En 2007, Estonia sufrió una serie de ataques de denegación de servicio que paralizaron durante semanas los sitios web del gobierno, los bancos y los medios de comunicación. El contexto era político —una disputa con Rusia por el traslado de un monumento soviético—, la autoría nunca fue probada judicialmente, y el derecho internacional no tenía una respuesta clara para lo que había ocurrido. Casi dos décadas después, sigue sin tenerla del todo.
Los ciberataques plantean al derecho internacional un problema estructural: las categorías que el sistema tiene para regular la violencia entre estados —soberanía, uso de la fuerza, legítima defensa, atribución— fueron diseñadas para un mundo donde los ataques dejan rastros físicos, cruzan fronteras visibles y tienen autores identificables. En el ciberespacio, ninguna de esas condiciones se cumple con fiabilidad.
El problema de la atribución
Para responder a un ataque —con medidas diplomáticas, sanciones o, en casos extremos, fuerza— el derecho internacional exige poder atribuirlo a un actor responsable. En el ciberespacio, la atribución técnica es posible pero nunca perfecta: las huellas digitales pueden falsificarse, los ataques pueden canalizarse a través de terceros países o servidores comprometidos, y los actores no estatales —grupos criminales, hacktivistas, contratistas— operan en zonas grises que complican la responsabilidad estatal.
El estándar jurídico relevante es el de "control efectivo" establecido por la CIJ en el caso Nicaragua (1986): para atribuir a un estado los actos de actores no estatales, se requiere demostrar que el estado dirigió o controló específicamente esas operaciones. Es un estándar alto, pensado para conflictos convencionales, que resulta extremadamente difícil de cumplir en el contexto cibernético.
La asimetría del ciberespacio es estratégicamente perfecta para los actores que quieren proyectar poder sin asumir responsabilidad: el atacante tiene ventaja, la defensa es costosa, y el derecho todavía no sabe muy bien qué hacer con la diferencia.
¿Qué dice el derecho que tenemos?
El Manual de Tallin, elaborado por expertos bajo el auspicio del Centro de Excelencia de Ciberdefensa de la OTAN (CCDCOE), es el intento más sistemático de aplicar el derecho internacional existente al ciberespacio. Su segunda edición (2017) concluye que el derecho internacional —incluido el derecho de los conflictos armados— aplica en principio a las operaciones cibernéticas, pero que su aplicación práctica es plagada de incertidumbres.
Un ciberataque puede constituir una violación de la soberanía de otro estado si interfiere con sus funciones gubernamentales o sus infraestructuras críticas. Puede alcanzar el umbral de "uso de la fuerza" si sus efectos son comparables a los de un ataque armado convencional. Y puede, en casos extremos, justificar la legítima defensa si cumple los requisitos de necesidad y proporcionalidad. El problema es que ninguno de esos umbrales tiene definición consensuada en el contexto cibernético.
El espionaje: la zona más gris
El espionaje —incluyendo el ciberespionaje— es una práctica universal que el derecho internacional no prohíbe expresamente. Los estados espían y siempre lo han hecho. Lo que el derecho sí prohíbe es la interferencia en los asuntos internos de otros estados, el sabotaje de infraestructuras críticas, y el robo de propiedad intelectual con fines comerciales (este último objeto de acuerdos bilaterales, como el acuerdo Obama-Xi de 2015, de efectividad limitada). Pero la línea entre inteligencia legítima y operación hostil es, en la práctica, política antes que jurídica.
El camino hacia normas vinculantes
Hay dos procesos en la ONU que buscan construir normas de comportamiento en el ciberespacio: el Grupo de Expertos Gubernamentales (GGE), donde participan las grandes potencias, y el Grupo de Trabajo de Composición Abierta (OEWG), abierto a todos los estados. Ambos han producido documentos con principios generales —no atacar infraestructuras críticas civiles, no interferir en los equipos de respuesta a emergencias informáticas— pero sin fuerza vinculante.
Rusia y China han propuesto un tratado general de seguridad de la información en el marco de la ONU, con una visión más centrada en el control estatal del contenido digital. Estados Unidos y sus aliados rechazan ese marco y prefieren aplicar el derecho internacional existente. La brecha no es solo técnica: es política y refleja visiones distintas de lo que significa la soberanía en el ciberespacio.
Mientras tanto, los ataques continúan. Las infraestructuras críticas —redes eléctricas, sistemas de agua, hospitales, mercados financieros— son vulnerables. Y el derecho internacional sigue corriendo detrás de la tecnología con las reglas de un mundo analógico.
El Manual de Tallin está disponible públicamente en el sitio del CCDCOE. Los datos sobre el GGE y el OEWG corresponden a documentos oficiales de la ONU. Las referencias a Stuxnet se basan en investigaciones periodísticas y técnicas ampliamente documentadas.