Hacking ofensivo: por qué los países occidentales se muestran reticentes

¿Qué es el hacking ofensivo?

El hacking ofensivo, también llamado "hacking back" o "contraataque", consiste en atacar activamente los sistemas informáticos de los adversarios. Pueden estar implicados Estados, organizaciones o grupos criminales que llevan a cabo un ciberataque. Mientras que la ciberseguridad defensiva se centra en proteger y monitorizar las propias redes, el hacking ofensivo busca desbaratar el origen de un ataque, recabar información o inutilizar los sistemas del adversario.

Entre los ejemplos de acciones ofensivas están penetrar en servidores para desactivar malware, destruir datos robados o incluso apagar la infraestructura empleada para lanzar ciberataques.

¿Por qué la reticencia en Occidente?

Aunque la tecnología está disponible, muchos países y organizaciones occidentales se muestran deliberadamente cautelosos. Hay varias razones para ello:

Límites legales: el derecho internacional es ambiguo respecto a la legalidad de las operaciones de contraataque. Los ataques pueden verse rápidamente como una violación de la soberanía o incluso como un acto de guerra.
Riesgo de escalada: un hackeo ofensivo podría provocar ataques de represalia, ampliando o intensificando un conflicto.
Daños colaterales: los ataques digitales suelen ser difíciles de contener. Un ataque contra el servidor de un criminal puede afectar también a sistemas inocentes de terceros, como proveedores de nube usados por varios clientes.
Ética y reputación: las democracias occidentales quieren presentarse como Estados que respetan el Estado de derecho y los derechos humanos. Las acciones ofensivas pueden chocar con esa imagen.
Complejidad y atribución: a menudo es difícil determinar con certeza quién está detrás de un ataque. Un contraataque mal ejecutado puede afectar a partes inocentes.

Ejemplos de países que usan el hacking ofensivo

Estados Unidos: EE. UU. tiene uno de los mandos de ciberseguridad más avanzados del mundo. El U.S. Cyber Command realiza operaciones ofensivas de forma habitual. Un ejemplo conocido es Stuxnet (2010), una operación conjunta con Israel que saboteó instalaciones nucleares iraníes. En 2018, EE. UU. anunció que también empleaba hacking ofensivo contra las fábricas de trolls rusas que intentaban influir en las elecciones.
Israel: Israel es conocido por sus amplias capacidades cibernéticas. Además de medidas defensivas, también despliega medios ofensivos, a menudo dirigidos a Estados o grupos hostiles en Oriente Medio. La colaboración con EE. UU. en Stuxnet es el ejemplo más destacado, pero la empresa NSO Group, productora del spyware Pegasus, también ilustra cómo la tecnología israelí habilita capacidades ofensivas.
Reino Unido: el Reino Unido ha declarado explícitamente, a través de su National Cyber Force, que realizará operaciones cibernéticas ofensivas. Su objetivo: debilitar digitalmente a Estados hostiles, terroristas y grupos de crimen organizado.

Cómo lo aborda los Países Bajos

Desde 2014, los Países Bajos cuentan con un Defense Cyber Command, que tiene capacidades cibernéticas tanto defensivas como ofensivas. Sin embargo, la política es prudente: los medios ofensivos solo se despliegan en circunstancias muy excepcionales, por ejemplo, ante un conflicto militar (potencial).

Además, el gobierno neerlandés subraya que el contraataque por parte de empresas privadas está prohibido. Solo el Estado puede usar tales medios, y siempre bajo control democrático. El National Cyber Security Center (NCSC) y la Fiscalía hacen hincapié en la cooperación, el intercambio de información y la persecución legal de los ciberdelincuentes, en lugar de la represalia digital.

Cómo lo aborda la UE

La Unión Europea opta por un enfoque multilateral y jurídico. En lugar de hacking ofensivo por parte de los Estados miembros, la UE se centra en:

Sanciones contra Estados, empresas o personas responsables de ciberataques (por ejemplo, contra hackers rusos y chinos).
Cooperación internacional, como a través del European Cybercrime Centre (EC3) de Europol.
Legislación y estándares, incluida la Directiva NIS2, que obliga a los Estados miembros a aumentar su ciberresiliencia.

La UE ve el hacking ofensivo principalmente como un riesgo de escalada y de socavar el Estado de derecho internacional. Por eso, el énfasis está en la diplomacia, la presión económica y la resiliencia colectiva.

Argumentos a favor del hacking ofensivo

Disuasión: dejar claro que los ataques tienen consecuencias puede desalentar a Estados o criminales.
Protección proactiva: inutilizar la infraestructura de malware puede evitar futuros ataques.
Rapidez: en algunos casos, la acción ofensiva puede aportar protección más rápido que esperar a una actuación legal o diplomática.
Ventaja de inteligencia: al penetrar en sistemas hostiles, se pueden recabar datos e información valiosos.

Argumentos en contra del hacking ofensivo

Derecho internacional: no existe una base jurídica clara, lo que significa que las operaciones de contraataque se mueven en una zona gris.
Daños involuntarios: los recursos digitales pueden propagarse más allá de su objetivo original.
Escalada y represalia: cada ataque puede dar lugar a un contraataque, agravando aún más la situación.
Supervisión democrática: las operaciones ofensivas suelen ser secretas, lo que deja poco margen para la supervisión parlamentaria o pública.
Alternativas: la colaboración con la policía, los socios internacionales y los instrumentos judiciales suele considerarse más eficaz y sostenible.

Conclusión

El hacking ofensivo sigue siendo una herramienta controvertida en el mundo digital. Sus defensores lo ven como algo necesario para combatir los ataques de forma proactiva y disuadir a los adversarios. Sus detractores, en cambio, señalan los riesgos legales, éticos y prácticos.

Los Países Bajos y la UE optan por la contención y la cooperación internacional. Este enfoque busca combatir los ciberataques sin el riesgo de una escalada incontrolada. Aun así, queda la pregunta: ¿puede una postura totalmente defensiva ofrecer protección suficiente en un mundo donde los ciberataques son cada vez más complejos y agresivos?