La medida de la Comisión Federal de Comunicaciones de prohibir los enrutadores fabricados en el extranjero toca una amenaza real, pero los críticos dicen que la regla de la agencia es demasiado amplia, prácticamente inviable y no aborda de manera significativa las debilidades en la seguridad de los enrutadores que han llevado a importantes violaciones a los gobiernos y empresas estadounidenses.
Según la Ley de Equipos Seguros y la Ley de Redes Seguras, la FCC puede prohibir a los fabricantes de tecnología extranjeros si los considera un riesgo para la seguridad nacional. Pero el gobierno federal casi siempre ha optado por apuntar estrechamente a empresas extranjeras específicas con conexiones conocidas o problemáticas con adversarios extranjeros, como la empresa de telecomunicaciones china Huawei o la empresa rusa de antivirus Kaspersky Labs.
Sin embargo, las restricciones anunciadas el lunes simplemente prohíben todos los enrutadores «producidos en un país extranjero», excepto aquellos que cuentan con aprobación condicional de los departamentos de Defensa o Seguridad Nacional.
La orden impone un cese radical e inmediato de la compra de enrutadores y servicios Wi-Fi no estadounidenses para agencias gubernamentales y empresas, junto con preguntas sin respuesta sobre dónde comprar a continuación y qué hacer con los dispositivos extranjeros ya integrados en sus redes.
Al justificar la decisión, el presidente de la FCC, Brendan Carr, citó un informe interinstitucional dirigido por la Casa Blanca del 20 de marzo que concluía que los enrutadores fabricados en el extranjero plantean riesgos «inaceptables» para la seguridad nacional de Estados Unidos.
“Siguiendo el liderazgo del presidente Trump, la FCC continuará [to do] «Nuestra parte es garantizar que el ciberespacio, la infraestructura crítica y las cadenas de suministro de Estados Unidos sean seguros y protegidos», dijo Carr.
A los responsables políticos estadounidenses les preocupan los posibles riesgos de ciberseguridad que supone depender de tecnología y equipos de países como China o Rusia, donde las leyes locales obligan a las empresas nacionales a cooperar en investigaciones de seguridad nacional y a entregar datos confidenciales.
En 2024, los miembros del Congreso pidieron al Departamento de Comercio que investigara a los fabricantes chinos de enrutadores y Wi-Fi como TP-Link, alegando el «grado inusual de vulnerabilidades y el cumplimiento requerido de la compañía». [Chinese] ley” equivalía a un riesgo inaceptable para la seguridad nacional.
El año pasado, cinco presidentes de comités republicanos de la Cámara de Representantes instaron al secretario de Comercio, Howard Lutnick, a utilizar la autoridad del departamento “para eliminar de las cadenas de suministro nacionales los productos y servicios creados por China y otros adversarios extranjeros que han demostrado tener el potencial de introducir vulnerabilidades de seguridad”. Una lista adjunta de industrias que “necesitan acción inmediata” incluía enrutadores y Wi-Fi, al tiempo que mencionaba a TP-Link y Huawei como entidades “chinas o controladas por chinos”.
Si bien la inseguridad de los enrutadores es un problema importante, vale la pena señalar que los productos fabricados en Estados Unidos están lejos de ser inmunes a la piratería extranjera. Las principales campañas de piratería china, como Salt Typhoon, tuvieron éxito no gracias a las puertas traseras de la tecnología fabricada en China, sino a través de la explotación de vulnerabilidades conocidas y previamente reportadas en productos estadounidenses y occidentales.
Un exlíder de inteligencia de EE. UU. dijo a CyberScoop que el país de origen importa más cuando se trata de un adversario como China, que tiene leyes de divulgación de vulnerabilidades y seguridad nacional que exigen que las empresas chinas de enrutadores revelen primero las vulnerabilidades de ciberseguridad al gobierno.
Pero no son sólo los enrutadores chinos, o los fabricados por rivales directos de Estados Unidos, los que preocupan a los funcionarios de inteligencia.
Incluso en un mundo global y conectado digitalmente, la proximidad sigue siendo importante. Los países extranjeros pueden perturbar o infectar más fácilmente la cadena de suministro de países vecinos o limítrofes que pueden depender de piezas, componentes o infraestructura de Internet similares.
“Los atacantes tienen muchas opciones sobre lo que se puede hacer con el acceso al enrutador. [It’s] Aún más fácil si tienes al país que los dirige y accede a ellos en tu patio trasero”, dijo el funcionario, que solicitó el anonimato para hablar con franqueza.
Los inversores pueden estar sacando conclusiones similares. En particular, las acciones de las empresas asiáticas de enrutadores cayó tras el anuncio de la FCCmientras que la empresa estadounidense NetGear, que no depende de las cadenas de suministro chinas, vio sus acciones subir un 12%.
Un nuevo punto de influencia
La naturaleza amplia de la orden, junto con la capacidad de otorgar exenciones a empresas específicas a voluntad, restablece efectivamente la relación regulatoria entre las empresas extranjeras de enrutadores y el gobierno de Estados Unidos. Según él, cada empresa con operaciones de fabricación en China o en el extranjero tendría que solicitar a la FCC una exención de la regla.
La ambigüedad detrás de lo que, específicamente, una empresa tendría que hacer para obtener una exención podría abrir el proceso a posibles abusos o clientelismo político, dijeron los expertos.
Un exfuncionario de la FCC dijo a CyberScoop que estaban desconcertados por la medida y cuestionó si estaba relacionada con la seguridad nacional o si incluso sería aprobada legalmente en los tribunales.
En lugar de agregar empresas objetivo con vínculos extranjeros o un historial de vulnerabilidades de ciberseguridad a la lista de proveedores prohibidos, como lo ha hecho el gobierno y defendido exitosamente En el pasado, la FCC intentó prohibir todos los enrutadores fabricados en el extranjero en todo el mundo. Esto representa una acción disruptiva potencialmente significativa en un entorno en el que muchas empresas y gobiernos hoy utilizan TP-Link y otras empresas extranjeras para sus necesidades de Internet.
El efecto neto es “en realidad crear un nuevo programa federal de aprobaciones condicionales” para empresas extranjeras de enrutadores, dijo el alumno de la FCC, uno que es tan amplio que requeriría un esfuerzo federal combinado masivo para eliminar efectivamente a los malos actores de la cadena de suministro extranjera.
«Me cuesta creer que esta administración -dado lo que hemos visto en CISA y otras agencias y las salidas masivas- realmente implementará un programa sofisticado y personalizado para abordar adecuadamente este tipo de enorme oscilación de toda una base de productos de consumo», dijo el funcionario, a quien se le concedió el anonimato para hablar con franqueza.
El funcionario señaló un intento a principios de este año por parte de la administración, a través de la Administración Federal de Aviación, de hacer valer una amplia autoridad para regular los vuelos de drones en todo el país, diciendo que había paralelos similares de «grandes cambios» con la justificación legal aquí. Actualmente se está prohibiendo los drones desafiado en la cortey el funcionario dijo que esperan que el pedido de enrutadores de la FCC esté sujeto a demandas similares por parte de empresas.
A principios de este mes, Carr también propuso nuevas regulaciones que impondrían requisitos de idioma inglés a los centros de llamadas en el extranjero y pidió al público información sobre posibles políticas para «alentar» a las empresas a establecer centros de llamadas en los EE. UU., «incluidos límites al volumen de llamadas de los centros de llamadas en el extranjero».
Carr dijo que la FCC también estaba «abriendo un nuevo frente en nuestros esfuerzos por bloquear las llamadas automáticas ilegales desde el extranjero al examinar el uso específico de aranceles o bonos».
El ex funcionario de la FCC dijo que la prioridad de Carr sobre la aplicación novedosa de autoridades arancelarias mientras discutía la implementación de dos leyes: la Ley rastreada y el Ley de verdad en el identificador de llamadas – que no están relacionados con el comercio hace imposible separar las preocupaciones genuinas de seguridad nacional de la agencia de los intentos más amplios de la administración Trump de ganar influencia sobre las empresas extranjeras en sus luchas comerciales.
«Esos son saltos aleatorios extraños que parecen ser una respuesta a este panorama más amplio de la gran decisión arancelaria que surgió», dijo el funcionario.
