17 de febrero: dentro de la escucha
El 17 de febrero de 2026, los analistas de seguridad de redes del Buró Federal de Investigaciones detectaron actividad anómala en un sistema llamado DCS-3000, conocido internamente como Red Hook. Es un componente no clasificado de la Digital Collection System Network, la plataforma centralizada del FBI para gestionar las escuchas autorizadas judicialmente y las órdenes de vigilancia dictadas al amparo de la Foreign Intelligence Surveillance Act a través de los operadores de telecomunicaciones estadounidenses. Red Hook maneja datos de registro de llamadas y de rastreo: los números de teléfono a los que llama la gente, la información de enrutamiento que revela dónde se originan y terminan las llamadas, las marcas de tiempo que muestran cuándo se producen las comunicaciones y las identidades de las personas bajo investigación federal activa.
Alguien que no debía estar allí estaba dentro.
La intrusión se clasificó como "major incident" —incidente grave— al amparo de la Federal Information Security Modernization Act, una de las categorías más serias disponibles en el marco federal de ciberseguridad, reservada a las brechas que comprometen sistemas de seguridad nacional o la información de identificación personal de más de 100.000 individuos. El FBI lo notificó al Congreso. La atribución, cuando llegó, no sorprendió a nadie que hubiera estado prestando atención: Salt Typhoon, un grupo de ciberespionaje vinculado al Ministerio de Seguridad del Estado de China.
Lo que Salt Typhoon consultó no era una colección aleatoria de datos. Era el mapa operativo de la vigilancia estadounidense: un catálogo de a quién vigila el FBI, a quién llaman esos objetivos y cómo están estructuradas las investigaciones del buró. Para un adversario en materia de inteligencia, esta es de las informaciones más valiosas que se pueden poseer. Te dice no solo lo que tu adversario sabe, sino lo que está intentando averiguar. Si eres un oficial de inteligencia chino que dirige agentes dentro de Estados Unidos, estos datos te dicen a cuáles de los tuyos han identificado y cuáles siguen siendo invisibles. Si tienes una fuente dentro de una agencia del gobierno estadounidense, ahora sabes si el número de teléfono de esa fuente figura en la lista de objetivos activos del FBI. El valor de inteligencia no es incremental. Es catastrófico.
La puerta principal del sistema de vigilancia estadounidense estaba abierta, y China la cruzó.
Las nueve telecos
La brecha de DCSNet no fue la primera operación de Salt Typhoon dentro de la infraestructura estadounidense. Fue la última.
Entre 2019 y 2024, Salt Typhoon vulneró nueve empresas de telecomunicaciones estadounidenses: AT&T, Verizon, T-Mobile, Charter/Spectrum, Lumen Technologies, Consolidated Communications, Windstream y otras dos que no se han identificado públicamente. El alcance de la campaña fue extraordinario. Se accedió a metadatos de más de un millón de usuarios: marcas de tiempo de llamadas, datos de enrutamiento de mensajes de texto, direcciones IP de origen y destino, números de teléfono. La mayor concentración de datos comprometidos estaba en el área metropolitana de Washington D. C., un hecho cuyas implicaciones para la inteligencia de seguridad nacional necesitan poca elaboración. La clase política de la capital, sus grupos de presión, sus asesores, sus responsables de inteligencia: sus patrones de llamadas, sus contactos, el momento y la duración de sus comunicaciones fueron recolectados por un servicio de inteligencia extranjero a lo largo de años.
El vector de ataque en las brechas de las telecos fue el mismo que más tarde daría a Salt Typhoon acceso a DCSNet: la arquitectura de intercepción exigida por la Communications Assistance for Law Enforcement Act.
La CALEA, promulgada por el presidente Clinton en 1994, obliga a todo operador de telecomunicaciones que opere en Estados Unidos a construir capacidades de intercepción en su infraestructura de conmutación. La ley exige que los operadores puedan aislar y entregar las comunicaciones de cualquier abonado señalado a las fuerzas de seguridad ante la presentación de una orden judicial válida. En la práctica, esto significa que todo operador estadounidense mantiene lo que viene a ser un punto de acceso de vigilancia permanente e incorporado: una puerta que existe precisamente para que el gobierno pueda cruzarla.
Salt Typhoon la cruzó en su lugar.
Una advertencia de treinta y dos años
La CALEA fue polémica desde el momento en que se propuso. Cuando la administración Clinton impulsó la legislación en 1993 y 1994, una coalición de empresas tecnológicas, organizaciones de libertades civiles e investigadores en seguridad planteó una objeción concreta: cualquier capacidad de intercepción incorporada a la infraestructura de telecomunicaciones acabaría inevitablemente convirtiéndose en objetivo de los adversarios. Una puerta trasera, argumentaban, no comprueba credenciales. Es una vulnerabilidad estructural, y cualquier atacante suficientemente sofisticado terminaría por encontrarla y explotarla.
El FBI, el Departamento de Justicia y sus aliados en el Congreso desecharon esas advertencias. La arquitectura de intercepción se aseguraría adecuadamente, dijeron. Los controles de acceso impedirían el uso no autorizado. Los beneficios del acceso legal a las comunicaciones de delincuentes superaban los riesgos teóricos.
Treinta años después, el Ministerio de Seguridad del Estado de China ha proporcionado la prueba empírica de esa teoría. Los resultados son inequívocos.
El mecanismo técnico de la brecha es instructivo. Salt Typhoon no necesitó romper el cifrado. No necesitó descifrar contraseñas ni explotar vulnerabilidades de día cero en los equipos centrales de conmutación de los operadores. Comprometió a un proveedor comercial de servicios de internet —una de las empresas externas que prestan servicios de infraestructura a los operadores— y usó ese acceso para llegar a los puntos de acceso de intercepción exigidos por la CALEA. La puerta trasera no era un pasadizo secreto en un muro fortificado. Era una puerta en el muro, con cerradura, y alguien forzó la cerradura.
Este es el problema de fondo del acceso obligatorio: la seguridad del sistema depende no solo de la seguridad de la puerta en sí, sino de la seguridad de todo proveedor, contratista, subcontratista y vía de mantenimiento que se conecte a ella. En una red de telecomunicaciones moderna, esa cadena de suministro incluye a cientos de empresas. Cualquiera de ellas puede ser el punto de entrada. Salt Typhoon encontró una. El siguiente atacante encontrará otra.
Esta no es una observación novedosa. Es la conclusión central del artículo de referencia de 1997 "The Risks of Key Recovery, Key Escrow, and Trusted Third-Party Encryption", firmado por prácticamente todas las figuras importantes de la comunidad de investigación criptográfica. El artículo concluía que incorporar acceso gubernamental a la infraestructura de comunicaciones introduce vulnerabilidades que no pueden mitigarse adecuadamente. Veintinueve años después, el texto se lee menos como una advertencia y más como una profecía.
La advertencia del director
La ironía dramática de la brecha de DCSNet es difícil de exagerar.
En 2024, el director del FBI, Christopher Wray, declaró ante el Congreso que las operaciones cibernéticas chinas representaban la amenaza definitoria para las infraestructuras críticas estadounidenses. Advirtió de que hackers vinculados a China se habían preposicionado dentro de sistemas estadounidenses —redes eléctricas, plantas de tratamiento de agua, redes de telecomunicaciones— en lo que describió como preparación para un posible conflicto. Las advertencias fueron contundentes, específicas y sombrías.
Lo que Wray no reveló en aquellas comparecencias, y lo que no se haría público hasta después de su marcha, es que Salt Typhoon ya había vulnerado la infraestructura CALEA de varios operadores estadounidenses en el momento de su testimonio. El FBI advertía a Estados Unidos sobre la penetración china de sistemas críticos mientras su propio sistema de vigilancia ya estaba comprometido.
El sucesor de Wray, Kash Patel, confirmó la brecha de DCSNet tras tomar posesión, pero no ha abordado públicamente la cuestión estructural: si la arquitectura de intercepción legalmente obligatoria era la superficie de ataque, ¿debería seguir existiendo esa arquitectura?
El agravante del encubrimiento
En febrero de 2026, la senadora Maria Cantwell, miembro de mayor rango de la minoría en el Comité de Comercio del Senado, afirmó públicamente que AT&T y Verizon están bloqueando la publicación de informes de seguridad relacionados con las brechas de Salt Typhoon. Los operadores no lo han negado. Han declinado hacer comentarios.
Las implicaciones son importantes. Si los operadores están ocultando evaluaciones de seguridad al Congreso, ni los legisladores ni el público pueden valorar plenamente el alcance del compromiso, la suficiencia de las labores de remediación ni si Salt Typhoon ha sido expulsado de las redes en las que penetró. Los investigadores en seguridad que han estudiado las brechas advierten de que es probable que Salt Typhoon siga dentro de las redes de telecomunicaciones estadounidenses, de que el grupo haya establecido mecanismos de acceso persistente que no han sido identificados ni eliminados por completo. La negativa de los operadores a publicar sus informes de seguridad hace imposible la verificación independiente.
Está además el asunto del correo electrónico del personal del Congreso. Los investigadores han indicado que Salt Typhoon pudo haber accedido a cuentas de correo pertenecientes a asesores del Congreso a través de los compromisos de las telecos. De confirmarse, esto significaría que un servicio de inteligencia chino obtuvo acceso no solo a la información de selección de objetivos de vigilancia del FBI, sino también a las comunicaciones internas del órgano legislativo responsable de supervisar esa vigilancia.
Los 72 miembros del Congreso que firmaron una carta pidiendo una investigación sobre las compras de datos sin orden judicial por parte de agencias federales se enfrentan ahora a una pregunta más incómoda: la propia infraestructura de vigilancia legalmente obligatoria del gobierno pudo haber dado a un adversario extranjero acceso a sus propias comunicaciones. La entidad encargada de la rendición de cuentas no puede conseguir los informes de seguridad. La entidad que construyó la puerta trasera no puede determinar quién la cruzó. Los operadores que fueron vulnerados están bloqueando la investigación sobre su propia brecha. Todas las capas del sistema diseñadas para proporcionar supervisión están fallando a la vez.
La vigilancia que se puede comprar
La brecha de Salt Typhoon es espectacular porque implica sistemas clasificados de escuchas, hackers de un Estado-nación y los datos operativos más sensibles del FBI. Pero un informe publicado un día antes de este artículo —el 11 de abril de 2026— por el Citizen Lab de la Universidad de Toronto revela algo estructuralmente más inquietante: no hace falta hackear un sistema de vigilancia cuando se puede comprar uno.
El informe documenta una herramienta llamada Webloc, desarrollada por la empresa israelí de inteligencia Cobwebs Technologies y vendida ahora por Penlink tras una fusión en 2023. Webloc rastrea los movimientos, la ubicación y las características personales de los dueños de 500 millones de dispositivos usando datos que las aplicaciones móviles recogen supuestamente con fines publicitarios: señales de localización, patrones de movimiento, domicilios, lugares de trabajo y hasta tres años de historial de ubicaciones. No hace falta orden judicial. Ni mandamiento del juez. Ni hackeo. Solo una orden de compra.
La lista de clientes abarca a las fuerzas de seguridad estadounidenses: el ICE, el ejército de Estados Unidos, el Departamento de Seguridad Pública de Texas, las fiscalías de distrito de Nueva York, la policía de Los Ángeles, el Departamento de Policía de Dallas, la policía de Baltimore, la de Tucson, la de Durham, Elk Grove, el condado de Pinal y el DHS de Virginia Occidental. Solo el FBI pagó 27 millones de dólares por 5.000 licencias de Locate X, de Babel Street, un producto comparable. Webloc opera a través de 198 servidores activos: 126 en Estados Unidos, 32 en los Países Bajos, 17 en Singapur, 8 en Alemania, 8 en Hong Kong y 7 en el Reino Unido.
La infraestructura funciona con una lógica económica sencilla: las aplicaciones gratuitas necesitan ingresos, los ingresos vienen de la publicidad, la publicidad vale más cuando está segmentada y la segmentación requiere datos de localización. Todo el ecosistema publicitario global —miles de millones de dólares en ingresos anuales— está construido sobre la recolección y venta continuas de precisamente los datos que las agencias de inteligencia necesitan para vigilar. La industria publicitaria no se limitó a hacer posible la vigilancia. Construyó la infraestructura, la optimizó para operar a escala y la puso a disposición de cualquiera con presupuesto. El gobierno no necesita imponer puertas traseras para rastrear a sus ciudadanos. La industria publicitaria ya construyó la puerta principal, y está abierta a todo comprador.
Hungría vota hoy bajo vigilancia
El alcance internacional de estas herramientas no es teórico. Hoy —12 de abril de 2026— Hungría celebra elecciones bajo lo que puede ser el aparato de vigilancia más exhaustivamente documentado que se haya desplegado nunca contra el propio electorado de una democracia europea.
Cobwebs Technologies —la misma empresa que construyó Webloc— completó la renovación de licencias con la inteligencia interior húngara en marzo de 2026, semanas antes de las elecciones. Hungría es el primer Estado miembro de la UE del que se ha confirmado que despliega Webloc contra su propia población. Los investigadores afirman que el despliegue viola de forma flagrante el Reglamento General de Protección de Datos de la UE. No se ha tomado ninguna medida sancionadora.
La vigilancia va más allá del rastreo publicitario. El líder de la oposición, Péter Magyar, ha alegado que el gobierno de Orbán desplegó Candiru —programa espía de grado militar construido por otra empresa israelí— contra su partido Tisza. El periodista de investigación Szabolcs Panyi fue acusado de espionaje antes de las elecciones. Los intentos del gobierno de construir su propio sistema de vigilancia OSINT, un proyecto de varios millones de euros llamado Quvasz dirigido por el excoronel de contrainteligencia Tamás Berki y conectado con Antal Rogán, el jefe de la Oficina del Gabinete del Primer Ministro que supervisa tanto la inteligencia como la propaganda, fueron un fracaso técnico, así que compró herramientas ya probadas en el mercado privado de la vigilancia. The Washington Post informó de que Rusia propuso escenificar un intento de asesinato para influir en el resultado electoral. Se han documentado operaciones rusas de desinformación funcionando en paralelo al aparato de vigilancia.
Esto es lo que produce el mercado de la vigilancia: herramientas construidas para las fuerzas de seguridad de las democracias, vendidas a servicios de inteligencia que las despliegan contra partidos de la oposición, periodistas y votantes el día de las elecciones. La misma tecnología de Cobwebs que rastrea 500 millones de dispositivos para los departamentos de policía estadounidenses está rastreando a los ciudadanos húngaros mientras acuden a las urnas.
El Reino Unido construye la próxima superficie de ataque
El patrón se extiende a otras democracias que no se limitan a comprar herramientas de vigilancia, sino que construyen infraestructura de vigilancia dentro del tejido del espacio público.
El Reino Unido anunció a principios de 2026 que ampliará su despliegue de reconocimiento facial en vivo de 10 furgonetas móviles a 50, distribuidas entre todos los cuerpos policiales de Inglaterra y Gales. El gobierno asignó 26 millones de libras al sistema nacional de reconocimiento facial, 11,6 millones de libras específicamente para la tecnología de reconocimiento facial en vivo y 115 millones de libras en tres años a un Centro Nacional de IA en la Policía. La ampliación forma parte de un libro blanco gubernamental sobre reformas policiales que incluye la creación de un «FBI británico»: un Servicio Nacional de Policía. La ampliación se anunció antes de que hubiera concluido la propia consulta pública de doce semanas del gobierno sobre el uso del reconocimiento facial. NEC Corporation, la contratista, es la misma firma cuya tecnología se ha vinculado a operaciones en Israel.
El Reino Unido es además el país que notificó a Apple una Technical Capability Notice secreta al amparo de la Investigatory Powers Act, una orden que obligó a Apple a retirar la Protección de Datos Avanzada a los usuarios británicos el 21 de febrero de 2025, eliminando el cifrado de extremo a extremo de los datos de iCloud. En febrero de 2026, Signal anunció que se retiraría de Suecia antes que cumplir con una ley propuesta que exigía acceso por puerta trasera a la mensajería cifrada. El anuncio se entendió como una declaración directa sobre Salt Typhoon: esto es lo que pasa cuando se imponen puertas traseras.
El Reino Unido está construyendo, simultáneamente, una red nacional de vigilancia biométrica y un marco jurídico que obliga a las empresas a debilitar el cifrado. El ochenta por ciento del público británico dijo a los encuestadores que se siente «cómodo» con el uso policial del reconocimiento facial, pero solo el 55 por ciento confía en que la policía lo use «de forma responsable». Esa brecha entre comodidad y confianza es el espacio en el que la infraestructura de vigilancia se expande antes de que la rendición de cuentas la alcance. El Reino Unido está construyendo el próximo DCSNet: una infraestructura de vigilancia centralizada con puntos de acceso obligatorios que, si la historia sirve de guía, acabará siendo comprometida por los mismos adversarios que fue diseñada para vigilar.
La arquitectura del problema
El instinto, tras las brechas de Salt Typhoon, es pedir mejor seguridad: controles de acceso más estrictos, verificación más rigurosa de proveedores, mejor monitorización de la infraestructura de intercepción. Son medidas razonables, y algunas se implantarán. Pero atacan el síntoma en lugar de la enfermedad.
La enfermedad es arquitectónica. Todo sistema que mantiene un punto de acceso permanente para las fuerzas de seguridad mantiene un punto de acceso permanente para cualquiera capaz de comprometer los controles de acceso. La historia de la seguridad informática es inequívoca en este punto: los controles de acceso fallan. Fallan por error humano, por compromisos de la cadena de suministro, por vulnerabilidades de día cero, por amenazas internas y porque los adversarios suficientemente dotados de recursos —como un servicio de inteligencia estatal— invertirán lo que haga falta para encontrar el eslabón más débil.
La posición del FBI siempre ha sido que el acceso legal es esencial. Las órdenes de escucha sirven a fines legítimos de aplicación de la ley. La vigilancia autorizada judicialmente ha desbaratado tramas terroristas, desmantelado organizaciones criminales y producido pruebas que han logrado condenas en casos donde no existía ninguna otra prueba. Estas afirmaciones no son inventadas. La pregunta que plantea Salt Typhoon no es si las escuchas tienen valor, sino si el coste arquitectónico de mantener capacidad universal de intercepción en toda la infraestructura de telecomunicaciones supera al beneficio policial, y si ese coste lo paga no el FBI, sino cada estadounidense cuyos metadatos fueron recolectados, cada objetivo de vigilancia cuya identidad quedó expuesta y cada operación de inteligencia que quedó comprometida cuando China cruzó la puerta que la CALEA exigía que existiera.
El único sistema de comunicaciones que no puede ser vulnerado a través de una puerta trasera obligatoria es el que no tiene puerta trasera obligatoria.
Las herramientas que no tienen puerta principal
El cifrado de extremo a extremo, en el que solo las partes que se comunican poseen las claves, elimina el punto de acceso centralizado que Salt Typhoon explotó. No hay arquitectura de intercepción que comprometer porque no hay arquitectura de intercepción. Signal usa cifrado de extremo a extremo por defecto en todos los mensajes y todas las llamadas. El servidor nunca tiene el texto en claro. Una orden judicial notificada a la infraestructura de Signal no produce nada útil porque la infraestructura de Signal no tiene nada útil que producir. Cuando un gran jurado requirió los registros de Signal en 2021, la empresa entregó dos datos: la fecha en que se creó la cuenta y la fecha de su última conexión. Eso era todo lo que Signal tenía.
Las redes de comunicación descentralizadas van más lejos. Tor distribuye el tráfico entre miles de repetidores operados por voluntarios, de modo que ningún nodo por sí solo puede observar a la vez el origen y el destino de una comunicación. No hay infraestructura central de conmutación donde instalar equipos de intercepción. El modelo CALEA —donde un operador mantiene una capacidad de escucha permanente en un punto central de intercepción— es arquitectónicamente imposible en una red donde no hay punto central de intercepción.
Las arquitecturas de VPN descentralizada como URnetwork enrutan las conexiones a través de redes de nodos residenciales en lugar de infraestructura de servidores centralizada. No hay un único operador al que notificar una orden judicial, ni instalación central de conmutación donde instalar los equipos exigidos por la CALEA, ni proveedor externo cuyo compromiso dé a un atacante acceso a toda la red. La arquitectura es distribuida por diseño. El tipo de intercepción centralizada que la CALEA impone —y que Salt Typhoon explotó— es geométricamente imposible en una red donde el tráfico circula por miles de nodos independientes sin punto centralizado de agregación.
Estas no son arquitecturas teóricas. Existen. Funcionan. Las usan millones de personas. Y tienen éxito precisamente porque se construyeron sin la funcionalidad que el gobierno estadounidense pasó treinta y dos años exigiendo: una puerta que el gobierno pudiera cruzar. Salt Typhoon demostró que cuando construyes una puerta, no eres tú quien decide quién la cruza.
La lección que la política no ha aprendido
La brecha de DCSNet por parte de Salt Typhoon debería haber zanjado el debate sobre las puertas traseras obligatorias. Proporcionó la prueba empírica definitiva de aquello sobre lo que la comunidad de seguridad llevaba treinta y dos años advirtiendo: un punto de acceso obligatorio fue descubierto y explotado por un adversario, comprometiendo las mismas operaciones de vigilancia a las que estaba destinado a servir. La puerta trasera no hizo más seguro a Estados Unidos. Hizo visibles para China las operaciones de inteligencia estadounidenses.
Pero la política no se mueve a la velocidad de la evidencia. A abril de 2026, no existe ningún esfuerzo legislativo serio para derogar o reformar la CALEA. El FBI no ha reevaluado públicamente su postura sobre el acceso obligatorio. AT&T y Verizon están bloqueando los informes de seguridad que permitirían al Congreso comprender el alcance completo de la brecha. Los operadores siguen manteniendo su arquitectura de intercepción porque la ley se lo exige. El Reino Unido está ampliando su propia infraestructura de vigilancia. Hungría está desplegando herramientas de vigilancia publicitaria contra su electorado el día de las elecciones. Y Salt Typhoon, según los investigadores que siguen sus operaciones, probablemente sigue dentro de las redes que comprometió.
La industria publicitaria ha construido un sistema de vigilancia paralelo que rastrea 500 millones de dispositivos sin ningún mandato legal en absoluto, solo con el incentivo de mercado de recoger y vender datos de localización. Los gobiernos que pasaron décadas exigiendo puertas traseras en las comunicaciones cifradas se enfrentan ahora a la realidad de que el ecosistema publicitario construyó algo más completo que nada de lo que la CALEA llegó a producir, y está a disposición de cualquier comprador con una orden de compra.
La puerta principal sigue abierta. La puerta trasera sigue siendo obligatoria. Las únicas comunicaciones que China no pudo interceptar fueron las que nunca fueron interceptables de entrada: cifradas de extremo a extremo, enrutadas por infraestructura descentralizada, transportadas por redes donde la puerta trasera nunca se construyó.
La pregunta no es si habrá otra brecha. Es si algo cambiará antes de que ocurra.
Fuentes: notificaciones del FBI al Congreso e informes de incidentes FISMA (febrero-abril de 2026); declaraciones del Comité de Comercio del Senado (senadora Cantwell, febrero de 2026); información de Nextgov y Politico sobre la brecha de DCSNet/Red Hook; información de Bloomberg, NBC News y Wikipedia sobre los compromisos de telecomunicaciones de Salt Typhoon (2019-2026); Citizen Lab, informe "Webloc" (11 de abril de 2026) sobre la vigilancia publicitaria de Cobwebs/Penlink; información de VSquare, OCCRP, Bloomberg y The Washington Post sobre el aparato de vigilancia de Orbán en Hungría y las elecciones de abril de 2026; Biometric Update, The Gazette y Al Jazeera sobre la ampliación del reconocimiento facial en el Reino Unido; anuncio de retirada de Signal (Suecia, febrero de 2026); carta del Congreso sobre las compras de datos sin orden judicial (72 firmantes); evaluaciones de investigadores en ciberseguridad sobre el acceso persistente de Salt Typhoon; Abelson et al., "The Risks of Key Recovery, Key Escrow, and Trusted Third-Party Encryption" (1997).