Edición impresa
¡Manténgase al día!
Reciba las últimas novedades e información directamente en su correo.
Ing. Luis Diego Flores, M.Sc.
En un mundo donde casi el 90% de los activos de las organizaciones son digitales, la seguridad ya no se mide en puertas blindadas ni guardias privados, sino en firewalls y protocolos de detección. Y, sin embargo, las amenazas crecen a un ritmo alarmante. Basta recordar el ataque del ransomware Conti a Costa Rica en 2022, que paralizó servicios públicos y dejó en evidencia la fragilidad de nuestro ecosistema digital.
En ese escenario surge una propuesta tan polémica como tentadora: el hack-back. En pocas palabras, devolver el golpe al atacante. No se trata solo de levantar defensas, sino de ir un paso más allá: irrumpir en sus sistemas, neutralizar sus operaciones o incluso recuperar la información robada. Una especie de “ojo por ojo” digital.
Los defensores del hack-back sostienen que se trata de un mecanismo de autodefensa legítima, que podría disuadir a futuros agresores y reforzar la ciberseguridad global. Pero sus detractores ven en esta práctica una bomba de tiempo: errores de atribución, escalamiento del conflicto y daños colaterales a terceros inocentes. Y lo más grave: en la mayoría de jurisdicciones, el hack-back sigue siendo ilegal.
Tres principios, un dilema
En el plano jurídico, la defensa propia descansa en tres principios básicos: necesidad, proporcionalidad e inmediatez. Aplicarlos en el mundo digital no es sencillo. ¿Cómo garantizar que un contraataque sea realmente necesario si muchas veces los ataques pasan inadvertidos durante meses? ¿Cómo medir la proporcionalidad de un hack-back en relación con el daño recibido? Y, quizá lo más complejo, ¿cómo responder con inmediatez cuando identificar al agresor real es casi una misión imposible?
Ejemplos como el ataque SolarWinds en 2020, que afectó a miles de instituciones sin un culpable claro, muestran lo difícil que resulta aplicar estos principios en el ciberespacio. Y si la atribución es difusa, la defensa podría convertirse en venganza.
El peso de los daños colaterales
Otro riesgo latente es que la represalia no golpee al verdadero atacante, sino a un tercero inocente. Muchos hackers utilizan servidores comprometidos para esconderse, lo que significa que un hack-back podría acabar afectando a víctimas que nada tienen que ver con el ataque inicial. En derecho internacional y en el derecho penal costarricense, vulnerar sistemas ajenos sin autorización es un delito, incluso si la intención es “defenderse”.
Lo que piensan los expertos
Una encuesta realizada a profesionales costarricenses en derecho, criminología y tecnología revela la grieta del debate. Un 75% considera legítimo el hack-back bajo el marco de defensa propia, siempre que cumpla con los principios básicos. Sin embargo, la mayoría rechaza la contratación de terceros para ejecutar estas acciones, principalmente por el riesgo de atribuir erróneamente un ataque.
La conclusión es clara: aunque existe un consenso parcial sobre la validez del hack-back, el vacío legal genera incertidumbre y abre la puerta a graves consecuencias civiles y penales.
¿Defensa o venganza digital?
Costa Rica, como país que ya ha sufrido ataques a gran escala, no puede ignorar este debate. El hack-back plantea un dilema ético y jurídico: ¿se trata de una defensa legítima o de una venganza peligrosa? Mientras no exista una legislación clara, las organizaciones deben priorizar estrategias preventivas: detección temprana, planes de respuesta sólidos y colaboración con las autoridades.
La tentación de contraatacar siempre estará presente, pero sin reglas claras, esa decisión puede resultar más costosa que el ataque original. La clave está en reforzar la ciberresiliencia del país, establecer marcos normativos y fomentar la cooperación internacional.
El hack-back puede sonar a justicia digital, pero en realidad es una espada de doble filo. La pregunta es si estamos listos —y dispuestos— a blandirla.
