Los ciberataques son la nueva normalidad, pero, cuando proceden del extranjero, pueden generar temor a una ciberguerra invisible. Si los conflictos internacionales son inevitables, ¿no es mejor una ciberguerra que una guerra física con bombas y balas?
Claro, la ciberguerra es mejor que una guerra cinética o física en muchos sentidos, pero también podría empeorar la guerra. A menos que esté diseñada con mucho cuidado, un ciberataque podría constituir un crimen de guerra.
Imagina que eres un líder político y quieres neutralizar una base enemiga. Sospechamos que es una máquina de propaganda y que financia actividades terroristas. ¿Cómo lo harías?
Bueno, podrías recurrir al método tradicional: solicitar ataques aéreos o enviar tropas para volar el edificio, pero eso sería una declaración de guerra abierta y agravaría las tensiones. También sería un desastre político si capturaran a tus tropas o incluso a tus drones.
Ahora hay otra posibilidad: podrías lanzar un ciberataque contra la instalación. Es más invisible y, por tanto, menos arriesgado. Llevaría demasiado tiempo acceder directamente a la red segura de la instalación, pero ya has creado un virus informático que puede dejar fuera de servicio la red eléctrica de la localidad, lo que neutralizaría la base.
Supongamos que planeas disfrazar el programa malicioso de correo electrónico oficial de las Naciones Unidas para asegurarte de que los dirigentes locales lo abran. Una vez abierto, el programa malicioso se propagará de forma autónoma por las redes de la localidad hasta encontrar la red eléctrica y lograr desactivar sus controles y sobrecargar sus transformadores.
Sin electricidad, el cuartel general enemigo ha quedado efectivamente neutralizado, sin que haya pisado el terreno un solo soldado ni se haya disparado una sola bala. Entonces, en este escenario, ¿deberías lanzar ese ciberataque?
Antes de hacerlo, quizá tu asesor jurídico te diga: «No tan rápido».
Al inutilizar una red eléctrica, no solo dejas a oscuras la base enemiga, sino también a toda la población civil local. Además, infectarás con programas maliciosos computadoras inocentes —las usaste para llegar a la red eléctrica—, lo que parece infringir una norma fundamental del derecho de los conflictos armados: el principio de distinción, que exige que nunca ataquemos a quienes no participan en las hostilidades y que los protejamos en la mayor medida posible de los efectos de un ataque.
Por supuesto, los daños colaterales están permitidos, pero dentro de ciertos límites. Si algunos civiles de las inmediaciones mueren accidentalmente al destruirse un objetivo importante, es trágico, pero no es ilegal en una guerra si la ventaja militar obtenida supera el efecto secundario mortal. Esta es la regla de la proporcionalidad, que significa que los daños colaterales no deben ser desproporcionados ni irrazonables.
Por ejemplo, bombardear una localidad entera para matar a un francotirador solitario probablemente sería desproporcionado. ¿Provocar un apagón en toda una localidad o ciudad? También podría ser excesivo. Recuerda que la electricidad no solo enciende las luces: también mantiene refrigerados los medicamentos y los alimentos, y hace funcionar los sistemas de aire acondicionado y calefacción. Sin ella, cientos de personas —o más— podrían morir en verano o en invierno. La destrucción de transformadores también podría provocar incendios forestales que afecten o maten a los residentes locales.
Supongamos que no hay ninguna localidad cerca y que ningún civil inocente resulta afectado en este escenario. Sigue habiendo una cuestión previa: si ese edificio enemigo es un objetivo legítimo. Si solo es una máquina de propaganda y un banco para terroristas, sí, desempeña sin duda un papel crucial para facilitar las actividades de los militantes. Pero que algo sea crucial no lo convierte en un objetivo legítimo. El derecho de los conflictos armados prohíbe atacar a los medios de comunicación y a quienes financian a los combatientes; solo permite atacar a personas y objetos que participan directamenteen las hostilidades.
Aunque podamos resolver todos estos problemas —sin daños colaterales, sin civiles afectados y con un objetivo cuya legitimidad esté confirmada—, también existe una norma que prohíbe la perfidiao el engaño traicionero. Hacerse pasar por trabajador humanitario o vestir un uniforme de la ONU para obtener acceso y atacar a un enemigo son ejemplos de perfidia ilegal. En tu ciberataque, fingir que el correo electrónico procede de oficinas de la ONU podría infringir esa norma: lo estás disfrazando con una condición que debería ser neutral o estar protegida durante la guerra.
Y, aunque de algún modo podamos resolver este problema, desplegar un ciberarma autónoma podría ser problemático. En los debates actuales sobre los robots asesinos, un argumento clave sostiene que los robots autónomos son ilegales si no podemos mantener un control humano significativo. Su autonomía puede crear un vacío de responsabilidad, en el que resulta difícil atribuir la culpa a una persona si algo sale mal. Al fin y al cabo, no podemos castigar a la inteligencia artificial (IA) por sus decisiones y acciones.
Dejando de lado la responsabilidad, sin un control humano significativo podríamos presenciar «escaladas relámpago», cuando la IA militar interactúa con otros sistemas de IA a velocidad digital y provoca efectos impredecibles y en cascada, demasiado rápidos para que podamos detenerlos. Se parecería a los «desplomes relámpago» que siguen afectando a los mercados bursátiles o a los «repuntes relámpago» provocados por bots de precios que compiten entre sí y pueden elevar el precio de venta de un libro de texto a 23 millones de dólares.
También hay muchos otros problemas jurídicos y éticos, y parece extraño que la guerra esté sujeta a tantas reglas. Pero el derecho de los conflictos armados existe para protegernos a todos, para que la guerra no se convierta en una contienda sin límites en la que se utilicen armas terribles e inhumanas, como armas biológicas o gases químicos; los civiles inocentes paguen por los pecados de sus políticos; y los combates sean tan crueles que hagan imposible una paz duradera.
Infringir deliberadamente esas reglas implica arriesgarse a ser acusado de un crimen de guerra. También sienta un precedente peligroso que nuestros enemigos podrían seguir, poniéndonos a todos en riesgo. Socava el Estado de derecho y erosiona los valores que esas leyes pretenden proteger.
Es posible que esas leyes y normas deban evolucionar para adaptarse a las realidades tecnológicas. Esto no pretende sostener que nunca deban usarse ciberarmas. De nuevo, parece tener sentido disparar balas digitales en lugar de reales. Pero, mientras esperamos a que la ley se ajuste a las realidades cambiantes, algunas víctimas podrían recurrir a medidas de represalia por cuenta propia, como «contraatacar mediante hackeo» o lanzar ciberataques de represalia, lo que podría agravar las tensiones internacionales.
Ahora surgen muchas otras preguntas. Hace poco, un fallo de Facebook reveló accidentalmente información personal de sus moderadores de contenido, lo que podría exponerlos a represalias de los grupos terroristas a los que frenan. Según las antiguas reglas de la guerra, sin duda parecería injusto que estos trabajadores civiles de oficina pudieran ser objetivos legítimos. Pero si el ciberespacio es simplemente otro ámbito de batalla, podría sostenerse que esos moderadores de contenido son «combatientes que participan directamente en las hostilidades» y, por tanto, pueden ser objeto de ataque. Cualquier otra persona que participe en operaciones cibernéticas contra un adversario debería conocer este riesgo antes de alistarse, si el argumento —aún no probado ante los tribunales— resulta válido.
Ante los riesgos y la incertidumbre, esta es una conversación que debemos tener ahora mismo, no después de que el genio cibernético haya salido de la botella y haya arrasado con las leyes de la guerra. Para entonces, quizá sea demasiado tarde.
