3 de abril: el día en que el dinero se detuvo
A las 9:14 de la mañana, hora de Moscú, del 3 de abril de 2026, la aplicación móvil de Sberbank empezó a devolver códigos de error a sus 107 millones de usuarios activos. En noventa minutos, VTB, Alfa-Bank, T-Bank y Gazprombank habían seguido el mismo camino. Los cajeros automáticos de todo Moscú mostraron errores de conexión en cirílico y se apagaron. Los pagos con tarjeta sin contacto en supermercados, farmacias y restaurantes fallaron simultáneamente. Se formaron colas en los comercios que todavía aceptaban efectivo. El metro de Moscú, incapaz de repente de procesar el cobro de los billetes, abrió sus torniquetes y dejó viajar gratis a los pasajeros.
Durante aproximadamente seis horas, la infraestructura bancaria de Rusia —el sistema circulatorio de la undécima economía del mundo— estuvo funcionalmente fuera de servicio. El Kremlin lo achacó a un «incidente técnico». El portavoz Dmitri Peskov descartó cualquier relación con la campaña contra las VPN. Los bancos se culparon entre sí. Pero al final del día, los ingenieros de telecomunicaciones de los principales proveedores de internet rusos habían identificado la causa real: lo habían hecho los propios equipos de censura del Gobierno.
El Centro Técnico para Amenazas de Internet, conocido por su acrónimo ruso TSPU, opera hardware de inspección profunda de paquetes instalado en todos los puntos de intercambio de internet y en todos los ISP importantes de la Federación Rusa. Su propósito, impuesto por la ley del «internet soberano» de 2019, es analizar el tráfico de internet en tiempo real y bloquear los contenidos que el Estado considere inaceptables. Desde principios de 2026, el objetivo prioritario del TSPU ha sido el tráfico VPN.
El problema es técnico, y cualquier ingeniero de redes podría haberlo previsto: los protocolos VPN modernos —WireGuard, VLESS y otros— envuelven su tráfico en cifrado TLS, el mismo cifrado que protege las transacciones bancarias, los historiales médicos y las comunicaciones corporativas. Los handshakes de TLS 1.3 y los de los protocolos VPN modernos comparten estructuras idénticas en sus paquetes iniciales. A velocidad de línea, a lo largo de cientos de terabits por segundo, la distinción matemática entre un túnel VPN y una transferencia bancaria no existe. Cuando los sistemas DPI del TSPU intentaron identificar y bloquear los handshakes VPN el 3 de abril, no pudieron distinguirlos de forma fiable de las conexiones TLS de las que dependen Sberbank, VTB y todos los demás bancos rusos. Los filtros atraparon ambos. Los bancos se cayeron.
La arquitectura de la autodestrucción
La campaña rusa de inspección profunda de paquetes no es nueva, pero su escala en 2026 no tiene precedentes. Según documentos de contratación pública revisados por medios rusos independientes y confirmados por fuentes de la industria de las telecomunicaciones, Roskomnadzor —el regulador ruso de las telecomunicaciones— ha ampliado la capacidad de filtrado del TSPU hasta 954 terabits por segundo, a un coste aproximado de 186 millones de dólares. Todos los paquetes de datos que cruzan las fronteras de Rusia o se mueven entre sus grandes redes pasan ahora por equipos estatales de inspección.
El sistema se diseñó para hacer lo que hace el Gran Cortafuegos de China: bloquear selectivamente los contenidos indeseables dejando intacto el tráfico comercial de internet. Pero China dedicó dos décadas y miles de millones incalculables a construir su infraestructura de filtrado, entrenar sus algoritmos y desarrollar un ecosistema de internet doméstico capaz de funcionar detrás del muro. Rusia intenta lograr el mismo resultado en cuestión de meses, con equipos que carecen de la sofisticación necesaria para distinguir una transacción bancaria de un túnel VPN.
La caída del 3 de abril fue el fallo más espectacular, pero no fue el primero. En las semanas anteriores, rusos de todo el país habían informado de fallos intermitentes en aplicaciones bancarias, servicios de transporte con conductor y plataformas de reparto. El patrón era constante: los servicios que dependían de conexiones cifradas a infraestructura en la nube —es decir, prácticamente todos los servicios digitales modernos— sufrían un rendimiento degradado cada vez que se actualizaban las reglas de filtrado del TSPU. La caída en sí se produjo, en parte, porque las reglas de filtrado del TSPU se actualizaron para dar soporte a nuevos requisitos de recolección de la vigilancia SORM, y las nuevas reglas no se probaron lo suficiente frente a patrones de tráfico legítimo.
Hasta la fecha, Roskomnadzor ha bloqueado 469 servicios VPN, y 761 aplicaciones VPN han sido retiradas de la App Store de Apple a petición del regulador: Apple declaró que cumplir era necesario o «ya no podría seguir operando una App Store» en Rusia. La campaña ha ido acompañada de la construcción de un sistema DNS nacional que, desde febrero de 2026, ya no resuelve YouTube, Facebook, WhatsApp ni medios de comunicación extranjeros. Internet en Rusia se está reconstruyendo como un jardín amurallado, y los muros no dejan de caer sobre lo que hay dentro.
«65 millones de rusos siguen usando Telegram»
Pavel Durov, el fundador de Telegram que fue detenido en Francia en agosto de 2024 y posteriormente puesto en libertad, fue una de las primeras voces destacadas en relacionar la caída bancaria con la campaña contra las VPN. En una publicación en Telegram del 3 de abril escribió que 65 millones de rusos siguen usando Telegram a diario a través de conexiones VPN, una cifra que, de ser exacta, representa casi la mitad de la población del país conectada a internet.
La declaración de Durov tuvo un peso particular porque iluminaba la futilidad de la campaña de bloqueo. Telegram, que el Gobierno ruso intentó bloquear sin éxito entre 2018 y 2020, sigue siendo la plataforma de mensajería dominante del país. Desde principios de abril de 2026, Telegram ha dejado de funcionar sin VPN después de que Roskomnadzor intensificara las restricciones el 10 de febrero, alegando «incumplimiento». El FSB ha abierto una causa penal contra Durov por «colaboración con el terrorismo». WhatsApp ha seguido una trayectoria paralela: llamadas de voz bloqueadas en agosto de 2025, restricción total en las regiones del sur en octubre, limitación de velocidad en todo el país hasta finales de 2025. Meta está catalogada como «organización extremista» desde 2022.
La ofensiva contra las VPN debía cortar por fin el acceso a los servicios que el Estado no controla. En cambio, demostró que decenas de millones de rusos ya han aprendido a esquivar la censura, y que bloquear el tráfico VPN significa bloquearles el acceso a todo, incluidas sus cuentas bancarias.
Max: la alternativa insegura del Estado
El sustituto que propone el Gobierno es Max, una aplicación de mensajería respaldada por el Estado que se lanzó tras el decreto presidencial de Putin de junio de 2025 y que viene preinstalada en todos los teléfonos y tabletas vendidos en Rusia desde septiembre de 2025.
Max no es opcional. En diciembre de 2025, la Duma Estatal obligó a los administradores de fincas fuera de Moscú a usar Max para comunicarse con los residentes. Se ha amenazado a estudiantes y escolares por no instalarla. Está previsto que la aplicación gestione los SMS de notificación bancaria y los códigos de confirmación, lo que significa que la seguridad financiera de los rusos pasaría por un software que controla el Estado.
El 11 de abril de 2026, una auditoría de seguridad publicada en Habr, el mayor foro tecnológico de Rusia, identificó 213 vulnerabilidades en el código de Max, extraídas de 288 informes aceptados de recompensas por fallos. La vulnerabilidad más frecuente era el acceso no autorizado mediante sustitución de identificadores de objeto: un atacante podía acceder a mensajes, chats o cuentas de usuario arbitrarios manipulando los ID. Por separado, el análisis de la versión para Android encontró que Max sondea la accesibilidad de los dominios de Telegram, WhatsApp, Odnoklassniki, Google y Gosuslugi, detecta el estado de la VPN y envía datos de tráfico a servidores de terceros. Un módulo de detección de VPN va incrustado en la propia aplicación, diseñado para señalar a los usuarios que acceden a Max mediante herramientas de elusión.
El ejército ruso, según información del medio independiente Meduza, evaluó Max para las comunicaciones internas en febrero de 2026 y la rechazó por insegura: las unidades que combaten en Ucrania recibieron instrucciones explícitas de no usarla. Altos cargos del Gobierno habrían optado por llevar teléfonos «limpios» aparte: uno de uso oficial con Max y otro para comunicarse de verdad.
El Estado está forzando a 146 millones de personas a usar una plataforma de mensajería que su propio ejército no toca.
El coste humano de romper internet
La caída bancaria fue el acontecimiento de portada, pero la realidad cotidiana de la ofensiva rusa contra internet se mide en interrupciones más pequeñas y más persistentes.
En el centro de Moscú, el servicio de internet móvil estuvo cortado durante tres semanas consecutivas en marzo y principios de abril por orden directa del departamento técnico y de investigación del FSB, un régimen de cortes codificado en febrero de 2026, cuando la Duma Estatal aprobó un proyecto de ley que convertía las «solicitudes» del FSB de apagones móviles en «exigencias». En Rostov del Don, las redes móviles se apagan todos los días a las 4 de la tarde. En Briansk, cerca de la frontera ucraniana, tantos comercios han dejado de aceptar pagos con tarjeta que la economía local ha vuelto en parte al efectivo. En Krasnodar, un usuario contó que se quedó tirado a 10 kilómetros de su casa y tuvo que caminar toda la noche después de que se cayera la red. Los cortes se extienden a Omsk, Tiumén y Arjánguelsk, regiones muy alejadas de cualquier frente.
Las adaptaciones humanas son reveladoras. Los taxistas de Moscú han identificado «spawn points», puntos de aparición: ubicaciones cercanas a puntos de acceso Wi-Fi públicos donde las aplicaciones de transporte con conductor logran conectarse a los servidores el tiempo justo para recibir órdenes de servicio. La gente describe el miedo a caminar sola de noche sin teléfonos que funcionen. Soldados que vuelven del frente con estrés postraumático se encuentran con que no pueden llamar a los teléfonos de ayuda durante los cortes. Al parecer han aumentado las ventas de mapas de papel e incluso de buscapersonas. En abril, los operadores móviles bloquearon las recargas de Apple ID con cargo al saldo telefónico, cerrando otra vía alternativa.
El ultimátum del 6 de abril
El 6 de abril, el Gobierno ruso subió la apuesta. El ministro Shadayev convocó reuniones con los operadores de telecomunicaciones y con más de veinte empresas de internet. Se lanzó un ultimátum: bloqueen a los usuarios que acceden a los servicios mediante VPN, o aténganse a las consecuencias. Se distribuyó a los ISP y a las grandes plataformas de internet un manual de detección de VPN en tres fases.
El proceso de detección del manual es metódico. Fase uno: cotejar las direcciones IP de los usuarios con bases de datos de direcciones rusas y de direcciones en listas negras. Fase dos: usar la API ConnectivityManager de Android para detectar conexiones VPN a nivel de aplicación. Fase tres: extender la detección a los sistemas operativos de escritorio. El manual reconocía, en un detalle que se filtró casi de inmediato, que detectar el uso de VPN en los iPhone plantea limitaciones técnicas particulares —«iOS restringe significativamente el acceso a los ajustes del sistema», afirma el documento— y que la arquitectura de aislamiento (sandboxing) de Apple impide la detección de VPN a nivel de aplicación que sí funciona en Android. Las VPN configuradas en el router se describían como «difíciles o imposibles» de detectar. Son admisiones infrecuentes de los límites del control estatal.
El cumplimiento ya ha empezado. A 5 de abril, los usuarios informaban de que Wildberries (la mayor plataforma de comercio electrónico de Rusia), Yandex, VK y Mail.ru no abrían con una VPN activada: las fichas de producto y las imágenes no cargan. Sberbank, Ozon, Avito y X5 figuran entre las empresas a las que se ha ordenado cumplir. El incumplimiento acarrea la pérdida de la acreditación como empresa de TI y la exclusión de la lista blanca gubernamental. Una propuesta legislativa impondría multas de unos 300 dólares a particulares y de 7.000 dólares a entidades sorprendidas usando herramientas de elusión no autorizadas. A partir del 1 de mayo, las telecos cobrarán por el tráfico móvil internacional que supere los 15 gigabytes al mes.
Sigue el rastro de la vigilancia
La caída bancaria reveló algo que va más allá de la incompetencia técnica. Dejó al descubierto la arquitectura profunda del sistema ruso de control de internet: uno en el que censura y vigilancia no son funciones separadas, sino un único aparato integrado.
El TSPU no se limita a bloquear tráfico. A través de su integración con SORM —el sistema ruso de interceptación legal, análogo a la infraestructura estadounidense de escuchas que destapó Edward Snowden, pero mucho más amplio—, alimenta al FSB con metadatos de tráfico y, en muchos casos, con contenido, en tiempo real.
Más inquietante todavía: tras la caída, el FSB empezó a exigir a los bancos que instalaran equipos de vigilancia SORM en sus redes internas como condición para ser incluidos en una «lista blanca» de 57 sitios y servicios «socialmente significativos» exentos del filtrado DPI más agresivo. La lista blanca incluye medios estatales, VK, Max y —significativamente— los propios bancos. Pero la inclusión es condicional. Los bancos que se niegan a instalar el hardware de vigilancia quedan excluidos, y sus servicios sujetos a la misma interrupción por DPI que los tumbó el 3 de abril.
El mensaje no es sutil: el precio de que tu banco funcione es que el FSB tenga acceso a tu historial financiero. También se está sometiendo a los ISP: en marzo de 2026, varios proveedores de internet fueron condenados y multados por permitir el acceso a YouTube sin los registros de filtrado del TSPU en regla.
La economía del control
El daño financiero de la caída del 3 de abril, por sí solo, se ha estimado en unos 12,5 millones de dólares diarios en Moscú, a partir de los volúmenes de transacciones comunicados y de las reclamaciones de pérdidas de los comercios. Los pagos con tarjeta, el comercio minorista, los taxis, el metro y los servicios de mensajería quedaron todos devastados. Extrapolado al conjunto de la economía rusa, economistas independientes han estimado unas pérdidas totales superiores a los 1.000 millones de dólares si se tiene en cuenta el impacto acumulado de semanas de servicio de internet degradado, cortes de la red móvil y la campaña de bloqueo de VPN en curso.
Estas cifras son necesariamente imprecisas —el Gobierno ruso no publica evaluaciones del impacto económico de sus propias políticas de censura—, pero son coherentes con los precedentes históricos. Cuando Irán apagó su internet durante once días en las protestas de 2019, el coste económico estimado superó los 1.500 millones de dólares. Las interrupciones rusas han sido menos totales pero mucho más prolongadas, y afectan a una economía aproximadamente cuatro veces mayor.
Los costes no se reparten por igual. Las grandes empresas vinculadas al Estado, con infraestructura de red dedicada y con estatus de lista blanca, sufren una interrupción mínima. Las pequeñas empresas, los autónomos y cualquiera que dependa de servicios de internet internacionales cargan con el peso. La ofensiva funciona, intencionadamente o no, como una transferencia económica del sector privado al sector próximo al Estado.
Las protestas y la presión
Los rusos no lo están aceptando en silencio. Desde finales de febrero de 2026, activistas de Moscú a Vladivostok organizan concentraciones. El 29 de marzo, la policía detuvo al menos a 14 personas en Moscú y a 5 en otras ciudades en protestas contra las restricciones de internet. Las autoridades prohibieron las protestas en más de 40 ciudades.
Boris Nadezhdin, político liberal que ganó notoriedad nacional durante su intento de candidatura presidencial en 2024, declaró públicamente: «Esto enfurece a un enorme número de personas». Los organizadores anunciaron planes de concentraciones mayores el 12 de abril, coincidiendo con el Día de la Cosmonáutica, una festividad que celebra el vuelo espacial de Yuri Gagarin y que arrastra connotaciones de logro tecnológico y orgullo nacional. Nadezhdin explicitó la conexión: «La cosmonáutica es imposible sin ciencia... el progreso es imposible sin conectividad». El simbolismo es afilado: un país que una vez lideró el mundo en tecnología está ahora rompiendo su propio internet.
Las protestas siguen siendo pequeñas para los estándares históricos, y la capacidad represiva del Estado sigue siendo formidable. Pero la ofensiva contra las VPN ha creado una dinámica política inusual: afecta no solo a activistas de la oposición y a periodistas, acostumbrados al acoso estatal, sino a rusos corrientes que intentan pagar la compra, pedir un taxi y consultar el saldo de su cuenta. La ofensiva ha hecho tangible la censura de un modo que bloquear un sitio de noticias nunca podría.
Un patrón global
La situación de Rusia es extrema, pero no es única. Es la manifestación más espectacular de un patrón visible por igual en las democracias y en las autocracias del mundo: gobiernos que descubren que controlar internet significa romperlo, y que siguen adelante de todos modos.
En Suecia, el Riksdag estudia una legislación que obligaría a los servicios de mensajería a almacenar las comunicaciones y a entregarlas a las fuerzas del orden, mientras que las Fuerzas Armadas suecas han adoptado la posición contraria. El general de brigada Mattias Hanson, director de sistemas de información de las Fuerzas Armadas, dispuso que las comunicaciones no clasificadas «se realicen, en la medida de lo posible, mediante la aplicación Signal». El ejército sueco está recomendando exactamente la herramienta que el legislador sueco se plantea ilegalizar. La presidenta de Signal, Meredith Whittaker, ha declarado que la empresa abandonará tanto Suecia como el Reino Unido antes que comprometer su cifrado: «No vamos a dar marcha atrás».
El Reino Unido ya ha hecho sangre. Al amparo de la Investigatory Powers Act, el Home Office notificó a Apple un requerimiento de capacidad que exigía acceso a los datos de iCloud en todo el mundo. La respuesta de Apple, en febrero de 2025, fue desactivar su función de cifrado Advanced Data Protection para todos los usuarios británicos antes que construir una puerta trasera. Casi catorce meses después, no se ha restaurado. El National Security Technology Centre británico ha publicado una guía que sugiere que desarrollar aplicaciones como Signal podría constituir "hostile activity" —actividad hostil— al amparo de la legislación antiterrorista, clasificando el desarrollo de herramientas de privacidad como una posible amenaza para la seguridad nacional.
Francia y Bélgica han plantado cara. La Asamblea Nacional francesa rechazó una enmienda de puerta trasera al cifrado en marzo de 2025. Bélgica descartó por completo su propia ley de puertas traseras. Pero son victorias defensivas en un panorama ofensivo.
En el plano de la UE, el patrón toma otra forma. El 3 de abril —el mismo día en que se cayeron los bancos rusos— expiró la autorización legal europea que permitía a las tecnológicas escanear mensajes privados, después de que el Parlamento Europeo votara en contra de renovarla por 311 votos frente a 228. Google, Meta, Microsoft y Snap respondieron comprometiéndose a seguir escaneando de forma voluntaria, potencialmente vulnerando la garantía de confidencialidad de las comunicaciones de la Directiva de privacidad electrónica. La autorización murió; la vigilancia continuó. La posición de las empresas fue inequívoca: el Parlamento Europeo podía votar lo que quisiera, pero ellas seguirían leyendo los mensajes de la gente. Las negociaciones a tres bandas sobre el reglamento sucesor, el CSAR, se reanudan el 4 de mayo.
Y luego está la ironía que desafía a la sátira. En marzo de 2026, la Administración Trump lanzó una aplicación oficial de noticias de la Casa Blanca en la que investigadores de seguridad encontraron un SDK de Huawei Mobile Services: código de la empresa china de telecomunicaciones que el propio Gobierno estadounidense incluyó en la Entity List, prohibió en las redes federales y se gastó 1.900 millones de dólares en retirar de la infraestructura de telecomunicaciones estadounidense. El manifiesto de privacidad de la aplicación declaraba cero recopilación de datos mientras en realidad recolectaba direcciones IP, ubicación GPS, identificadores de dispositivo y analítica de comportamiento. No se realizó ninguna auditoría de CISA. El Gobierno que advierte a sus ciudadanos sobre la vigilancia china distribuyó código de vigilancia chino en su propio software.
La realidad técnica es la misma en todos estos casos: no hay forma de construir una puerta trasera que solo puedan usar los buenos, no hay forma de romper el cifrado que solo se rompa para las personas adecuadas, y no hay forma de filtrar el tráfico VPN que no filtre también las transacciones bancarias, los historiales médicos y las comunicaciones empresariales que viajan por los mismos canales cifrados.
Cómo es la defensa
Para los 65 millones de rusos que siguen usando VPN a diario —y para los cientos de millones de personas en todo el mundo que dependen de las comunicaciones cifradas para su seguridad, su medio de vida o simplemente su capacidad de participar en la vida moderna—, la lección del 3 de abril es que la infraestructura centralizada es un punto único de fallo, tanto si el fallo es técnico como si es político.
Los servicios VPN tradicionales, que enrutan el tráfico a través de servidores identificables operados por empresas identificables, son cada vez más vulnerables al bloqueo estatal. Rusia ha demostrado que un gobierno suficientemente motivado puede identificar y bloquear cientos de servicios VPN. Irán, China y Myanmar han demostrado lo mismo.
La próxima generación de defensas opera con principios distintos, y en 2026 estas herramientas están madurando rápidamente.
La red Tor, que enruta el tráfico a través de una red descentralizada de repetidores operados por voluntarios, ha resultado más resistente al bloqueo, pero sufre limitaciones de rendimiento que la hacen poco práctica para el uso cotidiano: no puedes hacer funcionar una aplicación bancaria o una videollamada a través de Tor.
Las redes VPN descentralizadas como URnetwork cubren ese hueco. En lugar de enrutar el tráfico a través de centros de datos comerciales, URnetwork lo distribuye entre miles de nodos residenciales. Cada participante es a la vez usuario y repetidor. No hay servidores que bloquear, ni empresas a las que obligar, ni ningún punto único donde un sistema DPI pueda distinguir el tráfico de elusión de la navegación ordinaria. Cuando la red son los propios usuarios, bloquearla significa bloquear internet.
En el plano del dispositivo, GrapheneOS —un sistema operativo móvil endurecido— demostró su valor cuando unos documentos filtrados de Cellebrite confirmaron, en febrero de 2025, que los Pixel con GrapheneOS son inaccesibles para la herramienta de extracción forense más usada del mundo. No «difíciles»: inaccesibles. La función de reinicio automático del sistema operativo devuelve los dispositivos incautados a un estado "Before First Unlock" —antes del primer desbloqueo—, en el que las claves de cifrado no están en memoria, lo que derrota el enfoque forense habitual. En el Mobile World Congress 2026, Motorola anunció una asociación para distribuir GrapheneOS en hardware que no es Pixel a partir de 2027, la primera vez que un gran fabricante se compromete con un sistema operativo que pone la privacidad por delante. Hoy funcionan con GrapheneOS unos 400.000 dispositivos. Esa cifra está a punto de cambiar.
Estas herramientas —redes descentralizadas, sistemas operativos endurecidos, cifrado de extremo a extremo que sus desarrolladores apagarán antes que comprometer— no son respuestas teóricas a amenazas teóricas. Son la respuesta operativa a lo que ocurrió en Rusia el 3 de abril, a lo que está ocurriendo en el Reino Unido y en Suecia, a lo que las corporaciones hacen en la UE desafiando votaciones parlamentarias y a lo que intentan los gobiernos de todo el mundo. Funcionan porque están diseñadas en torno a un principio que ningún gobierno ha conseguido todavía legislar hasta hacerlo desaparecer: que la privacidad no es una prestación que se pueda quitar de internet, porque la privacidad es el mecanismo mediante el cual internet funciona.
La lección
La caída bancaria del 3 de abril de 2026 será recordada probablemente como un punto de inflexión, no porque cambiara la política rusa (la ofensiva no ha hecho más que acelerarse desde entonces), sino porque demostró, en términos que hasta un observador no técnico podía entender, el pacto fundamental al que se enfrentan los gobiernos cuando intentan controlar las comunicaciones cifradas.
El mismo cifrado que oculta un túnel VPN oculta una transferencia bancaria. La misma ofuscación de protocolo que permite a un periodista llegar a un medio extranjero permite a una pasarela de pagos llegar a una cámara de compensación. Cuando rompes uno, rompes el otro. Esto no es un defecto de diseño. Es cómo funciona la tecnología. Es cómo funcionan las matemáticas.
Rusia decidió romperlo igualmente. Los bancos se cayeron. Los cajeros se apagaron. El metro viajó gratis. Y 65 millones de rusos siguieron usando sus VPN.
La cuestión no es si otros gobiernos se enfrentarán a esta misma disyuntiva. Ya lo están haciendo. La cuestión es si aprenderán de la respuesta rusa o la repetirán.
Fuentes: publicaciones de Pavel Durov en Telegram (3 de abril de 2026); auditoría de seguridad del mensajero Max publicada en Habr (11 de abril de 2026); expedientes de contratación pública de Roskomnadzor; información de medios rusos independientes (Meduza, The Bell, iStories, Zona.media); fuentes de la industria rusa de telecomunicaciones; estimaciones de impacto económico de economistas rusos independientes; informes de detenciones en protestas de OVD-Info; declaraciones de la Signal Foundation; correspondencia oficial de las Fuerzas Armadas suecas; UK Online Safety Act Section 121; expedientes regulatorios de Ofcom; registros de votación del Parlamento Europeo (26 de marzo de 2026); auditoría de la aplicación de la Casa Blanca por Sam Bent / Exodus Privacy; matriz interna de compatibilidad de Cellebrite (filtrada en febrero de 2025); anuncio de la asociación Motorola-GrapheneOS en el MWC 2026.