«Compartir hasta que duela»: el FBI cambia su estrategia de intercambio de ciberinteligencia

El FBI decidió compartir la inteligencia cibernética antes y con más agresividad, incluso si la divulgación de información puede complicar una operación futura de las fuerzas del orden. El jefe de la División de Ciberseguridad del FBI, Brett Lizerman, formuló el nuevo principio con extrema brevedad: «Compartan hasta que duela».

Lizerman considera que las empresas estadounidenses aún acuden con demasiada reticencia al FBI tras sufrir hackeos importantes. El jefe de la División de Ciberseguridad calificó de especialmente preocupante la situación en la que una organización detecta en su red a hackers vinculados a un Estado extranjero, pero juzga que la participación de las fuerzas del orden es más riesgosa que afrontar el ataque por su cuenta.

Una de las razones de esa cautela es el temor a las consecuencias regulatorias. Las empresas temen que los datos entregados a los agentes durante una investigación acaben luego en manos de los reguladores y generen problemas legales adicionales. Lizerman calificó esa suposición de errónea y afirmó que el FBI no remite la información recopilada a los reguladores con fines de supervisión.

Para reducir la desconfianza, la oficina celebra reuniones específicas con los abogados corporativos y explica qué tipo de ayuda puede ofrecer durante un incidente grave. El FBI espera recibir más datos de las empresas afectadas y, a cambio, advertir más rápidamente a otras posibles víctimas, mientras las herramientas y los métodos de ataque detectados aún son útiles.

Al mismo tiempo cambia el enfoque interno sobre la publicación de inteligencia. Antes, la agencia tenía que elegir entre advertir rápidamente a las víctimas y conservar información para una operación contra los atacantes semanas o meses después. Ahora el personal debe evaluar sobre todo las consecuencias para las posibles víctimas. Si una advertencia temprana puede proteger a cientos de instalaciones de infraestructura crítica, los argumentos en favor del silencio deben ser especialmente sólidos.

El nuevo enfoque quedó incorporado en la ciberestrategia del FBI para 2026. El documento se estructura en torno a cuatro pilares: frustrar las operaciones enemigas, ayudar a las víctimas, fortalecer las alianzas y desarrollar las capacidades propias de la oficina. Se hace un énfasis separado en la notificación rápida a las afectadas y en el suministro de inteligencia que ayude a detener las intrusiones y a restaurar la infraestructura.

El FBI también está revisando la antigua idea de que la recuperación de sistemas entorpece la investigación. Según Lizerman, ayudar a la empresa afectada y buscar a los atacantes pueden ir de la mano. Un trabajo bien organizado con la víctima permite preservar los datos relevantes para la investigación y luego utilizarlos para identificar la infraestructura y a los autores del ataque.

La fórmula «compartan hasta que duela» no implica publicar toda la información disponible. La oficina tiene intención de tener en cuenta el riesgo para las investigaciones en curso y sus propios métodos, pero cuando exista un conflicto entre una operación futura y la protección inmediata de un gran número de organizaciones, dará más peso a los intereses de las posibles víctimas. Ese principio debe determinar ahora la velocidad del intercambio de inteligencia entre el FBI y el sector privado.

El debate no es para nada nuevo. Ya en 2013 el FBI instaba a las empresas estadounidenses a intercambiar inteligencia con el gobierno, considerando la asociación como una de las condiciones clave para combatir las ciberamenazas. Más de diez años después, el principal obstáculo ya no es la falta de canales de comunicación, sino la confianza en ellos.

Uno de los principales mecanismos de esa colaboración ha sido la red InfraGard, que conecta al FBI con operadores de infraestructura crítica y empresas privadas. La reputación de sistemas similares ha pasado por pruebas graves: un intruso que atacó al USDoD obtuvo datos de decenas de miles de participantes de InfraGard, y más tarde fue detenido en Brasil.

El valor práctico del intercambio acelerado queda bien ilustrado por la lucha contra las operaciones chinas. A principios de septiembre, las autoridades estadounidenses interceptaron la infraestructura de las plataformas QScan y QTRouter, que, según el FBI y el Departamento de Justicia de Estados Unidos, ayudaban al grupo QTFY vinculado a China a buscar objetivos vulnerables y a ocultar ataques mediante routers y servidores proxy ajenos.