Puntos clave

• El cifrado no protege contra los dispositivos comprometidos

• Los metadatos son cada vez más valiosos para los atacantes

• La mayoría de las organizaciones carecen de soberanía en materia de comunicaciones

• La respuesta ante una crisis suele depender de las herramientas de que disponen los consumidores

• Hay que empezar ya a planificar la migración cuántica

Publicado de nuevo con permiso de KBI Media.

Karissa Breen: Si los empleados están eludiendo las medidas de seguridad y los atacantes no necesitan descifrar el cifrado, ¿se encuentran las organizaciones ya en desventaja? Su investigación indica que existe una gran confianza en las aplicaciones de mensajería para consumidores, lo que supone un conocimiento mucho menor de lo que realmente protege el cifrado. ¿Están las organizaciones sobrevalorando el nivel de seguridad real de estas plataformas?

Christine Gadsby: Por supuesto. Ese fue uno de los datos más impactantes de este informe. El 88 % de los responsables de seguridad se muestran confiados en la seguridad de sus aplicaciones de mensajería. Pero eso se basa en una interpretación errónea fundamental de lo que hace el cifrado, ya que el cifrado protege los datos en tránsito, pero no protege contra el phishing, la apropiación de cuentas desde esas aplicaciones, los dispositivos comprometidos ni la recopilación de metadatos, que es lo que estamos viendo.

Esto ha dado lugar a nuevas advertencias por parte de organismos de EE. UU., el Reino Unido, Europa y, ahora, Australia, que se refieren específicamente a ataques respaldados por Estados dirigidos contra cuentas de Signal y WhatsApp de funcionarios públicos y periodistas de esos países.

Ahora se ve cómo ocurre esto en las noticias casi a diario. Esos son precisamente los vectores que los atacantes de Estados-nación están explotando activamente. Piensa en el furgón blindado: tienes un mensaje —es lo que hay dentro del furgón, como si fuera de un banco—. El furgón blindado protege ese mensaje, pero aún así puedes ver quién es el conductor. Aún puedes seguir el rastro del vehículo mientras circula por la calle. Y sigues sabiendo que aparece para desayunar a las nueve de la mañana, siempre en el mismo sitio. Los atacantes observan eso muy de cerca y ese es el nuevo vector al que se dirigen estos Estados-nación.

Hay artículos recientes, como uno de esta misma mañana, sobre el Pentágono y los miembros de las Fuerzas Armadas de EE. UU. que están siendo blanco de ataques. Además, Australia acaba de dar a conocer hace un par de días que unos empleados sufrieron un ataque informático en WhatsApp por parte de un actor estatal extranjero. Esto ocurre ya a diario, de forma habitual. Esto ha dado lugar a nuevas advertencias por parte de organismos de EE. UU., el Reino Unido, Europa y, ahora, Australia, que se refieren específicamente a ataques respaldados por Estados dirigidos contra cuentas de Signal y WhatsApp de sus funcionarios públicos y periodistas. Estamos sobreestimando la seguridad de esas plataformas. La superficie de ataque se ha desplazado realmente de las propias aplicaciones a la red. Y ahí es donde no estamos abordando las conversaciones difíciles.

KB: ¿Crees que, desde hace unos meses, cuando hablamos, hasta ahora, hay una mayor comprensión de los posibles escollos y de cuál es el nivel de riesgo que esto conlleva?

CG: Sí que la hay. En el ámbito de la seguridad, nos cuesta mucho tiempo cambiar nuestra mentalidad. Somos como ese foso que simplemente está ahí, flotando. A medida que, como profesionales de la seguridad, escuchamos y asimilamos información, empezamos a buscar soluciones para mitigar los riesgos. La mentalidad está cambiando. Se está prestando más atención a este tema y la actitud hacia las conversaciones que mantenemos está cambiando. Te pondré un ejemplo. A nosotros, al igual que a los profesionales de la seguridad, nos encantan WhatsApp y Signal; las usamos para diferentes tipos de conversaciones. Yo hablo con mis hijos a través de esas aplicaciones porque son prácticas. No estamos diciendo que no sean aplicaciones adecuadas para todo tipo de mensajes. Lo que decimos es que algunos mensajes no son apropiados para esas aplicaciones, concretamente aquellos que requieren un nivel de seguridad diferente.

KB: Si le dices a tu hija algo como: «Oye, voy a recogerte en X a tal hora», no hay problema. Pero entonces, ¿cómo consigues que la gente cambie de contexto y pase a pensar: «Voy a pasar a una conversación más delicada», cuando ya estamos en medio de la conversación? Sobre todo desde la COVID, esa línea difusa entre una charla informal y los asuntos de trabajo se ha difuminado por completo. ¿Es difícil decir: «Ahora tengo que cambiar de plataforma para continuar esta conversación»?

CG: Aquí es donde la modelización de amenazas en una organización no ha traspasado los límites de la empresa en un sentido contextual: no ha salido del edificio ni ha llegado al móvil. Las organizaciones deben considerar el dispositivo móvil, y todo lo que ocurre en él, como un punto final en su totalidad que deben gestionar. No se trata solo de preguntarse: «¿Podemos traer nuestro propio dispositivo y vamos a establecer políticas para asegurarnos de que el sistema operativo esté actualizado?». Hay que ir mucho más allá de eso.

Tenemos que dar un paso atrás cuando hablamos de ese comportamiento y preguntarnos qué políticas tienen las empresas y los gobiernos que establezcan: «En lo que respecta a estas conversaciones, aquí es donde se pueden mantener y aquí es donde no». Ese es el comportamiento en el que estamos empezando a ver un cambio.

Son pequeños pasos, pero he estado asesorando mucho sobre qué políticas deberían adoptar los gobiernos y las organizaciones altamente reguladas para orientar al personal: este es el tipo de conversaciones que conviene mantener en aplicaciones de mensajería gratuitas al finalizar la jornada laboral, y este es el tipo de conversaciones en las que debemos asegurarnos de que se verifique la integridad del dispositivo, se autentifique la identidad y las claves de cifrado se mantengan dentro de nuestra jurisdicción. A eso es lo que llamamos «finalidad de la plataforma»: la plataforma, diseñada específicamente para la naturaleza sensible del trabajo, debe estar a la altura. Estamos asistiendo a un cambio en la forma de entender de los gobiernos, que se dan cuenta de que deben impulsar esa política en lugar de dejarla abierta.

KB: ¿A qué políticas te refieres cuando hablas con personas de los gobiernos?

CG: Realmente estamos empezando desde cero: estableciendo políticas para este tipo de situaciones. Hay que analizar las conversaciones que se mantienen. A todo el que quiera escucharme le digo lo mismo: vuestro nivel de conversación no va a ser el mismo que el de otras empresas o gobiernos. Aunque dirijáis una empresa fabricante de tejas para tejados, no mantenéis las mismas conversaciones a través de un dispositivo que el gobierno o cualquier otra entidad. Esas deben diseñarse de forma específica.

El primer paso es comprender cuál es tu riesgo. He mantenido muchas conversaciones sobre la elaboración de modelos de amenazas. Si tus mensajes se ven comprometidos —y para cualquiera que esté escuchando y aún no haya empezado con esto, basta con que busque algunos artículos de prensa y se pregunte: «¿Qué pasaría si eso nos ocurriera a nosotros?»—. Esa es una forma estupenda de empezar a elaborar modelos de amenazas. Tengo siete categorías en las que clasifico los mensajes móviles y, a continuación, elaboramos un modelo de amenazas para todos esos mensajes, teniendo en cuenta qué pasaría si se vieran comprometidos, qué pasaría si se vieran comprometidos los metadatos, qué pasaría si el jefe de un gobierno estuviera hablando con el jefe de otro gobierno y esos metadatos se vieran comprometidos, y ahora los atacantes conocieran la ubicación de esas personas. Ese es realmente el mejor punto de partida.

Eso no va a ser igual para todo el mundo: un fabricante de tejas para tejados puede recopilar información de identificación personal (PII) de sus clientes que debe proteger, pero eso supone un nivel diferente de modelización de amenazas y también implica un nivel diferente de política. Eso podría significar simplemente decir: «Empleados, no compartáis información de identidad personal ni de clientes que pueda considerarse PII en las aplicaciones de mensajería». Política establecida. Va a ser más que eso, pero ya entiendes lo que quiero decir. En el caso de los gobiernos, supondrá páginas y páginas de reflexión.

Pero lo que estamos viendo es que, una vez que se alcanza ese nivel de transparencia y claridad, las decisiones posteriores resultan mucho más fáciles, porque basta con echar un vistazo y decir: «De verdad que tengo que tomar medidas».

KB: ¿Y qué ocurre cuando las personas se ven afectadas en ese aspecto?

CG: Esos titulares son lo que estamos viendo. El panorama general de lo que está ocurriendo es mucho más amplio de lo que estamos comentando.

Tienes un mensaje procedente de un dispositivo, otro de otro dispositivo, y todos esos metadatos circulando por ambos lados. Ese mensaje viaja a través de una red que sabemos que es hostil. No hay ningún rincón del mundo en el que no haya habido un ataque de tipo « Salt Typhoon » o algún tipo de actor malicioso de una amenaza APT que haya comprometido la red de alguna forma u otra. Tienes un mensaje que comienza su recorrido por una red hostil hasta llegar a su destino. Lo que estamos viendo es cómo eso sale a la luz: no solo el mensaje en sí y los metadatos, sino también el riesgo que conllevan esos metadatos a su paso.

No se trata solo de un problema, sino de un montón de problemas. En un entorno de explotación de la cadena de suministro —que hemos visto crecer en los últimos tres o cuatro años—, los atacantes son cada vez más astutos. Están poniendo a prueba la cadena de suministro y dicen: «¿Quieres una medida de mitigación aquí? De acuerdo, entonces vamos a colarnos por aquí, porque podemos saltarnos esa medida sin más». Eso es lo que está ocurriendo y la situación seguirá favoreciendo cada vez más a los atacantes, sobre todo porque algunas de esas vulnerabilidades no tienen solución.

KB: Hay otro dato aquí: el 88 % afirma tener confianza en la seguridad de las aplicaciones para tareas delicadas. ¿En qué se traduce esa confianza?

CG: En su forma más pura, esa estadística pone de manifiesto que no entendemos bien qué significa el cifrado. Cuando oyes la palabra «cifrado», automáticamente la asocias con «Entonces puedo hablar de lo que quiera», sin entender realmente qué significa el cifrado.

Fíjate en mi analogía del coche blindado: puedes proteger lo que hay dentro de ese coche blindado, pero da igual que sea el coche blindado más resistente de todo el planeta: si se ve comprometido, igual podrán acceder a lo que hay dentro. Así es exactamente como se transmiten los mensajes a través de un móvil.

Ese nivel de confianza del 88 % se debe simplemente a que no estamos hablando lo suficiente de lo que ocurre si el dispositivo está rooteado o de lo que sucede cuando los atacantes de metadatos eluden el cifrado. No estamos hablando lo suficiente de toda la brecha de seguridad, en lugar de limitarnos a decir: «Genial, el mensaje está cifrado de extremo a extremo, con eso basta». Está claro que eso no es suficiente.

KB: Últimamente han aparecido algunos titulares que señalan que eso no es suficiente y que, como dice el refrán, las cosas están empezando a desmoronarse. ¿Dirías que los clientes, las empresas y los gobiernos están empezando a darse cuenta?

CG: Hemos mantenido muchos debates sobre el cambio cultural que es necesario que se produzca. El problema es —y no se debe a un único factor— que se trata realmente de un problema cultural, de una falta de conocimientos sobre el cifrado, de la que acabamos de hablar, y de generar realmente la confianza necesaria para saber cómo resolverlo. En materia de seguridad, hablamos de estos grandes problemas generales, pero no siempre se nos da bien aportar soluciones o decir qué deberíamos hacer, porque las políticas siempre se retrasan y las infraestructuras críticas avanzan lentamente —como es lógico, ya que son cautelosas—.

Lo que realmente tenemos es una brecha: una brecha entre la confianza en la seguridad de las aplicaciones y una interpretación errónea de lo que significa el cifrado de extremo a extremo, y luego una brecha en las políticas y la normativa sobre lo que deberíamos estar haciendo. ¿Cuál debería ser nuestro punto de referencia o nuestra línea de base? ¿Qué comportamiento debería darse? Y todo ello se entrecruza con un montón de cosas que deben cambiar. Tiene que ser un proceso de principio a fin; no se trata solo de una cosa. En cuanto a la confianza y la puesta en práctica, el avance es lento, pero se está produciendo. Especialmente en el último mes, estamos viendo un enorme repunte en el número de ataques.

KB: El último mes ha estado lleno de hazañas, titulares de prensa y demás… ¿Crees que esto tendrá un crecimiento exponencial a medida que avancemos por el resto del año y más allá?

CG: Sí, porque el primer paso en cualquier novedad en materia de seguridad es simplemente aceptar que tenemos un problema, y ya estamos ahí. Ahora el ecosistema ha aceptado que hay un problema y que estos se agravan. Ahora lo estamos buscando y eso ya es la mitad de la batalla. Estos nuevos titulares que están empezando a aparecer… hace poco salió uno estupendo, no es algo bueno, pero sí un buen artículo que profundizaba en algunas de las investigaciones en torno al Pentágono.

A medida que empiecen a salir a la luz, recibiremos más noticias al respecto, porque habrá más gente atenta a ello. Eso no significa necesariamente que esté ocurriendo con más frecuencia. Significa que estamos atentos y lo estamos viendo. Cuando la gente esté alerta y atenta a ello, puedo afirmar con certeza que veremos más titulares en las noticias, lo que empezará a cambiar el comportamiento de la gente.

KB: ¿Crees que es una de esas cosas que pasaron desapercibidas, pero que se nos han ido acumulando poco a poco en el sector y nos han afectado de lleno?

CG: Sí , y, de nuevo, esto no es culpa de ningún sector concreto del sector de la seguridad. No se puede señalar a un solo sector y decir que no ha hecho un buen trabajo. Eso no es así en absoluto. Estas aplicaciones son fantásticas. Permiten a la gente de todo el mundo hacer lo que necesita, que es comunicarse con claridad y rapidez, y eso es algo que necesitamos en nuestras vidas. Y hay que tener en cuenta que tampoco se trata solo de un problema de las aplicaciones: se están comunicando a través de una red hostil.

Aunque resuelvas un problema, aún tienes que ocuparte de los demás. Sabemos que « Salt Typhoon » se ha infiltrado en todas estas redes móviles. Y, dando un paso más atrás, cuando envías un mensaje a alguien por WhatsApp, por cómo está diseñado —da igual si se envía por wifi o por red móvil—, pasa por este flujo tecnológico. Podría detenerse y transferirse seis o siete veces. Algunas de estas tecnologías datan de la década de los setenta. Por su propia naturaleza, cuando envías un mensaje por WhatsApp o Signal, o simplemente un mensaje de texto normal, este viaja desde tu operador móvil a través de una red de los años setenta, realiza entre seis y ocho saltos en algunos puntos y, finalmente, llega a otro dispositivo de otro operador a través de una red comprometida. Piénsalo: hay muchísimos lugares en los que un atacante puede esconderse. Y si realmente quieren los metadatos —que sabemos que es lo que buscan, no el mensaje en sí—, están elaborando expedientes y seleccionando a personas concretas para patrones de ataque, porque solo quieren saber dónde estás a las nueve de la mañana cuando envías ese mensaje. Ahí es donde vamos a empezar a ver un cambio: el enfoque en los metadatos.

KB:Si tuviera que enviarte un mensaje sobre un tema delicado, ¿es más seguro enviarte un SMS o enviarte el mensaje a través de estas aplicaciones de mensajería?

CG: Depende. Cada fabricante de aplicaciones de mensajería recopila un conjunto diferente de metadatos; eso es lo primero que hay que tener en cuenta. Si me envías un mensaje por WhatsApp y yo lo recibo en WhatsApp, WhatsApp/Meta recopila todos esos metadatos. Son muy transparentes al respecto. No es ningún secreto, es de dominio público. Si buscas qué metadatos recopila WhatsApp, verás que los recopilan, los venden y ahora utilizan la inteligencia artificial para recopilarlos sin posibilidad de darse de baja. Nosotros somos el dinero: somos sus beneficios. No es gratis. Las aplicaciones de mensajería son gratuitas por una razón: ganan dinero con los metadatos.

¿Cuál es la opción más segura? La opción más segura es utilizar un sistema de mensajería local del que seas propietario, en el que las claves y los metadatos te pertenezcan, y esos metadatos no salgan de allí. Hay muchas soluciones. Nosotros tenemos una con BlackBerry^®SecuSUITE^®, en la que BlackBerry controla administrativamente los metadatos y estos no salen del edificio desde el que se envían. Si te envío un mensaje a otra cuenta de BlackBerry SecuSUITE , entonces tu empresa es la propietaria de esos metadatos en el otro extremo; no están en ningún otro sitio. Las claves de cifrado se almacenan localmente, es soberano, y el cifrado cumple con los estándares aprobados por la NSA, por lo que no hay duda de que cumple con los requisitos de cifrado. Esa es la opción más segura. Lo menos seguro es enviar mensajes de WhatsApp a WhatsApp a través de otras partes del mundo, porque la distancia que recorre el mensaje depende del número de traspasos que realiza, y cada uno de ellos aumenta la superficie de ataque.

KB: El 52 % de los encuestados afirma estar preocupado por la posibilidad de que un adversario supervise o altere la infraestructura de las empresas de telecomunicaciones. ¿Debería aplicarse una normativa a estas empresas para abordar estas preocupaciones relacionadas con la red? Has mencionado la infraestructura de los años 70. ¿Qué está pasando aquí?

CG: Hay cosas que desafían las leyes de la gravedad en materia de seguridad, y esta podría ser una de ellas. La preocupación está justificada: el 52 % de nuestros encuestados lo ha señalado y las pruebas lo respaldan. Citizens Lab publicó hace unas semanas un estudio en el que identificaba más de 1.700 ataques a SS7 —la tecnología de traspaso de llamadas en la red— procedentes de una única fuente en un periodo de 18 meses, de los cuales más del 92 por ciento eran operaciones reales de rastreo de ubicación contra objetivos reales. Esa tecnología SS7 es, literalmente, el eslabón de traspaso de llamadas en esta red arcaica sobre la que hemos construido todas nuestras comunicaciones móviles. ¿Quién es el responsable de ello? Nuestras operadoras de telecomunicaciones actuales no son necesariamente responsables, ya que esa tecnología se extiende por todo el mundo. No se puede señalar una parte concreta y decir: «Arreglad esta tecnología de los años setenta sobre la que se sustenta el mundo», porque es como el Jenga: si quitas una pieza, todo se derrumba.

Dicho esto, la situación está cambiando y se están produciendo avances. No nos falta determinación. La Ley de Seguridad de las Telecomunicaciones del Reino Unido es el modelo más reciente. Obliga a los operadores a implementar medidas de seguridad y a informar de las amenazas que detecten a la Autoridad Nacional de Ciberseguridad. Ese es el mínimo, no el máximo. Y me alegró mucho ver que eso ocurría, porque parte de lo que me encantaría ver más a menudo es que estas empresas de telecomunicaciones compartan su información —ellas ven muchas cosas—. ¿Están compartiendo esa información con las autoridades cibernéticas, que pueden recopilar los datos y transmitirlos a personas como nosotros, que intentamos resolver el problema? Lo que la regulación por sí sola no puede resolver es ese problema de visibilidad. El acceso a nivel de los operadores es, en la práctica, invisible para la mayoría de los programas de seguridad de las empresas y de la administración pública. El movimiento se produce íntegramente en la capa de red y sabemos que esos operadores están comprometidos. Sí, hay medidas que deben adoptar. Pero también debemos comprender que, aunque obliguemos a los operadores a realizar parte de este trabajo de seguridad, tienen las manos atadas: en algún punto de la capa de red, la situación desafía la gravedad.

Dicho esto, es absolutamente necesario que el debate normativo, como mínimo, extraiga esa información sobre amenazas. Necesitamos que las operadoras la compartan entre sí y con los gobiernos, ya que eso impulsará el refuerzo de las infraestructuras. Ahí es donde debemos empezar, y estamos observando distintos niveles de adopción por parte de las empresas de telecomunicaciones, ya sea de forma voluntaria o, como en el Reino Unido, por obligación en virtud de su Ley de Seguridad. Aplaudo esa labor.

KB: Si dices que ese es el mínimo, ¿cuál sería entonces el máximo, en el mejor de los casos?

CG: En primer lugar, si comparten información que permita actuar —porque, desde el punto de vista de quien se defiende, nosotros solo vemos el delito, vemos el resultado del mismo—. No vemos lo que ven las empresas de telecomunicaciones. Si comparten esa información, el siguiente paso es coordinarla, y el resultado de esa coordinación se traducirá en políticas. Porque si un número suficiente de esas empresas se une y empieza a compartir información, y los gobiernos comienzan a recopilarla, eso les permite identificar las prioridades más importantes y, a continuación, empezar a aplicar medidas para lograr un cambio de comportamiento.

La guinda del pastel no es solo imponer ese cambio de comportamiento, sino también analizar a largo plazo cómo abordamos aquellos puntos de la red que desafían la gravedad: ¿cómo abordamos la tecnología SS7 y cuál es el plan? ¿Y cómo abordamos las zonas del mundo que aún cuentan con conexiones 2G? Esa es la realidad: parte del Sur Global no ha tenido una actualización tecnológica que le permita defenderse de nada de esto. Tenemos que intervenir y ayudarles a superar esa brecha tecnológica básica.

KB: ¿Se van a poner de acuerdo las empresas de telecomunicaciones para encontrar una solución mejor de cara al futuro? ¿Cuál es su postura actual?

CG: Entre las pocas empresas de telecomunicaciones con las que he hablado —la mayoría de ellas en EE. UU.— hay un interés claro. En el Mobile World Congress del año pasado se habló mucho de esto. Fue la primera vez en mi carrera —y llevo mucho tiempo trabajando con empresas de telecomunicaciones, casi 20 años— que vi a los directores generales de estas empresas acudir a un Congreso Mundial y reconocer que tenemos una laguna normativa y un problema normativo, y que debemos sentarnos a la mesa para estudiar cómo desarrollar políticas que podamos apoyar de forma conjunta. Me emocionó ver eso, porque tienen que estar en sintonía. Están cambiando su forma de actuar. En los últimos meses, me han contactado personalmente para que ayude a impulsar algunos de los aspectos que deberían incluirse en esas políticas. Avanzamos en la dirección correcta, pero el proceso es lento.

KB: ¿Qué impide a las organizaciones aplicar estas políticas, sobre todo cuando los empleados utilizan aplicaciones de mensajería de consumo para tareas confidenciales del trabajo?

CG: La cuestión del cumplimiento es un problema que se presenta en tres o quizá cuatro aspectos. Por un lado, están los roces, porque la gente lo hace constantemente. Por otro, está el miedo a esos roces y la familiaridad: es fácil, todo el mundo conoce la aplicación, todo el mundo la usa. Hay una reunión de finanzas a las cuatro y tengo que enviar un mensaje a todo el mundo. Es la forma más rápida de hacerlo.

Luego está el comportamiento implícito que se da por sentado por parte de los líderes: si sabes que tu jefe lo hace, tú también lo haces. Aquí es donde entra en juego la falta de una política clara. Es algo que debe impulsarse desde arriba y requiere una solución. Las aplicaciones de consumo no son gratuitas: son inmediatas y universales, pero no son de nivel empresarial y nunca se diseñaron para serlo. Cumplen una función muy importante en nuestras vidas y conectan a personas de todo el mundo, pero eso es realmente un tema de liderazgo en materia de seguridad y ahí es donde se encuentra la mayor laguna.

Los atacantes no intentan descifrar el cifrado y tampoco necesitan hacerlo.

Cuando altos cargos utilizan aplicaciones de consumo para asuntos gubernamentales delicados —y eso se está haciendo público a la vista de todo el mundo—, suele suscitar dudas. Eso es lo que frena a la gente. En realidad, todo empieza por la política: saber hacia dónde se quiere ir e impulsar el cambio de comportamiento.

KB: Hablando de lagunas, el 41 % da por hecho que el cifrado ya protege los dispositivos comprometidos. ¿Cuál es la laguna que la gente está pasando por alto en este caso?

CG: El dispositivo es el punto débil. El cifrado protege el canal, no el terminal. Si un dispositivo se ve comprometido por spyware, un exploit de «cero clics» o una aplicación maliciosa que se ejecuta en él, el atacante lee el mensaje antes de que se cifre en el extremo emisor y después de que se descifre en el extremo receptor. El cifrado se elude sin llegar a descifrarse.

Los atacantes no intentan romper el cifrado ni necesitan hacerlo. Van mucho más allá. Quieren comprometer el dispositivo, la cuenta y al usuario. Quieren los metadatos. CrowdStrike ha documentado esto de forma explícita desde el punto de vista del atacante. Lo que hay que cambiar aquí es el modelo mental. Lo que hay que cambiar es la idea de que el cifrado es solo un control más dentro de un conjunto: sin la integridad del dispositivo, la identidad verificada y la soberanía de la red como base, el cifrado no es más que un control dentro de ese conjunto, no una estrategia de seguridad.

KB: La soberanía también ocupa un lugar destacado en la lista: el 55 % afirma que el control soberano sobre las comunicaciones es una prioridad. ¿Cómo están abordando esto las organizaciones?

CG: A escala mundial estamos asistiendo a un gran reconocimiento, a una gran toma de conciencia de que, sin un control soberano de la infraestructura de comunicaciones, es imposible garantizar la seguridad. Ya se trate de la jurisdicción legal, de que las claves de cifrado las tenga un proveedor en lugar de ti mismo o de saber por dónde pasan los datos, este año algunos actores importantes se han visto obligados a tomar medidas al respecto. Algunos afirmaron: «Vuestros datos no van a salir de este país», y luego no pudieron demostrarlo. Eso supuso un gran paso atrás y fue noticia en los titulares nacionales. Entonces se empezó a ver cómo los países retiraban sus datos porque, a la hora de la verdad, todo no era más que retórica comercial.

Pero algunos gobiernos están tomando medidas. Los despliegues de comunicaciones soberanas en Europa se están acelerando. Como empresa, estamos viendo cada vez más casos de este tipo. Australia concluyó oficialmente en marzo de 2025 que cumplía sus normas de conservación de registros, enmarcando la soberanía como una cuestión de gobernanza, no solo de seguridad. No es solo que quisieran soberanía, sino que afirmaban: «Si no es soberano, no supera nuestros controles de seguridad».

Las organizaciones, incluso las empresas no gubernamentales, están tomando medidas. Están estudiando la posibilidad de aislar físicamente los entornos sensibles e implantar plataformas de comunicación diseñadas específicamente para este fin.

Los mensajes pueden transmitirse a través de aplicaciones para consumidores —eso está bien—, pero se está creando a propósito una plataforma de comunicaciones para cuando no deba ser así. Si tuviera que llamarlo una fase en este momento, sería la fase de «priorizar para actuar». Algunas partes del mundo avanzan muy rápido y lo hacen con determinación. Quienes aún no han llegado a ese punto, al menos están hablando de ello, así que se encuentran en algún punto del proceso.

KB: Pero el 98 % utiliza plataformas que no permiten un control soberano. ¿Qué está pasando? Entonces, ¿por qué se siguen utilizando estas plataformas, teniendo en cuenta que al 55 % de la gente le preocupa este tema?

CG: Se trata de una cuestión de concienciación. La brecha entre las aspiraciones y la acción es donde se sitúan el presupuesto, la contratación pública y la toma de decisiones organizativas, y ahí es precisamente donde se ha estancado todo. Se habla mucho del tema, pero tenemos que impulsar el cambio.

Se habla mucho de plataformas como Signal —que depende en gran medida de AWS, un proveedor de infraestructura con sede en EE. UU.— y WhatsApp, propiedad de Meta. Ninguna de las dos ofrece ningún grado de soberanía y ambas se diseñaron para el uso de los consumidores. Las organizaciones que las utilizan están empezando a darse cuenta de ello.

La cifra del 98 % es el dato más alarmante de nuestro informe. Significa que el control soberano —que el 55 % de los encuestados considera una prioridad— es algo que, según la mitad de las personas, es importante; sin embargo, el 98 % utiliza plataformas que no son capaces de proporcionarlo. Lo que permite cerrar esa brecha es, en parte, un mandato del liderazgo, en parte una planificación de la implantación futura y, en parte, el uso de políticas y mecanismos de gobernanza para garantizarlo. El mundo está cambiando, y nosotros tardamos en adaptarnos. Es frustrante, pero las cosas están avanzando.

KB: Cuando se produce una crisis, la primera reacción de la gente es ponerse en contacto con alguien, normalmente a través del móvil. El 51 % admite que carece de una plataforma de comunicaciones unificadas. ¿Qué consecuencias tendrá esto?

CG: Este es el escenario de ataque del que no hablamos lo suficiente, pero que considero un problema futuro. Los atacantes son inteligentes, muy inteligentes. Saben que la coordinación de los incidentes de seguridad supone una gran superficie de ataque, ya que provoca fatiga.

Si piensas en algunas de las situaciones más difíciles que se viven a diario en el mundo, ¿te imaginas a las personas que se encuentran al otro lado sin una plataforma unificada de respuesta ante crisis? Utilizan hojas de cálculo, hacen llamadas telefónicas, envían correos electrónicos… y los atacantes son conscientes de ese agotamiento. El mejor momento para aprovechar una brecha de seguridad es precisamente durante ese momento de agotamiento.

La diferencia entre la preparación autoevaluada y la capacidad real es lo que hace que los resultados difieran.

El comportamiento humano cuando se produce un incidente es recurrir a esa herramienta familiar, y lo que se obtiene es una respuesta fragmentada, descoordinada y sin rendición de cuentas. Estas aplicaciones de mensajería no están diseñadas para garantizar la seguridad de las personas ni para garantizar la rendición de cuentas —para saber dónde está tu personal—. Tienes 528 empleados y todos están en WhatsApp. ¿Quién está a salvo y quién no? ¿Cómo lo determinas? Eso no es algo de lo que sean capaces esas plataformas.

Nuestra propia investigación lo demuestra: en un escenario de ataque simultáneo por múltiples vías, el margen de 30 minutos para la mitigación no se pierde a causa del ataque en sí, sino porque la coordinación de la respuesta se desmorona entre organizaciones y jurisdicciones. Hay un par de datos más en el informe que lo corroboran: el 90 % de las organizaciones afirman estar preparadas para las crisis, pero solo el 49 % cuenta con una plataforma unificada de comunicación de crisis. Y lo que ellas denominan «plataforma unificada de comunicación de crisis» incluye muchos elementos que no van a funcionar. Se trata de autoevaluaciones.

La brecha entre la preparación autoevaluada y la capacidad real es donde divergen los resultados. Esto requiere aspectos como los que hemos estado comentando: la independencia de las redes comerciales, que podrían formar parte de la superficie de ataque. Si utilizas esas redes durante una crisis cibernética y tu red deja de funcionar, o si se trata de una crisis de carácter geográfico y la red de telefonía móvil deja de funcionar, no podrás utilizarlas en absoluto. Coordinar esa comprensión en toda una organización es difícil, pero es otro tema del que estamos hablando.

KB: A veces estoy hablando con alguien en Instagram, luego pasamos a LinkedIn, después a Signal, Telegram y WhatsApp. Me imagino lo que sería intentar difundir un mensaje a miles de personas cuando todo ha salido mal: ¿cómo sabría alguien dónde buscar?

CG: Parte del reto consiste en conseguir que los directivos revisen esos planes de respuesta ante crisis y analicen en qué aspectos dependen de cadenas de llamadas, aplicaciones de mensajería gratuitas o correo electrónico. Últimamente he estado prestando asesoramiento sobre este tema: ¿cómo creamos un plan de respuesta ante crisis real que nos permita proteger a nuestro personal ante cualquier situación de crisis, ya sea una interrupción cibernética, un tornado o una inundación? Todavía no he encontrado ninguno que no dependa de una de estas tecnologías o, lo que es peor, de varias tecnologías que pueden funcionar o no. Y en cuanto al deber de diligencia para con tu personal, ¿cómo informas de quién está a salvo y quién no? Eso también acaba reflejándose en hojas de cálculo. ¿Qué ocurre cuando la hoja de cálculo no está disponible? En realidad, no es más que un montón de fragmentos de critical event management obsoletos y pegados entre sí. Especialmente ahora, cuando nos enfrentamos a la amenaza de la IA y a lo que esto va a suponer para el mundo cibernético en general: esa es la crisis de la que no hablamos lo suficiente, y no se va a gestionar pegando hojas de cálculo y herramientas de consumo.

KB: De cara al futuro: la computación cuántica. Es un tema importante que está empezando a cobrar relevancia desde el punto de vista mediático. El 61 % prevé amenazas relacionadas con la computación cuántica en los próximos cinco años, pero el 78 % aún no ha implementado medidas de defensa. Explícame algunas de estas estadísticas.

CG: A mí también me ha sorprendido. Es el mismo patrón que observamos en todas las amenazas de seguridad a largo plazo: creemos que son reales y damos por hecho que el plazo es más largo de lo que suele ser. El riesgo activo del que hablamos ahora mismo, similar al problema de las aplicaciones de mensajería, no es que un ordenador cuántico esté descifrando tu cifrado hoy mismo. Es el reto de «recoger ahora, descifrar más tarde». Los adversarios —y sabemos que esto está ocurriendo porque lo estamos viendo— están recopilando y almacenando comunicaciones cifradas de gobiernos y empresas, que posiblemente circulan a través del ecosistema de aplicaciones comprometido, con la intención explícita de descifrarlas una vez que se disponga de capacidad cuántica. Reflexionemos sobre ello un momento. Los delincuentes están pensando en el futuro y se dicen: «Tarde o temprano esto se podrá descifrar, así que voy a acumular datos ahora para que, cuando llegue ese día, tenga un arsenal a mi disposición».

La Reserva Federal publicó en 2025 un estudio dedicado específicamente a este tema. El G7 declaró la seguridad cuántica como una prioridad para 2026 y el NIST ha ultimado las primeras normas de criptografía poscuántica. Quienes hablan de ello están al corriente y las normas reguladoras están avanzando. La mayoría de las organizaciones, por desgracia, no lo están, por lo que existe una brecha bastante grande en este ámbito.

El consenso de los expertos sitúa la capacidad cuántica relevante en torno a 2030, con un margen de más o menos dos años. Parece lejano hasta que te das cuenta de lo lentos que son los procesos de migración. Piénsalo: 2030, más o menos dos años, significa potencialmente 2028, es decir, dentro de dos años. No queda mucho tiempo en absoluto.

Todas las conversaciones que acabamos de mantener apuntan a esto. Todas esas charlas en las que decimos: «El mensaje está cifrado, así que es seguro»; pues bien, esos metadatos están siendo objeto de ataques y esos mensajes se están almacenando sin lugar a dudas. La cuestión no es si la tecnología cuántica va a llegar y lo va a desbaratar todo, sino si habrás migrado antes de que eso ocurra.

KB: ¿Cómo vamos a resolver este problema si seguimos contando con una infraestructura de telecomunicaciones de los años 70?

CG: Hay que ir paso a paso. Ninguno de los que trabajamos en seguridad disponemos de una varita mágica para resolver todos estos problemas. Hay que ir paso a paso.

Algunas reflexiones.

Uno: En materia de computación cuántica, el primer paso es hacer un inventario. Muchas empresas, e incluso algunos organismos públicos, no saben qué está cifrado y qué no, ni cómo averiguarlo dentro de su propia estructura de datos. Primer paso: identificar dónde es necesario garantizar que se produzcan los cambios. Segundo paso: exige responsabilidades a tus proveedores. Si el cifrado va a entrar en juego con tus proveedores, pregúntales cuál es su plan para prepararse para la era cuántica. Si no tienen ninguno, eso debería decirte algo: presiónalos para que elaboren uno.

Segundo: en el ecosistema de las aplicaciones de mensajería, la medida más importante es asegurarse de que los metadatos se almacenen y controlen de forma administrada. ¿Dónde están? Si en este momento circulan a través de aplicaciones de mensajería gratuitas, ese es tu primer reto. De ahí surge la necesidad de dejar de considerar el cifrado como nuestra principal red de seguridad. Los atacantes ya no se centran en el cifrado como solían hacerlo: han cambiado de estrategia y ahora lo guardan para recopilarlo ahora y descifrarlo más tarde. Lo que realmente atacan son los metadatos y el dispositivo en sí. Centra tu atención en cómo proteges los metadatos de tus empleados en sus comunicaciones móviles.

Tercero: Establecer políticas. Al establecer políticas, estás indicando al ecosistema y al sector que vas a aplicar medidas de seguridad más estrictas para proteger a tu personal. También estás enviando un mensaje importante a las empresas de telecomunicaciones, que están avanzando en la dirección correcta. Apoya a las empresas de telecomunicaciones para que compartan información sobre amenazas con sus gobiernos, de modo que dicha información pueda coordinarse y utilizarse para impulsar medidas de cambio reales, tal y como hemos visto que ha hecho el Reino Unido.

Esas son las tres cosas que, como sector, podemos empezar a impulsar para propiciar el cambio.