Los resultados debían llegar a la Casa Blanca sin informar al fabricante. Empleados de CISA temieron que la operación pudiera utilizarse para interferir políticamente en las elecciones.
Funcionarios designados políticamente en el Departamento de Seguridad Nacional de Estados Unidos (DHS) solicitaron a la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) que consiguiera secretamente una máquina de votación electrónica, intentara comprometer su seguridad y entregara los resultados a la Casa Blanca.
La solicitud, realizada durante los primeros meses del segundo mandato de Donald Trump, incluía una condición particularmente controvertida: si los investigadores descubrían vulnerabilidades, no debían comunicárselas al fabricante del equipo.
La información fue publicada el 19 de octubre de 2026 por ProPublica, a partir de los testimonios de dos exfuncionarios de la administración estadounidense que conocían la solicitud.
Según la investigación, los empleados de carrera de CISA consideraron que la propuesta se apartaba de las prácticas habituales de la agencia y expresaron preocupación por la posibilidad de que sus capacidades técnicas fueran utilizadas con fines políticos.
Una operación que rompía con los procedimientos habituales
CISA es la agencia federal estadounidense encargada de proteger infraestructuras críticas, incluidos los sistemas que sostienen los procesos electorales.
Entre sus responsabilidades se encuentran identificar vulnerabilidades, coordinar su divulgación y colaborar con fabricantes y operadores para reducir los riesgos de seguridad.
En ese contexto, analizar técnicamente una máquina de votación no constituye, por sí mismo, una actividad irregular. Las evaluaciones de seguridad, las pruebas de penetración y las investigaciones sobre vulnerabilidades son herramientas habituales para fortalecer la protección de estos sistemas.
Lo que distinguía esta solicitud era el carácter secreto de la operación, el destino de los resultados y la instrucción de no informar al fabricante.
De acuerdo con ProPublica, los funcionarios políticos pretendían que CISA obtuviera el dispositivo, investigara sus debilidades y transmitiera los hallazgos para que llegaran a la Casa Blanca.
El fabricante, mientras tanto, permanecería sin conocimiento de cualquier problema identificado.
Esta condición resulta especialmente significativa desde una perspectiva de ciberseguridad. Cuando una organización descubre una vulnerabilidad en un producto, una práctica habitual es coordinar su divulgación con el fabricante para permitir que desarrolle correcciones antes de que la información pueda ser aprovechada por terceros.
Mantener deliberadamente una vulnerabilidad sin corregir puede prolongar la exposición de los sistemas afectados.
El temor a una posible interferencia electoral
Según uno de los exfuncionarios entrevistados por ProPublica, los empleados de CISA interpretaron la solicitud como una posible utilización política de las capacidades de investigación de la agencia.
La preocupación era que las vulnerabilidades descubiertas pudieran conservarse y utilizarse posteriormente para cuestionar resultados electorales.
Uno de los antiguos funcionarios expresó al medio su temor de que los hallazgos fueran reservados para intentar invalidar resultados desfavorables.
Sin embargo, es importante distinguir entre la preocupación expresada por los empleados y los hechos comprobados.
La investigación no demuestra que existiera un plan concreto para manipular votos, alterar resultados o utilizar vulnerabilidades para invalidar una elección. Lo que documenta, mediante testimonios de exfuncionarios, es una solicitud que despertó esas sospechas entre los profesionales encargados de proteger la infraestructura electoral.
Tampoco se ha presentado públicamente evidencia de que la operación llegara a ejecutarse.
La operación no avanzó: los especialistas habían sido despedidos
Uno de los aspectos más llamativos del episodio es la razón por la que la iniciativa terminó abandonándose.
Según ProPublica, los empleados de CISA explicaron reiteradamente a los funcionarios políticos que no podían realizar la operación.
Entre los obstáculos mencionaron que los especialistas con las capacidades necesarias para llevar adelante una investigación de esas características habían sido despedidos durante los recortes impulsados por el Departamento de Eficiencia Gubernamental (DOGE), asociado a Elon Musk.
Finalmente, los funcionarios dejaron de insistir.
El episodio expone una contradicción dentro de la política federal estadounidense: mientras determinados funcionarios pretendían utilizar capacidades avanzadas de investigación de vulnerabilidades, la propia administración había reducido los equipos técnicos que podían realizar ese trabajo.
La situación también forma parte de un proceso más amplio de debilitamiento institucional de CISA descrito por ProPublica, que incluye recortes de personal y dificultades en la coordinación con autoridades electorales estatales.
CISA y el conflicto por la seguridad de las elecciones
La relación entre Donald Trump y CISA arrastra tensiones desde las elecciones presidenciales de 2020.
Después de aquellos comicios, la agencia participó en una declaración conjunta que describía las elecciones como las más seguras de la historia estadounidense.
Trump, que cuestionaba los resultados de su derrota frente a Joe Biden, despidió posteriormente al entonces director de CISA, Christopher Krebs.
Desde entonces, la seguridad electoral se convirtió en un asunto de creciente confrontación política.
Durante su segundo mandato, Trump también impulsó medidas relacionadas con la integridad de los sistemas electorales.
En marzo de 2025, una orden ejecutiva estableció, entre otras disposiciones, que las autoridades federales debían evaluar la seguridad de los sistemas electrónicos utilizados para registrar votantes, emitir sufragios y contabilizar resultados, dentro de los límites de la legislación aplicable.
Esa disposición proporciona un contexto relevante: evaluar la seguridad de los sistemas electorales puede formar parte de las funciones legítimas del gobierno federal.
La controversia revelada por ProPublica no reside en la evaluación técnica, sino en las condiciones bajo las cuales se habría solicitado realizarla y en el uso que podría darse a sus resultados.
Cuando una vulnerabilidad se convierte en un instrumento político
El caso plantea una cuestión que trasciende la seguridad de las máquinas de votación: quién controla la información sobre las vulnerabilidades de una infraestructura crítica y con qué propósito.
En ciberseguridad existe una diferencia fundamental entre descubrir una vulnerabilidad para corregirla y conservar su conocimiento para aprovecharlo posteriormente.
Los gobiernos enfrentan ese dilema en diferentes ámbitos, especialmente cuando las agencias de inteligencia descubren fallas que podrían resultar útiles para operaciones ofensivas.
En el caso de la infraestructura electoral, las consecuencias potenciales son particularmente delicadas.
Una vulnerabilidad real puede representar un riesgo técnico que debe corregirse. Pero también puede convertirse en un argumento político si se presenta fuera de contexto o se utiliza para sugerir que un resultado electoral fue manipulado sin evidencia suficiente.
La existencia de una vulnerabilidad no demuestra que haya sido explotada, del mismo modo que la posibilidad técnica de alterar un sistema no demuestra que una elección haya sido manipulada.
Esa distinción es esencial para interpretar correctamente cualquier investigación sobre seguridad electoral.
Un hallazgo técnico necesita contexto: qué componente está afectado, cuáles son las condiciones necesarias para explotarlo, qué controles adicionales existen y si hay evidencia de una explotación efectiva.
Sin esa información, una vulnerabilidad puede terminar funcionando más como una herramienta narrativa que como un indicador real del estado de seguridad de una elección.
La confianza electoral también depende de la transparencia
Las infraestructuras electorales tienen una particularidad frente a otros sistemas críticos: no alcanza con que funcionen correctamente. También deben ofrecer garantías verificables que permitan confiar en sus resultados.
Por eso, los mecanismos de auditoría, la supervisión independiente y la divulgación responsable de vulnerabilidades cumplen un papel central.
Cuando los hallazgos de seguridad quedan restringidos a determinados actores políticos, sin mecanismos claros de comunicación y corrección, aparece un problema adicional al riesgo técnico: la posibilidad de que la información sea utilizada de manera selectiva.
La investigación de ProPublica no establece que esa utilización se haya producido. De hecho, según los testimonios publicados, la operación solicitada nunca llegó a concretarse.
Pero el episodio revela una tensión relevante entre las funciones técnicas de una agencia de ciberseguridad y las prioridades políticas de quienes ejercen autoridad sobre ella.
A medida que las elecciones dependen de sistemas digitales cada vez más complejos, proteger su integridad requiere algo más que identificar vulnerabilidades.
También exige preservar la independencia de los procesos de evaluación, establecer mecanismos transparentes de divulgación y evitar que la información técnica se convierta en un recurso reservado para disputas políticas.
Porque en materia de seguridad electoral, tan importante como proteger los sistemas es garantizar que las investigaciones sobre su seguridad puedan ser verificadas y no utilizadas fuera de contexto.