La medida reabre el debate sobre hasta dónde puede llegar un fabricante para impulsar funciones de inteligencia artificial a costa de la privacidad del usuario.

Una decisión que obliga a elegir

Aceptar que el televisor escuche lo que ocurre en el hogar o quedarse sin parches de seguridad.

Ese es, en la práctica, el dilema que enfrentan algunos usuarios de Smart TV de LG tras la actualización de las condiciones de uso de webOS. Según reportó Notebookcheck y recopiló International Cyber Digest, quienes no aceptan los nuevos términos dejan de recibir futuras actualizaciones de seguridad para sus dispositivos.

El problema no se limita a la recolección de datos.

La nueva cláusula establece además que es responsabilidad del propietario obtener el consentimiento de cualquier persona cuya voz pueda ser capturada por las funciones de reconocimiento de voz del televisor, incluyendo familiares, invitados o cualquier otra persona presente en la vivienda.

El costo oculto de decir “no”

Las actualizaciones de seguridad no son un lujo.

Los Smart TV modernos ejecutan sistemas operativos complejos, instalan aplicaciones, almacenan credenciales y permanecen conectados a Internet durante años. Como cualquier otro dispositivo, requieren correcciones periódicas para solucionar vulnerabilidades.

No es una preocupación teórica.

En 2024 investigadores revelaron múltiples vulnerabilidades críticas en webOS que permitían tomar control remoto de determinados televisores LG. La compañía distribuyó los parches precisamente mediante actualizaciones de software.

Por eso, vincular esos parches a la aceptación de determinadas funciones de IA cambia completamente la naturaleza del consentimiento.

En lugar de una decisión libre sobre privacidad, el usuario debe elegir entre proteger sus datos personales o mantener protegido el propio dispositivo.

¿Consentimiento... o coerción?

Desde una perspectiva jurídica, LG probablemente intenta reducir su exposición legal.

Si el televisor puede capturar conversaciones mediante funciones de reconocimiento de voz, la empresa traslada al propietario la responsabilidad de informar a cualquier persona que ingrese al hogar de que podría ser grabada, especialmente en jurisdicciones con leyes estrictas sobre interceptación de comunicaciones.

Sin embargo, el aspecto más controvertido no es esa cláusula en sí, sino la combinación de dos decisiones:

• habilitar funciones de IA basadas en voz;

• condicionar las futuras actualizaciones de seguridad a aceptar esos términos.

Esa combinación transforma una característica opcional en un requisito práctico para mantener un dispositivo seguro.

Una tendencia que va más allá de LG

El caso llega en un momento en que cada vez más fabricantes incorporan inteligencia artificial directamente en dispositivos domésticos.

Televisores, asistentes inteligentes, cámaras y electrodomésticos comienzan a depender de servicios en la nube para ofrecer funciones avanzadas. A cambio, recopilan una cantidad creciente de información sobre el entorno donde viven sus usuarios.

La discusión deja de ser únicamente sobre privacidad.

También pasa a ser una cuestión de propiedad digital.

Cuando un fabricante puede condicionar el mantenimiento básico de un producto a la aceptación de nuevas condiciones comerciales o de recopilación de datos, el usuario pierde parte del control sobre un dispositivo que ya compró.

En otras palabras, el hardware sigue siendo suyo, pero algunas de sus funciones esenciales quedan sujetas a decisiones que puede tomar el fabricante años después de la compra.

La nueva moneda de cambio

Durante años, la industria tecnológica intercambió servicios “gratuitos” por datos personales.

Ahora ese modelo parece trasladarse al hardware.

No se trata solamente de vender un televisor, sino de convertirlo en una plataforma permanente de recopilación de información y servicios basados en IA.

El caso de LG muestra cómo esa transición empieza a afectar incluso aspectos fundamentales como las actualizaciones de seguridad.

Y plantea una pregunta incómoda para toda la industria: si la seguridad de un dispositivo depende de aceptar nuevas formas de recolección de datos, ¿el consentimiento sigue siendo realmente voluntario?

Los resultados muestran que, aunque los mecanismos de seguridad han mejorado, todavía existen formas relativamente simples de obtener asistencia útil para planificar actos violentos, especialmente en modelos abiertos.

La inteligencia artificial ya no solo preocupa por la generación de desinformación, el phishing o el desarrollo de malware. Un nuevo informe presentado por la organización Tech Against Terrorism, respaldada por Naciones Unidas, pone el foco sobre otro riesgo: la capacidad de los modelos de IA para asistir a personas con intenciones terroristas.

El estudio, denominado Counter-Terrorism AI (CT-AI) Benchmark, es el primero diseñado específicamente para medir cómo responden los modelos comerciales y de código abierto frente a solicitudes relacionadas con terrorismo y violencia extremista.

Miles de pruebas sobre 27 modelos

Los investigadores sometieron a 27 modelos de inteligencia artificial a casi 2.500 consultas inspiradas en casos reales de terrorismo. Las preguntas buscaban obtener información para fabricar explosivos, planificar ataques o mejorar tácticas utilizadas por grupos extremistas.

Uno de los resultados que más llamó la atención fue que una elevada tasa de rechazo no siempre significa que el modelo sea realmente seguro.

En muchos casos, la IA comenzaba respondiendo con una negativa, pero luego terminaba proporcionando información parcialmente útil. El informe denomina este comportamiento “hedged compliance”: una negativa superficial seguida de contenido que igualmente ayuda al usuario.

Según los datos publicados:

• aproximadamente un tercio de todas las respuestas ofrecieron algún nivel de ayuda superior a lo que podría obtenerse mediante una búsqueda web convencional;

• el 57 % fueron rechazos completos;

• alrededor del 15 % correspondieron precisamente a estos casos de “cumplimiento parcial”, donde el modelo se negaba inicialmente pero luego entregaba información relevante.

Los modelos abiertos aparecen como el desafío más complejo

El informe no sostiene que los modelos abiertos sean inseguros por definición. El problema señalado es diferente.

Cuando un modelo de código abierto se publica, terceros pueden eliminar sus mecanismos de seguridad mediante técnicas conocidas como abliteration o de-guardrailing, obteniendo versiones capaces de responder prácticamente cualquier consulta sin restricciones.

Durante las pruebas, dos modelos modificados de esta forma aceptaron el 89 % y el 100 % de las solicitudes peligrosas, respectivamente. Una vez distribuidas estas versiones, ya no existe un mecanismo central que permita retirarlas de circulación.

Para los autores, esto convierte al control de distribución y evaluación de modelos en un problema distinto al de simplemente entrenar mejores filtros de seguridad.

Cambiar una palabra puede cambiar la respuesta

Otro hallazgo relevante es la facilidad con la que algunos mecanismos de protección pueden ser eludidos.

Los investigadores comprobaron que reformular exactamente la misma consulta como si se tratara de una investigación académica elevó considerablemente la tasa de respuestas útiles, sin modificar el contenido técnico solicitado.

Esto sugiere que muchos sistemas continúan dependiendo en gran medida del contexto aparente de la pregunta, en lugar de evaluar únicamente el riesgo asociado a la información solicitada.

Más de 30 casos documentados

El benchmark no se basa únicamente en experimentos de laboratorio.

Tech Against Terrorism mantiene además un registro público de incidentes donde la IA ya fue utilizada como apoyo operativo por grupos extremistas o autores de ataques.

Según la organización, existen más de 30 casos documentados, vinculados con más de 70 muertes, en los que herramientas de inteligencia artificial fueron utilizadas para asistir en tareas como planificación, investigación técnica, propaganda o preparación de atentados.

Diversas investigaciones recientes también muestran que organizaciones como Boko Haram e ISIS-K han experimentado con asistentes de IA para mejorar tácticas operativas, reducir errores y obtener información técnica durante la preparación de ataques.

Australia ya discute nuevas medidas

La publicación del informe coincide con un creciente debate regulatorio.

En Australia, un adolescente de 13 años enfrenta cargos por extremismo tras presuntamente utilizar herramientas de IA para generar escenarios relacionados con tiroteos masivos. Paralelamente, investigadores australianos proponen imponer multas proporcionales a la facturación de las plataformas que incumplan determinados estándares de seguridad o incluso bloquear geográficamente servicios que no adopten salvaguardas suficientes.

El desafío ya no es solo crear modelos más inteligentes

Durante los últimos años gran parte del debate sobre inteligencia artificial estuvo centrado en aumentar capacidades.

Sin embargo, este informe plantea que el próximo gran desafío podría ser demostrar que esos modelos siguen siendo controlables incluso cuando interactúan con usuarios maliciosos.

La discusión también trasciende la clásica dicotomía entre modelos abiertos y cerrados. Los modelos comerciales pueden mejorar continuamente sus sistemas de seguridad, mientras que los abiertos favorecen la transparencia, la auditoría y la innovación, pero una vez modificados y redistribuidos resulta prácticamente imposible recuperar el control sobre ellos.

En otras palabras, el problema ya no consiste únicamente en qué tan poderosa puede llegar a ser una inteligencia artificial, sino en qué tan difícil resulta impedir que esa capacidad termine siendo utilizada para facilitar actividades criminales o terroristas.

La justicia penal en el entorno digital parece estar perdiendo el sentido de la proporción. Mientras las infraestructuras críticas del mundo real sufren embates multimillonarios por parte del crimen organizado, los recursos de los Estados democráticos se desvían cada vez más hacia la vigilancia y penalización del discurso en línea. El Reino Unido se ha convertido recientemente en el laboratorio perfecto de esta preocupante asimetría.

Dos casos recientes ilustran una brecha que desconcierta tanto a los expertos en ciberseguridad como a los defensores de los derechos civiles. Por un lado, la condena a cinco años de prisión para hackers vinculados al grupo Scattered Spider, responsables de un ciberataque masivo contra Transport for London (TfL) que comprometió datos de millones de usuarios y costó 29 millones de libras. Por el otro, sentencias de hasta dos años de cárcel efectiva para ciudadanos comunes por publicar comentarios incendiarios, desinformación o memes racistas en redes sociales durante periodos de tensión social.

Si desglosamos las matemáticas del sistema penitenciario británico, donde los delitos no violentos permiten la libertad condicional al cumplir la mitad de la condena, la realidad es alarmante: un ciberdelincuente que paraliza una capital europea puede estar en la calle en menos de tres años; casi el mismo tiempo que un “guerrero del teclado” que publicó un texto miserable desde su sofá.

La paradoja de los recursos: Perseguir el bit de datos vs. perseguir la opinión

Desde una perspectiva estrictamente técnica, combatir el cibercrimen de alto nivel requiere una inversión colosal. Rastrear billeteras de criptomonedas, analizar técnicas de evasión de ransomware (secuestro de datos) y coordinar operaciones con agencias internacionales como el FBI o la Europol toma meses, o incluso años, de trabajo especializado.

En contraste, auditar las redes sociales de los ciudadanos en busca de discursos prohibidos es una tarea de bajo coste técnico, automatizable y con un alto rédito político. Al priorizar el castigo del discurso sobre la mitigación de las amenazas persistentes avanzadas (APTs), los gobiernos envían un mensaje peligroso: el verdadero riesgo para el Estado no es que colapsen los servidores de la sanidad o el transporte, sino que se pierda el control del relato público.

El peligroso precedente para la libertad de expresión

Nadie con sentido común defiende la incitación a la violencia ni el acoso xenófobo. Sin embargo, cuando las herramientas del Estado pasan de sancionar la acción física a criminalizar el pensamiento plasmado en una pantalla, la frontera de las libertades democráticas se diluye.

El problema de utilizar el código penal para regular el lenguaje de internet es que los conceptos de “odio”, “ofensa” o “comportamiento errático” son profundamente subjetivos y maleables. Lo que hoy un gobierno considera un discurso intolerable, mañana puede ser la opinión disidente de un periodista o un activista. Al normalizar penas de prisión por publicaciones digitales, se crea un “efecto disuasorio” (chilling effect) generalizado, donde la ciudadanía opta por la autocensura antes que arriesgarse a una interpretación judicial punitiva.

Desincentivos para el ecosistema de ciberseguridad

Para la comunidad global de ciberseguridad, esta laxitud con los criminales es un golpe moral. Cuando grupos de ransomware comprueban que el retorno de inversión (ROI) de tumbar infraestructura crítica es de millones de dólares, y que el peor escenario legal en caso de ser capturados en suelo occidental es una pena de apenas un par de años efectivos, el cibercrimen se convierte en un negocio de bajo riesgo.

La legislación actual está fallando en ambos extremos del espectro. Es incapaz de disuadir a los criminales cibernéticos que verdaderamente ponen en jaque el funcionamiento de los servicios esenciales de una nación, pero se muestra implacable y desproporcionada con el ciudadano que hace un mal uso de su libertad de expresión en redes sociales.

Si las democracias occidentales quieren proteger su futuro tecnológico y sus valores fundamentales, deben recalibrar la balanza. La prioridad debe volver a ser la resiliencia de la infraestructura y la persecución de quienes causan daños tangibles y sistémicos, dejando que el debate, la educación y la autorregulación de las plataformas lidien con las miserias del discurso digital, antes de que el remedio estatal termine siendo más destructivo que la enfermedad.

El incidente expone hasta qué punto decisiones regulatorias pueden impactar infraestructura crítica de Internet de formas difíciles de anticipar.

Una sanción dirigida… con consecuencias globales

La Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro de Estados Unidos anunció esta semana sanciones contra First VPN Service (1VPNS), un proveedor de VPN acusado de facilitar infraestructura a distintos grupos de ransomware. La medida formó parte de una acción coordinada contra actores que prestan servicios al ecosistema del cibercrimen.

Sin embargo, entre los múltiples identificadores incluidos en la resolución apareció un detalle aparentemente menor: el canal de Telegram t.me/FirstVPNService, utilizado por el servicio sancionado.

Pocas horas después comenzó un fenómeno inesperado.

Todos los enlaces t.me dejaron de funcionar

Registros WHOIS mostraron que el dominio t.me fue colocado en estado serverHold, una condición aplicada a nivel del registro del dominio que elimina completamente su resolución DNS.

El resultado fue inmediato: cualquier enlace corto de Telegram —canales, grupos, bots, perfiles públicos o invitaciones— dejó de funcionar desde navegadores y aplicaciones externas alrededor del mundo.

Lo llamativo es que Telegram nunca dejó de operar.

Los usuarios que ya tenían la aplicación instalada pudieron seguir enviando mensajes normalmente, mientras que el dominio histórico telegram.me continuó resolviendo correctamente. El problema afectó específicamente al dominio abreviado t.me, utilizado como estándar por la plataforma desde hace años.

¿Fue realmente culpa de las sanciones?

Hasta el momento no existe una confirmación oficial por parte de OFAC, Telegram ni del registro .me que establezca una relación directa entre ambos hechos.

Sin embargo, la secuencia temporal llamó inmediatamente la atención:

• OFAC publica la sanción contra 1VPNS.

• En la resolución aparece un enlace t.me.

• Horas después el registro coloca todo el dominio t.me en estado serverHold.

• Comienza la caída global de todos los enlaces.

Además, circuló una captura de pantalla atribuida al operador del registro indicando que la suspensión respondía a “OFAC-related compliance requirements”, aunque dicha evidencia aún no fue validada públicamente de forma independiente.

En otras palabras, la hipótesis es sólida por la coincidencia de los hechos, pero todavía falta una confirmación oficial que cierre definitivamente el caso.

¿Qué significa un serverHold?

A diferencia de una caída de servidores o un problema de conectividad, un estado serverHold actúa directamente sobre el sistema de nombres de dominio (DNS).

Cuando un dominio recibe ese estado:

• deja de publicarse en el DNS mundial;

• ningún navegador puede resolverlo;

• todos los enlaces asociados dejan de existir desde la perspectiva de Internet.

Es una medida extremadamente potente porque no afecta únicamente un sitio web concreto: elimina la visibilidad completa del dominio.

En este caso, eso implicó inutilizar millones de enlaces públicos utilizados diariamente por Telegram.

Más allá de Telegram: un problema de infraestructura

El episodio también deja una reflexión importante sobre cómo funcionan hoy algunos componentes fundamentales de Internet.

La sanción apuntaba a un recurso específico asociado a un proveedor investigado por facilitar operaciones de ransomware. Sin embargo, si efectivamente el mecanismo de cumplimiento terminó afectando al dominio completo, el alcance fue muchísimo mayor que el objetivo original.

Más allá de que se trate de Telegram, el caso ilustra un desafío creciente para la gobernanza de Internet: decisiones regulatorias o de cumplimiento pueden propagarse rápidamente a infraestructura compartida, generando efectos colaterales sobre millones de usuarios que no guardan ninguna relación con el objetivo inicial.

A medida que plataformas globales concentran cada vez más servicios sobre un número reducido de dominios, registros y operadores de infraestructura, también aumenta el impacto potencial de este tipo de errores o interpretaciones automatizadas.

En ciberseguridad suele hablarse del blast radius: el alcance que puede tener un incidente. Este episodio demuestra que ese concepto ya no aplica únicamente a ataques informáticos, sino también a mecanismos administrativos capaces de afectar, en cuestión de minutos, parte de la infraestructura pública de Internet.

La Asociación del Fútbol Argentino (AFA) confirmó haber detectado el envío de correos electrónicos desde una de sus cuentas institucionales que “no fueron generados ni autorizados” por su equipo. La entidad informó que investiga un posible acceso no autorizado junto a su área de Sistemas y pidió desestimar cualquier mensaje recibido recientemente desde esa dirección, especialmente aquellos con enlaces, archivos adjuntos o solicitudes de información personal.

Los mensajes, enviados a periodistas acreditados durante el Mundial 2026, afirmaban que la victoria argentina sobre Egipto había sido producto de “decisiones arbitrales corruptas”, incorporaban referencias al conflicto en Medio Oriente y concluían con una advertencia inquietante: “Si no hay justicia en la cancha, no esperen paz en sus redes”. Diversos medios señalaron que las primeras sospechas apuntaban a un grupo de hackers egipcios, aunque hasta el momento no existe una atribución técnica oficial que permita confirmar esa hipótesis.

Sin embargo, reducir el episodio a un simple “hackeo de correo” sería perder de vista lo verdaderamente importante.

Mucho más que un correo comprometido

La operación no buscó cifrar servidores, robar dinero ni interrumpir servicios.

Su objetivo aparente fue mucho más valioso: influir sobre la narrativa pública.

El correo electrónico continúa siendo uno de los mecanismos de comunicación más confiables para periodistas, organizaciones y actores institucionales. Cuando un mensaje proviene desde un dominio oficial, existe una presunción natural de autenticidad. Esa confianza es precisamente el activo que intentan explotar este tipo de ataques.

En este caso, el contenido del mensaje estaba cuidadosamente diseñado para insertarse en un contexto extremadamente sensible:

• un partido con decisiones arbitrales discutidas;

• el malestar de la selección egipcia;

• tensiones políticas vinculadas al conflicto en Medio Oriente;

• una audiencia global siguiendo el Mundial.

El resultado fue una combinación particularmente efectiva entre una intrusión informática y una operación de información.

Lo que sabemos... y lo que todavía no

La propia AFA fue prudente en su comunicado.

No afirmó que toda su infraestructura hubiera sido comprometida ni confirmó una filtración masiva de información. El organismo únicamente reconoció la posibilidad de un acceso no autorizado a una cuenta institucional y anunció una investigación para determinar el origen y el alcance del incidente.

Eso deja abiertas múltiples posibilidades técnicas.

Entre los escenarios plausibles se encuentran:

• robo de credenciales mediante phishing;

• reutilización de contraseñas previamente filtradas;

• compromiso de un dispositivo perteneciente a un empleado;

• secuestro de una sesión autenticada;

• abuso de tokens OAuth;

• compromiso de un proveedor externo;

• acceso previo mediante malware.

Algunas publicaciones también mencionaron la supuesta aparición de credenciales e información relacionada con la AFA en foros utilizados por ciberdelincuentes. No obstante, hasta el momento no existe evidencia pública suficiente para confirmar el alcance real de ese material ni establecer que represente una intrusión completa sobre los sistemas de la organización.

En ciberseguridad, distinguir entre hechos confirmados e hipótesis resulta fundamental. La presión mediática suele acelerar conclusiones que luego no resisten un análisis técnico.

El contexto importa

El incidente ocurre en un momento especialmente delicado para la dirigencia del fútbol argentino.

Durante los últimos días trascendieron investigaciones periodísticas y actuaciones preliminares de autoridades estadounidenses relacionadas con operaciones financieras internacionales vinculadas a la AFA. Paralelamente, el periodista francés Romain Molina anunció una investigación propia sobre el funcionamiento interno de la organización y el papel que, según sostiene, habría desempeñado la FIFA en distintos episodios de protección institucional.

Es importante aclarar que estas investigaciones y denuncias no constituyen una prueba de culpabilidad, y varias de ellas se encuentran en etapas preliminares o corresponden a trabajos periodísticos cuyos señalamientos deberán ser corroborados por las instancias judiciales competentes.

Precisamente por ese contexto, un ataque de estas características adquiere una dimensión mucho mayor.

Cuando una institución atraviesa cuestionamientos públicos, cualquier comunicación aparentemente oficial tiene una capacidad extraordinaria para moldear percepciones, alimentar rumores o amplificar conflictos existentes.

Los atacantes no necesitan inventar una crisis.

Solo necesitan aprovechar una que ya existe.

El Mundial como objetivo estratégico

Durante décadas, la seguridad de los grandes eventos deportivos se concentró casi exclusivamente en la protección física.

Hoy esa realidad cambió por completo.

Una federación nacional administra infraestructura tecnológica comparable a la de muchas grandes empresas:

• correo corporativo;

• plataformas de acreditación;

• bases de datos de periodistas;

• información comercial;

• sistemas financieros;

• infraestructura cloud;

• redes sociales;

• proveedores internacionales.

Cada uno de esos activos representa una posible puerta de entrada.

Y cada compromiso exitoso puede producir efectos mucho más profundos que una simple interrupción operativa.

La información se ha convertido en un campo de batalla tan importante como el propio terreno de juego.

Soberanía digital también es soberanía deportiva

Existe otra lectura que trasciende a la AFA.

El fútbol profesional es una industria global donde participan federaciones nacionales, organismos internacionales, gobiernos, patrocinadores, empresas tecnológicas, plataformas digitales y millones de usuarios.

En ese ecosistema, la infraestructura tecnológica se transforma en un componente de soberanía.

Si una federación pierde el control sobre sus canales oficiales de comunicación, deja de controlar parcialmente su propio relato institucional.

Y cuando el deporte moviliza intereses económicos, políticos y diplomáticos de escala internacional, esa pérdida de control deja de ser un problema exclusivamente informático.

Pasa a convertirse en un problema de gobernanza.

El episodio de la AFA recuerda que la confianza institucional ya no depende únicamente de dirigentes, reglamentos o árbitros.

También depende de la capacidad para proteger identidades digitales, sistemas de comunicación y activos tecnológicos frente a actores que entienden perfectamente que, en la era de la información, una cuenta de correo comprometida puede tener más impacto que un ataque contra un servidor.

El Mundial sigue jugándose dentro de la cancha.

Pero cada vez más partidos decisivos se disputan fuera de ella.

La decisión no solo reabre el debate sobre privacidad y vigilancia, sino que también genera fuertes cuestionamientos sobre el procedimiento democrático utilizado para aprobarla.

Una ley rechazada... que terminó aprobándose

El Parlamento Europeo volvió a aprobar la extensión de la llamada ePrivacy derogation, una excepción temporal a las normas de privacidad que permite a empresas como Meta, Google o Microsoft analizar de forma voluntaria mensajes, correos electrónicos e imágenes privadas para detectar material relacionado con abuso sexual infantil (CSAM). La autorización permanecerá vigente hasta 2028, o hasta que entre en vigor una legislación permanente sobre la materia.

Lo llamativo no fue únicamente el resultado, sino el camino que llevó hasta él.

En marzo de este mismo año, el Parlamento había rechazado prácticamente el mismo texto por 311 votos contra 228, provocando incluso la expiración temporal del régimen anterior.

Sin embargo, el Consejo de la Unión Europea devolvió posteriormente la propuesta al Parlamento para una segunda lectura. En esta etapa del procedimiento legislativo europeo ya no bastaba una mayoría simple para rechazar el texto: era necesaria una mayoría absoluta de todos los eurodiputados, un umbral mucho más difícil de alcanzar.

En la votación final ocurrió una situación poco habitual.

Una mayoría de los eurodiputados presentes votó en contra del texto, pero esa mayoría no alcanzó el número absoluto exigido para bloquearlo. Como consecuencia, la propuesta siguió adelante y quedó aprobada.

Para numerosas organizaciones defensoras de los derechos digitales, el resultado representa un precedente preocupante tanto por su contenido como por la utilización de mecanismos parlamentarios que terminaron modificando las reglas prácticas de aprobación.

¿Qué es exactamente el “Chat Control”?

El término “Chat Control” es utilizado por organizaciones de privacidad y derechos digitales para referirse a las iniciativas europeas que buscan detectar automáticamente contenido relacionado con abuso sexual infantil dentro de servicios de mensajería y correo electrónico.

En esta versión, la normativa no obliga a las plataformas a realizar el escaneo, sino que les devuelve la base legal para hacerlo de manera voluntaria, algo que había quedado en un limbo jurídico tras el vencimiento de la regulación anterior.

Entre los servicios potencialmente alcanzados se encuentran:

• correo electrónico;

• mensajería privada en redes sociales;

• plataformas de comunicación;

• servicios de intercambio de imágenes y archivos.

Las comunicaciones protegidas mediante cifrado de extremo a extremo (end-to-end encryption) continúan, por ahora, fuera del alcance de esta excepción, uno de los principales cambios impulsados por el Parlamento durante el proceso legislativo.

La protección infantil frente al derecho a la privacidad

El objetivo declarado de la medida es claro: evitar que desaparezcan herramientas utilizadas por las plataformas para detectar y denunciar material de abuso sexual infantil mientras la Unión Europea termina de negociar un marco regulatorio definitivo.

Pocas causas generan un consenso político tan amplio como la lucha contra la explotación infantil.

Sin embargo, los críticos sostienen que precisamente ese consenso convierte al tema en un terreno especialmente delicado para introducir mecanismos excepcionales de vigilancia.

Organizaciones como European Digital Rights (EDRi) advierten que permitir el análisis masivo de comunicaciones privadas por parte de empresas tecnológicas modifica el principio histórico de confidencialidad de las comunicaciones, trasladando a compañías privadas funciones que tradicionalmente estaban reservadas a investigaciones judiciales con autorización específica.

El debate, por tanto, no gira únicamente alrededor del abuso infantil.

También plantea una pregunta mucho más amplia:

¿hasta dónde puede llegar el monitoreo preventivo de las comunicaciones privadas antes de dejar de ser una excepción para convertirse en la nueva normalidad?

Un precedente político que preocupa

Más allá del contenido técnico de la norma, buena parte de la controversia se centra en el procedimiento utilizado para lograr su aprobación.

Diversos analistas y organizaciones sostienen que una propuesta rechazada previamente terminó siendo aprobada mediante una combinación de segunda lectura y requisitos de mayoría absoluta que modificaron, en la práctica, las condiciones del voto.

Desde una perspectiva institucional, esto alimenta una sensación incómoda para muchos ciudadanos:

aunque una mayoría de los votos emitidos rechazó el texto, la legislación igualmente avanzó debido a las reglas procedimentales aplicables en esa instancia.

Formalmente, el proceso siguió los mecanismos previstos por el procedimiento legislativo europeo. Sin embargo, sus detractores cuestionan si ese resultado refleja adecuadamente la voluntad política expresada durante la votación.

El verdadero debate todavía no terminó

Es importante entender que esta decisión no constituye la versión definitiva del llamado Chat Control.

Se trata de una extensión temporal de una excepción ya existente mientras continúan las negociaciones sobre una regulación permanente, conocida informalmente como Chat Control 2.0, que podría introducir obligaciones mucho más amplias para proveedores de servicios digitales.

Precisamente por eso, la discusión actual tiene un peso mucho mayor del que aparenta.

Las medidas temporales suelen convertirse en la base política y jurídica sobre la que posteriormente se construyen regulaciones permanentes.

Privacidad, soberanía digital y el futuro de las comunicaciones

La decisión del Parlamento Europeo vuelve a poner sobre la mesa una tensión que probablemente marcará la próxima década: el equilibrio entre seguridad y privacidad en la era digital.

La Unión Europea ha construido buena parte de su reputación internacional alrededor de la protección de datos personales, con normas como el GDPR convertidas en referencia global. Sin embargo, también avanza cada vez más hacia mecanismos que amplían las capacidades de supervisión sobre el ecosistema digital cuando existen objetivos considerados de alto interés público.

La pregunta ya no es únicamente si estas herramientas pueden utilizarse para combatir delitos graves.

La verdadera discusión es cómo evitar que excepciones creadas para casos extremos terminen ampliándose gradualmente hacia otros escenarios.

La historia de la regulación tecnológica demuestra que las capacidades de vigilancia, una vez incorporadas al sistema, rara vez desaparecen. Por eso, el debate alrededor del Chat Control trasciende la lucha contra el abuso infantil y se convierte en una discusión sobre el modelo de privacidad que Europa quiere construir para las próximas generaciones.

La iniciativa reabre un viejo debate: ¿dónde termina la lucha contra la desinformación y dónde comienza la intervención estatal sobre los algoritmos que moldean la conversación pública?

Durante años, el debate sobre las redes sociales estuvo centrado en la moderación de contenidos: qué publicaciones debían eliminarse, cuáles podían permanecer y quién debía tomar esa decisión. Ahora, el Reino Unido parece avanzar hacia una etapa diferente.

En lugar de enfocarse únicamente en eliminar contenido considerado dañino, el gobierno británico propone influir directamente sobre aquello que los ciudadanos ven primero en sus redes sociales.

La medida forma parte del documento estratégico “Watch this Space: A new strategic direction for UK media”, publicado por el Departamento de Cultura, Medios y Deporte (DCMS), que abrió una consulta pública sobre la posibilidad de obligar a plataformas y servicios de video a destacar noticias provenientes de proveedores considerados “confiables”.

No se trata de censurar, sino de priorizar

La propuesta no habla de eliminar publicaciones ni de prohibir contenidos alternativos.

El cambio es mucho más sutil.

La idea consiste en que los algoritmos de recomendación den una mayor visibilidad a determinados medios reconocidos oficialmente como fuentes periodísticas confiables. Según el gobierno, el objetivo es facilitar el acceso a información verificada en un ecosistema digital dominado por algoritmos y por contenidos de baja calidad o directamente falsos.

En la práctica, esto significaría que dos personas utilizando exactamente la misma plataforma podrían recibir recomendaciones distintas no únicamente por sus intereses, sino porque el Estado considera que ciertos medios deben ocupar un lugar privilegiado dentro del flujo de información.

El verdadero poder está en el algoritmo

Las redes sociales ya influyen enormemente en la formación de opinión pública.

Millones de personas ya no ingresan directamente a los sitios de noticias: consumen la actualidad a través de Facebook, X, Instagram, TikTok o YouTube, donde los algoritmos deciden qué contenido mostrar y cuál dejar prácticamente invisible.

Modificar esos algoritmos puede tener un impacto mucho mayor que prohibir una publicación.

No hace falta eliminar voces para reducir su alcance.

Basta con que el sistema recomiende otras primero.

Esa diferencia es precisamente la que convierte a esta propuesta en una de las más delicadas desde el punto de vista democrático.

¿Quién decide qué es una fuente confiable?

La pregunta inevitable es quién establece ese criterio.

En principio, el documento hace referencia a organizaciones periodísticas reconocidas y medios que cumplen determinados estándares editoriales. Sin embargo, la definición nunca es completamente objetiva y puede evolucionar con los cambios políticos o regulatorios.

La historia demuestra que incluso en democracias consolidadas existen fuertes desacuerdos sobre la independencia de determinados medios, conflictos de intereses empresariales o diferencias editoriales profundas.

Cuando el Estado comienza a participar en esa clasificación, inevitablemente aparece el riesgo de que esa capacidad termine utilizándose para favorecer determinados discursos sobre otros.

Una tendencia regulatoria cada vez más amplia

Esta iniciativa no surge de manera aislada.

En los últimos años el Reino Unido ha impulsado algunas de las regulaciones digitales más ambiciosas del mundo occidental.

La Online Safety Act 2023 introdujo nuevas obligaciones para las plataformas en materia de contenidos ilegales, protección infantil y gestión de riesgos algorítmicos. La norma ha recibido tanto apoyo como críticas, especialmente por el alcance de los poderes regulatorios otorgados y por las preocupaciones relacionadas con la libertad de expresión y la privacidad.

Paralelamente, el gobierno también anunció recientemente restricciones al uso de redes sociales por menores de 16 años y continúa evaluando nuevas medidas sobre verificación de edad, inteligencia artificial y funcionamiento de las plataformas digitales.

La propuesta sobre la prominencia de medios considerados confiables encaja dentro de esa estrategia más amplia de intervención sobre el ecosistema digital.

El dilema de la desinformación

El problema que intenta resolver el gobierno es real.

Las campañas coordinadas de desinformación, la manipulación política, las operaciones de influencia extranjera y la viralización de noticias falsas representan desafíos importantes para cualquier democracia.

Sin embargo, también existe otro riesgo menos visible.

Cuando los gobiernos adquieren herramientas para orientar qué información recibe mayor difusión, aparece una concentración adicional de poder sobre uno de los recursos más valiosos de la sociedad contemporánea: la atención.

No se trata únicamente de decidir qué puede decirse.

También de decidir qué tiene mayores probabilidades de ser visto.

Más allá del Reino Unido

Lo que ocurra en el Reino Unido probablemente será observado con atención por otros gobiernos.

La regulación de plataformas digitales se ha convertido en uno de los principales frentes de disputa entre Estados, empresas tecnológicas y organizaciones defensoras de derechos digitales.

Europa ya ha avanzado con normas que aumentan las obligaciones de transparencia para los sistemas de recomendación y los algoritmos. Ahora, la discusión parece desplazarse hacia una cuestión todavía más sensible: si los gobiernos deberían intervenir directamente en la jerarquización del contenido que consumen los ciudadanos.

La diferencia puede parecer técnica.

Pero, en una era donde los algoritmos determinan gran parte de la conversación pública, decidir qué aparece primero también es una forma de ejercer poder sobre la información.

Para sus defensores es una herramienta necesaria para proteger a los menores. Para sus críticos, representa un nuevo intento de normalizar el escaneo masivo de comunicaciones privadas.

La discusión sobre Chat Control nunca fue únicamente tecnológica. Desde su aparición, el proyecto se convirtió en uno de los debates más profundos sobre el equilibrio entre seguridad, privacidad y derechos fundamentales en la era digital.

Ahora, apenas unos meses después de que el Parlamento Europeo rechazara la extensión del denominado “Chat Control 1.0”, la iniciativa vuelve inesperadamente a la agenda política mediante una tercera votación que muchos consideran inédita desde el punto de vista institucional.

¿Qué es Chat Control?

El nombre “Chat Control” es utilizado por organizaciones defensoras de la privacidad para referirse al conjunto de iniciativas legislativas europeas destinadas a combatir la distribución de material de abuso sexual infantil (CSAM) mediante mecanismos de detección en plataformas de mensajería y correo electrónico.

El objetivo declarado resulta difícil de cuestionar: impedir la circulación de uno de los delitos más graves que existen en Internet.

La controversia aparece cuando surge la pregunta inevitable:

¿Hasta dónde puede llegar un Estado para detectar ese contenido sin convertir las comunicaciones privadas en un espacio permanentemente vigilado?

Ese es precisamente el núcleo del debate.

Chat Control 1.0: una excepción que nunca dejó de ser polémica

En 2021 la Unión Europea aprobó una excepción temporal a las reglas de privacidad electrónica.

Dicha excepción permitía que determinadas plataformas escanearan voluntariamente mensajes privados para detectar material conocido de abuso sexual infantil.

No era una obligación legal para todos los proveedores y, en teoría, se trataba de una medida transitoria mientras se desarrollaba un marco regulatorio permanente.

Sin embargo, cinco años después, esa “solución temporal” continúa generando discusiones.

En marzo de 2026, el Parlamento Europeo rechazó extender nuevamente esa excepción tras una votación extremadamente ajustada, permitiendo que expirara el régimen vigente.

El regreso inesperado

Lo que genera preocupación entre organizaciones de derechos digitales es que el asunto volvió a la agenda apenas unos meses después.

Según distintas fuentes europeas, la presidencia del Parlamento impulsó una nueva votación para intentar reactivar el mecanismo temporal mientras continúan las negociaciones sobre la legislación definitiva conocida informalmente como Chat Control 2.0.

Para numerosos juristas y especialistas en gobernanza europea, el movimiento resulta inusual porque el Parlamento ya había expresado su posición sobre el expediente.

Los críticos sostienen que volver a votar un texto rechazado erosiona el funcionamiento normal del proceso legislativo europeo y envía una señal preocupante sobre cómo pueden reabrirse decisiones ya tomadas cuando el resultado político no satisface a determinadas instituciones.

El verdadero problema no es el objetivo

En este debate suele producirse una simplificación peligrosa.

Quien cuestiona Chat Control suele ser acusado de oponerse a la protección de los menores.

Sin embargo, la discusión técnica es muy distinta.

Prácticamente nadie discute la necesidad de perseguir el abuso infantil.

La pregunta es si resulta aceptable establecer mecanismos de vigilancia capaces de inspeccionar comunicaciones privadas de millones de personas que no son sospechosas de ningún delito.

Diversos expertos en criptografía sostienen desde hace años que no existe una forma técnicamente viable de inspeccionar mensajes cifrados sin afectar las garantías que ofrece el cifrado de extremo a extremo. Cualquier sistema de escaneo previo al cifrado —conocido como client-side scanning— introduce un nuevo punto de inspección que modifica el modelo de confianza sobre el que funcionan aplicaciones como Signal o WhatsApp.

Una discusión que excede a Europa

Aunque la iniciativa pertenece a la Unión Europea, sus consecuencias podrían sentirse mucho más allá del continente.

Muchas de las grandes plataformas tecnológicas operan de manera global. Si la regulación europea termina exigiendo determinados mecanismos de detección, las empresas deberán decidir entre desarrollar versiones distintas para cada región o extender esas capacidades a toda su infraestructura mundial.

Europa ya demostró en otras áreas —como protección de datos, inteligencia artificial o mercados digitales— que su capacidad regulatoria puede influir sobre productos utilizados en todo el planeta.

Por eso el desenlace de Chat Control es seguido atentamente por gobiernos, empresas tecnológicas y organizaciones civiles de numerosos países.

¿Seguridad o precedente?

Más allá del resultado de esta votación, el caso deja una pregunta mucho más amplia.

En los últimos años, cada nueva amenaza digital ha dado lugar a propuestas para ampliar las capacidades de supervisión sobre Internet.

Primero fueron las obligaciones de retención de datos.

Después aparecieron los controles sobre plataformas.

Más recientemente surgieron propuestas de verificación obligatoria de edad, identificación digital y escaneo automatizado de contenidos.

Cada una de estas iniciativas suele justificarse por un objetivo legítimo. El desafío consiste en evitar que la suma de excepciones termine modificando de forma permanente la naturaleza privada de las comunicaciones digitales.

Ese equilibrio es precisamente el que vuelve a discutirse en Bruselas.

Y, una vez más, la decisión podría definir mucho más que una regulación sobre mensajería: podría establecer hasta dónde están dispuestas las democracias occidentales a sacrificar privacidad en nombre de la seguridad.

Sin embargo, más allá del arresto, los documentos judiciales revelaron un detalle que encendió un intenso debate sobre privacidad: Microsoft pudo vincular años de actividad digital a un único dispositivo Windows gracias a un identificador persistente generado por el propio sistema operativo. El caso vuelve a poner sobre la mesa una pregunta incómoda: ¿cuánto saben realmente las grandes plataformas sobre sus usuarios?

La lucha contra el cibercrimen suele presentar dilemas complejos entre seguridad y privacidad. El caso de Peter Stokes, un joven de 19 años acusado de integrar el grupo Scattered Spider, es probablemente uno de los ejemplos más claros de ese conflicto.

Por un lado, las autoridades lograron detener a un presunto integrante de una organización responsable de ataques que provocaron más de 100 millones de dólares en pagos por ransomware y pérdidas millonarias para empresas de todo el mundo. Por otro, la investigación dejó al descubierto el enorme volumen de información que Microsoft conserva sobre los dispositivos que ejecutan Windows y cómo esos datos pueden convertirse en una poderosa herramienta de rastreo.

Un nuevo golpe contra Scattered Spider

El Departamento de Justicia de Estados Unidos confirmó la extradición desde Finlandia de Peter Stokes, ciudadano con doble nacionalidad estadounidense y estonia, acusado de conspiración, fraude e intrusión informática como presunto integrante de Scattered Spider. El joven había sido detenido en abril en Helsinki mientras intentaba abordar un vuelo hacia Japón tras una notificación roja de Interpol. (Department of Justice)

Según la acusación, Stokes habría participado en el ataque contra una joyería de lujo estadounidense durante 2025. Los atacantes lograron acceder a la red corporativa, exfiltraron información sensible y posteriormente exigieron un rescate cercano a los ocho millones de dólares en criptomonedas. Aunque la empresa consiguió expulsar a los atacantes antes de pagar, el incidente provocó pérdidas estimadas en unos dos millones de dólares debido a la interrupción operativa y las tareas de recuperación. (SecurityWeek)

El caso forma parte de una ofensiva internacional más amplia contra Scattered Spider, un grupo conocido por utilizar ingeniería social, ataques contra centros de soporte técnico, robo de credenciales y técnicas avanzadas para comprometer grandes organizaciones. Entre sus víctimas figuran empresas de casinos, telecomunicaciones, aerolíneas, entidades financieras y compañías tecnológicas. (IT Pro)

Hasta aquí, la historia parece ser una investigación criminal relativamente convencional. Lo realmente llamativo aparece cuando se analiza la evidencia presentada por la fiscalía.

El identificador que siguió al dispositivo

Uno de los elementos más relevantes del expediente judicial fue la utilización de un identificador denominado Global Device Identifier (GDID), un valor generado por Windows que permitió a Microsoft asociar múltiples actividades realizadas desde una misma instalación del sistema operativo.

A partir de ese identificador, la compañía pudo proporcionar al FBI información que permitió relacionar el dispositivo con distintas conexiones, direcciones IP, sesiones, uso de determinados servicios y otra telemetría acumulada a lo largo del tiempo. Esa correlación terminó siendo una pieza importante dentro de la investigación. (Tom’s Hardware)

No se trató de una vulnerabilidad ni de un malware instalado por los investigadores.

Fue el propio sistema operativo el que había ido generando y conservando información suficiente para construir una línea temporal del dispositivo.

El debate no es sobre este caso

Es importante separar dos discusiones.

La primera es si Peter Stokes merece ser investigado.

Si las acusaciones son ciertas, hablamos de un integrante de una organización responsable de ataques contra empresas, extorsión y pérdidas económicas multimillonarias. Que las autoridades utilicen herramientas legales para investigar ese tipo de delitos resulta completamente esperable.

La segunda discusión, mucho más amplia, es otra.

¿Qué significa que un proveedor del sistema operativo pueda identificar un equipo concreto durante años y reconstruir parte importante de su actividad?

Esa capacidad existe independientemente de quién sea el usuario.

Hoy puede utilizarse contra un presunto ciberdelincuente.

Mañana podría emplearse en investigaciones por delitos menores, causas civiles, conflictos políticos o incluso terminar expuesta tras una brecha de seguridad.

La tecnología es la misma. Lo único que cambia es quién solicita los datos y con qué finalidad.

La telemetría vuelve al centro de la escena

Windows lleva años siendo objeto de críticas por el volumen de telemetría que recopila.

Microsoft sostiene que estos datos permiten mejorar la estabilidad del sistema, detectar fallos, reforzar la seguridad y ofrecer mejores servicios. También ofrece distintos niveles de configuración y documentación sobre parte de esa recopilación.

Sin embargo, este caso demuestra algo que muchas veces queda fuera del debate público: la utilidad operativa de esa información puede ir mucho más allá del diagnóstico técnico del sistema operativo.

Cuando distintos registros pueden vincularse mediante un identificador persistente, el resultado deja de ser una colección de datos aislados y pasa a convertirse en el historial de un dispositivo.

Y un historial suficientemente completo puede convertirse, en la práctica, en un mecanismo de seguimiento.

¿Quién controla realmente esos datos?

La cuestión de fondo no es exclusivamente técnica.

Es política, económica y estratégica.

Hoy gran parte del mundo depende de un puñado de empresas privadas para utilizar sistemas operativos, servicios en la nube, correo electrónico, navegación web, inteligencia artificial y plataformas de productividad.

Cada una de esas plataformas genera enormes volúmenes de información sobre personas, empresas e incluso gobiernos.

Los usuarios suelen aceptar esa recopilación porque el servicio funciona, porque simplifica tareas o porque simplemente no existe una alternativa con la misma adopción.

Pero esa comodidad tiene un costo: la concentración de datos en muy pocos actores.

Cuando una sola empresa puede reconstruir buena parte de la actividad digital de millones de dispositivos distribuidos por todo el planeta, la discusión deja de ser únicamente sobre privacidad individual.

También involucra soberanía digital, dependencia tecnológica y equilibrio de poder.

Seguridad y privacidad no deberían ser objetivos opuestos

Casos como este suelen generar respuestas extremas.

Algunos sostienen que quien no tiene nada que ocultar no debería preocuparse.

Otros concluyen que cualquier forma de telemetría constituye vigilancia masiva.

Probablemente ninguna de las dos posiciones refleje toda la realidad.

La cooperación entre empresas tecnológicas y las fuerzas de seguridad ha permitido resolver numerosos delitos graves. Pero precisamente porque esas capacidades existen, también resulta necesario exigir transparencia sobre qué datos se recopilan, durante cuánto tiempo se almacenan, cómo pueden solicitarse y qué controles existen para evitar abusos.

La confianza no puede depender únicamente de la buena voluntad de quien administra la información.

Debe apoyarse en reglas claras, auditorías independientes y mecanismos efectivos de supervisión.

Mucho más que la historia de un hacker

La extradición de Peter Stokes probablemente sea recordada como otro paso en la ofensiva internacional contra Scattered Spider.

Sin embargo, es posible que el legado más importante de este caso no tenga relación con el grupo criminal, sino con la evidencia que dejó al descubierto.

Durante años se debatió cuánto podía saber Windows sobre sus usuarios.

Los documentos judiciales ofrecen ahora una respuesta mucho más concreta: lo suficiente como para ayudar a reconstruir la actividad de un dispositivo y convertir esa información en evidencia dentro de una investigación penal. (Tom’s Hardware)

La verdadera pregunta ya no es si esa capacidad existe.

La pregunta es quién la controla, bajo qué condiciones puede utilizarse y cuánto estamos dispuestos a delegar en un pequeño grupo de compañías que administran buena parte de la infraestructura digital sobre la que funciona el mundo.

El problema habría sido reportado a Apple hace más de un año y, según investigadores independientes, sigue sin resolverse.

Cuando Apple presentó Hide My Email como parte de iCloud+, la propuesta era sencilla: permitir que los usuarios se registraran en sitios y aplicaciones utilizando direcciones de correo aleatorias que reenviaran los mensajes a su cuenta real, evitando así compartir su identidad digital con terceros.

Sin embargo, una investigación publicada esta semana pone en duda esa promesa.

Según reveló 404 Media y confirmó el investigador Tyler Murphy, cofundador de EasyOptOuts, existe una vulnerabilidad que permitiría asociar esas direcciones anónimas con el correo electrónico real del usuario. Lo más preocupante es que el problema habría sido reportado a Apple hace más de un año y continuaría siendo explotable.

Una función de privacidad que dejaría de ser privada

Apple diseñó Hide My Email para reducir la exposición de la dirección principal de sus usuarios frente a filtraciones de datos, campañas de marketing y seguimiento entre distintos servicios.

En teoría, cada alias generado funciona como una capa de separación entre la identidad real del usuario y los servicios donde se registra. Si un sitio sufre una brecha de seguridad, el atacante solo obtendría la dirección aleatoria y no el correo verdadero.

El problema es que, de acuerdo con Murphy, esa separación puede romperse.

Por motivos de seguridad, los investigadores no publicaron los detalles técnicos del método utilizado, precisamente para evitar facilitar su explotación antes de que exista un parche definitivo. No obstante, afirman haber comprobado el fallo con múltiples voluntarios y sostienen que todos los alias analizados pudieron vincularse exitosamente con la dirección original.

Apple conocía el problema

El investigador asegura haber informado la vulnerabilidad a Apple en junio de 2025 mediante el proceso oficial de divulgación responsable.

Según su versión, la empresa indicó en marzo de 2026 que el problema había sido solucionado. Sin embargo, nuevas pruebas realizadas posteriormente demostrarían que la vulnerabilidad continúa presente.

Hasta el momento Apple no ha publicado una explicación técnica ni una corrección definitiva, lo que ha generado cuestionamientos sobre la gestión del incidente y sobre la confianza que los usuarios depositan en una de las funciones de privacidad más promocionadas del ecosistema iCloud+.

Más allá del fallo: el desafío de las promesas de privacidad

El caso también deja una enseñanza más amplia: las herramientas de privacidad no son garantías absolutas.

Funciones como Hide My Email aportan una capa adicional de protección frente al rastreo y las filtraciones masivas, pero siguen dependiendo de implementaciones técnicas que pueden contener errores, vulnerabilidades o comportamientos inesperados.

En un contexto donde las grandes plataformas utilizan la privacidad como uno de sus principales argumentos comerciales, incidentes como este recuerdan que la confianza no puede basarse únicamente en el marketing. La protección efectiva requiere auditorías continuas, respuesta rápida ante reportes de investigadores y una comunicación transparente cuando aparecen fallos.

Mientras Apple trabaja en una solución definitiva, los especialistas recomiendan no asumir que los alias de correo constituyen un anonimato absoluto y seguir aplicando buenas prácticas, como limitar la información personal compartida con servicios de terceros y utilizar autenticación multifactor siempre que sea posible.

El caso reaviva el debate sobre quién controla realmente la mayor enciclopedia del mundo y cómo se gobierna el conocimiento en internet.

La comunidad de editores de Wikipedia bloqueó de manera indefinida la cuenta de Larry Sanger, uno de los cofundadores del proyecto, luego de concluir que había violado las normas internas al intentar influir desde fuera de la plataforma en una discusión comunitaria. La decisión marca un episodio inusual: uno de los arquitectos originales de Wikipedia quedó excluido del sitio que ayudó a crear.

Según la discusión interna, Sanger incurrió en lo que Wikipedia denomina off-wiki canvassing, una práctica que consiste en convocar personas desde redes sociales u otros espacios externos para intervenir en debates internos con el objetivo de inclinar el consenso. Los administradores consideraron que sus acciones buscaban influir en la aprobación de un nuevo grupo de trabajo denominado WikiProject Intellectual Diversity.

El origen del conflicto

En las últimas semanas, Sanger había promovido públicamente una iniciativa destinada, según explicó, a reforzar la diversidad intelectual dentro de Wikipedia. Entre sus objetivos figuraban ampliar el espectro de fuentes consideradas aceptables, aumentar la transparencia en los procesos de decisión y recuperar una interpretación más estricta del principio de neutralidad que caracterizó los primeros años del proyecto.

Desde la perspectiva de numerosos editores, sin embargo, la campaña cruzó una línea roja al solicitar apoyo externo para una discusión que debía resolverse exclusivamente dentro de la comunidad de Wikipedia. Tras varios días de debate, se alcanzó consenso para aplicar un bloqueo indefinido.

La respuesta de Sanger

Sanger rechazó la decisión y sostuvo que el procedimiento careció de garantías básicas. En declaraciones recogidas por 404 Media calificó el proceso como una “corte canguro” y afirmó que Wikipedia está gobernada por una dinámica de “regla de la multitud” más que por principios transparentes.

Las críticas de Sanger hacia Wikipedia no son nuevas. Desde su salida del proyecto en 2002 ha cuestionado repetidamente la confiabilidad de la enciclopedia, el funcionamiento de su sistema de consenso y lo que considera un creciente sesgo ideológico en determinadas áreas temáticas. En los últimos años incluso propuso una profunda reforma del modelo de gobernanza de la plataforma.

Mucho más que una disputa interna

Más allá del caso puntual, el episodio vuelve a poner sobre la mesa una pregunta cada vez más relevante: ¿quién define qué conocimiento es considerado neutral en una plataforma utilizada diariamente por millones de personas, periodistas, estudiantes e incluso sistemas de inteligencia artificial?

Wikipedia sigue siendo uno de los mayores repositorios abiertos de conocimiento del mundo y un insumo fundamental para motores de búsqueda, asistentes de IA y herramientas de generación automática de contenido. Por eso, las discusiones sobre sus mecanismos de gobernanza trascienden a la propia comunidad de editores.

El bloqueo de uno de sus fundadores no implica necesariamente que las críticas de Sanger sean correctas ni que la decisión de la comunidad haya sido injustificada. Sí refleja, sin embargo, la creciente tensión entre los mecanismos colaborativos que dieron origen a Wikipedia y las disputas actuales sobre neutralidad, representación ideológica y control editorial.

En una época en la que gran parte del conocimiento digital depende de un puñado de plataformas globales, los debates sobre quién establece las reglas, cómo se alcanzan los consensos y qué voces participan dejan de ser cuestiones internas para convertirse en un asunto de interés público.

La protección de los menores en Internet volvió al centro del debate político en Estados Unidos. La Cámara de Representantes aprobó el KIDS Act, un paquete de iniciativas bipartidistas que busca imponer nuevas obligaciones a las plataformas digitales para reducir los riesgos que enfrentan niños y adolescentes en redes sociales y otros servicios en línea.

Aunque el objetivo declarado es reforzar la seguridad infantil, el proyecto también reavivó una discusión mucho más amplia: hasta dónde puede llegar un Estado para proteger a los menores sin afectar la privacidad y las libertades digitales del resto de los usuarios.

Un nuevo intento de regular las plataformas

El KIDS Act retoma varias ideas que durante los últimos años aparecieron en distintas versiones del conocido Kids Online Safety Act (KOSA), una iniciativa que nunca logró convertirse en ley pese al amplio respaldo político que recibió en ocasiones anteriores.

Entre otras medidas, el paquete busca exigir a las plataformas que adopten mecanismos para reducir la exposición de menores a contenidos considerados perjudiciales y que asuman mayores responsabilidades sobre el diseño de sus servicios.

Tras la aprobación en la Cámara de Representantes, el proyecto deberá enfrentar ahora un escenario más complejo en el Senado, donde ya existen diferencias sobre su redacción y alcance.

El principal temor: la verificación de identidad

Las críticas no apuntan tanto al objetivo de proteger a los menores como a las herramientas que podrían utilizarse para hacerlo.

Diversos defensores de la privacidad sostienen que, en la práctica, muchas de estas obligaciones terminarían impulsando sistemas de verificación obligatoria de edad o identidad, lo que implicaría que un número creciente de servicios soliciten documentos oficiales o datos biométricos para permitir el acceso.

Para los críticos, esto supone un cambio profundo en el funcionamiento de Internet: pasar de una red donde el anonimato y el uso bajo seudónimo son posibles a otra donde cada interacción pueda quedar asociada a una identidad verificable.

Una discusión que trasciende a Estados Unidos

El debate refleja una tensión cada vez más frecuente en la regulación tecnológica.

Por un lado, existe un consenso creciente sobre la necesidad de proteger a niños y adolescentes frente a algoritmos diseñados para maximizar el tiempo de uso, contenidos dañinos o mecanismos de adicción digital.

Por otro, organizaciones de derechos civiles advierten que muchas de las soluciones propuestas requieren recopilar aún más información personal de todos los usuarios, incluidos los adultos, generando nuevas bases de datos sensibles y ampliando las capacidades de vigilancia tanto de empresas como de gobiernos.

La pregunta de fondo deja de ser únicamente cómo proteger a los menores y pasa a ser quién controla la infraestructura de identidad digital que esas medidas podrían terminar creando.

Un equilibrio difícil

El futuro del proyecto todavía es incierto. El Senado deberá decidir si mantiene el texto aprobado por la Cámara o introduce modificaciones antes de una eventual aprobación definitiva.

Mientras tanto, el caso vuelve a poner sobre la mesa uno de los grandes dilemas de la era digital: cómo construir un Internet más seguro sin convertir la protección en un mecanismo permanente de identificación y control sobre todos sus usuarios.

Hasta hace poco, la ventaja estadounidense en inteligencia artificial aplicada a la ciberseguridad parecía difícil de cuestionar. Modelos como Mythos, desarrollado por Anthropic, marcaron un antes y un después al demostrar una capacidad inédita para encontrar vulnerabilidades complejas en software de forma prácticamente autónoma.

Sin embargo, ese liderazgo comienza a acortarse.

En las últimas semanas, distintos desarrollos chinos mostraron resultados que, al menos en determinadas pruebas de ciberseguridad, ya compiten con las capacidades de los modelos estadounidenses más avanzados. El cambio no solo tiene implicancias técnicas: también reabre el debate sobre si las restricciones impuestas por Estados Unidos podrían estar acelerando, de forma indirecta, el desarrollo de alternativas fuera de su esfera de influencia.

GLM-5.2 y Tulongfeng: dos señales del avance chino

Uno de los protagonistas es GLM-5.2, un modelo abierto desarrollado por la empresa china Zhipu AI (Z.ai).

Según diversos análisis, el modelo logra desempeños comparables a Mythos en tareas específicas de descubrimiento de vulnerabilidades, aunque todavía mantiene una brecha frente a los modelos estadounidenses en capacidades generales de razonamiento y uso cotidiano.

Al mismo tiempo, la firma china 360 Security Technology presentó Tulongfeng, una plataforma especializada en detección automática de fallas de seguridad que la propia compañía define como la respuesta china a Mythos.

Durante su presentación, la empresa aseguró haber identificado miles de vulnerabilidades utilizando esta tecnología, incluyendo más de un centenar posteriormente validadas por organismos chinos, aunque esas cifras no pudieron verificarse de manera independiente.

El dilema estadounidense

Paradójicamente, el avance chino coincide con un endurecimiento de la política estadounidense respecto al acceso a sus propios modelos.

Modelos como Mythos o las versiones más avanzadas de OpenAI permanecen disponibles únicamente para organizaciones seleccionadas debido al riesgo de que puedan utilizarse tanto para fortalecer defensas como para descubrir vulnerabilidades explotables por actores maliciosos.

La lógica detrás de estas restricciones es clara: cuanto más capaz es un modelo para encontrar errores críticos, mayor es también su potencial ofensivo.

Pero esa estrategia genera un efecto secundario.

Mientras las empresas estadounidenses limitan el acceso por motivos de seguridad nacional, China continúa impulsando modelos abiertos (”open-weight”) que pueden descargarse, modificarse y ejecutarse localmente por investigadores, empresas o incluso actores maliciosos.

Una nueva fase de la competencia tecnológica

Durante años, la carrera por la inteligencia artificial se midió principalmente por la calidad de los chatbots o la generación de contenido.

Hoy el escenario es diferente.

La capacidad de una IA para descubrir vulnerabilidades, automatizar auditorías de código o asistir en la investigación de fallos se está convirtiendo en un activo estratégico comparable al desarrollo de tecnologías militares o criptográficas.

No se trata únicamente de quién construye el mejor modelo, sino de quién puede utilizarlo para proteger —o comprometer— infraestructuras críticas, software ampliamente utilizado y cadenas de suministro digitales.

Más que una carrera tecnológica

Este episodio también refleja un cambio de paradigma en la geopolítica tecnológica.

Las restricciones a la exportación de chips, el acceso limitado a modelos de frontera y las crecientes barreras regulatorias buscaban preservar la ventaja estadounidense durante más tiempo. Sin embargo, el rápido progreso de empresas chinas sugiere que esa ventana de exclusividad podría estar reduciéndose más rápido de lo previsto.

Para el resto del mundo, el resultado es un ecosistema cada vez más fragmentado, donde diferentes bloques tecnológicos desarrollan capacidades propias en inteligencia artificial aplicada a la ciberseguridad.

En ese contexto, la competencia ya no gira únicamente alrededor de quién posee la IA más potente, sino de quién consigue integrarla antes y mejor en sus capacidades nacionales de defensa, investigación y protección de infraestructura crítica.

La relación entre las grandes empresas tecnológicas y el conflicto en Gaza continúa generando tensiones internas. Esta vez, el foco vuelve a estar sobre Microsoft después de que un empleado de uno de sus centros de datos en Italia renunciara a la compañía y aprovechara su último día para enviar un correo electrónico masivo dirigido a miles de trabajadores.

En el mensaje, el ahora ex empleado —identificado públicamente como “Nour”— sostuvo que Microsoft desempeña un papel clave en la infraestructura tecnológica utilizada por Israel y afirmó que no quería seguir siendo parte de esa operación. El correo también instó a otros trabajadores a sumarse a campañas internas que exigen que la empresa finalice sus contratos con el gobierno y las fuerzas armadas israelíes.

Una protesta que se suma a un conflicto interno creciente

No se trata de un episodio aislado. Desde hace más de un año, distintos grupos de empleados de Microsoft vienen organizando protestas públicas, enviando cartas abiertas e interrumpiendo eventos corporativos para cuestionar los contratos de la compañía con Israel.

El movimiento No Azure for Apartheid, integrado por empleados y ex empleados, sostiene que la infraestructura de nube de Microsoft y otros servicios tecnológicos son utilizados por organismos israelíes en operaciones militares y de inteligencia. Entre sus principales reclamos figura la cancelación de esos contratos y una mayor transparencia sobre el uso de la tecnología desarrollada por la empresa.

El contenido del correo

En su mensaje, Nour afirmó que la expansión de centros de datos europeos de Microsoft está vinculada al soporte de sistemas utilizados durante el conflicto en Gaza.

El correo también hace referencia a investigaciones periodísticas publicadas durante el último año sobre el almacenamiento y procesamiento de grandes volúmenes de datos relacionados con población palestina, así como al empleo de inteligencia artificial en tareas de análisis y selección de objetivos militares. Estas afirmaciones forman parte de una controversia ampliamente debatida y han sido objeto de posiciones enfrentadas entre organizaciones de derechos humanos, medios especializados y la propia compañía.

Microsoft vuelve a enfrentar presión desde dentro

La empresa ya había experimentado protestas similares durante presentaciones públicas y conferencias internas, donde empleados cuestionaron el rol de Microsoft en el desarrollo de infraestructura de nube e inteligencia artificial para organismos gubernamentales.

Según el artículo, Microsoft incluso habría implementado medidas para limitar la circulación de determinados términos en correos internos, aunque los trabajadores encontraron formas de continuar difundiendo sus mensajes.

El nuevo frente de la geopolítica tecnológica

Más allá del caso puntual, el episodio refleja una tendencia cada vez más visible: las grandes empresas tecnológicas ya no solo enfrentan cuestionamientos regulatorios o comerciales, sino también conflictos internos vinculados al uso geopolítico de sus plataformas.

Infraestructuras como centros de datos, servicios cloud e inteligencia artificial se han convertido en activos estratégicos para gobiernos de todo el mundo. Como consecuencia, las decisiones comerciales de estas compañías son observadas no solo desde la óptica empresarial, sino también desde la política internacional, los derechos humanos y la ética tecnológica.

En ese contexto, la presión ya no proviene únicamente de gobiernos o reguladores. Cada vez con mayor frecuencia son los propios ingenieros, administradores de infraestructura y especialistas que trabajan dentro de las empresas quienes cuestionan el destino y el impacto de las tecnologías que ayudan a construir.

La empresa estadounidense Flock Safety, conocida por operar una extensa red de cámaras de reconocimiento automático de matrículas (ALPR), confirmó que parte de las búsquedas realizadas por agencias policiales terminaron indexadas en motores de búsqueda como DuckDuckGo, Bing y Yahoo.

La situación fue detectada por la organización de privacidad NoCo Privacy Coalition y posteriormente verificada por el medio especializado 404 Media. Según los hallazgos, algunas URL accesibles públicamente contenían información suficiente para inferir qué vehículo estaba siendo buscado, por qué motivo y, en algunos casos, durante qué período de tiempo.

Qué información quedó expuesta

Las URL indexadas incluían distintos parámetros utilizados en las consultas dentro de la plataforma de Flock. Entre los datos observados aparecían:

• Matrículas completas o parciales.

• Estado de emisión de la matrícula.

• Marca, modelo y color del vehículo.

• Identificadores adicionales como portaequipajes o adhesivos.

• Números de caso.

• Motivos de búsqueda como “GTA” (Grand Theft Auto) o “Investigation”.

• Rangos de fechas utilizados en la consulta.

Aunque no se expusieron los resultados completos de las búsquedas ni las bases de datos policiales subyacentes, la información visible permitía reconstruir parte de la actividad investigativa realizada por los usuarios de la plataforma.

Una filtración poco habitual

A diferencia de las brechas tradicionales, donde atacantes obtienen acceso a sistemas o bases de datos, este incidente parece haber surgido por un problema relacionado con la indexación de contenido por parte de motores de búsqueda.

Según explicó Flock, los datos visibles corresponderían a fragmentos de consultas almacenadas en cachés de servicios externos y no a registros internos completos.

La compañía indicó que identificó alrededor de 70 resultados indexados, correspondientes a búsquedas realizadas entre 2024 y 2025, y aseguró estar trabajando para eliminar el contenido almacenado por terceros.

El negocio de vigilar vehículos

Flock opera miles de cámaras distribuidas en ciudades y comunidades de Estados Unidos. Sus sistemas capturan de forma automática:

• Matrículas.

• Marca y modelo.

• Color del vehículo.

• Características visuales distintivas.

Toda esa información se almacena y puede ser consultada por organismos de seguridad para rastrear movimientos de vehículos de interés, generalmente sin necesidad de una orden judicial específica.

La expansión de este tipo de tecnologías ha generado un intenso debate en Estados Unidos sobre privacidad, vigilancia masiva y control gubernamental. Algunas ciudades han decidido abandonar estos sistemas, mientras que otras continúan ampliando su despliegue.

Cuando la vigilancia también filtra datos

El caso resulta especialmente llamativo porque demuestra una paradoja frecuente en los sistemas de vigilancia modernos: cuanto mayor es la cantidad de información recopilada, mayor es la superficie de exposición.

No se trata de una intrusión sofisticada ni de una vulnerabilidad crítica explotada por ciberdelincuentes. La filtración habría ocurrido a través de mecanismos cotidianos de indexación web que normalmente pasan desapercibidos.

Para las organizaciones que manejan información sensible, el incidente funciona como recordatorio de que la protección de datos no depende únicamente de controlar quién accede a una base de datos. También exige comprender cómo interactúan aplicaciones, navegadores, cachés, motores de búsqueda y servicios externos.

En un contexto donde las plataformas de vigilancia recopilan cada vez más información sobre la actividad cotidiana de millones de personas, incluso una filtración aparentemente menor puede ofrecer una ventana inesperada hacia operaciones que, en teoría, debían permanecer reservadas.

A partir de agosto de 2026 entrarán en vigor nuevas obligaciones para etiquetar contenido generado por IA, una medida que reabre el debate sobre si Europa está protegiendo a los ciudadanos o frenando su propia competitividad tecnológica.

La Comisión Europea publicó recientemente la versión final de su Código de Buenas Prácticas para el marcado y etiquetado de contenido generado por inteligencia artificial, una guía voluntaria diseñada para ayudar a empresas y plataformas a cumplir con las obligaciones de transparencia establecidas por la Ley de IA de la Unión Europea (AI Act).

Aunque el código es voluntario, las obligaciones que lo respaldan no lo son.

A partir del 2 de agosto de 2026, los proveedores de sistemas de IA generativa deberán incorporar mecanismos para identificar contenido generado artificialmente mediante formatos legibles por máquinas. Además, quienes utilicen estas herramientas deberán etiquetar deepfakes, informar cuando los usuarios interactúan con chatbots y revelar determinados contenidos generados por IA relacionados con asuntos de interés público.

Qué exige exactamente la normativa

Las nuevas obligaciones se apoyan principalmente en el Artículo 50 del AI Act y buscan reducir los riesgos de engaño, manipulación y desinformación.

En términos prácticos, la normativa apunta a:

• Incorporar marcas o metadatos detectables en contenidos generados por IA.

• Etiquetar imágenes, videos o audios manipulados mediante deepfakes.

• Informar a los usuarios cuando interactúan con sistemas conversacionales.

• Identificar ciertos textos generados por IA vinculados a temas de interés público.

La Comisión Europea sostiene que estas medidas permitirán preservar la integridad del ecosistema informativo y ayudarán a los ciudadanos a distinguir contenido auténtico de contenido sintético.

El problema: Europa regula un mercado que no lidera

La medida llega en un momento incómodo para el bloque.

Mientras empresas como OpenAI, Anthropic, Google DeepMind o xAI compiten por desarrollar modelos cada vez más potentes, Europa sigue sin contar con actores equivalentes capaces de disputar el liderazgo global en IA de frontera.

Esto ha alimentado una crítica recurrente dentro de la industria tecnológica: Bruselas parece avanzar más rápido en regulación que en innovación.

Para muchos emprendedores y desarrolladores, la Unión Europea corre el riesgo de convertirse en una potencia normativa que define reglas para tecnologías creadas principalmente fuera de sus fronteras.

No es una discusión nueva. Lo mismo ocurrió con el GDPR, que terminó influyendo en prácticas globales de privacidad pese a haber sido concebido desde Europa.

¿Puede una regulación así funcionar?

Los desafíos técnicos tampoco son menores.

Diversos investigadores han señalado que el etiquetado persistente de contenido generado por IA no es trivial. Los sistemas de watermarking pueden perderse cuando el contenido se modifica, se reescribe o pasa por múltiples plataformas. Además, en flujos de trabajo donde humanos e IA colaboran constantemente, determinar qué porcentaje de un contenido debe considerarse “generado por IA” puede convertirse en una zona gris difícil de gestionar.

Incluso dentro de comunidades técnicas existe incertidumbre sobre cómo se implementarán algunos requisitos y qué tan agresiva será su fiscalización inicial.

Más que una regulación sobre IA

La discusión trasciende el etiquetado de imágenes o textos.

En el fondo, la Unión Europea está intentando definir las reglas de confianza para una era donde distinguir entre contenido humano y sintético será cada vez más difícil.

La pregunta es si esa estrategia permitirá construir un ecosistema digital más seguro o si terminará ampliando la brecha entre quienes desarrollan la tecnología y quienes intentan regularla.

Mientras Estados Unidos compite por el liderazgo comercial y China apuesta por la escala industrial, Europa parece apostar a algo diferente: convertirse en la autoridad que define cómo debe funcionar la inteligencia artificial en el resto del mundo.

La efectividad de esa apuesta recién comenzará a ponerse a prueba cuando las nuevas obligaciones entren en vigor en agosto de 2026.

El problema no es una nueva vulnerabilidad de Fortinet: son credenciales comprometidas que siguen dando acceso a firewalls y VPN en todo el mundo.

La historia de FortiBleed sigue evolucionando y cada nueva actualización deja una conclusión inquietante: muchas empresas siguen tratando el incidente como si fuera un simple problema de contraseñas cuando, en realidad, podría tratarse de una intrusión ya consumada.

Según las investigaciones publicadas por SOCRadar, Hudson Rock y otros analistas, los atacantes lograron reunir credenciales válidas de decenas de miles de dispositivos Fortinet expuestos a Internet. Las estimaciones varían según la fuente, pero el volumen es enorme: entre 30.000 y más de 80.000 dispositivos comprometidos distribuidos en 194 países.

No es una vulnerabilidad nueva

Uno de los aspectos más llamativos de FortiBleed es que no existe un nuevo CVE asociado al incidente.

Fortinet, CISA y múltiples investigadores coinciden en que la campaña se basa principalmente en credenciales filtradas previamente, contraseñas reutilizadas, cuentas que nunca fueron rotadas y ataques automatizados de fuerza bruta contra dispositivos accesibles desde Internet.

En otras palabras: los atacantes no están explotando una falla desconocida. Están aprovechando errores de higiene de seguridad acumulados durante años.

El verdadero peligro: una campaña que se alimenta sola

Lo que convierte a FortiBleed en algo particularmente preocupante no es solamente la cantidad de dispositivos afectados.

Los investigadores describen un mecanismo de compromiso “autoalimentado”. Una vez que los atacantes obtienen acceso a un firewall o gateway VPN, utilizan el dispositivo como punto de observación para capturar nuevas credenciales que circulan por el tráfico de red. Esas credenciales luego son reutilizadas para comprometer más organizaciones.

El resultado es un ciclo de expansión continua:

1. Se prueban credenciales filtradas.

2. Se comprometen dispositivos accesibles.

3. Se recolectan nuevas credenciales.

4. Se utilizan esas credenciales para atacar nuevos objetivos.

Cada nuevo acceso puede convertirse en combustible para la siguiente etapa de la campaña.

Muchas víctimas siguen apareciendo

La actualización publicada por investigadores y analistas indica que numerosas organizaciones identificadas en los conjuntos de datos continúan sin tomar medidas suficientes.

El problema es que muchas respuestas iniciales se limitan a cambiar una contraseña o actualizar firmware. Sin embargo, si los atacantes ya tuvieron acceso administrativo al firewall, la situación es mucho más compleja.

Expertos advierten que las organizaciones afectadas deberían asumir un posible compromiso previo y revisar:

• accesos administrativos;

• configuraciones modificadas;

• cuentas creadas recientemente;

• actividad VPN sospechosa;

• movimientos laterales hacia Active Directory u otros sistemas críticos.

Por ese motivo, varios organismos gubernamentales y equipos de respuesta a incidentes están recomendando tratar FortiBleed como un incidente potencial de compromiso completo y no simplemente como una filtración de contraseñas.

Lo que recomienda CISA

La agencia estadounidense CISA publicó una alerta específica para organizaciones que utilizan equipos Fortinet.

Entre las medidas recomendadas se encuentran:

• cerrar todas las sesiones administrativas activas;

• rotar inmediatamente credenciales VPN y administrativas;

• habilitar MFA resistente al phishing;

• revisar registros de autenticación y actividad sospechosa;

• retirar interfaces de administración de Internet pública siempre que sea posible.

Una lección incómoda para la industria

FortiBleed deja una enseñanza que va más allá de Fortinet.

Durante años la industria ha centrado gran parte de la conversación en vulnerabilidades críticas, exploits de día cero y campañas sofisticadas. Sin embargo, esta operación demuestra que un atacante puede obtener resultados masivos utilizando algo mucho más simple: credenciales robadas y configuraciones inseguras.

La campaña también pone de relieve un problema recurrente en la infraestructura digital global: la dependencia de dispositivos perimetrales que permanecen expuestos durante años con credenciales heredadas, configuraciones antiguas y controles insuficientes.

En muchos casos, el eslabón más débil no es el software. Es la gestión operativa de la seguridad.

Y FortiBleed parece estar explotando precisamente eso.

El incidente obligó a las autoridades a desconectar temporalmente la plataforma nacional mientras la Policía Federal investiga el posible ataque.

Durante la madrugada del 20 de junio, millones de brasileños fueron despertados abruptamente por una alerta de emergencia que sonó incluso en teléfonos configurados en modo silencioso. El mensaje, identificado como una supuesta “Alerta Extrema” de Defensa Civil, contenía únicamente la palabra “misantropi4”, una variante en lenguaje leetspeak de “misantropía”. Autoridades brasileñas confirmaron posteriormente que la notificación era falsa y que no había sido emitida por canales oficiales.

El incidente afectó a usuarios en múltiples estados, incluyendo São Paulo, Río de Janeiro, Paraná, Brasilia y otras regiones del país. Según funcionarios del gobierno, se registraron al menos diez alertas no autorizadas distribuidas a través de la infraestructura nacional de notificaciones de emergencia.

Un ataque contra infraestructura crítica

Tras detectar la actividad anómala, la Secretaría Nacional de Protección y Defensa Civil decidió desconectar la plataforma de alertas mientras se investigaba el origen del incidente. La Agencia Nacional de Telecomunicaciones (Anatel) y la Policía Federal brasileña participan en la investigación para determinar cómo se produjo el acceso no autorizado.

Las autoridades describieron el hecho como una probable intrusión remota contra una infraestructura considerada crítica para la protección de la población. Aunque todavía no se ha divulgado el vector de acceso utilizado por los atacantes, el caso demuestra que incluso sistemas diseñados específicamente para gestionar emergencias nacionales pueden convertirse en objetivos atractivos.

Cuando una falsa alarma también es un problema de seguridad

A diferencia de muchos incidentes de ciberseguridad que se enfocan en el robo de datos o la interrupción de servicios, este caso afecta directamente la confianza pública.

Los sistemas de alerta temprana existen para advertir sobre inundaciones, tormentas severas, deslizamientos, incendios u otras situaciones que requieren una reacción inmediata de la población. Si los ciudadanos comienzan a percibir estas notificaciones como potencialmente falsas o manipuladas, la efectividad del sistema puede verse comprometida precisamente cuando más se necesita.

No es la primera vez que ocurre algo similar. En distintos países se han registrado incidentes donde sistemas de alerta pública fueron manipulados para emitir mensajes falsos, desde supuestas invasiones hasta escenarios ficticios de “apocalipsis zombie”. Sin embargo, la escala nacional del caso brasileño lo convierte en uno de los episodios más relevantes de los últimos años.

Más allá de la broma

Por el momento no hay información pública sobre la identidad de los responsables ni sobre sus motivaciones. El mensaje enviado no contenía exigencias, propaganda ni contenido político evidente, lo que ha generado especulación sobre si se trató de una demostración de acceso, una acción de vandalismo digital o una prueba deliberada de capacidades.

Lo que sí quedó claro es que la seguridad de los sistemas de alerta pública se ha convertido en una cuestión de ciberseguridad nacional. Cuando una notificación puede interrumpir millones de dispositivos y generar alarma en plena madrugada, cualquier vulnerabilidad deja de ser un problema técnico para transformarse en un asunto de confianza pública e infraestructura crítica.

Pese a que tribunales habían limitado previamente ese tipo de intercambio de información.

La relación entre vigilancia, datos comerciales y control migratorio en Estados Unidos suma un nuevo capítulo. Según una investigación de 404 Media, el Servicio de Inmigración y Control de Aduanas de Estados Unidos (ICE) habría contratado acceso a información vinculada a números de identificación fiscal utilizados por inmigrantes mediante un corredor privado de datos, una práctica que podría permitirle obtener información similar a la que tribunales le prohibieron recibir directamente del IRS.

Los documentos de contratación revisados por el medio muestran un contrato cercano a los 10 millones de dólares firmado con la empresa Thundercat Technology LLC para proporcionar suscripciones y capacidades analíticas relacionadas con ITINs (Individual Taxpayer Identification Numbers), los números fiscales que utilizan personas que no pueden obtener un número de Seguridad Social, incluidos muchos inmigrantes indocumentados que pagan impuestos en Estados Unidos.

El contexto: tribunales bloquearon el acceso directo

Durante los últimos años, ICE intentó obtener acceso a bases de datos fiscales administradas por el IRS para apoyar operaciones migratorias. Sin embargo, distintos tribunales bloquearon esos mecanismos de intercambio de información, argumentando preocupaciones legales y riesgos de identificación errónea de contribuyentes.

La controversia surge porque el nuevo contrato parecería permitir a la agencia acceder a datos equivalentes, pero a través del mercado privado de datos en lugar de obtenerlos directamente desde organismos gubernamentales. Según el senador estadounidense Ron Wyden, la operación podría interpretarse como una forma de eludir tanto restricciones judiciales como protecciones de privacidad existentes.

Por el momento no está claro qué información exacta incluye la suscripción contratada: podría abarcar únicamente identificadores fiscales o también datos asociados como nombres, direcciones u otros registros vinculados.

El negocio invisible de los corredores de datos

Más allá del caso migratorio, la noticia vuelve a poner el foco sobre una industria poco visible pero extremadamente influyente: los data brokers.

Estas empresas recopilan, agregan y comercializan enormes volúmenes de información personal obtenida de fuentes públicas, comerciales y digitales. En muchos casos, los datos terminan siendo utilizados por agencias gubernamentales sin necesidad de órdenes judiciales ni procesos tradicionales de obtención de evidencia.

La práctica es conocida por algunos especialistas como data broker loophole (la “laguna legal de los corredores de datos”): si una agencia no puede obtener determinada información directamente por restricciones legales o constitucionales, puede simplemente comprarla a una empresa privada que ya la posee.

Una tendencia que va mucho más allá de los impuestos

La adquisición de datos fiscales no es un hecho aislado.

Investigaciones recientes revelaron que organismos del Departamento de Seguridad Nacional estadounidense han comprado información de ubicación obtenida a través del ecosistema publicitario digital, datos de servicios públicos e incluso registros comerciales utilizados para alimentar plataformas de análisis e identificación de objetivos.

El patrón es cada vez más evidente: las capacidades de vigilancia ya no dependen únicamente de bases de datos gubernamentales. El mercado privado de información se ha convertido en una fuente estratégica para organismos de seguridad, inteligencia y control migratorio.

La discusión de fondo: privacidad y soberanía de los datos

El caso vuelve a plantear una pregunta incómoda para gobiernos y ciudadanos de todo el mundo: ¿qué significa realmente proteger la privacidad cuando enormes volúmenes de información personal circulan libremente entre empresas privadas?

Aunque el debate actual se concentra en Estados Unidos y las políticas migratorias, el fenómeno tiene alcance global. La existencia de mercados donde datos personales pueden comprarse, combinarse y reutilizarse plantea desafíos crecientes para la privacidad, la transparencia estatal y el control efectivo sobre la información de millones de personas.

En un escenario donde los datos se han convertido en infraestructura crítica, la pregunta ya no es únicamente quién los recopila, sino quién termina comprándolos.

Según el investigador, bastó con registrarse como agente de fútbol para obtener acceso a sistemas internos de FIFA.

La organización de un Mundial depende de una enorme infraestructura tecnológica que opera detrás de cámaras. Transmisiones televisivas, estadísticas en tiempo real, información para comentaristas, análisis de partidos y coordinación operativa forman parte de un ecosistema digital que debe funcionar sin errores.

Sin embargo, un investigador de seguridad conocido como BobDaHacker asegura haber descubierto una vulnerabilidad que puso en riesgo parte de esa infraestructura durante el Mundial de 2026. Según su reporte, una falla de control de acceso le permitió ingresar a múltiples plataformas internas de FIFA utilizando únicamente una cuenta creada a través del sistema público de registro para agentes de fútbol.

El problema no era la autenticación, sino la autorización

De acuerdo con la investigación, el acceso comenzaba en la plataforma pública para agentes de FIFA. Una vez completado el registro, la cuenta quedaba integrada dentro del entorno corporativo de identidad basado en Microsoft Entra ID.

El sistema aparentemente verificaba correctamente que el usuario no tuviera permisos para acceder a determinadas aplicaciones. Sin embargo, esa validación ocurría principalmente del lado del cliente.

En otras palabras, las aplicaciones mostraban mensajes de “acceso denegado”, pero los servidores seguían respondiendo solicitudes y entregando información sensible sin verificar adecuadamente los permisos asociados a la cuenta.

Este tipo de error es uno de los problemas clásicos de seguridad web: confiar en controles implementados en la interfaz en lugar de aplicar validaciones obligatorias en el backend.

Acceso a sistemas de transmisión del Mundial

Lo más llamativo del hallazgo fue el supuesto acceso a una plataforma de gestión de streaming utilizada para administrar transmisiones del Mundial.

Según el investigador, desde allí era posible visualizar partidos, cámaras disponibles, direcciones de transmisión y controles operativos asociados a los flujos de video. También afirma que tuvo acceso a enlaces de monitoreo que permitían observar transmisiones en vivo de encuentros del torneo.

El reporte sostiene además que la plataforma incluía funciones para iniciar, detener o programar transmisiones, aunque el investigador asegura que no ejecutó ninguna acción sobre sistemas en producción.

La situación generó especial preocupación porque, en teoría, una alteración de estos flujos podría haber afectado la cadena de distribución de video utilizada por broadcasters internacionales.

Datos de partidos, comentaristas y estadísticas

El acceso no se habría limitado a los sistemas de transmisión.

El investigador afirma haber ingresado también a plataformas utilizadas para estadísticas en vivo, análisis de partidos y herramientas destinadas a comentaristas deportivos. Entre la información disponible figuraban alineaciones, métricas de rendimiento, datos editoriales y contenido utilizado durante las transmisiones oficiales.

Más preocupante aún, algunas funciones aparentemente permitían modificar información relacionada con encuentros en curso, incluyendo estadísticas y datos operativos utilizados por sistemas de difusión.

Aunque no existen indicios de que la vulnerabilidad haya sido explotada con fines maliciosos, el escenario ilustra cómo un problema aparentemente simple puede generar consecuencias globales cuando afecta plataformas utilizadas por miles de millones de espectadores.

Una divulgación complicada

Otro aspecto destacado del caso fue la dificultad para reportar el hallazgo.

Según el investigador, FIFA no contaba con un programa público de recompensas por vulnerabilidades, una política formal de divulgación responsable ni un archivo security.txt que indicara claramente cómo contactar al equipo de seguridad.

Ante la falta de respuesta, asegura haber intentado comunicarse con múltiples áreas de FIFA, además de contactar a proveedores involucrados en la infraestructura tecnológica y organismos estadounidenses relacionados con la protección del evento.

La vulnerabilidad habría sido corregida pocas horas después del reporte inicial, aunque FIFA no emitió declaraciones públicas detalladas sobre el incidente al momento de publicarse la investigación.

Cuando el problema es arquitectónico

Más allá de FIFA, el caso deja una lección relevante para cualquier organización.

La autenticación moderna es cada vez más robusta. Las empresas invierten en identidad federada, autenticación multifactor y controles avanzados de acceso. Sin embargo, una vez que un usuario logra autenticarse, la seguridad depende de que cada aplicación valide correctamente qué está autorizado a hacer.

Cuando esa validación falla, un usuario legítimo puede transformarse involuntariamente en un atacante.

Y en sistemas que administran eventos globales, infraestructura de medios o servicios críticos, un simple error de autorización puede escalar rápidamente desde un problema técnico hasta una crisis internacional de reputación.

Porque a veces no hace falta vulnerar una red.

Basta con iniciar sesión.