Red son movimientos complementarios en la misma dirección: incorporar al sector privado en operaciones ofensivas de ciberseguridad bajo control gubernamental, con la diferencia de que Daybreak es un programa de capacidades técnicas y el NSPM es el marco legal que las autoriza.
La señal geopolítica
El documento incluye el lenguaje de justificación geopolítica habitual de la administración Trump: «el sector privado americano es el más innovador y tecnológicamente avanzado del mundo, y su escala, velocidad y capacidad aseguran una ventaja ofensiva crítica en ciberespacio para EEUU».
Es una reformulación del argumento de competitividad entre potencias que Trump ha aplicado a los chips, a la IA y ahora a la ciberseguridad ofensiva: EEUU tiene el sector privado más capaz del mundo y sería un desperdicio no usarlo.
Los mayores incidentes de ciberseguridad de 2026 — desde el hackeo de infraestructura de agua iraní hasta la actividad de grupos como ShinyHunters — son el contexto que da urgencia al argumento. Cuando la infraestructura crítica americana está siendo atacada continuamente, la defensa pasiva tiene límites políticos y operativos.
El uso de IA generativa por parte de actores maliciosos, incluyendo el caso documentado del hacker que usó Claude y DeepSeek para atacar más de 600 firewalls, ilustra la asimetría entre atacantes que ya usan IA y defensores que hasta ahora tenían restricciones legales para responder con las mismas capacidades.
Mi valoración
Lo que más me convence del diseño del programa es el modelo de autorización por operación. La diferencia entre «las empresas pueden hacer lo que quieran» y «cada operación específica necesita aprobación previa del DOJ y DHS» es real y significativa. Elimina la posibilidad de cowboy hacking empresarial con autorización vaga.
Lo que más me preocupa es la transparencia mínima sobre qué empresas participan y qué operaciones se autorizan. El programa es opaco por diseño — las operaciones son de inteligencia y no se publicarán. Eso hace prácticamente imposible la supervisión pública de si el programa está siendo bien gestionado o si está siendo usado para objetivos que van más allá de los criminales transnacionales que justifican su creación.
La pregunta a 12 meses es si ocurre un incidente que genere fricción diplomática — una operación que ataque infraestructura que resulte ser más de un Estado de lo que parecía, o que afecte a ciudadanos de un país aliado. Ese incidente, cuando ocurra, definirá los límites reales del programa.