Firma histórica: Estados Unidos autoriza contraataques privados
El gobierno estadounidense anunció en agosto de 2026 una política sin precedentes: permitirá a empresas especializadas en ciberseguridad llevar a cabo operaciones ofensivas contra actores maliciosos ubicados fuera de su territorio. La medida, impulsada desde la Oficina del Asesor de Seguridad Nacional y coordinada con el Departamento de Justicia y la Agencia de Ciberseguridad e Infraestructura (CISA), marca un giro radical en la doctrina de defensa cibernética, que hasta ahora reservaba las acciones ofensivas exclusivamente a agencias gubernamentales como la NSA o el Cuerpo de Ciberdefensa del Pentágono.
¿Qué cambia realmente?
A partir del primer trimestre de 2027, firmas certificadas —como Mandiant, CrowdStrike y Palo Alto Networks— podrán solicitar autorización para ejecutar ‘operaciones de interrupción activa’ contra servidores de comando y control (C2), infraestructura de ransomware y redes de bots gestionadas desde países sin acuerdos bilaterales de cooperación cibernética efectiva. No se trata de vigilancia pasiva ni de recopilación de inteligencia: se autoriza el despliegue de código para desactivar, redirigir o inutilizar temporalmente sistemas utilizados en ataques transfronterizos.
El marco legal: entre la autorización y la responsabilidad
La nueva normativa exige que cada operación sea previamente validada por un comité interinstitucional integrado por representantes del Departamento de Estado, el Fiscal General y expertos técnicos independientes. Además, se establece una cláusula de ‘efecto colateral cero’: cualquier acción debe garantizar que no afecte a infraestructura crítica ajena, servicios públicos, hospitales o sistemas financieros de terceros países. Las firmas deberán presentar informes técnicos post-operación dentro de las 72 horas y mantener registros auditables por cinco años.
Riesgos geopolíticos y líneas rojas
La decisión ya generó tensiones diplomáticas con naciones como Rusia, China y Corea del Norte, que calificaron la medida como ‘una violación flagrante del derecho internacional’. En contraste, aliados como Canadá, Reino Unido y Australia han iniciado conversaciones para armonizar sus propias regulaciones. En América Latina, solo Brasil y Chile cuentan con marcos legales que contemplan respuestas ofensivas limitadas; México, pese a ser el segundo país más atacado por ransomware en la región (con un aumento del 142% en incidentes reportados en 2025 según el Instituto Nacional de Estadística y Geografía —INEGI—), aún carece de una ley que habilite acciones ofensivas por parte del sector privado.
Ciberseguridad en México: ¿qué significa esto localmente?
En el contexto mexicano, donde el 68% de las pymes no cuenta con un plan formal de respuesta ante incidentes (INEGI, 2025), la nueva política estadounidense podría tener impactos directos. Empresas mexicanas que contraten servicios de ciberseguridad con filiales en EE.UU. podrían verse beneficiadas indirectamente si sus proveedores participan en operaciones que neutralicen campañas de phishing dirigidas a clientes latinoamericanos. Sin embargo, también se abren interrogantes: ¿qué ocurre si una operación autorizada afecta servidores alojados en centros de datos mexicanos? ¿Cómo se garantiza la soberanía digital nacional cuando decisiones tomadas en Washington tienen consecuencias técnicas en Veracruz o Guadalajara?
El vacío regulatorio nacional
México no ha actualizado su Ley Federal de Protección de Datos Personales en Posesión de Sujetos Obligados desde 2010, y su Estrategia Nacional de Ciberseguridad —vigente desde 2022— carece de capítulos sobre ciberdefensa ofensiva. Mientras tanto, el número de incidentes reportados al Centro de Respuesta a Incidentes de Seguridad Informática (CERT-MX) creció un 97% entre 2024 y 2025, con ataques contra instituciones educativas y gubernamentales concentrados principalmente en Veracruz, Estado de México y Nuevo León. El CERT-MX reconoce públicamente que menos del 12% de los casos resueltos implican colaboración con actores extranjeros debido a la ausencia de protocolos formales de cooperación judicial y técnica.
¿Quién está calificado para hacerlo?
No cualquier empresa podrá participar. El gobierno estadounidense definirá un listado oficial de ‘firmas autorizadas’, basado en criterios rigurosos: mínimo cinco años de experiencia en operaciones ofensivas verificables, certificación ISO/IEC 27035-2 en gestión de incidentes, y participación obligatoria en ejercicios anuales de ciberdefensa conjunta con el Departamento de Defensa. Se estima que inicialmente solo 14 compañías globales cumplirán con todos los requisitos —ninguna con sede principal en México, aunque tres tienen centros de operaciones regionales en Monterrey y Ciudad de México.
Preocupaciones éticas y jurídicas
Organismos como la Comisión Interamericana de Derechos Humanos han advertido sobre el riesgo de normalizar la ‘justicia privada digital’, especialmente en contextos donde los tribunales nacionales carecen de capacidad técnica para evaluar pruebas obtenidas mediante intrusiones ofensivas. En México, donde el 83% de los delitos cibernéticos permanecen impunes (Segob, 2025), la posibilidad de que evidencia recolectada por firmas extranjeras sea rechazada en juicios locales es alta, lo que podría debilitar aún más la cadena de custodia digital.
Conclusión: una oportunidad para repensar nuestra soberanía tecnológica
La decisión de Washington no es solo un cambio técnico: es un llamado urgente para que México y otros países de la región definan su propia doctrina cibernética. No se trata de replicar modelos extranjeros, sino de construir capacidades soberanas —desde legislación actualizada hasta centros de excelencia en ciberdefensa ofensiva— que protejan a ciudadanos y empresas sin depender de decisiones tomadas a miles de kilómetros. Si no actuamos ahora, corremos el riesgo de convertirnos en escenarios pasivos de conflictos digitales diseñados por otros. La ciberseguridad ya no es un tema de TI: es una prioridad estratégica de Estado. Y en Veracruz, como en todo el país, cada día que pasa sin una política clara es un día más de vulnerabilidad expuesta.
