El aeropuerto, la enmienda y lo que el consulado se vio obligado a decir
A las 4 de la tarde, hora de Hong Kong, del 23 de marzo de 2026, la Oficina de Seguridad de la ciudad publicó en la gaceta oficial una enmienda de tres páginas a las Normas de Aplicación del artículo 43 de la Ley de Seguridad Nacional. El texto es sobrio. Faculta a la policía que investiga un "specified offence endangering national security" —un delito determinado que pone en peligro la seguridad nacional— para notificar un requerimiento a "any person reasonably suspected to be capable of" desbloquear un dispositivo electrónico —toda persona de la que quepa sospechar razonablemente que es capaz de hacerlo— y para obligar a esa persona a facilitar la contraseña del dispositivo, el método de descifrado u "other necessary assistance", cualquier otra asistencia necesaria. La negativa se castiga con hasta un año de cárcel y una multa de 100.000 dólares de Hong Kong. Facilitar una contraseña falsa o engañosa acarrea tres años y 500.000 dólares de Hong Kong. Los periodistas, médicos y abogados que conocen la contraseña de un dispositivo por razón de su profesión no están exentos.
Tres días después, el 26 de marzo, el Consulado General de Estados Unidos en Hong Kong y Macao emitió una Security Alert al amparo del programa STEP advirtiendo de que la ley se aplica a «todo el mundo en Hong Kong, incluidos quienes llegan y quienes están meramente en tránsito por el Aeropuerto Internacional de Hong Kong». Una escala de tres horas es jurisdiccionalmente indistinguible de la residencia. Pekín convocó a la cónsul general Julie Eadeh el 29 de marzo para denunciar la alerta como «injerencia en los asuntos internos de China». El secretario de Seguridad de Hong Kong, Chris Tang, dijo que la exigencia de una orden del magistrado impide que la policía reclame contraseñas «en plena calle». La Cámara de Comercio Estadounidense en Hong Kong dijo a sus miembros, en la práctica, que se organizasen en consecuencia.
La enmienda convirtió a Hong Kong en la primera jurisdicción importante del mundo cuya norma de descifrado forzoso es, por reconocimiento de su propio gobierno, exigible contra cualquiera que se encuentre físicamente dentro del perímetro del aeropuerto. Y el párrafo de la gaceta es coherente con una tendencia más silenciosa visible en otros lugares: una tendencia que dice que la contraseña que guardas en la cabeza se ha convertido en la prueba más valiosa de cualquier investigación.
La industria de 475 millones de dólares que lee tu teléfono para ganarse la vida
El 31 de marzo de 2026, una firma israelo-estadounidense llamada Cellebrite celebró en Washington D. C. su cumbre anual de usuarios C2C y anunció su versión de primavera de 2026. La actualización cierra el único agujero que quedaba en la matriz de capacidades de Cellebrite: iOS 26 y la serie iPhone 17 ya pueden ser extraídos por el mismo Universal Forensic Extraction Device que usan los 7.000 clientes policiales, de inteligencia y de defensa que Cellebrite tiene en más de 100 países. Los resultados del cuarto trimestre de 2025 de la propia Cellebrite, publicados el 11 de febrero, mostraron unos ingresos de 128,8 millones de dólares en el trimestre y de 475,7 millones en el año, un 19 por ciento más. Los ingresos recurrentes anuales superaron los 480,8 millones de dólares. La empresa cerró el 1 de diciembre de 2025 su adquisición de Corellium por 200 millones de dólares, la firma de Florida especializada en virtualización de iPhone, como parte de un giro estratégico que se aleja de la explotación en el propio dispositivo y se acerca a los clones virtuales de teléfonos incautados.
Sabemos lo buena que es Cellebrite porque, en febrero de 2025, un representante compartió por accidente la matriz de compatibilidad de la versión 7.73.1 durante una demostración comercial por Microsoft Teams con un cliente potencial. El cliente la guardó. Privacy Guides la replicó. El foro de GrapheneOS la conservó en caché. El documento es lo más parecido a una divulgación de capacidades del adversario que ha producido nunca el mercado de la informática forense. Casi todos los dispositivos Android que no son Pixel ni Samsung figuran como desbloqueables. Un Pixel 9 de fábrica en estado Before-First-Unlock (BFU: cualquier teléfono que no se haya desbloqueado desde que arrancó): "no access", sin acceso. iOS 17.4 y posteriores: "no access", el agujero que Cellebrite acaba de cerrar con la versión de primavera de 2026. Y una fila aparece en la columna de "no access" para todos los estados y todas las antigüedades: los Pixel con GrapheneOS desde finales de 2022 en adelante.
El negocio de la extracción no es teórico. Entre enero y junio de 2025, el Citizen Lab confirmó forensemente el uso de Cellebrite en tres iPhone y un Android pertenecientes a miembros de la sociedad civil jordana detenidos durante las protestas de solidaridad con Gaza; el informe del 22 de enero de 2026 "From Protest to Peril" dice que el laboratorio tiene conocimiento de «decenas más» de casos y que Jordania es cliente de Cellebrite desde 2020 como mínimo. En febrero de 2026, el Citizen Lab publicó "Not Safe for Politics", una confirmación forense de que se usó Cellebrite contra el teléfono Samsung del político opositor keniano Boniface Mwangi durante su detención de julio de 2025. En el caso de Serbia documentado por el Security Lab de Amnistía en febrero de 2025, operadores de Cellebrite emplearon una cadena USB de día cero de tres CVE —CVE-2024-53104, CVE-2024-53197 y CVE-2024-50302— para atacar los controladores del núcleo de Linux de USB Video Class, audio USB y dispositivos HID. La cadena de exploits se desplegó contra un Samsung Galaxy A32 perteneciente a un estudiante activista el 25 de diciembre de 2024. El seguimiento de Amnistía demostró que se usó después de que se hubiera informado a Cellebrite de los abusos serbios. Cellebrite suspendió su producto en Serbia el 25 de febrero de 2025. No lo ha suspendido en ningún otro país.
Los tres días cero se parchearon en el boletín de seguridad de Android de febrero de 2025. A marzo de 2025, más del 40 por ciento de los dispositivos Android seguían sin parchear por culpa de los ciclos fragmentados de actualización de los fabricantes. Ese desfase —entre el momento en que se publica un arreglo y el momento en que llega a los teléfonos reales— es el margen operativo de la industria de la extracción.
Una fractura global que atraviesa la Quinta Enmienda
Hong Kong es la jurisdicción coercitiva más reciente en un panorama global que lleva casi una década reorganizándose en torno al descifrado forzoso. El Reino Unido tiene en vigor la Parte III, sección 49 de la Regulation of Investigatory Powers Act desde 2007. Negarse a entregar una clave de cifrado cuando se ha notificado un requerimiento acarrea hasta dos años de cárcel; cinco años en un caso de seguridad nacional o de protección de menores. El Reino Unido la ha usado de verdad: Stephen Nicholson recibió catorce meses en 2018 por negarse a dar su contraseña de Facebook durante la investigación del asesinato de Lucy McHugh; un adolescente llamado Oliver Drage fue condenado a dieciséis semanas en 2010 por negarse a dar una contraseña de 50 caracteres. En Francia, el artículo 434-15-2 del Código Penal, reforzado por la ley del 3 de junio de 2016, castiga la negativa a revelar un «convenio de descifrado» con tres años de prisión y 270.000 €, que ascienden a cinco años y 450.000 € si la cooperación habría evitado un delito. La Cour de cassation francesa resolvió el 7 de noviembre de 2022 que el código de la pantalla de bloqueo de un teléfono sí cuenta como «clave de descifrado», poniendo fin a años de contradicción entre tribunales inferiores. Hay un recurso pendiente ante el Tribunal Europeo de Derechos Humanos, Minteh v. France.
La ley australiana de 2018 de reforma de las telecomunicaciones y otras normas (Assistance and Access), conocida como «TOLA», dirige la compulsión contra los operadores y los fabricantes de dispositivos y no contra los sospechosos individuales, pero amenaza con sanciones de 10 millones de dólares australianos por incumplimiento, y las cifras de uso anexas a los informes anuales de la ASIO están censuradas. El artículo 18(7) de la Ley de Delitos Informáticos de Tailandia permite órdenes judiciales de descifrado contra los proveedores y se combina con el tipo de lesa majestad del artículo 112; una condena dictada en enero de 2024 en Chiang Rai fue de cincuenta años. Bélgica permite la compulsión contra terceros, pero no contra los sospechosos ni sus familias, preservando una excepción de nemo tenetur. Los Países Bajos retiraron un proyecto de ley de compulsión propuesto en 2015 porque se consideró incompatible con ese mismo principio.
Del lado protector, el TEDH fijó la referencia europea en Podchasov v. Russia el 13 de febrero de 2024. La Sección Quinta sostuvo por unanimidad que una exigencia legal de descifrar comunicaciones cifradas de extremo a extremo —en el caso, la exigencia rusa de julio de 2017 contra los usuarios de Telegram— es desproporcionada conforme al artículo 8 del Convenio y «no puede considerarse necesaria en una sociedad democrática». La sentencia vincula a 46 Estados del Consejo de Europa, incluido el Reino Unido tras el Brexit. Privacy International y Liberty la están usando en su recurso pendiente ante el Investigatory Powers Tribunal contra la Technical Capability Notice secreta que el Reino Unido notificó a Apple, la orden que obligó a Apple a retirar la Protección de Datos Avanzada a los usuarios británicos el 21 de febrero de 2025. Según se ha informado, el Reino Unido retiró en agosto de 2025 la exigencia de una puerta trasera mundial, notificó después una orden más estrecha en octubre de 2025 y nunca restauró la Protección de Datos Avanzada para los nuevos usuarios británicos.
La Strafprozessordnung alemana protege al sospechoso frente a la obligación de entregar una clave de cifrado. Pero el 8 de abril de 2024, el Bundesgerichtshof dictaminó que la policía puede presionar por la fuerza el dedo de un sospechoso contra el sensor de un teléfono, razonando que usar un dedo como «llave natural» es «mera tolerancia» de una diligencia de investigación, no autoinculpación activa. El Tribunal Superior de Delhi fue en la dirección contraria en Sanket Bhadresh Modi v. CBI: el juez Saurabh Banerjee sostuvo que los investigadores no pueden obligar a un acusado a revelar la contraseña de un dispositivo porque hacerlo vulneraría el artículo 20(3) de la Constitución y la sección 161(2) del Código de Procedimiento Penal. El tribunal observó, en una frase célebre, que la acusación no puede esperar que un acusado "sing in a tune which is music to their ears" —que cante una melodía que sea música para sus oídos—. El Tribunal Superior de Karnataka fue en sentido opuesto en 2021. El Tribunal Supremo de la India no ha resuelto la discrepancia.
En Estados Unidos, la respuesta depende de dónde vivas. El Tribunal Supremo de Pensilvania sostuvo en Commonwealth v. Davis (2019) que obligar a revelar la contraseña de un ordenador vulnera la Quinta Enmienda porque exige revelar los contenidos de la mente, y rechazó el atajo del gobierno basado en la doctrina de la "foregone conclusion", la conclusión anticipada. El Tribunal Supremo de Utah resolvió en el mismo sentido por unanimidad en State v. Valdez en 2023, y Utah presentó en 2024 una petición de certiorari ante el Tribunal Supremo que no ha sido admitida. Nueva Jersey fue en la dirección contraria en State v. Andrews (2020), aceptando la excepción de la "foregone conclusion" porque la fiscalía había demostrado que el código existía y que el acusado manejaba el teléfono. La discrepancia entre circuitos sigue sin resolverse y el Tribunal Supremo ha declinado todas las ocasiones de conocer del asunto.
El voto particular del juez John Paul Stevens en Doe v. United States (1988) —la distinción entre «la combinación de la caja fuerte y la llave»— sigue siendo el marco central de todos los casos modernos sobre contraseñas. Una llave existe en el mundo físico; una combinación existe en la mente. La pregunta de 2026 es si la distinción sobrevivirá a otro año de desbloqueo biométrico, escaneo facial y herramientas forenses que fingen que les da igual una cosa que otra.
Cincuenta y cinco mil registros y ninguna orden judicial
Dentro de Estados Unidos, la cifra de la Oficina de Aduanas y Protección Fronteriza para el año fiscal 2025 es de 55.318 registros de dispositivos electrónicos de viajeros, un 17,6 por ciento más que el año anterior. El noventa y dos por ciento fueron registros "basic" —básicos—: un agente en una sala secundaria pasando páginas del teléfono a mano. El ocho por ciento fueron "advanced" —avanzados—: el teléfono conectado a un terminal de extracción Cellebrite o Graykey y volcado por completo. Los registros avanzados se duplicaron. La CBP conserva todo lo que extrae durante quince años conforme a su política permanente. Ninguno de estos registros exigió una orden judicial; ninguno exigió sospecha razonable salvo que el viajero fuera ciudadano estadounidense, y aun así solo en los circuitos Noveno y Cuarto.
La textura humana de esos 55.318 es lo que importa. Rasha Alawieh, especialista en trasplante renal en Brown con visado H-1B, fue rechazada en el aeropuerto Logan de Boston en marzo de 2025; la CBP borró fotos de su teléfono antes de devolverla a Beirut. Alistair Kitchen, memorialista australiano que viajaba con una ESTA en agosto de 2025, fue señalado en el aeropuerto de Los Ángeles, recibió una nota que le pedía la contraseña del teléfono y quedó retenido durante horas mientras los agentes registraban su dispositivo en busca de su trabajo periodístico sobre la acampada de protesta de la Universidad de Columbia. «Por lo que puedo saber, había sido de las primeras personas a las que se les cancelaba la ESTA sin aviso previo» por cosas escritas en internet, contaría después Kitchen al Guardian. Un año antes, el Tribunal de Apelación de Ontario, en Canadá, había sostenido en R. v. Pike que la sección 99(1)(a) de la Ley de Aduanas canadiense es inconstitucional en su aplicación a los registros de dispositivos electrónicos sin orden judicial, e impuso un umbral mínimo de "reasonable grounds to suspect", motivos razonables para sospechar. Estados Unidos no tiene una resolución equivalente. Un recurrente de Chicago pidió al Tribunal Supremo en diciembre de 2024 que resolviera la cuestión. Sin admisión a trámite.
El 10 de abril de 2026 entró en funcionamiento el Sistema de Entradas y Salidas de la Unión Europea, una base de datos biométrica que, a partir de este otoño, tomará las huellas dactilares de solicitantes de asilo de seis años en su primer contacto con el espacio Schengen. Esa huella se convierte en la llave de todo lo que venga después. Es difícil imaginar un régimen de descifrado forzoso con menos fricción que aquel en el que la clave de descifrado es una parte del cuerpo que no puedes dejarte en casa.
El truco de la base de datos de notificaciones
El 9 de abril de 2026, el agente especial del Buró Federal de Investigaciones Clark Wiethorn declaró en el procedimiento penal federal contra Lynette Sharp y otros por el ataque del 4 de julio de 2025 al centro de detención de inmigración de Prairieland, en Alvarado (Texas). En el estrado, Wiethorn describió el análisis forense que su equipo había realizado sobre un iPhone incautado a uno de los acusados. Según la información de 9to5Mac, Wiethorn declaró que su equipo pudo recuperar fragmentos de mensajes de Signal del dispositivo incluso después de que Signal hubiera sido desinstalada.
El mecanismo es un componente del sistema iOS llamado base de datos de notificaciones. Cada notificación push que muestra iOS —incluida la vista previa en pantalla de bloqueo de un mensaje de Signal— queda registrada en una base de datos persistente del sistema. Esa base de datos no forma parte del sandbox de Signal. Desinstalar Signal no la toca. Solo los mensajes entrantes son recuperables; solo aquellos con vistas previas en pantalla de bloqueo activadas; solo la parte que efectivamente apareció en el texto de la notificación. Pero la potencia analítica de esa base de datos con fines forenses es considerable: sobrevive al borrado que el usuario cree que ha limpiado el dispositivo, y es legible por cualquier herramienta de la clase de Cellebrite con acceso AFU.
El testimonio sobre la base de datos de notificaciones ilustra con elegancia el problema de fondo. Puedes cifrar el cable. Puedes cifrar la copia de seguridad en la nube. Puedes instalar un mensajero seguro cuyo servidor literalmente no tiene contenido de mensajes que entregar. Y entonces un servicio del sistema en tu propio teléfono guarda una copia en claro del texto de la vista previa por razones que no tienen nada que ver con la seguridad y todo que ver con el diseño del producto. La única defensa es desactivar las vistas previas en pantalla de bloqueo para todas las aplicaciones sensibles: un ajuste que la mayoría de los usuarios nunca encontrará.
El único sistema operativo que la industria de la extracción no puede tocar
La filtración de la matriz de Cellebrite de febrero de 2025 no es sutil. Casi todos los Android de las columnas de "supported" —compatibles— son extraíbles. Casi todos los iPhone hasta iOS 17.3 son extraíbles. Todo lo cubierto por la versión de primavera de 2026 es ahora extraíble. Y en la columna de "no access", junto a unas pocas configuraciones concretas de Pixel en BFU, está toda la familia GrapheneOS. El motivo, explicado por la propia GrapheneOS, es un endurecimiento por capas que ataca exactamente los fallos de los que dependen las herramientas de extracción. Un asignador de memoria endurecido que cierra las cadenas de exploits basadas en el heap. Restricciones de periféricos USB con el dispositivo bloqueado, que cierran los vectores UVC, audio y HID usados contra Serbia. Un temporizador de reinicio automático que devuelve el dispositivo al estado Before-First-Unlock tras un periodo de inactividad configurable: en BFU las claves de descifrado no están en la RAM, y el cifrado de disco completo está intacto.
El proyecto publicó la compilación 2026032000 el 20 de marzo de 2026 con soporte experimental para el Pixel 10a. Su base de usuarios se estima en unos 400.000 dispositivos, o alrededor de uno de cada 25 usuarios de Pixel. En el MWC 2026, a finales de febrero, GrapheneOS confirmó una alianza con Motorola Mobility, el primer hardware no Pixel en la historia del proyecto, con envíos previstos para el cuarto trimestre de 2026 o principios de 2027. CalyxOS está en pausa. El mercado del teléfono de privacidad, en la medida en que exista, se está consolidando.
La función más elegante que ofrece GrapheneOS es el Duress PIN, el PIN de coacción. Configuras un segundo código de desbloqueo. Cuando se teclea en cualquier lugar donde el sistema acepte autenticación —la pantalla de bloqueo, un aviso de las opciones de desarrollador, cualquier desafío de autenticación por aplicación—, dispara en silencio un restablecimiento de fábrica irreversible que borra todas las claves de cifrado más la partición eSIM. No hace falta reiniciar. No puede interrumpirse. No puede deshacerse. Los abogados de libertades civiles creen, aunque ningún tribunal lo ha resuelto, que un caso francés del 19 de noviembre de 2025 —Bilel— tuvo que ver exactamente con esta función. El teléfono del sospechoso se restableció misteriosamente mientras estaba siendo volcado. El equipo técnico de Amnistía rastreó el patrón del restablecimiento hasta GrapheneOS. El Duress PIN es la respuesta técnica más limpia que existe en el mundo a las leyes de descifrado forzoso. Es también, al amparo de la sección 49 de la RIPA, de las normas de Hong Kong del 23 de marzo, del 434-15-2 francés y de todas las normas equivalentes a la TOLA, un acto potencialmente delictivo de obstrucción.
Tails 7.6 se publicó el 26 de marzo de 2026: la rama Debian 13/GNOME 48 del sistema operativo en vivo y amnésico del Tor Project. Su función estrella es la obtención automática de puentes Tor a través de la API Moat con domain fronting, de modo que una red censurada ve un intercambio HTTPS corriente con una CDN popular en lugar de una petición explícita de puente. Qubes OS 4.3.0 se publicó el 21 de diciembre de 2025 con Whonix 18, desechables precargados para acelerar el arranque de máquinas virtuales y una nueva API de dispositivos. VeraCrypt 1.26.18 (enero de 2025) sigue ofreciendo volúmenes ocultos con negación plausible, aunque ningún tribunal de ninguna jurisdicción ha puesto a prueba la negación plausible de VeraCrypt bajo presión de descifrado forzoso, y los mejores ataques académicos sí demuestran que se puede revelar la existencia de un sistema operativo oculto. Ninguno de estos es un producto de consumo. Todos ellos son el instrumental de trabajo de cualquiera que se haya parado a pensar de verdad qué significa que «la contraseña es la orden judicial».
El secreto memorizado
Todo régimen de descifrado forzoso del mundo —coercitivo y protector por igual— tiene que responder a una única pregunta filosófica: ¿tiene el Estado derecho a obligar a una persona a extraer conocimiento de su propia mente y entregarlo en manos de un investigador? El BGH alemán dijo en 2024 que no a las contraseñas y que sí a las huellas dactilares. Los tribunales de Pensilvania, Utah y Delhi dijeron que no a las contraseñas. La enmienda de Hong Kong dice que sí, siempre que un magistrado haya dictado antes una orden. Francia y el Reino Unido dicen que sí sin demasiada ceremonia. La sentencia Podchasov dice que no en Europa, en términos absolutos. Y la Quinta Enmienda en Estados Unidos dice que no, salvo en Nueva Jersey, y solo cuando el fiscal está dispuesto a litigar hasta arriba en un circuito que el Tribunal Supremo estadounidense lleva seis años negándose a unificar.
Lo que queda, dentro de todas esas respuestas, es la distinción que trazó el juez Stevens hace casi cuarenta años. Una llave existe en el mundo físico. Una combinación existe solo en la mente. Una huella dactilar es una llave: se te puede obligar a entregarla. Una contraseña es una combinación: el Estado tendría que meter la mano en tu cabeza para llevársela. Cada desbloqueo biométrico es una ratificación silenciosa de la teoría de la biometría como llave. Cada contraseña es un pequeño ensayo del argumento más antiguo de que algunas cosas que sabes son expresión protegida hasta el momento en que eliges decirlas.
En 2026, las respuestas a esas preguntas no son abstractas. Son parámetros operativos para los aeropuertos, para quien conduce hacia Canadá, para los investigadores que presentan ponencias en congresos en Hong Kong, para los periodistas que aterrizan en Los Ángeles, para los médicos que pasan por el Logan de Boston y para cualquiera que guarde, en su teléfono, la prueba rastreable de lo que piensa, a quién quiere y para quién trabaja. La matriz de Cellebrite es una lista de la compra. La enmienda de Hong Kong es un ejemplo en funcionamiento. La base de datos de notificaciones de Prairieland es un recordatorio de que la superficie de exposición es mayor que la aplicación que desinstalaste. La Quinta Enmienda y sus análogos globales son la membrana frágil entre tú y una hoja de cálculo de tu propia memoria.
Hay una versión de la próxima década en la que el cifrado, como cuestión técnica, está casi perfectamente resuelto —Signal Secure Backups, la Protección de Datos Avanzada, la migración a cifrados poscuánticos, toda la cosecha de mejoras en mensajería segura de 2025— y el régimen jurídico del descifrado forzoso lo rodea entero tratando la contraseña que llevas en la cabeza como un documento que estás obligado a entregar. La única contraseña que no puede ser arrancada es la que el Estado no puede encontrar. El único dispositivo que no puede ser volcado es el que está debidamente cifrado y en estado Before-First-Unlock y ejecutando un sistema operativo por el que la industria de la extracción todavía no se ha comprado el paso y llevado únicamente a lugares donde la ley no trata tu silencio como un delito.
Esa lista solía ser larga. Se está acortando.
Para seguir leyendo
- Enmienda de 2026 a las Normas de Aplicación del artículo 43 de la Ley de Seguridad Nacional de Hong Kong, gaceta oficial y cobertura de Hong Kong Free Press (23 de marzo de 2026).
- Security Alert del programa STEP del Consulado de Estados Unidos en Hong Kong, hk.usconsulate.gov/security-alert-2026032601 (26 de marzo de 2026).
- Citizen Lab, "From Protest to Peril: Cellebrite Used Against Jordanian Civil Society" (22 de enero de 2026) y "Not Safe for Politics" (febrero de 2026).
- Amnesty Security Lab, "Cellebrite zero-day exploit used to target phone of Serbian student activist" (febrero de 2025).
- Privacy Guides, "Updated Cellebrite Google Pixel Matrix Leak February 2025".
- TEDH, Podchasov v. Russia — resumen de la EFF.
- EFF, "Forensic Extraction Tools", Street Level Surveillance.
- Commonwealth v. Davis, Pa. 2019; State v. Valdez, Utah 2023.
- GrapheneOS: funciones y versiones.
- Tails 7.6, notas de la versión, y Qubes OS 4.3.0, anuncio.
- 9to5Mac, "FBI used iPhone notification data to retrieve deleted Signal messages" (9 de abril de 2026).
URnetwork está construyendo la capa de cifrado de toda la internet entre tú y la red pública. ur.io.