El memorando, firmado el pasado 12 de agosto, crea un programa para que empresas estadounidenses seleccionadas ejecuten operaciones de vigilancia y de efectos cibernéticos, incluida la capacidad de manipular, degradar o destruir infraestructura digital, contra organizaciones criminales transnacionales con capacidad cibernética. El contexto no es menor: solo en 2025, el cibercrimen costó a Estados Unidos más de 20.800 millones de dólares, la cifra que la Casa Blanca esgrime para justificar el programa. Cada operación requiere autorización escrita del Departamento de Justicia y del Departamento de Seguridad Nacional, y el texto limita el programa a grupos que no formen parte institucional de un gobierno extranjero ni operen bajo su dirección. Hasta ahí, la Casa Blanca lo presenta como una herramienta contra el ransomware y el fraude, y en términos operativos, en efecto, lo es. El problema empieza justo donde termina el comunicado.
La frase que decide todo llega después: el grupo se presume independiente salvo que exista inteligencia clara que establezca la conexión estatal. Ahí está la grieta. En el cibercrimen contemporáneo, lo difícil rara vez es demostrar que un actor es puramente criminal o puramente estatal; lo difícil es demostrar lo contrario. Los mismos servidores alojan infraestructura criminal y operaciones de inteligencia. Los mismos intermediarios trabajan para ransomware, para espionaje y para gobiernos que prefieren no dejar huella. En los ecosistemas cibernéticos más agresivos, la ambigüedad es el modelo de negocio y el modelo de negación plausible. El memorando coloca la carga de la prueba exactamente en el punto más difícil de probar, el vínculo entre el actor criminal y el Estado que lo tolera, financia o utiliza, y convierte esa dificultad en la puerta de entrada real del programa. No la cierra, la deja entornada y llama a eso seguridad.
No es la primera vez que un Estado delega violencia con matrícula legal en manos privadas. Las cartas de corso convirtieron durante siglos a comerciantes armados en actores autorizados de la guerra naval, hasta que la frontera entre corsario y pirata se volvió tan borrosa que la propia práctica tuvo que abolirse. El memorando reproduce el mismo dilema con otro soporte técnico: cuanto más rentable resulta la ambigüedad para quien la controla, menos incentivos tiene para renunciar a ella.
Conviene no exagerar lo que el memorando permite: no da carta blanca. Las empresas participan bajo contrato, vetting y supervisión directa, y cada operación exige aprobación previa y mecanismos de desconflicción con Estado, Tesoro, Defensa e inteligencia. Pero esa arquitectura de control resuelve el problema equivocado. La cuestión relevante no es si una empresa puede actuar por su cuenta (no puede), sino qué clasificación precede a la autorización. Si Washington concluye que el objetivo es una organización criminal independiente, la operación entra en el programa. Si concluye que está integrado en un gobierno extranjero, sale de él. Esa frontera se decide con inteligencia, atribución y análisis político, antes de que empiece la operación técnica. La clasificación es la decisión estratégica; la ejecución es solo el trámite posterior.
Ahí aparece la paradoja. Estados Unidos ha pasado años exigiendo a sus adversarios exactamente lo que este programa le permite evitar: atribución clara, responsabilidad estatal, consecuencias verificables. Aunque el memorando no autoriza deliberadamente ataques contra Estados extranjeros, permite tratar dentro de un marco de lucha contra el crimen transnacional a infraestructura sobre la que existe sospecha razonable de protección estatal, siempre que la inteligencia «clara» no haya llegado a confirmarlo.
El ecosistema ruso ilustra este problema con más nitidez. Evil Corp, el grupo detrás del malware Dridex, opera desde territorio ruso desde hace más de una década; Washington lo sancionó en 2019 y documentó vínculos entre uno de sus fundadores y el FSB, sin que eso alterara un día su funcionamiento como banda de cibercrimen con fines de lucro. Ese es el modelo: tolerancia oficial, infraestructura protegida, apariencia de organización criminal independiente, mientras el Estado obtiene capacidad ofensiva sin asumir cada operación en público. La arquitectura funciona también en sentido inverso. Si Washington trata como objetivo de un programa anticrimen una infraestructura con vínculo informal a un Estado, ese Estado no tiene por qué leerlo igual. Para Moscú, Teherán o Pyongyang, la diferencia entre «hemos atacado a una organización criminal» y «Estados Unidos ha atacado infraestructura que nosotros usamos» puede no importar en absoluto. Y en plena crisis, la percepción de la atribución pesa tanto como la atribución formal, si no más.
La prueba real del programa será si Washington logra distinguir de forma consistente entre un criminal protegido por un Estado y un instrumento estatal que se hace pasar por criminal. Cuanto más difusa sea esa frontera, más poder concentra la institución que decide dónde trazarla (la misma institución que necesita actuar rápido y que, por diseño, interpreta el mandato que la autoriza a hacerlo). Si Washington no logra sostener esa distinción, no habrá privatizado una capacidad ofensiva: habrá institucionalizado la ambigüedad como instrumento de Estado, el mismo recurso que lleva años señalando con el dedo en sus adversarios y que ahora guarda, con matrícula propia, en el cajón de las herramientas de la Casa Blanca. Y los adversarios que llevan años rentabilizando esa misma ambigüedad lo saben perfectamente.
*Imagen generada con inteligencia artificial.
