¿Por qué ya roban tus datos para descifrarlos mañana?

El nuevo robo digital guarda datos cifrados durante años y pone en riesgo secretos médicos, financieros e industriales de máxima importancia.

La idea parece salida de una sobremesa entre físicos, espías y guionistas con mal genio, pero ya está en la calle digital: hay atacantes que están robando datos cifrados no para explotarlos hoy, sino para guardarlos y abrirlos dentro de unos años, cuando la computación cuántica haya cambiado por completo el equilibrio de fuerzas. No buscan un botín inmediato. Buscan un archivo dormido. Ese archivo puede ser un historial médico, un contrato industrial, una patente, una negociación diplomática o una comunicación financiera que hoy está cerrada con varios candados matemáticos y mañana quizá no lo esté tanto.

Dicho de otro modo: el problema no es solo que en el futuro haya ordenadores más poderosos, sino que ese futuro ya condiciona los robos del presente. Ahí está la trampa. Si un dato sigue siendo sensible dentro de diez, quince o veinte años, robarlo hoy puede ser perfectamente rentable aunque hoy mismo no pueda leerse. Por eso el objetivo no es cualquier fichero ni cualquier base de datos. El atacante elige aquello que envejece despacio: secretos industriales, propiedad intelectual, diseños, fórmulas, credenciales, claves de firma, expedientes sanitarios, información de defensa, procesos críticos. Lo efímero importa menos; lo duradero, muchísimo más. Y como los ciclos de renovación tecnológica en empresas e infraestructuras siguen siendo lentos, muchas piezas que hoy están en producción seguirán funcionando cuando el escenario haya cambiado.

No es un robo inútil, es un robo con calendario largo

Durante años se entendió la ciberseguridad con una lógica casi instantánea: entran, cifran, exfiltran, chantajean, venden credenciales, mueven dinero. Todo muy del presente, muy de caja registradora. La táctica de robar ahora para descifrar después rompe ese guion porque introduce una paciencia rara en el cibercrimen. No importa que el contenido robado siga siendo ininteligible durante un tiempo; basta con almacenarlo, clasificarlo y esperar. Es un espionaje de congelador. Se lleva la pieza, la mete en hielo y aguanta. Cuando aparezca la herramienta adecuada, vuelve a por ella.

La metáfora más clara no tiene nada de técnico. Es como robar cajas fuertes cerradas sabiendo que todavía no tienes la llave maestra, pero sospechando que la tendrás. Ese matiz cambia mucho la conversación, porque explica por qué algunas filtraciones masivas de los últimos años quizá no mostraron todo su daño en el momento del ataque. Lo mediático fue el robo; lo realmente serio puede llegar bastante después. En ese retraso está la perversión del modelo. La víctima puede llegar a pensar que el daño fue limitado, que el material estaba cifrado y que aquello terminó sin desastre mayor. Puede que no. Puede que solo se haya aplazado.

Qué tiene que ver la computación cuántica con todo esto

Conviene aterrizar el término, porque computación cuántica se usa ya como antes se usaba “algoritmo”: para explicarlo todo y para no explicar nada. Aquí el punto importante es más sencillo. Buena parte de la seguridad digital moderna depende de sistemas de criptografía de clave pública, la que se utiliza para intercambiar claves, autenticar identidades o firmar digitalmente software y comunicaciones. El problema es que una computadora cuántica suficientemente potente podría romper buena parte de esos esquemas hoy muy extendidos.

Eso no significa que toda la criptografía actual vaya a convertirse de repente en papel mojado. Hay una distinción clave, y aquí está una de las zonas donde más ruido se genera. El gran golpe se concentra sobre todo en la criptografía asimétrica vulnerable, la de RSA, ECDH o ECDSA, no tanto en los algoritmos simétricos robustos bien configurados. El apocalipsis total vende muy bien; la realidad, como casi siempre, es más técnica, más gris y bastante más incómoda: algunas capas aguantan, otras no. Y las que no, son precisamente las que sostienen autenticación, intercambio de claves, certificados, actualizaciones y montones de procesos invisibles sin los que la red moderna se cae como un decorado mojado.

No todo cae a la vez, pero lo que puede caer es decisivo

Por eso el debate serio ya no gira alrededor de si la amenaza existe o no, sino de cuánto tardará en volverse operativa a gran escala y qué sistemas llegarán tarde a la transición. La criptografía poscuántica ha dejado de ser una rareza de laboratorio. Ha entrado en la industria, en la contratación tecnológica, en los planes de seguridad y en las conversaciones incómodas con proveedores. Nadie con dos dedos de frente se atreve a poner una fecha exacta al llamado Q-Day, ese día en que la computación cuántica alcance capacidad práctica contra sistemas hoy vulnerables, pero el simple hecho de que empresas, gobiernos y organismos técnicos lleven años preparando la mudanza ya dice bastante.

El dato que de verdad preocupa es el que envejece despacio

Aquí aparece el corazón del asunto. Qué datos merecen ese esfuerzo criminal. La respuesta no tiene glamour, pero sí potencia. No son solo los números de tarjeta ni las credenciales del mes. Eso se vende, se revoca, se repone. Lo verdaderamente jugoso es lo que conserva valor con los años. Un historial clínico completo no caduca como una contraseña. Un plano industrial no se vuelve inocente porque pasen dieciocho meses. Un contrato estratégico, una cadena de suministro crítica, una negociación de defensa, una fórmula farmacéutica o un sistema de autenticación firmado para actualizaciones remotas pueden seguir siendo oro dentro de mucho tiempo.

Hay además una derivada menos vistosa y quizá más peligrosa: las firmas digitales. La conversación pública suele quedarse en el cifrado de datos en tránsito o en reposo, pero el problema también afecta a aquello que firma y valida software, firmware y procesos críticos. Si una organización no sabe qué sistemas dependen de algoritmos vulnerables para verificar actualizaciones o certificar integridad, el problema deja de ser solo confidencialidad y pasa a rozar la integridad misma de la infraestructura. En castellano llano: no solo pueden leer cosas que no debían leer; también podría ponerse en cuestión qué software es legítimo y cuál no. No es un matiz menor. Es medio edificio.

Y luego está el archivo olvidado, que suele ser el peor archivo. Las empresas acumulan copias de seguridad, repositorios históricos, documentación legal, registros técnicos, volcados de sistemas, trazas, correos, contratos, datos de clientes, entornos heredados. Esa arqueología corporativa, tan poco sexy en las presentaciones, es perfecta para un atacante paciente. Cuanto más antigua y peor clasificada está la información, más fácil es que nadie sepa con precisión qué se guardó, con qué algoritmo se protegió, cuánto tiempo seguirá siendo valiosa y qué sucedería si alguien la abriera dentro de una década. La amenaza cuántica no castiga solo al que tiene mala seguridad; castiga, sobre todo, al que no sabe qué tiene.

La amenaza ya está en marcha, aunque el gran golpe no haya llegado

El discurso cómodo consiste en pensar que esto será un problema “de futuro”. Suena bien. Permite aplazar. El problema es que las señales del presente van en dirección contraria. Los tiempos de infiltración y extracción de datos se han reducido de forma drástica y el atacante medio corre bastante más deprisa que muchas organizaciones. Esa velocidad cambia por completo el tablero, porque quien entra en una red ya no necesita detenerse demasiado a decidir qué le sirve y qué no. Se lleva grandes volúmenes, separa, clasifica, almacena y deja que el tiempo haga su trabajo.

Esta mezcla de dos tiempos —el ataque exprés de hoy y el descifrado de mañana— es lo que vuelve tan incómodo el escenario. Antes, una empresa podía pensar el incidente en clave de contención inmediata. Ahora necesita sumar una dimensión temporal mucho más larga. Un robo de 2026 puede convertirse en un problema político, financiero o reputacional en 2031 o en 2034. Y ese desfase complica auditorías, seguros, responsabilidades y hasta la propia percepción del riesgo, porque lo que no estalla enseguida suele infravalorarse. Ya se sabe: en ciberseguridad, lo invisible es lo primero que se recorta y lo último que se entiende.

El calendario importa menos que la inercia heredada

Hay una obsesión muy humana por poner fecha al desastre. ¿Será en 2029? ¿En 2030? ¿Más tarde? Los expertos no dan una respuesta cerrada y, en realidad, tampoco la necesitan para justificar la urgencia. Lo que sí está claro es que el paso desde la estandarización de nuevas soluciones hasta su integración completa puede llevar muchos años. Ahí está el verdadero cuello de botella. No tanto el día exacto en que una máquina cuántica pueda romper ciertos sistemas, sino el hecho de que cuando eso ocurra siga habiendo miles de organizaciones usando tecnología heredada, certificados antiguos, software que nadie quiere tocar y cadenas de suministro que avanzan con la velocidad de un fax mojado.

España tampoco está al margen de esa lógica. El debate sobre las amenazas en el ciberespacio dentro del contexto de la inteligencia artificial y de la computación cuántica ha entrado en la agenda de seguridad nacional. Y no por moda, claro. Ha entrado porque afecta a infraestructuras críticas, a comunicaciones, a operadores estratégicos, a la administración y a empresas cuya vida depende de que sus sistemas sigan siendo fiables dentro de varios años. Lo serio aquí no es imaginar hackers cuánticos con estética de película mala; lo serio es asumir que la modernización de la criptografía y el inventario de dependencias han dejado de ser un lujo técnico para convertirse en una cuestión de resiliencia nacional y empresarial.

Donde más duele: lo que nadie ha inventariado

La parte menos fotogénica de esta historia es también la más decisiva. No basta con “tener buena ciberseguridad” en abstracto. Lo que hace falta es saber exactamente dónde se usa criptografía vulnerable, qué datos protege, cuánto tiempo deben seguir siendo confidenciales, qué proveedores intervienen y qué piezas de software, hardware, nube u operación dependen de algoritmos que habrá que retirar. Esa tarea se parece menos a una revolución y más a una auditoría larga, pesada, llena de sistemas heredados y llamadas incómodas a proveedores. Justo por eso se retrasa. Y justo por eso acaba saliendo cara.

El problema es especialmente serio en entornos con mucha tecnología antigua, redes industriales, firmware difícil de actualizar, certificaciones lentas y cadenas de suministro extensas. Ahí la transición no consiste en pulsar un botón ni en comprar un producto con etiqueta nueva. A veces obliga a rediseñar autenticaciones, renovar certificados, tocar VPN, revisar TLS, rehacer procedimientos de firma, reescribir dependencias criptográficas y repensar la relación con servicios en la nube. Todo esto mientras la organización sigue funcionando, factura, atiende clientes y evita caerse por el camino. No hay épica en esa escena, solo trabajo. Pero es justo ese trabajo el que separa a quien llegará razonablemente preparado de quien descubra demasiado tarde que seguía protegiendo secretos de largo recorrido con herramientas ya envejecidas.

El botín del futuro ya se está llenando

La noticia, en el fondo, no es solo que los cibercriminales estén robando datos para descifrarlos más adelante. La noticia real es que la seguridad digital ha dejado de medirse únicamente por lo que resiste hoy. Ese es el giro. El ladrón tradicional quiere caja; el ladrón paciente quiere archivo. Y cuando estados hostiles, grupos de espionaje o redes criminales empiezan a actuar con esa lógica, la conversación sobre ciberseguridad cambia de tono. Ya no basta con contener el incidente del mes, ni con celebrar que un fichero robado seguía cifrado el día de la brecha. Hay que pensar cuánto tiempo debía seguir protegido, con qué tecnología, en qué sistema y si alguien lo ha guardado para abrirlo cuando llegue su momento.

Por eso esta amenaza inquieta tanto a quienes miran el problema con cierta perspectiva y no con la ansiedad habitual del titular de un día. El gran riesgo no es un espectáculo súbito, sino una erosión silenciosa. Un almacén clandestino de datos cifrados que hoy parecen mudos, pero que mañana pueden hablar. Hablar demasiado. Y cuando eso ocurra, nadie podrá decir que faltaron avisos. Lo único que sigue sin fecha exacta es el instante del golpe. La preparación, en cambio, llegaba para ayer.