Bienvenidos a la tercera entrega de «A Walk in the Park», una nueva serie de vídeos cortos que explora las fuerzas que están redefiniendo el futuro de la confianza digital. Durante las próximas cinco semanas, trasladaremos las conversaciones de la sala de reuniones al aire libre, mientras nuestros expertos analizan algunos de los mayores retos a los que se enfrentan hoy en día los responsables de seguridad. Puedes ver el primer,segundo, tercer y cuarto episodio aquí.
En estos momentos se está produciendo uno de los mayores robos de datos de la historia. El único problema es que los ladrones aún no pueden leer lo que están robando. Aun así, están haciendo acopio de datos cifrados, almacenándolos y esperando a que la tecnología avance lo suficiente.
Eso es «cosechar ahora, descifrar después». Y si lo estás clasificando como «el problema de 2035», me gustaría hacerte cambiar de opinión.
▶️ Mira el episodio: Ryan Sanders y yo abordamos este tema en el último episodio de «A Walk in the Park». Aquí tienes un resumen. A continuación, analizo más a fondo la amenaza y su primo más discreto: «Confía ahora, falsifica después».
Recoger ahora, descifrar después, en pocas palabras
Empecemos por el riesgo.
Sabemos que, inevitablemente, un ordenador cuántico será capaz de descifrar los algoritmos RSA y ECC. Estos son los algoritmos que protegen prácticamente todo lo que circula por Internet en la actualidad. Cuando se alcance esa capacidad, quienquiera que la posea podrá leer los datos cifrados con esos algoritmos.
Los atacantes lo saben y no se quedan de brazos cruzados. Ya están extrayendo datos cifrados de Internet y de vuestras redes, los almacenan y esperan el momento en que puedan descifrarlos todos.
No se trata de una táctica para infundir miedo. El NIST y organismos gubernamentales de todo el mundo lo han señalado oficialmente como una amenaza grave. Es una de las principales razones por las que Estados Unidos acaba de firmar, en junio de 2026, un decreto ejecutivo para impulsar a las agencias federales a adoptar más rápidamente la criptografía poscuántica.
La lógica es clara. Si tus datos siguen teniendo valor dentro de cinco o diez años, hoy están en peligro. En el momento en que salen de tu red cifrados con una clave que sabemos que la computación cuántica acabará descifrando, quedan expuestos. Historiales médicos, registros financieros, propiedad intelectual. Cualquier cosa con una vida útil prolongada.
Su primo más tranquilo: «Confía ahora, forja después»
Hay una segunda amenaza que está llamando la atención, y merece la pena comprenderla, porque se trata de algo totalmente distinto. Primero, confía; después, desmiente.
«Recoger ahora, descifrar después» consiste en revelar datos. En sacar a la luz cosas que se suponía que debían permanecer en secreto.
«Confía ahora, forja después» trata sobre la suplantación de identidad.
Se trata de un ataque que permitiría a alguien recrear una identidad derivada criptográficamente. Piensa, por ejemplo, en el certificado de un servidor web o en una raíz de confianza. Con ello, un atacante podría suplantar a un elemento de confianza de tu entorno y realizar acciones en tu red.
Ahora bien, «confiar ahora, forjar después» es la opción menos urgente de las dos en este preciso momento. Para que exista realmente, se necesita un ordenador cuántico con capacidad criptográfica. «Recoger ahora, descifrar después» no la necesita. La recolección se está llevando a cabo hoy mismo. Solo queda pendiente el descifrado.
Por lo tanto, no hay que descartar ninguna de las dos opciones. Pero la prioridad inmediata está clara: protegernos contra la tala que ya está en marcha.
«Pero el ordenador cuántico aún no existe»
Esta es la objeción que más oigo. Y es razonable. Todavía no existe, al menos no que nosotros sepamos, un ordenador cuántico capaz de descifrar los sistemas de cifrado actuales.
Permítanme, pues, explicar por qué esto supone un problema hoy en día. Se basa en dos hechos, y ninguno de ellos se fundamenta en la esperanza.
En primer lugar, desconocemos el plazo. Los expertos ofrecen intervalos de tiempo, y esos intervalos no dejan de acortarse, en lugar de alargarse. Google ha adelantado recientemente su propia fecha límite para la era poscuántica al año 2029, alegando un progreso más rápido de lo esperado. Cuando quienes construyen estas máquinas adelantan esa fecha, cabe suponer que la amenaza llegará antes.
En segundo lugar, y este es el aspecto que realmente debería guiar tu planificación: el tiempo que lleva migrar todos tus datos y sistemas relevantes a una criptografía a prueba de ordenadores cuánticos se mide en años, no en semanas ni en meses. Así que, aunque el ordenador cuántico aún tardara una década en llegar, una migración que se prolongue durante la mayor parte de esa década significa que ya vas con retraso.
Las cifras no dejan margen para esperar a tener certeza.
Por dónde empezar
Para el CISO que, al oír hablar de «poscuántico», se siente abrumado, lo primero que debe hacer no es deshacerse de los algoritmos.
Se trata de saber qué es lo que tienes y qué es lo que protege. No puedes dar prioridad a una migración sin saber dónde se encuentran tus datos más sensibles y de mayor permanencia. Porque eso es lo que un adversario probablemente recopilará en primer lugar.
El robo ya está en marcha. Los datos que salen hoy de tu red son los que se descifrarán más adelante. Así que empieza a prepararte ya. Lo único que no puedes hacer es volver atrás y volver a proteger lo que ya te han robado.
Con esto terminamos esta serie. Cuatro fuerzas, un cambio y mucho trabajo por delante. Todo ello nos lleva al mismo punto: tu infraestructura de confianzay cómo decidas gestionarla a partir de ahora. Gracias por acompañarnos.
