Legisladores de EEUU piden bloquear a tres firmas acusadas de ofrecer hackers por encargo
Índice de contenidos
Claves de la noticia
- Los senadores Ron Wyden y Sheldon Whitehouse y el representante Pat Harrigan piden añadir tres compañías indias a la Entity List.
- La carta acusa a BellTroX, CyberRoot y Sunkissed Organic Farms, antes Appin, de espionaje mercenario y ataques contra estadounidenses.
- La petición no es una sanción aprobada: el Departamento de Comercio aún debe decidir y no había respondido al publicarse la información.
Tres legisladores estadounidenses solicitan incluir a BellTroX, CyberRoot y Sunkissed Organic Farms, antes Appin, en la lista de entidades del Departamento de Comercio por presuntas operaciones de espionaje y ataques por encargo.
Una petición bipartidista, no una prohibición vigente
Los senadores demócratas Ron Wyden y Sheldon Whitehouse y el representante republicano Pat Harrigan han pedido al secretario de Comercio de Estados Unidos, Howard Lutnick, que añada a tres firmas indias a la lista de entidades sometidas a restricciones de exportación. Las compañías señaladas son BellTroX, CyberRoot y Sunkissed Organic Farms, que anteriormente operó con el nombre Appin.
El matiz jurídico es esencial: los legisladores han enviado una carta, pero el Departamento de Comercio no ha adoptado todavía la medida. Estar en la Entity List obliga a empresas estadounidenses a obtener licencias para suministrar tecnología y suele cerrar el acceso a software, servicios en la nube y otros componentes. No es exactamente una prohibición de existencia, aunque puede dificultar mucho la operación internacional.
La iniciativa reúne a miembros de ambos partidos y conecta ciberseguridad, comercio y protección de la prensa. Sus autores sostienen que las firmas llevan más de una década participando en ataques y espionaje por encargo contra ciudadanos, empresarios y abogados estadounidenses. Las compañías no habían respondido a las solicitudes de comentario recogidas por TechCrunch antes de la publicación.
Qué alegan los legisladores
La carta afirma que las empresas habrían robado información de miles de estadounidenses para influir en litigios y realizar espionaje dirigido. También las acusa de una campaña de censura orientada a retirar investigaciones sobre su actividad. Entre los supuestos clientes o beneficiarios se menciona al Gobierno de Catar, y entre los objetivos habría figurado un antiguo legislador republicano de alto rango.
Estas son acusaciones contenidas en una petición política, no hechos probados por una sentencia en el marco descrito. El Departamento de Comercio tendrá que valorar pruebas, vínculos societarios y posibles efectos antes de decidir. La ausencia de respuesta de las firmas tampoco confirma por sí sola las alegaciones. Por eso conviene separar claramente lo que documenta la carta de una sanción o condena ya emitida.
Un mercado distinto del ciberdelito masivo
Los servicios de hackers por encargo ocupan una zona distinta del ciberdelito oportunista. No buscan necesariamente robar a cualquiera que caiga en una campaña masiva; reciben un objetivo, investigan su entorno y tratan de acceder a correo, documentos o dispositivos para beneficiar al cliente. Ese modelo permite que disputas comerciales, personales o políticas se conviertan en operaciones técnicas difíciles de atribuir.
La tecnología estadounidense funciona como palanca
Añadir una entidad a la lista puede cortar proveedores de infraestructura esenciales. Servicios de nube, licencias de software, herramientas de seguridad y componentes estadounidenses forman parte de la cadena cotidiana de cualquier compañía digital. La medida no impide que una firma busque alternativas, pero eleva costes, reduce confianza de socios y obliga a intermediarios a revisar transacciones.
La eficacia dependerá de identificar empresas sucesoras y redes relacionadas. Un proveedor de operaciones encubiertas puede cambiar de nombre, crear sociedades o subcontratar. Los controles de exportación funcionan mejor cuando se acompañan de atribución técnica, cooperación internacional y obligaciones para que plataformas suspendan cuentas e infraestructura vinculadas a campañas verificadas.
También existe un riesgo de debido proceso. Una designación con efectos económicos intensos debe apoyarse en pruebas que puedan revisarse sin exponer métodos sensibles. El Gobierno tendrá que equilibrar protección de víctimas, fuentes y operaciones en curso con una justificación suficientemente clara para evitar que la lista se convierta en una sanción opaca.
El intento de borrar investigaciones amplía el problema
Los legisladores destacan litigios y órdenes judiciales utilizados para limitar información sobre el sector. Reuters retiró temporalmente una investigación sobre Appin por una orden de un tribunal indio mientras la recurría; la orden se levantó posteriormente y la agencia republicó el trabajo, manteniendo su información. La Electronic Frontier Foundation también ha defendido a medios frente a amenazas legales relacionadas con reportajes sobre hackers mercenarios.
Ese frente importa porque dificulta que clientes, proveedores y víctimas evalúen el riesgo. Si las investigaciones desaparecen de buscadores o archivos, una empresa puede presentarse sin el historial que motivaría controles reforzados. La ciberseguridad depende no solo de bloquear infraestructura, sino de preservar documentación verificable y permitir el escrutinio público.
Para empresas españolas, la petición recuerda que una investigación privada, una disputa legal o una negociación pueden atraer adversarios con recursos profesionales. Las defensas básicas siguen siendo útiles: autenticación resistente al phishing, aislamiento de cuentas sensibles, registro de accesos y procedimientos para verificar mensajes dirigidos a ejecutivos y abogados. Si Estados Unidos adopta la designación, proveedores europeos también deberán revisar relaciones y exposición indirecta. Hasta entonces, lo confirmado es la solicitud bipartidista y el debate que abre, no una sanción consumada.
