**Exjefes de la NSA debaten la evolución y límites del ciberataque ofensivo en la administración pública**
—
### 1. Introducción
En un encuentro sin precedentes, cuatro exdirectores de la Agencia de Seguridad Nacional (NSA) de Estados Unidos, que en conjunto abarcan casi toda la historia del comando cibernético estadounidense (US Cyber Command), se reunieron para debatir el papel y los desafíos del ciberataque ofensivo dentro del sector público. Este debate, de alto nivel técnico y estratégico, ha puesto sobre la mesa tanto los avances como las preocupaciones éticas, legales y operativas sobre el uso de capacidades ofensivas en el ciberespacio.
—
### 2. Contexto del Incidente o Vulnerabilidad
Desde la creación del US Cyber Command en 2009, Estados Unidos ha invertido de manera considerable en capacidades ofensivas de ciberseguridad, pasando del simple monitoreo y defensa de redes a operaciones de “hack back”, disrupción de infraestructuras críticas enemigas y campañas de influencia digital. La evolución tecnológica y la presión geopolítica han llevado a la administración pública a replantear el equilibrio entre la defensa y el ataque digital, especialmente ante amenazas persistentes avanzadas (APT) procedentes de actores estatales como Rusia, China, Irán y Corea del Norte.
El debate entre exjefes de la NSA ha tenido lugar en un momento en el que la frontera entre ciberdefensa y ciberataque es cada vez más difusa, y tras incidentes como SolarWinds (2020), Colonial Pipeline (2021) o la explotación reciente de vulnerabilidades zero-day en infraestructuras críticas, que han puesto en jaque tanto al sector público como al privado.
—
### 3. Detalles Técnicos
Durante el debate, los exdirectores abordaron la evolución de las tácticas, técnicas y procedimientos (TTP) utilizados en operaciones ofensivas, bajo marcos como MITRE ATT&CK. Se discutió el uso de exploits avanzados, herramientas como Metasploit y Cobalt Strike, y técnicas de “living off the land” (LotL) para maximizar el sigilo y la persistencia en redes adversarias. Se hizo referencia a campañas previas documentadas bajo CVEs como CVE-2017-0144 (EternalBlue), que permitió a actores como WannaCry y NotPetya provocar daños multimillonarios.
Los panelistas analizaron la importancia de los indicadores de compromiso (IoC) y de la atribución para evitar daños colaterales, así como la coordinación con agencias de inteligencia aliadas. También se subrayó la tendencia actual al “forward defense” y “persistent engagement”, conceptos que implican una presencia activa y continua en redes hostiles para anticipar y neutralizar amenazas antes de que alcancen infraestructuras críticas estadounidenses.
—
### 4. Impacto y Riesgos
El uso de capacidades ofensivas implica riesgos técnicos y geopolíticos significativos. Los exjefes de la NSA advirtieron sobre la posibilidad de escalada fuera de control, la dificultad de contener efectos secundarios y la exposición de vulnerabilidades propias si el adversario logra identificar y reutilizar exploits desarrollados por Estados Unidos. Se mencionaron casos recientes en los que herramientas de la NSA, como EternalBlue, fueron filtradas y posteriormente explotadas por terceros, lo que derivó en incidentes globales.
Se hizo hincapié en el impacto económico: se estima que los ataques cibernéticos ofensivos y sus réplicas han causado pérdidas superiores a los 10.000 millones de dólares en los últimos cinco años, según datos de la industria. Además, se discutió el riesgo reputacional y las implicaciones legales, especialmente en el marco del GDPR y la directiva NIS2 en Europa, así como la posible respuesta en el marco de la OTAN.
—
### 5. Medidas de Mitigación y Recomendaciones
Entre las recomendaciones planteadas, los exdirectores coincidieron en la necesidad de una mayor transparencia y control parlamentario sobre las operaciones ofensivas, así como en la importancia de actualizar los marcos legales que regulan el uso de estas capacidades. Abogaron por la colaboración público-privada para compartir inteligencia sobre amenazas (CTI) y por la utilización de ejercicios de red team y simulaciones de ataque (red teaming) con frameworks como ATT&CK y CALDERA para mejorar la preparación.
Además, se insistió en la aplicación de principios de “least privilege”, segmentación de redes, monitorización avanzada mediante SIEM de última generación y el despliegue de honeypots para detectar movimientos laterales de adversarios.
—
### 6. Opinión de Expertos
Expertos en ciberseguridad y derecho internacional consultados coinciden en que la ofensiva digital debe regirse por estrictos controles éticos y legales. El profesor Michael Schmitt, coautor del Manual de Tallin sobre la guerra cibernética, destacó que “la ausencia de normas claras aumenta el riesgo de escalada y dificulta la atribución legítima”. Por su parte, responsables de ciberdefensa de la Unión Europea recordaron la necesidad de respetar la soberanía digital y evitar la proliferación de armas cibernéticas.
—
### 7. Implicaciones para Empresas y Usuarios
Las empresas y los usuarios finales no son meros espectadores: los daños colaterales de las operaciones ofensivas pueden afectar a infraestructuras privadas, cadenas de suministro y datos personales, especialmente si exploits o herramientas son filtrados o reutilizados por actores maliciosos. La reciente introducción de la directiva NIS2 en la UE y las exigencias del GDPR obligan a las organizaciones a reforzar sus capacidades de detección, respuesta y reporte de incidentes, así como a analizar su exposición ante posibles represalias o “spillover” de acciones estatales.
—
### 8. Conclusiones
El debate entre cuatro generaciones de líderes de la NSA subraya la complejidad, riesgos y desafíos éticos que implica el uso de capacidades cibernéticas ofensivas por parte de los Estados. La frontera entre defensa y ataque es cada vez más sutil, y la colaboración internacional, la gobernanza y la preparación técnica son esenciales para mitigar los riesgos inherentes a la ciberguerra moderna. Para los responsables de seguridad, la vigilancia continua y la actualización constante de estrategias defensivas y ofensivas, en cumplimiento con la legislación vigente, son imperativos para proteger tanto intereses públicos como privados.
(Fuente: www.darkreading.com)