La inclusión en la lista negra del Departamento de Comercio de EE.UU. de NSO Group y Candiru el miércoles fue inequívocamente mala para los negocios de las dos empresas.
¿Cómo de malo?
Es una cuestión de especulación y mucho puede depender de la agresividad con la que Estados Unidos y otros países democráticos actúen no solo contra NSO y Candiru, sino contra el sector de los ciberataques en general.
En un extremo del espectro, algunos están dispuestos a elogiar a la NSO y a gran parte del sector de los ciberataques. Una cosa fue cuando los grupos de derechos humanos y algunos medios de comunicación arremetieron contra la empresa y sus clientes, pero la inclusión de NSO en la lista negra del gobierno de Estados Unidos es un escenario mucho más grave para la empresa.
En el otro extremo del espectro, algunos parecen sugerir que la acción de EE.UU. puede haber sido más simbólica, y si no va seguida de una aplicación agresiva, NSO y otros en el sector pueden ser capaces de seguir operando como de costumbre, aunque pueden tener que elegir sus clientes con más cuidado.
Amit Meltzer, ex funcionario del gobierno que sirvió en la comunidad de inteligencia, dijo que pensaba que “los aspectos prácticos del anuncio solo se aclararán en varios meses”.
Dijo que la cuestión sería si las licencias de exportación para comerciar con NSO se concederían “de forma rutinaria basándose en la identidad del cliente final y el uso declarado”, en cuyo caso “el impacto será mínimo, pero proporcionará a EE.UU. una supervisión efectiva”.
O si Estados Unidos “bloqueará o denegará los permisos”, lo que supondría “un intento de frenar el mercado cibernético ofensivo”. Una medida así probablemente desencadenará una reacción significativa, ya que amenazará a todo el segmento emergente”.
Meltzer, que ahora es uno de los principales consultores de ciberseguridad, dijo: “Sospecho que el comportamiento inicial será moderado y se concederán las licencias. Si me equivoco, esperen ver a muchas empresas de ciberseguridad ofensiva cambiando a componentes no estadounidenses para evitar la debilitante supervisión. China acomodaría con gusto a los exiliados, haciendo que la medida sea dramáticamente contraproducente”.
Otra fuente también enmarcó la decisión de EE.UU. en términos de competencia sobre qué países dominan la esfera de los ciberataques.
La fuente sugirió que no había forma de volver a meter al genio en la botella y que si el sector de la ciberofensiva israelí se desmorona, las empresas estadounidenses de ciberataques u otros países más problemáticos para Israel podrían llenar el vacío.
Pero el Dr. Matan Gutman, de la Universidad de Reichman, escribió en una columna en Yediot Ahronot que la NSO y el sector de la ciberofensiva israelí se verían afectados y posiblemente perjudicados de varias maneras.
Gutman dijo que había muchas posibilidades de que otros países democráticos siguieran su ejemplo en este asunto.
Incluso si otros gobiernos democráticos no van formalmente tan lejos como el de EE.UU., el daño a la reputación de la NSO en otros países democráticos o incluso en países no democráticos que quieren construir sus relaciones con EE.UU., podría ser masivo.
Otro ámbito en el que la decisión podría tener un impacto vital sería en la demanda de Facebook-WhatsApp contra NSO en EE.UU.
Un tribunal federal inferior falló previamente en contra de la reclamación de inmunidad soberana de NSO de ser demandado por el presunto hackeo de 1.400 clientes de WhatsApp.
NSO apeló y lo último que querría mientras intenta convencer a un tribunal de apelación de que es una fuerza positiva para ayudar a los buenos gobiernos a luchar contra el terrorismo y los capos de la droga es una condena oficial del poder ejecutivo estadounidense.
No está claro si la declaración del Departamento de Comercio de EE.UU. influirá decisivamente en el caso judicial, pero podría, e incluso si no lo hace formalmente, los jueces que decidan el caso no habrán perdido el mensaje enviado el miércoles.
Si NSO pierde y la justicia estadounidense le ordena exponer a sus clientes de inteligencia de gobiernos extranjeros, podría producirse un impacto gigantesco e imprevisible en el sector de la ciberdelincuencia israelí e incluso más allá.
Parece que el Departamento de Comercio de EE.UU. ha cambiado la reputación de NSO por un período prolongado, tal vez de forma permanente, y que ha alterado la dinámica actual en la industria de la ciberofensiva.
Pero si NSO, Candiru y otros fracasarán (y quién los sustituirá en caso de que lo hagan) o se les dará la oportunidad de encontrar un camino más cuidadoso es todavía una cuestión abierta.