¿Qué revela el ciberataque que sacude el secreto de Liechtenstein?

Liechtenstein ha sufrido un golpe en un lugar bastante más delicado que una cuenta corriente. Durante la noche del 29 al 30 de julio, unos atacantes lograron acceder durante varias horas al registro de titulares reales del principado y obtener información vinculada a unas 31.000 sociedades, fundaciones y trusts. No consta que robaran dinero. Tampoco accedieron a saldos bancarios, activos, ingresos o dividendos. Lo que consiguieron fue otra mercancía: identidades.

Entre los datos comprometidos figuran nombres, nacionalidades y fechas de nacimiento, además de otra información personal de quienes aparecen como beneficiarios efectivos de esas estructuras jurídicas. Las autoridades aseguran que los bancos y sus clientes no fueron atacados directamente y que no existen indicios de que los registros fueran modificados o eliminados. La identidad de los responsables y su motivación siguen bajo investigación.

Puede parecer una diferencia tranquilizadora. No lo es tanto. Para un centro financiero cuya reputación se apoya desde hace décadas en una combinación de estabilidad política, gestión patrimonial y discreción, que alguien consiga entrar precisamente en la base de datos que identifica quién está realmente detrás de determinadas estructuras tiene un significado especial. El dinero seguía en la caja fuerte. El problema es que alguien abrió el archivador donde estaban escritos los nombres.

Un ataque contra la parte más sensible del sistema

El registro atacado no es una base de datos bancaria. Es el instrumento creado para identificar al beneficiario efectivo de una entidad, es decir, a la persona física que en último término posee, controla o se beneficia de una sociedad, una fundación o determinadas estructuras fiduciarias.

Liechtenstein puso en marcha su actual registro electrónico en 2021 dentro de la adaptación de su legislación a las normas europeas contra el blanqueo de capitales y la financiación del terrorismo. La lógica es sencilla: una sociedad puede tener administradores, apoderados y varias capas jurídicas, pero las autoridades necesitan conocer quién está realmente al final de la cadena.

Ahí estaba, precisamente, el tesoro informativo.

Los atacantes consiguieron acceder mediante una cuenta creada en el sistema y permanecieron dentro durante horas. Los datos fueron consultados y extraídos de forma individual, no mediante una descarga masiva ejecutada de una sola vez. Cuando se detectó la intrusión, el registro fue desconectado y las autoridades constituyeron un equipo de crisis.

Conviene añadir una cautela importante: que los delincuentes no hayan obtenido información financiera no permite concluir cuál era su objetivo final. El Gobierno de Liechtenstein no ha establecido públicamente quién organizó el ataque ni para qué. La hipótesis de que el verdadero botín fueran las identidades resulta evidente por la naturaleza de los datos extraídos, pero una investigación seria empieza justo donde terminan las certezas cómodas.

Por qué 31.000 entidades son mucho más que un número

Liechtenstein tiene poco más de 40.000 habitantes y cabe geográficamente en un pañuelo europeo entre Suiza y Austria. Sin embargo, su dimensión financiera pertenece a otra escala respecto a su tamaño.

El principado ha construido durante generaciones una potente industria alrededor de la banca privada, los fondos de inversión, la gestión de patrimonios, los seguros y los servicios fiduciarios. En 2025, sus 11 bancos gestionaban dentro del país cerca de 240.000 millones de francos suizos en activos de clientes; contando las sociedades extranjeras pertenecientes a esos grupos bancarios, la cifra superaba los 500.000 millones.

No es precisamente la economía de un pueblo alpino dedicado a vender chocolate y postales del castillo de Vaduz. La gestión internacional de grandes patrimonios constituye una pieza central de su modelo económico.

El sector financiero y las actividades relacionadas representan una parte sustancial del empleo y de los ingresos fiscales del Estado. De ahí que el problema de este ciberataque no pueda medirse únicamente en gigabytes robados. También afecta a uno de los activos más difíciles de contabilizar en un balance: la confianza.

Quien entrega un gran patrimonio a un gestor internacional espera rentabilidad, seguridad jurídica y una cosa más, menos visible: que su información personal no termine circulando donde no debe.

Fundaciones y trusts: discreción no significa ilegalidad

Las fundaciones privadas de Liechtenstein se han hecho especialmente conocidas en el mundo de las grandes fortunas. Permiten colocar determinados bienes bajo una estructura jurídica separada y establecer reglas sobre administración, beneficiarios, sucesión familiar o conservación del patrimonio.

Eso no las convierte automáticamente en instrumentos de evasión fiscal. Sería una simplificación bastante cómoda y, de paso, jurídicamente torpe. Las fundaciones y los trusts tienen usos perfectamente legales, desde la planificación sucesoria hasta fines filantrópicos o la gestión ordenada de patrimonios familiares complejos.

El problema histórico aparece cuando varias capas societarias se utilizan para dificultar que Hacienda, un tribunal, un acreedor o las autoridades contra el blanqueo puedan saber quién controla realmente los activos.

Precisamente por eso existen los registros de beneficiarios efectivos. El Estado necesita levantar el telón jurídico aunque el público que pasea por la calle no pueda hacerlo con la misma facilidad.

Y aquí está una de las paradojas del caso. Liechtenstein creó ese registro para reducir la opacidad y cumplir los estándares internacionales; un ataque informático contra el propio registro transforma esa acumulación de transparencia administrativa en una concentración de información extremadamente sensible. La herramienta concebida para conocer mejor al propietario se convierte también en un mapa extraordinariamente atractivo para quien consiga saltarse la puerta.

Liechtenstein ya no es el refugio fiscal de otra época

Presentar al principado como si todavía funcionara con las reglas financieras de los años ochenta tampoco describe bien la realidad. El secreto bancario clásico ha perdido buena parte del terreno que ocupó durante décadas.

Liechtenstein lleva más de una década adaptándose a la enorme ofensiva internacional contra el secreto fiscal. En 2015 firmó con la Unión Europea un acuerdo para aplicar el intercambio automático de información financiera, que comenzó a operar posteriormente. También participa en los mecanismos internacionales de cooperación tributaria impulsados para reducir la evasión fiscal transfronteriza.

La evolución ha sido considerable. El principado ha ido reforzando sus sistemas de transparencia e intercambio de información, después de años en los que tuvo que corregir deficiencias y ampliar sus mecanismos de cooperación con otras administraciones.

España, por su parte, no incluye actualmente a Liechtenstein en su relación de jurisdicciones no cooperativas. Es un detalle relevante porque desmonta una asociación demasiado automática: baja fiscalidad, banca privada y fundaciones no equivalen, por sí mismas, a estar oficialmente considerado un paraíso fiscal no cooperativo.

El viejo secreto financiero europeo no ha desaparecido del todo; más bien ha cambiado de ropa. Lleva corbata regulatoria, cumplimenta formularios contra el blanqueo y envía información cuando corresponde. Menos cinematográfico, desde luego.

Cooperar con Hacienda no significa publicar las fortunas

Existe otra distinción esencial. El hecho de que las autoridades recopilen información sobre los beneficiarios reales no significa que cualquiera pueda introducir un apellido en internet y obtener inmediatamente el patrimonio de una familia.

El acceso al registro de Liechtenstein está regulado. Bancos, entidades sujetas a controles de diligencia debida y determinados terceros pueden solicitar información bajo condiciones concretas. Las estructuras jurídicas pueden incluso pedir restricciones de acceso en determinadas circunstancias justificadas.

Por eso el material robado tiene tanto valor. No era una colección de datos personales que estuviera simplemente expuesta en un portal abierto. Concentraba información que el Estado había obligado a declarar precisamente para atravesar las pantallas jurídicas detrás de las cuales puede situarse el verdadero controlador de una entidad.

Y, atención, tampoco contiene necesariamente el mapa completo de una fortuna. Saber que una persona aparece vinculada a una fundación no revela automáticamente cuánto dinero posee, qué activos contiene esa estructura ni cuál es el patrimonio total del interesado. La brecha permite conocer relaciones e identidades; no entrega, según la información disponible, una radiografía contable completa.

El riesgo que aparece cuando se juntan riqueza y datos

Para los afectados hay un problema que va mucho más allá de la incomodidad reputacional. Una base de datos que relaciona personas concretas con sociedades, trusts o fundaciones puede facilitar fraudes dirigidos, suplantaciones de identidad, extorsiones o campañas de phishing mucho más creíbles.

Un correo fraudulento funciona mejor cuando el delincuente no dispara a ciegas. Nombre completo, fecha de nacimiento, residencia y conexión con una determinada estructura patrimonial permiten fabricar mensajes bastante más convincentes que el entrañable príncipe extranjero que todavía promete millones a cambio de una transferencia de 800 euros. Los datos contextualizados valen mucho más que una simple dirección de correo.

También existe una dimensión física. Las personas con grandes patrimonios pagan fortunas precisamente para reducir la exposición pública de sus movimientos, propiedades y relaciones familiares. Conocer quién está detrás de ciertas estructuras puede convertirse en información valiosa para delincuentes comunes, grupos organizados, servicios de inteligencia privados o actores interesados en presionar a una determinada persona.

No significa que todo eso vaya a ocurrir. Significa que el valor de los datos robados no depende de contener números de cuenta. A veces saber quién es quién resulta mucho más útil que saber cuánto dinero había el martes por la mañana.

La transparencia también necesita una caja fuerte

La brecha coloca a Liechtenstein ante un dilema compartido por buena parte de Europa. Los Estados necesitan más información para combatir el lavado de dinero, las sociedades pantalla, la financiación ilícita y la evasión fiscal. Para conseguirlo crean grandes registros centralizados con nombres, fechas, relaciones societarias y beneficiarios efectivos.

Ese modelo mejora la capacidad de investigación. Pero cada nuevo depósito central de información crea también un objetivo atractivo para los ciberdelincuentes.

El problema, por tanto, no demuestra que los registros de titularidad real sean un error ni devuelve legitimidad al antiguo secreto absoluto. Demuestra algo más incómodo: transparencia financiera y seguridad de los datos deben avanzar juntas. De poco sirve obligar a identificar al propietario real de una fortuna si después esa identidad puede salir por una rendija informática.

Liechtenstein seguirá siendo probablemente un centro de gestión patrimonial atractivo. Su marco jurídico, su pertenencia al Espacio Económico Europeo, su estabilidad y su industria financiera no se evaporan por una intrusión. Tampoco el ataque prueba que las 31.000 entidades afectadas escondan dinero ilícito; confundir privacidad patrimonial con delito sería sustituir una investigación por una caricatura.

Pero el daño reputacional existe. El principado había pasado años intentando demostrar que podía combinar discreción privada con cooperación internacional. Ahora descubre la versión digital de una vieja ironía: para demostrar que ya no escondes al dueño, primero tienes que guardar su nombre en algún sitio.