«Eso no es agradable y no es una buena norma», dice Schneider. Dice que gran parte de la lentitud con la que el gobierno estadounidense aborda los ciberataques se debe a su cuidado de evitar golpear involuntariamente a civiles, así como violar el derecho internacional o provocar reacciones peligrosas.
Aún así, Schneider admite que Cáceres y Angus tienen razón: Estados Unidos podría estar usando más sus fuerzas cibernéticas, y algunas de las explicaciones de por qué no equivale a burocracia. «Hay buenas razones y también malas razones», dice Schneider. «Tenemos políticas organizacionales complicadas, no sabemos cómo hacer las cosas de manera diferente, somos malos usando este tipo de talento, lo hemos estado haciendo de esta manera durante 50 años y funcionó bien para lanzar bombas». .”
Según todas las apariencias, el hackeo ofensivo de Estados Unidos se ha vuelto menos agresivo y menos ágil durante la última media década, señala Schneider. A partir de 2018, por ejemplo, el general Paul Nakasone, entonces jefe del Comando Cibernético, abogó por una estrategia de “defender hacia adelante” destinada a llevar el conflicto cibernético a la red del enemigo en lugar de esperar a que ocurriera en territorio estadounidense. En esos años, Cyber Command lanzó operaciones de piratería disruptivas diseñadas para paralizar la granja de trolls de la Agencia de Investigación de Internet de Rusia, que difunde desinformación, y derribar la infraestructura del grupo de ransomware Trickbot, que algunos temían en ese momento podría usarse para interferir en las elecciones de 2020. Desde entonces, sin embargo, el Comando Cibernético y otros piratas informáticos militares estadounidenses parecen haber permanecido relativamente tranquilos, dejando a menudo la respuesta a los piratas informáticos extranjeros a agencias encargadas de hacer cumplir la ley como el FBI, que enfrentan muchas más limitaciones legales.
Cáceres no está del todo equivocado al criticar esa postura más conservadora, dice Jason Healey, quien hasta febrero se desempeñó como estratega senior de ciberseguridad en la Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos. Responde a los argumentos del ciberhalcón de Cáceres citando el Trilema subversivo, una idea expuesta en un artículo de 2021 del investigador Lennart Maschmeyer: las operaciones de piratería tienen que elegir entre intensidad, velocidad y control. Incluso en años anteriores, más agresivos, el Comando Cibernético de EE. UU. ha tendido a aumentar el control, dice Healey, priorizándolo sobre esas otras variables. Pero señala que, de hecho, puede haber ciertos objetivos (como bandas de ransomware o piratas informáticos que trabajan para la agencia de inteligencia militar rusa GRU) que podrían justificar restablecer esos diales. «Para esos objetivos», dice Healey, «realmente puedes liberar a los perros».
P4x está muerto, viva P4x
En cuanto al propio Cáceres, dice que no se opone a que las agencias de piratería informática estadounidenses adopten un enfoque conservador para limitar sus daños o proteger a los civiles, siempre y cuando tomen medidas. «Hay que ser conservador», dice, «y luego hay que joder todo».
Sobre el argumento de que ataques cibernéticos más agresivos provocarían una escalada y contraataques por parte de piratas informáticos extranjeros, Cáceres señala los ataques que esos piratas informáticos extranjeros ya están llevando a cabo. El catastrófico ataque del grupo de ransomware AlphV a Change Healthcare en febrero, por ejemplo, paralizó las plataformas de reclamaciones médicas de cientos de proveedores y hospitales, efectos tan perturbadores para los civiles como cualquier ciberataque puede ser. “Esa escalada ya está ocurriendo”, dice Cáceres. «No estamos haciendo nada y todavía están aumentando».
Cáceres dice que no ha renunciado por completo a convencer a alguien en el gobierno de Estados Unidos para que adopte su enfoque más cauteloso. Deshacerse del identificador de P4x y revelar su nombre real es, en cierto sentido, su último intento de llamar la atención del gobierno de Estados Unidos y reiniciar la conversación.
Pero también dice que no esperará la aprobación del Pentágono para continuar con ese enfoque por su cuenta. «Si sigo adelante con esto solo, o con sólo unas pocas personas en las que confío, puedo avanzar mucho más rápido», dice. «Puedo joderle la mierda a la gente que lo merece y no tengo que informar a nadie».
En otras palabras, el mango del P4x puede estar muerto. Pero la doctrina P4x de guerra cibernética sigue viva.