Resumen ejecutivo

El 12 de agosto de 2026, la Casa Blanca firmó el memorándum Expanding Capabilities to Combat Transnational Cyber-Enabled Crime (NSPM) que establece el primer programa formal de EE.UU. en el que empresas privadas autorizadas y vetadas podrán ejecutar operaciones ofensivas limitadas contra redes criminales cibernéticas trasnacionales bajo dirección y supervisión directa del gobierno federal. Hasta ahora, la política estadounidense prohibía explícitamente las operaciones de “hack back” por parte del sector privado (Computer Fraud and Abuse Act, 18 U.S.C. §1030). El nuevo programa crea un canal legal acotado: las empresas participantes firmarán contratos con DOJ o DHS, serán sometidas a “rigorous vetting”, operarán exclusivamente bajo dirección federal, y deberán pausar inmediatamente cualquier operación que impacte accidentalmente a ciudadanos o sistemas estadounidenses. Las operaciones que produzcan “Critical Outcomes” requieren aprobación del National Security Council. Healthcare and Public Health es el sector más atacado por ransomware-as-a-service en 2026 (BakerHostetler 2026, HIPAA Journal) y los principales actores (BlackCat, LockBit, BianLian, The Gentlemen, Gunra) tienen base trasnacional. El cambio afecta directamente a hospitales, aseguradoras, fabricantes de dispositivos médicos y proveedores de ciberseguridad especializados en sanidad.

Puntos clave

  • Primera autorización formal de hack back: el memorándum elimina décadas de interpretación restrictiva del CFAA para un programa cerrado y autorizado. Hasta ahora, las empresas privadas solo podían ejecutar defensive operations (contención, threat hunting, sinkholing), no offensive operations contra infraestructura de atacantes.
  • Mecanismo de coordinación: el National Coordination Center (gestionado conjuntamente por DOJ y DHS) crea, mantiene y supervisa el programa. Las empresas participantes firman contratos con uno de los dos departamentos, son sometidas a vetting, y operan bajo dirección federal explícita (no en “license to hack” libre).
  • Alcance definido: target son “cyber-enabled transnational criminal organizations”, no estados-nación ni operaciones de inteligencia. Esto no autoriza operaciones contra APTs respaldadas por estados, pero sí contra RaaS, mercados dark web, plataformas de phishing-as-a-service, grupos de BEC (Business Email Compromise) y operadores de malware-as-a-service con víctimas mayoritariamente civiles/empresariales.
  • Prohibición de daño colateral: cualquier operación que toque a ciudadano estadounidense o sistema en territorio de EE.UU. debe pausarse inmediatamente y notificarse al gobierno. Es la salvaguarda que evita que el programa se convierta en un proxy de vigilancia privada.
  • Limitaciones técnicas: las operaciones que produzcan “Critical Outcomes” (definidos en la sección 4(b) del memo) requieren aprobación del NSC. Esto cierra la puerta a “operations resulting in death, serious injury, mass financial disruption, or significant impairment of critical infrastructure”.
  • Cobertura mediática amplia: TechCrunch (13/08), Bloomberg, NYT, The Record, Politico, Federal News Network, CyberScoop, The Guardian. La transparencia pública del programa es deliberada: el gobierno quiere que las redes criminales sepan que el coste de operar contra infraestructura de EE.UU. ha subido.
  • Aplicabilidad a sanidad: el sector salud no está exento. Hospitales grandes, aseguradoras, fabricantes de dispositivos médicos (Medtronic, Abbott, Philips, GE Healthcare) y proveedores de ciberseguridad especializados (Claroty, Armis, Asimily, Ordr, Cynerio) pueden ser llamados a participar. CrowdStrike, Palo Alto Networks Unit 42, Mandiant tienen divisiones de offensive security con capacidad operativa ya construida.

Implicaciones regulatorias

HIPAA y sector sanitario

El programa no modifica las obligaciones HIPAA de covered entities y business associates, pero crea un nuevo vector de inteligencia procesable para el sector. Si operaciones ofensivas autorizadas contra grupos RaaS producen IOCs, claves de descifrado, logs de chat de afiliados o listas de víctimas, esos datos podrían acelerar la detección y notificación de breaches en hospitales. §164.308(a)(1)(ii)(D) (information system activity review) obliga a los CISO sanitarios a integrar cualquier intel procesable que reduzca el tiempo de detección de intrusiones.

42 CFR Part 2 y datos especialmente protegidos

Operaciones ofensivas contra mercados dark web donde se venden historiales clínicos exfiltrados pueden generar evidencia de qué pacientes fueron comprometidos sin que el hospital afectado lo sepa todavía. Esta evidencia podría usarse bajo 42 CFR §2.13 para disclosure autorizada a fuerzas de seguridad, pero no exime al hospital de su notificación §164.404 si la evidencia confirma PHI expuesto.

NIS2 y UE

La Directiva NIS2 (transpuesta en España vía Real Decreto-ley 12/2026, pendiente de desarrollo reglamentario) en Art. 21 obliga a entidades del sector salud (operadores esenciales) a “gestión de riesgos de cadena de suministro” y a “cooperación con CSIRT”. La inteligencia derivada de operaciones ofensivas autorizadas en EE.UU. fluye a través de CISA → ENISA → CCN-CERT, lo que permitirá a hospitales UE beneficiarse de IOCs sin participar directamente. Sin embargo, hospitales UE no pueden participar en operaciones ofensivas autorizadas por EE.UU.: la jurisdicción es CC.UU. y los IOCs obtenidos no pueden usarse para offensive purposes en suelo europeo (Wetboek van Strafrecht, GDPR Art. 5).

FDA y dispositivos médicos

Si operaciones ofensivas contra grupos que explotan vulnerabilidades en dispositivos médicos (CVE-2024-55591, CVE-2025-24472, CVE-2026-18844 Pulsetto) producen exploits completos o parches no autorizados, el FDA debe evaluar bajo 21 CFR 803 si tales disclosures afectan la classification del incidente como MDR-reportable. La cadena FDA → manufacturer → hospital puede ser más rápida si el gobierno tiene acceso preferente al código de exploit.

GDPR

Inteligencia de operaciones ofensivas que incluya datos personales identificables de ciudadanos UE activa obligaciones GDPR Art. 5 (limitación de finalidad), Art. 6 (base jurídica), y potencialmente Art. 22 (decisiones automatizadas). El flujo transatlántico de esta inteligencia requiere Data Protection Impact Assessment y, en muchos casos, Standard Contractual Clauses.

Compliance de proveedores MSSP/MDR

Los proveedores de seguridad gestionada que prestan servicio a hospitales (e.g., Arctic Wolf, eSentire, Pondurance) deben evaluar si participar como subcontractor en operaciones ofensivas les obliga a revelar a sus clientes hospitalarios que pueden ejecutar acciones que afecten infraestructura compartida. La mayoría de contratos MSSP no contemplan offensive operations — revisar master service agreements y SLAs es prioridad.

Análisis técnico

El programa se parece estructuralmente al modelo “Section 702-style public-private partnership” que la NSA usa para cooperación con proveedores de telecomunicaciones, pero aplicado al dominio ofensivo. La diferencia crítica es que el modelo tradicional es defensivo (compartir IOCs), no ofensivo (operar contra infraestructura del atacante). El nuevo programa es un híbrido: las empresas aportan capacidad técnica y talento, el gobierno aporta dirección, autorización legal y objetivos.

Tres categorías de empresas serán probablemente los primeros participantes: (1) grandes vendors de ciberseguridad con capacidades ofensivas maduras (CrowdStrike, Palo Alto, Mandiant, Recorded Future, Group-IB), (2) boutiques especializadas en threat intelligence y red team (Trail of Bits, NCC Group, Bishop Fox), (3) proveedores de infraestructura cloud con visibilidad global (Microsoft, Amazon, Google) que pueden ejecutar operaciones desde sus propias redes sin salir de jurisdicción controlada.

Capacidades ofensivas relevantes para sanidad:

  • DDoS dirigido contra marketplaces dark web donde se vende PHI (Genesis, Russian Market, BidenCash-like). El FBI y Treasury ya han ejecutado estas operaciones (Operation Cronos contra LockBit en febrero 2024).
  • Credential stuffing countermeasures contra dumps que contienen cuentas VPN/RDP de hospitales.
  • Ransomware decryptor development acelerada por acceso a código fuente o claves privadas de RaaS detenidos (caso ALPHV/Blackcat, 2024).
  • Sinkholing de C2 de RATs usados para persistencia en redes hospitalarias.
  • Takedown de phishing kits que targetean portales MyChart, Epic, Cerner.

Riesgos legales y operativos:

  • Atribución incorrecta: ejecutar operaciones contra infraestructura que parece de un grupo RaaS pero es honeypot de un estado-nación. El memo exige “rigorous vetting” precisamente para mitigar este riesgo.
  • Escalada retributiva: grupos como LockBit han respondido a operaciones de takedown con campañas de retaliación. Si una operación autorizada toca infraestructura de un grupo que ya tiene acceso a un hospital, la respuesta puede incluir accelerated encryption o publicación inmediata de PHI robado.
  • Colisión con inteligencia extranjera: operaciones ejecutadas desde infraestructura cloud estadounidense pueden ser detectadas por servicios de inteligencia extranjeros (FSB, MSS, GRU) que atribuirán la operación al gobierno de EE.UU. incluso si la ejecuta una empresa privada. La línea entre “operación privada autorizada” y “operación de inteligencia” se difumina.

Para hospitales, la consecuencia operativa más inmediata es que inteligencia útil llegará antes y con más detalle: IOCs de afiliados RaaS antes de que ataquen, claves de descifrado para variantes en circulación, alertas tempranas sobre campañas activas. Pero el flujo inverso (información de hospitales al gobierno sobre campañas detectadas internamente) también se intensificará: reportar a CISA, FBI o HHS no será opcional en muchos casos.

Recomendación

Acciones inmediatas para CISOs y equipos de seguridad sanitaria:

  1. Revisar contratos con proveedores MSSP/MDR: preguntar explícitamente a tu proveedor de seguridad gestionada si participa o podría participar en operaciones ofensivas autorizadas bajo el nuevo programa. Exigir transparencia sobre qué acciones podrían ejecutarse en infraestructura compartida con tu hospital.
  2. Mapear dependencias con vendors de ciberseguridad ofensivos: si tu hospital usa CrowdStrike, Palo Alto, Mandiant, Microsoft, o cualquier MSSP con capacidad ofensiva, solicitar por escrito si han firmado contratos con DOJ/DHS y bajo qué condiciones. Esto afecta la evaluación de third-party risk.
  3. Prepararse para intel más rápido y más granular: actualizar playbooks de IR para esperar IOCs con información de infraestructura de atacantes (no solo indicadores tradicionales como hashes/IPs). Esto cambia la respuesta: si CISA envía una clave de descifrado operativa, el equipo debe saber cómo desplegarla en ≤1h.
  4. Reforzar notificación a HHS/CISA: dado que operaciones ofensivas probablemente generen evidencia de breaches no conocidos, los hospitales deben reforzar reporting interno a CISA (cisa.gov/report) y a HHS OCR. La trazabilidad de evidencia oficial protege contra class action lawsuits.
  5. Evaluar exposición de PHI en dark web: contratar monitorización continua de marketplaces y foros donde se vende PHI (Recorded Future, Flashpoint, DarkOwl, Cybersixgill). Si aparece PHI de tus pacientes, activar breach response incluso si no detectaste la intrusión original.
  6. Política de cadena de suministro para proveedores offensive: si tu hospital subcontrata servicios de penetration testing o red team, revisar el contrato. Asegurar que las pruebas autorizadas no se confundan con operaciones ofensivas no autorizadas. Exigir affidavits de los consultores.
  7. NIS2 readiness para hospitales UE: el programa no aplica a hospitales UE, pero la inteligencia derivada sí fluye. Coordinar con CCN-CERT (España), INCIBE-CERT o el CSIRT nacional correspondiente para recibir boletines específicos sobre grupos RaaS activos en sanidad.

Fuentes:

Este análisis es parte de HealthSec, la newsletter semanal sobre ciberseguridad en sanidad.