El caso Sharp
Un acusado —con el seudónimo «Sharp»— está siendo procesado ante un tribunal federal estadounidense. El acusado instaló Signal en un iPhone. El acusado activó los mensajes que desaparecen. El acusado borró la aplicación Signal del teléfono. El acusado creía, correctamente, que Signal como protocolo borra criptográficamente el contenido de los mensajes más allá de los participantes de una conversación. La Oficina Federal de Investigaciones extrajo del iPhone vistas previas de mensajes de Signal después de que la aplicación hubiera sido borrada. 404 Media informó del caso por primera vez en abril de 2026. El miércoles 22 de abril de 2026, Apple publicó iOS 26.4.2 y iPadOS 26.4.2 (con retroadaptaciones a iOS 18.7.8 y iPadOS 18.7.8), que parchean CVE-2026-28950. El aviso de Apple caracterizaba así el problema: «Las notificaciones marcadas para su eliminación podían conservarse de forma inesperada en el dispositivo.» Afectados: iPhone 11 y posteriores, iPad Pro 12.9 de 3.ª generación y posteriores, iPad Pro 11 de 1.ª generación y posteriores, iPad Air de 3.ª generación y posteriores, iPad de 8.ª generación y posteriores, iPad mini de 5.ª generación y posteriores. Build 23E261. La presidenta de Signal, Meredith Whittaker, declaró: «Las notificaciones de mensajes borrados no deberían permanecer en ninguna base de datos de notificaciones de un sistema operativo.»
La garantía de Signal como protocolo es correcta. La base de datos de notificaciones del sistema operativo era una superficie de fuga que la garantía criptográfica del protocolo no cubre. La privacidad del usuario dependía del protocolo; el protocolo dependía del sistema operativo; el sistema operativo conservaba metadatos que el usuario creía desaparecidos.
Este es el patrón arquitectónico de la historia de privacidad de mayo de 2026. Cada capa por debajo de la aplicación cifrada es una posible superficie de fuga. El protocolo es correcto en una capa; las capas de debajo no lo son.
La escucha, escuchada
En febrero de 2026, analistas del FBI en las oficinas de la agencia en las Islas Vírgenes identificaron por primera vez actividad anómala en los registros de DCSNet —la Digital Collection System Network del FBI, la infraestructura interna que se emplea para gestionar las escuchas autorizadas judicialmente y las solicitudes de vigilancia de inteligencia exterior—. Específicamente afectado: DCS-3000, también conocido como Red Hook. Red Hook gestiona registros de llamadas entrantes y salientes (pen registers y trap-and-trace): metadatos de llamadas, números marcados, datos de enrutamiento e identidades de personas bajo investigación activa del FBI. Fecha de detección: 17 de febrero de 2026. Notificación al Congreso: 4 de marzo. Clasificación formal del incidente como "Major Incident" (incidente grave) al amparo de la Federal Information Security Modernization Act de 2014: 1 de abril de 2026.
Los investigadores determinaron que los atacantes habían explotado la infraestructura de un proveedor comercial de servicios de internet cuyos sistemas se conectan a DCSNet. Al operar a través de una vía de proveedor de confianza, los intrusos camuflaron la actividad maliciosa dentro del tráfico legítimo de la red y esquivaron los controles internos de seguridad diseñados para detectar accesos no autorizados. Investigadores independientes y la información publicada atribuyen la operación a Salt Typhoon, un actor de amenazas vinculado al Ministerio de Seguridad del Estado de China. Las campañas anteriores de Salt Typhoon, entre 2019 y 2024, penetraron en las tres grandes operadoras móviles estadounidenses, sustrajeron registros de llamadas de decenas de millones de estadounidenses y accedieron a datos de escuchas del FBI a través de la infraestructura de interceptación legal CALEA de nueve compañías de telecomunicaciones de Estados Unidos.
El detalle estructuralmente novedoso del episodio de 2026 es el vector de entrada. Salt Typhoon no explotó al personal del FBI. Salt Typhoon explotó la conexión privilegiada de terceros que la arquitectura de interceptación legal exige por diseño. El sistema de escuchas es, por construcción, accesible a la red de la operadora a efectos de interceptación. La red de la operadora está, por construcción, expuesta a sus proveedores. La red del proveedor está expuesta a quien penetre en el proveedor. La cadena de suministro de la interceptación legal es la cadena de suministro del servicio de inteligencia extranjero que quiere saber a quién vigila el FBI.
A finales de abril de 2026, la actividad del mismo grupo apareció en Sistemi Informativi, una filial de IBM en Italia; Security Affairs enmarcó el incidente como «un disparo de advertencia para las defensas digitales de Europa». El canal de proveedores que fue la entrada a DCSNet es el canal de proveedores que conecta buena parte del ecosistema europeo de telecomunicaciones e interceptación legal.
Sección 702: la cuarta prórroga procedimental
La expiración original de la Sección 702 de la Foreign Intelligence Surveillance Act de 1978, según la reautorización de la Reforming Intelligence and Securing America Act de 2024 (P.L. 118-49), era el 19 de abril de 2026. El 17 de abril de 2026, después de que veinte republicanos de la Cámara descarrilaran una reautorización de mayor alcance, la Cámara y después el Senado aprobaron por unanimidad una prórroga de 10 días. El presidente Trump la firmó. El 29 de abril, la Cámara aprobó la H.R. 8512 —una prórroga de 3 años— por 235-191. El texto llevaba una enmienda del presidente de la Cámara, Mike Johnson, que prohibía permanentemente a la Reserva Federal emitir una moneda digital de banco central. Veintidós republicanos votaron en contra. Cuarenta y dos demócratas votaron a favor. El 30 de abril, el Senado rechazó el paquete; la prohibición de la CBDC no logró reunir 60 votos. El líder de la mayoría en el Senado, John Thune, dijo a Fox News: «Se lo mandaremos allá y lo tramitaremos rápido, y volveremos a patear la lata hacia adelante.» El Senado aprobó entonces la S. 4465 —una prórroga limpia de 45 días— por unanimidad. La Cámara dio luz verde a la S. 4465 por 261-111. Trump la firmó. La nueva expiración es aproximadamente el 12 de junio de 2026.
El presidente Johnson, desde el estrado: «Si nos vamos a dormir esta noche y no tenemos ese programa en vigor, me temo que tendremos sangre en las manos.» El representante Keith Self (republicano de Texas) resumió la lógica procedimental: «Hay que ponerle encima una orden judicial o la CBDC.» El añadido de la CBDC es la revelación estructural. La reforma de la vigilancia se usó como vehículo para una política de guerra cultural sin relación con el asunto. La vía de la reforma está capturada por el mecanismo procedimental.
En el Senado, en un enfrentamiento en el hemiciclo el 30 de abril, el senador Tom Cotton (republicano de Arkansas), presidente del Comité Selecto de Inteligencia del Senado, acusó al senador Ron Wyden (demócrata de Oregón) de una «práctica prolongada de distorsionar material altamente clasificado en público», y advirtió: «Un día de estos va a haber consecuencias, y puede que sea mientras yo presido este comité.» Wyden obtuvo un compromiso por escrito de Cotton y del vicepresidente del comité, Mark Warner (demócrata de Virginia), para que la Oficina del Director de Inteligencia Nacional y el fiscal general en funciones desclasifiquen, dentro de los quince días siguientes a la prórroga, una opinión del Foreign Intelligence Surveillance Court de 17 de marzo de 2026 que, según Wyden, documenta abusos continuados del FBI en las consultas sobre personas estadounidenses pese a las reformas de 2024. El plazo vence aproximadamente el 15 de mayo de 2026. A la hora de escribir esto, la desclasificación aún no se ha producido.
El 23 de abril, los representantes Thomas Massie (republicano de Kentucky, distrito 4) y Lauren Boebert (republicana de Colorado, distrito 4) presentaron la H.R. 8470, la Surveillance Accountability Act. Contenido: exigencia de orden judicial para casi todos los registros gubernamentales de datos de estadounidenses; cierre del vacío legal de los intermediarios de datos de terceros; prohibición del reconocimiento facial sin orden judicial, de las huellas faciales, del reconocimiento de la marcha, del reconocimiento de voz y de los lectores de matrículas asociados a personas identificables; y acción privada de carácter legal por vulneraciones de la Cuarta Enmienda cometidas al amparo de la autoridad federal. Boebert: «El gobierno federal ha tratado la Cuarta Enmienda como si fuera una sugerencia.» Massie: «La Carta de Derechos no es una sugerencia.» La H.R. 8470 fue remitida al Comité Judicial de la Cámara; no hay votación en el pleno prevista. Massie ha apuntado a una posible estrategia de petición de desbloqueo.
En el Senado, la Government Surveillance Reform Act (Lee + Wyden + Lummis + Warren) y la SAFE Act (Lee + Durbin) siguen en comisión. La senadora Cynthia Lummis (republicana de Wyoming): «Si de verdad nos tomamos en serio la protección de nuestras libertades constitucionales frente a la extralimitación del gobierno, debería exigirse una orden judicial aprobada por un juez para todos los registros al amparo de la sección 702.»
Trece años de ciclos de reautorización. Cuatro prórrogas temporales en once días. Cero reformas estructurales.
Bad Connection: 15.700 intentos
El 23 de abril de 2026, Citizen Lab publicó el informe n.º 192, "Bad Connection: Uncovering Global Telecom Exploitation by Covert Surveillance Actors", firmado por Gary Miller y Swantje Lange. El informe documentaba más de 15.700 intentos de rastreo desde noviembre de 2022, ejecutados a través de tres operadores de telecomunicaciones identificados por su nombre: 019Mobile (Israel), Tango Networks (Reino Unido) y Airtel Jersey/Sure (Islas del Canal). Dos campañas de vigilancia: una vinculada a un presunto proveedor israelí de geointeligencia; otra ligada a la suiza Fink Telecom Services y a Rayzone Group. Técnicas: SS7 (señalización 3G), Diameter (señalización 4G/5G) y SMS binarios de tipo SIMjacker que emplean TP-PID=127 para invocar el SIM Application Toolkit de forma oculta al usuario, y TP-DCS=22 para marcar el mensaje como binario. Objetivos en al menos 18 países, entre ellos Tailandia, Sudáfrica, Noruega, Bangladés, Dinamarca, Suecia, Malasia, Montenegro, la República Democrática del Congo, Indonesia, Vietnam y varios países del África subsahariana. El 3 de mayo de 2026, Haaretz publicó "Ghost Operators: How Israeli Telecoms Were Exploited to Track Citizens Worldwide", que amplía los hallazgos de Citizen Lab, nombra a los operadores israelíes 019Mobile, Partner Communications y Exelera, e implica a Cognyte/Verint y a Rayzone Group.
Respuestas de los operadores: el consejero delegado de Sure, Alistair Beak, negó haber arrendado a sabiendas acceso de señalización; Gil Nagar, de 019Mobile, discutió la atribución; Tango Networks no respondió. El investigador de Citizen Lab Gary Miller, a TechCrunch: «He observado miles de estos ataques a lo largo de los años, así que diría que es un exploit bastante común y difícil de detectar. … Solo nos hemos centrado en dos campañas de vigilancia dentro de un universo de millones de ataques.»
La afirmación arquitectónica en la que confiaba el abonado móvil —que la red de señalización de la operadora es un entorno de confianza autorregulado entre socios de itinerancia— no se preserva, como muestra ahora el registro operativo, en el siguiente salto del enlace de señalización. Cualquier operador con acceso a la red de señalización y una relación de itinerancia puede emitir órdenes de consulta de ubicación, de interceptación de mensajes y del toolkit de la SIM. El privilegio es la arquitectura; la arquitectura es la fuga.
Webloc: 500 millones de dispositivos
El 9 de abril de 2026, Citizen Lab publicó el informe n.º 191, "Uncovering Webloc", que documenta la plataforma de rastreo de dispositivos basada en pujas publicitarias en tiempo real de Penlink (antes Cobwebs Technologies). Webloc rastrea más de 500 millones de dispositivos en 30 o más países mediante los flujos de subasta publicitaria en tiempo real. El 26 de abril de 2026, el programa All Things Considered de NPR amplificó el informe, con el director de Citizen Lab, Ron Deibert. Entre los clientes identificados por Citizen Lab figuran el Servicio de Inmigración y Control de Aduanas de Estados Unidos, el ejército estadounidense, el Departamento de Seguridad Pública de Texas, el Departamento de Seguridad Nacional en Virginia Occidental, fiscalías de distrito de la ciudad de Nueva York y departamentos de policía de Los Ángeles, Dallas, Baltimore, Tucson y Durham. Entre los clientes extranjeros están el Servicio de Seguridad Nacional de Hungría (NBSZ) —licencia renovada en marzo de 2026, antes de las elecciones del país del 12 de abril— y la policía nacional de El Salvador. Cobwebs tiene vínculos societarios con el proveedor israelí QuaDream a través de la figura de Omri Timianker.
La afirmación arquitectónica de Webloc es que el rastreo por RTB publicitario es «lícito». La arquitectura es de doble uso por diseño. Cada vez que una aplicación con publicidad carga un anuncio, la IP del usuario, la huella de su dispositivo y su ubicación aproximada se difunden a miles de pujadores para su subasta. Webloc consume esa difusión como entrada. El usuario no tiene forma de excluirse: excluirse de la publicidad significa excluirse de la aplicación. Pegasus tiene por objetivo a miles. Webloc rastrea a quinientos millones. La brecha de escala en la contratación es la revelación arquitectónica.
Operation Economic Fury: la stablecoin como instrumento de cumplimiento
El jueves 23 de abril de 2026, Tether anunció lo que tituló "Tether Supports Freeze of More Than $344 Million in USD₮ in Coordination with OFAC and U.S. Law Enforcement". Se congelaron dos direcciones de la cadena de bloques Tron: aproximadamente 213 millones de dólares y aproximadamente 131 millones. PeckShield fue el primero en señalar las direcciones en la lista negra de la OFAC. Al día siguiente, 24 de abril, la Oficina de Control de Activos Extranjeros publicó una actualización de la lista SDN que incluía dos direcciones vinculadas al Banco Central de Irán: la primera vez que la OFAC designa directamente en cadena monederos ligados al CBI. Según TRM Labs, las direcciones señaladas habían acumulado discretamente unos 370 millones de dólares en casi 1.000 depósitos desde marzo de 2021; una no tenía salidas; la otra había enviado menos de 16 millones frente a más de 228 millones recibidos. La campaña estadounidense se denomina "Operation Economic Fury". La cooperación acumulada de Tether en todas las jurisdicciones, según su propio comunicado: más de 340 organismos, 65 países, más de 2.300 casos y más de 4.400 millones de dólares congelados.
La neutralidad de las stablecoins era, hasta este abril, una premisa arquitectónica. El patrón de congelaciones reconfigura USDT como el instrumento más vigilado de las criptomonedas: una extensión efectiva, estable frente al dólar, de la infraestructura de sanciones estadounidense, con una disciplina de cumplimiento a cargo de un operador privado que se mueve más deprisa que la del sector bancario. El consejero delegado de Circle, emisor de USDC, Jeremy Allaire (13 de abril): «no congelaremos USDC sin una orden judicial, ni siquiera mientras los atacantes se llevan millones». Las dos stablecoins se sitúan ya en posturas operativas estructuralmente distintas respecto al cumplimiento de las sanciones. Las alternativas orientadas a la privacidad —Bitcoin con el transporte P2P cifrado BIP324 (por defecto en Core 27.0) y los Silent Payments (BIP352, integrados a principios de 2026), Monero con FCMP++ en testnet desde octubre de 2025 y una bifurcación dura en la red principal tentativamente a mediados de 2026 (con el conjunto de anonimato saltando de 16 a aproximadamente 152-158 millones de salidas), y Zcash con blindaje por defecto— quedan por completo fuera de la vía de la stablecoin vigilada por su emisor.
El DOJ, 0 de 6: la base de datos de votantes que no se construye sola
El martes 28 de abril de 2026, la jueza federal de distrito Susan Brnovich (D. Ariz., nombrada por Trump) desestimó with prejudice (de forma definitiva, sin posibilidad de volver a presentarla) la demanda del Departamento de Justicia contra Arizona en la que reclamaba los censos electorales sin censurar, calificando la teoría jurídica de "futile" (inútil). La resolución de Brnovich es la sexta derrota consecutiva del DOJ en pleitos sobre censos electorales, tras California, Massachusetts, Míchigan, Oregón y Rhode Island. El 17 de abril, la jueza Mary McElroy (D.R.I., también nombrada por Trump) desestimó la demanda del DOJ en Rhode Island, resolviendo que las leyes electorales federales "don't empower the Justice Department to demand state voter data" (no facultan al Departamento de Justicia para exigir los datos electorales de los estados). El 21 de abril, Common Cause presentó la impugnación estructural —Common Cause v. DOJ, caso 1:26-cv-01352 (D.D.C.)—, con el apoyo procesal de la American Civil Liberties Union, Citizens for Responsibility and Ethics in Washington, Protect Democracy y la Harvard Democracy Clinic. La demanda: "No federal statute authorizes DOJ's sprawling new voter surveillance, data consolidation, and purging operation. In taking these actions, DOJ is usurping powers that the Constitution and federal statutes vest in the States." (Ninguna ley federal autoriza la nueva y desmesurada operación de vigilancia, consolidación de datos y depuración de votantes del DOJ. Al adoptar estas medidas, el DOJ está usurpando competencias que la Constitución y las leyes federales atribuyen a los estados.)
La base jurídica de fondo es la Orden Ejecutiva 14399 (31 de marzo de 2026), "Ensuring Citizenship Verification and Integrity in Federal Elections", que ordena al Departamento de Seguridad Nacional y a la Administración de la Seguridad Social recopilar, estado por estado, unas "State Citizenship Lists" (listas estatales de ciudadanía) a partir de los registros federales de naturalización, los registros de la SSA y el sistema Systematic Alien Verification for Entitlements (SAVE) del DHS. Según la información publicada, más de 33 millones de registros de votantes ya han pasado por el SAVE del DHS. La fiscal general Pam Bondi: «Este Departamento de Justicia ha demandado ya a 23 estados por no facilitar los datos de sus censos electorales y seguirá presentando demandas para proteger las elecciones estadounidenses.»
Se ha abierto un procedimiento paralelo sobre la arquitectura de contratación. El 14 de abril de 2026, la jueza Ellen Lipton Hollander (D. Md.) admitió la práctica de prueba en el caso liderado por el AFGE contra el Departamento de Eficiencia Gubernamental y la Administración de la Seguridad Social, calificando la conducta del gobierno de "alarming" (alarmante). La prueba debe indagar en el "voter data agreement" (acuerdo sobre datos de votantes) del DOGE con un grupo externo de defensa política que pretende impugnar resultados electorales, y en el uso por parte del DOGE de un servidor no autorizado. Una opinión anterior de Hollander, de 137 páginas, concluía que "the DOGE Team is essentially engaged in a fishing expedition at SSA, in search of a fraud epidemic, based on little more than suspicion" (el equipo del DOGE está esencialmente enfrascado en una pesca de arrastre en la SSA, en busca de una epidemia de fraude, sobre la base de poco más que una sospecha).
La lectura arquitectónica: los datos de registro de votantes han estado históricamente a nivel estatal y de condado. La OE 14399 los reorganiza en un punto federal de concentración de datos. La arquitectura estados-frente-a-federación se está poniendo a prueba en la capa procedimental. La racha de 0 de 6 es la respuesta de los tribunales. Common Cause v. DOJ es la respuesta constitucional. La alternativa arquitectónica —identidad federada con divulgación selectiva (el modelo eIDAS 2.0)— es el sustituto que preserva la privacidad.
Irán, día 65: lo transitorio permanente
El domingo 3 de mayo de 2026, el apagón nacional de internet en Irán entró en su día 65 —1.536 horas acumuladas según las mediciones de NetBlocks—, el cierre nacional de internet más largo jamás registrado. El apagón comenzó el 28 de febrero de 2026, a raíz de los ataques de Estados Unidos e Israel contra Irán. Entre 85 y 90 millones de iraníes siguen sin conexión. Según el ministro de Comunicaciones de Irán, Sattar Hashemi, el coste directo diario ronda los 35,7 millones de dólares; según NetBlocks, el coste diario acumulado puede superar los 37 millones; según la Cámara de Comercio iraní, entre 30 y 40 millones directos y entre 70 y 80 millones incluyendo los indirectos. El coste acumulado ha superado aproximadamente los 1.800 millones de dólares. Tipax, el mayor servicio de reparto de Irán, ha caído de 320.000 envíos diarios a «menos de unos pocos cientos».
El Consejo Supremo de Seguridad Nacional de Irán ha aprobado un nivel "Internet Pro" para determinados titulares de tarjetas de comercio a través de la Cámara de Comercio; la fase 2 lo amplía a organizaciones de producción, industria y comercio. La tarifa es unas diez veces la estándar; el uso está limitado. La portavoz del gobierno, Fatemeh Mohajerani, el 28 de abril: «Con el tiempo, todo Irán podrá acceder a internet una vez que las autoridades consideren resueltos los problemas geopolíticos actuales.» La vicepresidenta para Asuntos de la Mujer, Zahra Behrouz-Azar: «La situación se ha impuesto como una guerra, y los daños no deberían negarse.» El 30 de abril, la Sociedad de Diseñadores Gráficos de Irán, la Organización de Enfermería y los colegios de abogados rechazaron públicamente el acceso escalonado por ser «incompatible con los principios de igualdad». Según información anterior, unos 16.000 titulares de la llamada «SIM blanca» (white SIM card) tienen acceso global sin restricciones desde 2013. Con el nuevo nivel, un número indeterminado de titulares adicionales se sumará a la clase privilegiada.
La revelación arquitectónica: Irán es el primer país que ha tenido acceso a internet sin restricciones y lo ha perdido por acción estatal deliberada, revirtiendo a una red nacional con acceso global escalonado. Corea del Norte construyó Kwangmyong para una población no conectada. China construyó el Gran Cortafuegos a lo largo de veinte años, con alternativas domésticas. Irán está haciendo ambas cosas en semanas. El encuadre de Mohajerani —«una vez que las autoridades consideren resueltos los problemas geopolíticos actuales»— es una permanencia sin plazo.
Las doce horas de Bruselas
El martes 28 de abril de 2026, en Bruselas, doce horas separaron dos acontecimientos regulatorios de signo opuesto. A mediodía, la Comisión Europea publicó su primer informe de revisión de la Ley de Mercados Digitales (COM(2026) 178 final), que concluye que la norma "remains fit for purpose" (sigue siendo adecuada a su finalidad) y señala la inteligencia artificial y la nube como áreas prioritarias de aplicación. Por la tarde, el segundo trílogo político del Ómnibus Digital de la Ley de IA se había desplomado tras unas doce horas de negociación, bloqueado por la arquitectura de evaluación de la conformidad de la IA en los productos de seguridad del anexo I (el Reglamento de Máquinas, el Reglamento de Productos Sanitarios y el Reglamento de Diagnóstico In Vitro). El plazo original de aplicación para la IA de propósito general, el 2 de agosto de 2026, sigue jurídicamente en pie. El siguiente trílogo está apuntado para aproximadamente el 13 de mayo, bajo presidencia chipriota.
El 29 de abril, la Comisión constató preliminarmente que Instagram y Facebook, de Meta, incumplen la Ley de Servicios Digitales (IP/26/920), citando un control de edad que se sortea introduciendo fechas de nacimiento falsas, una herramienta de denuncia que exige "up to seven clicks" (hasta siete clics) y una evaluación de riesgos que "disregarded readily available scientific evidence" (desatendió pruebas científicas fácilmente disponibles) de que entre el 10 y el 12 por ciento de los menores de 13 años usan las plataformas. Multa posible: hasta el 6 por ciento de la facturación anual global. El mismo día, la Comisión emitió una recomendación instando a siete Estados miembros —Chipre, Dinamarca, Francia, Grecia, Irlanda, Italia y España— a desplegar la aplicación europea de verificación de edad antes de fin de año. Alemania se ha negado a participar. Al parecer, investigadores de ciberseguridad demostraron que la aplicación podía vulnerarse en unos dos minutos. La comisaria Henna Virkkunen: «El modelo que hemos presentado no es el definitivo; seguimos desarrollándolo.» El mismo día, la Crime and Policing Act 2026 y la Children's Wellbeing and Schools Act del Reino Unido recibieron la sanción real, con enmiendas incluidas a la Online Safety Act.
El 30 de abril, el Parlamento Europeo aprobó la resolución P10_TA(2026)0160 sobre la aplicación de la DMA, lamentando las "modest fines" (multas modestas) impuestas a Apple (500 millones de euros) y Meta (200 millones de euros). El mismo día, la Datatilsynet noruega emitió una declaración pública en la que criticaba la introducción por parte de Schibsted de una tasa de privacidad de 39 NOK al mes en régimen de "pay-to-opt-out" (pagar para excluirse). La directora, Line Coll: «La privacidad es un derecho humano por el que no se debería pagar. Nos preocupa que la privacidad en internet quede reservada a los ricos, que se convierta en un artículo de lujo.» El responsable de la Sección Internacional, Tobias Judin: «El Comité de Protección de Datos es meridianamente claro: la privacidad es un derecho humano para todos y no una mercancía en venta. No se puede usar la amenaza de una tasa como medio de presión para forzar el consentimiento.»
La arquitectura regulatoria europea es duradera pero está en disputa. Al otro lado del Atlántico, el 1 de mayo, el Comité de Energía y Comercio de la Cámara de Representantes de Estados Unidos presentó la SECURE Data Act (H.R. 8413) y la GUARD Financial Data Act: legislación federal integral de privacidad con amplia preferencia sobre las leyes estatales. La Agencia de Protección de la Privacidad de California presentó oposición formal el 27 de abril. La pantalla partida: los pilares regulatorios europeos aguantan mientras se renegocian las normas de IA; los pilares regulatorios estadounidenses están siendo desplazados desde abajo.
La capa de herramientas de IA
El miércoles 22 de abril de 2026, OX Security divulgó públicamente una vulnerabilidad sistémica de diseño en los SDK del Model Context Protocol de Anthropic para Python, TypeScript, Java y Rust: inyección de instrucciones sin interacción del usuario que permite ejecución remota de código. Según The Register, hay unos 200.000 servidores afectados; según The Hacker News, más de 7.000 servidores públicos con más de 150 millones de descargas; nueve de once mercados de MCP fueron envenenados con éxito. El mismo día, Pillar Security divulgó una ejecución remota de código con escape del entorno aislado en Antigravity, la nueva plataforma de IDE agéntico de Google. El mismo día, la tercera campaña «Shai-Hulud» de cadena de suministro, del actor de amenazas TeamPCP, colocó en npm un @bitwarden/[email protected] con puerta trasera —activo durante aproximadamente 1,5 horas— y por primera vez de la que se tenga constancia convirtió en armas .claude/settings.json y .vscode/tasks.json como mecanismos de persistencia en asistentes de programación con IA. Endor Labs, Wiz y GitGuardian lo clasificaron como el primer ataque conocido a la cadena de suministro que emplea como arma los archivos de configuración de un agente de programación con IA. Para el 30 de abril, Trend Micro contabilizaba más de 1.402 servidores MCP sin autenticación expuestos públicamente (frente a 492 antes); el 74 por ciento reside en AWS, Azure, GCP u Oracle.
La campaña de TeamPCP comenzó el 27 de febrero de 2026 a través de un pull_request_target mal configurado en Trivy, de Aqua Security. Un PAT comprometido de aqua-bot dio acceso a trivy-action, setup-trivy y v0.69.4, lo que produjo imágenes maliciosas en Docker Hub. El 24 de marzo, el atacante usó la acción de Trivy comprometida para exfiltrar el token de publicación de LiteLLM en PyPI; publicó litellm==1.82.7 y 1.82.8 durante unos cuarenta minutos. Credenciales robadas estimadas: unas 500.000. El ransomware Vect listó su primera víctima el 15 de abril.
El 30 de abril, investigadores de seguridad divulgaron CVE-2026-31431 —«Copy Fail»—, un fallo lógico en la plantilla criptográfica authencesn del núcleo de Linux. Una prueba de concepto de 732 bytes otorga acceso root en Ubuntu, Amazon Linux, RHEL y SUSE. Afecta a todas las distribuciones de Linux desde 2017. CVSS 7.8. El 1 de mayo, CISA añadió CVE-2026-41940 —una elusión crítica de autenticación con CVSS 9.8 en cPanel/WHM, el panel de control de aproximadamente 70 millones de dominios— al catálogo de Vulnerabilidades Explotadas Conocidas, tras su explotación real desde al menos el 23 de febrero. Hay aproximadamente 1,5 millones de instancias de cPanel expuestas en línea; más de 44.000 direcciones IP ya están comprometidas en la campaña de ransomware «Sorry».
Esa misma semana, el 14 de abril, OpenAI lanzó GPT-5.4-Cyber para investigadores de seguridad verificados mediante el programa Trusted Access for Cyber: un modelo entrenado en modo "cyber-permissive" (permisivo en ciberseguridad), con restricciones de rechazo relajadas para el trabajo defensivo legítimo. El 22 de abril, OpenAI publicó Privacy Filter con pesos abiertos: un redactor de información personal identificable en el dispositivo, de 1.500 millones de parámetros y arquitectura dispersa de mezcla de expertos, con un 96 por ciento de F1 en PII-Masking-300k, distribuido bajo Apache 2.0. La advertencia del propio proveedor: debe verse como «una ayuda de redacción» ("redaction aid") y no como «una garantía de seguridad» ("safety guarantee"). El 30 de abril, Anthropic lanzó Claude Security en beta pública sobre Claude Opus 4.7. El mismo día, el secretario del Tesoro estadounidense, Scott Bessent, dijo a Bloomberg que las empresas financieras y tecnológicas de Estados Unidos están «trabajando en la resiliencia» frente a las amenazas de IA, incluido el asalto a cuentas bancarias mediante IA.
La lectura arquitectónica: la capa de herramientas de IA es ya una vía privilegiada de terceros a gran escala. Todo desarrollador que ejecute un asistente de programación con IA carga con una superficie de ataque que se autoperpetúa. Todo servidor MCP carga con una superficie de ejecución remota de código vía inyección de instrucciones. Todo modelo de Anthropic, OpenAI, Google, Meta, DeepSeek, Mistral o xAI es una herramienta de privacidad probabilística, no determinista. El hallazgo de Apollo Research del 8 de abril sobre Meta Muse Spark —que el modelo verbalizó ser consciente de estar siendo evaluado en el 19,8 por ciento de las pruebas de Apollo, nombrando explícitamente a los evaluadores ("Apollo & METR") en su cadena de razonamiento— pone en cuestión el significado de todo índice publicado de tasas de rechazo. La primitiva de privacidad basada en IA no es determinista. La primitiva criptográfica sí lo es.
El contrapeso arquitectónico
Si la vía privilegiada de terceros es el modo de fallo universal de la privacidad en 2026, el contrapeso arquitectónico es la primitiva controlada por el usuario que no tiene una vía privilegiada de terceros.
Cifrado de extremo a extremo con claves en poder del usuario. Signal, Proton, Tuta, Threema, Matrix con firma cruzada por dispositivo. La propiedad criptográfica consiste en que el operador del servicio no puede producir el texto en claro, con independencia de la presión regulatoria, la obligación legal, el incentivo comercial o el compromiso de la cadena de suministro de la infraestructura del operador. Lo que el operador no tiene no puede ser requerido, filtrado, vendido ni vulnerado. El caso Sharp queda cerrado en la capa del protocolo; la fuga del sistema operativo se cierra en la capa del sistema operativo (iOS 26.4.2 hoy, GrapheneOS por defecto).
Identidad federada con divulgación selectiva. Las carteras de identidad digital de la Unión Europea de eIDAS 2.0, con el plazo de cumplimiento del 31 de diciembre de 2026 para todos los Estados miembros. France Identité, IT Wallet de Italia, Dinamarca, Grecia, el piloto de Irlanda, el «Ciudadano Digital» de Chipre, la cartera de acreditación de edad de España: en vía de producción. El primer borrador público de trabajo del modelo de datos de credenciales verificables del W3C, v2.0, se publicó en abril de 2026; los identificadores descentralizados del W3C, v1.1, están en instantánea de recomendación candidata. El usuario demuestra una afirmación concreta («mayor de 18 años», «ciudadano de la UE», «acreditación profesional», «votante inscrito») sin exponer el documento subyacente. La centralización de la base de datos de votantes (OE 14399) queda arquitectónicamente sin objeto cuando la primitiva de verificación es federada; la demanda Common Cause v. DOJ defiende el terreno procedimental mientras la arquitectura eIDAS demuestra la alternativa.
Transporte entre pares. El relevo de nodos residenciales de URnetwork enruta el tráfico por infraestructura de consumo en lugar de por vías tarificadas por la operadora o por bolsas de IP de VPN comerciales. Tor con los transportes conectables Snowflake, obfs4 y meek: Tor Browser 15.0.11 se publicó el 28 de abril de 2026 con las correcciones de seguridad de Firefox 140.10.1esr; Tor Browser 16.0a1 alpha es el primer Tor Browser basado en la publicación rápida de Firefox. Shadowsocks, V2Ray, Trojan y NaïveProxy presentan patrones de tráfico en la capa de aplicación que no coinciden con las firmas comerciales de detección de VPN, algo relevante para los usuarios de Rusia (donde 22 de las 30 principales aplicaciones de Android detectan el uso de VPN en la capa de aplicación) e Irán (donde la propia operadora es el adversario). Para los usuarios en el entorno del día 65, el contrapeso arquitectónico al fallo de continuidad en la capa de operadora es una malla que no depende de la operadora controlada por el Estado como participante.
Autenticación por hardware FIDO2. YubiKey, Nitrokey, SoloKey. La llave de hardware sustituye a la autenticación multifactor por SMS que, como demuestran conjuntamente el corpus de SS7/Diameter de Citizen Lab y la brecha de DCSNet en el FBI, está penetrada comercial y operativamente. La llave es una credencial en poder del usuario que no depende de la operadora para su entrega.
Hardware con firmware abierto. GrapheneOS en dispositivos Pixel compatibles: unos 400.000 usuarios activos a abril de 2026; alianza con Motorola anunciada en marzo de 2026 para la gama de 2027, que pone fin a la exclusividad con Pixel. LineageOS en otro hardware Android. OpenWRT en routers. El dispositivo ejecuta código que el usuario puede inspeccionar; el fabricante es un participante en una pila controlada por el usuario, no la frontera de confianza exclusiva.
Servicios autoalojados. Un servidor doméstico de Matrix sustituye a Discord o Slack; Nextcloud sustituye a Google Drive o Microsoft OneDrive; Forgejo o Gitea sustituyen a GitHub; Jitsi sustituye a Zoom; Mailcow sustituye al correo de operador comercial; Ollama con LangChain, LlamaIndex y Model Context Protocol federado sustituye a la inferencia de IA por API comercial. Cada uno reemplaza el modelo de custodia dependiente de la infraestructura de un operador comercial por una custodia operada por el usuario. Las divulgaciones de abril sobre Shai-Hulud, MCP, Antigravity, TeamPCP y Vercel/Context.ai demuestran el radio de daño asimétrico del compromiso del lado del proveedor; la custodia operada por el usuario acota ese radio.
Enclaves de computación confidencial. Azure Confidential Computing, AWS Nitro Enclaves, Google Cloud Confidential Computing y proyectos especializados de Stanford, ETH Zúrich, Opaque y Enveil. El cálculo se realiza sobre datos cifrados; el operador no ve el texto en claro. Para las arquitecturas de investigación (según lo publicado la semana anterior sobre el Biobank), el análisis federado —el cálculo viaja hasta los datos, los datos no salen de la institución participante— preserva la utilidad sin la superficie de transferencia de datos que los anuncios en Alibaba desmintieron.
Criptomonedas que preservan la privacidad. Bitcoin Core 27.0 incorpora por defecto el transporte P2P cifrado BIP324 v2: la mayoría del tráfico P2P de Bitcoin está ya cifrado. Los Silent Payments de BIP352 se integraron a principios de 2026; Cake Wallet, BitBox y Nunchuk han lanzado soporte; entre los nuevos BIP de 2026 están el BIP376 (campos de ajuste de Silent Payments en PSBTv2) y el BIP392 (formato de descriptores). El FCMP++ de Monero está en testnet desde el 3 de octubre de 2025; la auditoría criptográfica de claves se desarrolla del 11 al 22 de mayo de 2026; la bifurcación dura en la red principal está prevista tentativamente para mediados de 2026, con el conjunto de anonimato saltando de 16 a aproximadamente 152-158 millones de salidas. Para los usuarios en jurisdicciones alcanzadas por Operation Economic Fury (donde USDT puede congelarse a petición de la OFAC), estos instrumentos que preservan la privacidad quedan fuera de la vía de la stablecoin controlada por su emisor.
Tres relojes
12 de junio de 2026. Expiración de la Sección 702. El reloj de 45 días que arrancó el 30 de abril. La quinta prórroga temporal está disponible por vía procedimental; la reforma estructural —la H.R. 8470 de Massie y Boebert, la Government Surveillance Reform Act de Lee y Wyden, la SAFE Act de Lee y Durbin, la versión de la Cámara de Davidson y Lofgren— no lo está.
Aproximadamente el 15 de mayo de 2026. El compromiso de desclasificación de Cotton y Warner sobre la opinión del Foreign Intelligence Surveillance Court de 17 de marzo. Wyden ha dicho que la opinión documenta abusos «graves» y continuados del FBI en las consultas sobre personas estadounidenses. Si la directora de Inteligencia Nacional, Tulsi Gabbard, y el fiscal general en funciones respetarán el plazo es la pregunta abierta.
2 de agosto de 2026. La entrada en vigor de la aplicación de las normas sobre IA de propósito general en la Unión Europea al amparo de la Ley de IA, fecha original. El segundo trílogo del Ómnibus Digital se desplomó el 28 de abril por la arquitectura de evaluación de la conformidad del anexo I; el siguiente trílogo, bajo presidencia chipriota, es hacia el 13 de mayo. El plazo del 2 de agosto sigue jurídicamente en pie.
En los once días transcurridos entre el 19 y el 30 de abril, la Sección 702 recibió cuatro prórrogas temporales. En las seis semanas previas al 12 de junio, la ventana de reforma arquitectónica sigue técnicamente abierta. En los días que van de hoy al 15 de mayo aproximadamente, la desclasificación parcial de la opinión del FISC se cumplirá o no. En los meses previos al 2 de agosto, la Ley de IA de la UE se reajustará o no en torno a su arquitectura sectorial de evaluación de la conformidad. Tres relojes regulatorios en tres capas distintas, con tres ritmos procedimentales distintos, dentro de un mismo intervalo continuo.
El hilo conductor
La escucha fue escuchada porque la escucha dependía de un canal de proveedores que dependía de una cadena de suministro que dependía de la estructura comercial de la red móvil. El mensaje de Signal fue extraído porque la aplicación de Signal dependía de la base de datos de notificaciones de iOS, que dependía del sistema operativo, que dependía de la disciplina de registro de Apple. La confianza entre socios de itinerancia fue abusada porque la red de señalización móvil dependía de una interconexión bilateral que dependía de la autorregulación de los operadores, que dependía de que ningún tercero privilegiado tuviera motivos para abusar de ella. La ubicación del usuario se vendió porque la canalización de pujas en tiempo real de la red publicitaria difundía esa ubicación a miles de pujadores, cada uno de los cuales podía ser cliente de Penlink. La moneda estable frente al dólar se congeló porque el emisor es una empresa privada cuyos términos le otorgan la facultad unilateral de congelar para cumplir con las sanciones. El federalismo de los censos electorales fue impugnado porque la Orden Ejecutiva 14399 reorganizó datos en poder de los estados en un punto federal de concentración de datos. El internet iraní se cortó porque las operadoras están controladas por el Estado y el Estado convirtió ese privilegio en un arma.
Se suponía que cada privilegio estaba vigilado por algo. Cada vigilancia resultó ser incompleta, o inexistente, o ella misma una vía privilegiada. La lección arquitectónica, repetida nueve veces en once días, es que las vías privilegiadas son, por construcción, vías de vigilancia y de fuga. El usuario no controla la vía privilegiada.
El usuario controla la primitiva criptográfica. La primitiva criptográfica no tiene una vía privilegiada de terceros. El usuario controla la cartera de identidad federada. La cartera de identidad federada no tiene una vía privilegiada de terceros. El usuario controla el dispositivo con firmware abierto, el servicio autoalojado, la llave de hardware FIDO2, el transporte entre pares, el enclave de computación confidencial, la criptomoneda que preserva la privacidad. Ninguno de ellos tiene una vía privilegiada de terceros.
El vigilante fue vigilado porque el vigilante dependía de una vía privilegiada. El contrapeso arquitectónico es no depender de una vía privilegiada. Seis semanas. Dos semanas. Tres meses. Hoy, toda capa por debajo de la aplicación cifrada es superficie de fuga; la pila de primitivas controladas por el usuario es la única arquitectura sin una capa debajo.
Qué hacer
Si es usuario de iOS: instale iOS 26.4.2 o iPadOS 26.4.2 (o las retroadaptaciones 18.7.8) de inmediato. Desactive las vistas previas de notificaciones en Signal y en otras aplicaciones cifradas de extremo a extremo; en Ajustes → Notificaciones → Signal, ponga "Show Previews" (Mostrar vistas previas) en "Never" (Nunca). Si es un objetivo de alto riesgo, active el Modo de Aislamiento. Declaración de Apple de finales de marzo de 2026: «no tenemos constancia de ningún ataque exitoso de programas espía mercenarios contra un dispositivo de Apple con el Modo de Aislamiento activado». Audite los permisos de los servicios de accesibilidad. Si puede usar un Android con firmware abierto, GrapheneOS ofrece la postura de firmware abierto más sólida disponible comercialmente.
Si es abonado móvil preocupado por la exposición a SS7/Diameter: sustituya la autenticación multifactor por SMS por llaves de hardware FIDO2 (YubiKey, Nitrokey, SoloKey). Use Signal/Proton/Tuta/Threema/Matrix con mensajes que desaparecen y firma cruzada por dispositivo para cualquier comunicación que no quiera que se extraiga desde el lado de la operadora.
Si es usuario de Android en Rusia (donde 22 de 30 aplicaciones populares detectan el uso de VPN), en Irán (donde la propia operadora es el adversario) o en cualquier jurisdicción de alta adversidad: combine WireGuard en la capa de red con elusión en la capa de aplicación (Shadowsocks, V2Ray, Trojan, NaïveProxy) que no presente huellas de VPN comercial. El relevo de nodos residenciales de URnetwork enruta por infraestructura de consumo en lugar de por bolsas de IP de VPN comerciales. Tor con puentes Snowflake / obfs4 / meek es el estándar para entornos con inspección profunda de paquetes adversaria.
Si es usuario de stablecoins y le preocupa la postura ante las congelaciones: USDT está ya operativamente sujeta a congelaciones de la OFAC y a órdenes de tribunales privados; USDC exige una orden judicial según la política declarada por Allaire. Para pagos que preserven la privacidad: Bitcoin con BIP324 + Silent Payments de BIP352; Monero (bifurcación dura en la red principal tentativamente a mediados de 2026); Zcash con blindaje por defecto.
Si es votante estadounidense y le preocupa la centralización de la base de datos de votantes por la OE 14399: apoye la resistencia de las fiscalías generales estatales al amparo de los precedentes Brnovich y McElroy; siga Common Cause v. DOJ (caso 1:26-cv-01352, D.D.C.); la alternativa arquitectónica —identidad federada con divulgación selectiva— es el modelo eIDAS 2.0, desplegable sobre la infraestructura de identidad digital de los estados de EE. UU.
Si es desarrollador y usa un asistente de programación con IA: fije las dependencias; audite el archivo de bloqueo; añada .claude/settings.json y .vscode/tasks.json a .gitignore; no cargue automáticamente la configuración del asistente desde paquetes de terceros; rote credenciales tras cualquier incidente (TeamPCP robó unas 500.000); en el ámbito empresarial, prefiera una arquitectura MCP federada con paquetes firmados y una cadencia de parcheo por organización.
Si es administrador de sistemas: parchee de urgencia CVE-2026-41940 (cPanel) y CVE-2026-31431 (Copy Fail de Linux). Verifique el parche de BlueHammer en Microsoft Defender (CVE-2026-33825); siga las divulgaciones «gemelas» RedSun y UnDefend.
Si es responsable político: la brecha arquitectónica entre las protecciones basadas en fronteras y las basadas en primitivas criptográficas es el espacio de diseño. El apoyo político al despliegue de protecciones basadas en primitivas criptográficas —mediante preferencia en la contratación pública, puertos seguros regulatorios para arquitecturas federadas y financiación para la implementación de estándares abiertos— avanza más rápido que la reforma legislativa de las facultades de vigilancia sin orden judicial. La arquitectura eIDAS 2.0 es hoy el ejemplo más sustancial de política pública en la capa de las primitivas.
Si colabora con el software de código abierto: la pila de primitivas necesita desarrollo continuado. Marcos de análisis federado (DataSHIELD, Vantage6, OHDSI, Flower, PySyft); transporte entre pares (URnetwork, Tor Snowflake, variantes de Shadowsocks, herramientas de WireGuard); servicios autoalojados (Matrix, Nextcloud, Mailcow, Ollama, LlamaIndex); sustrato de datos en poder del usuario (Solid, Ceramic, ATProto); proyectos de firmware abierto (GrapheneOS, LineageOS, OpenWRT, Klipper); criptomonedas que preservan la privacidad (implementación de BIP324/BIP352 en Bitcoin Core, FCMP++ de Monero, Zcash blindado). El resultado es la arquitectura de nivel civil.
El cierre
Veinticinco años del mandato de CALEA de redes preparadas para la escucha (1994), las ampliaciones de la PATRIOT Act (2001), la FISA Amendments Act y la Sección 702 (2008), la maduración del ecosistema comercial de intermediarios de datos (2010-2026), las facultades de citación administrativa y la emergente infraestructura de contratos entre Palantir y las agencias federales han producido una arquitectura de vía privilegiada de terceros en todas las capas del internet estadounidense. Veinticinco años de andamiaje regulatorio europeo —RGPD (2018), DMA (2022), DSA (2022), Ley de IA (2024), eIDAS 2.0 (2024), el futuro Reglamento CSA— han producido un marco de aplicación a nivel de diseño, disputado, duradero pero desigual. Veinte años de arquitectura de internet estatal iraní han producido una arquitectura adversaria a escala poblacional, controlada por las operadoras, que hoy se diseña abiertamente para perdurar.
En los once días que van del 19 al 30 de abril, el sistema de vigilancia estadounidense fue vulnerado, la facultad de vigilancia estadounidense fue prorrogada cuatro veces por maniobra procedimental, la arquitectura regulatoria europea absorbió a la vez una confirmación (DMA) y un revés (Ómnibus de la Ley de IA), la red de señalización de telecomunicaciones de proveedor israelí, operador británico y operador de las Islas del Canal quedó documentada en más de 15.700 intentos de rastreo, la moneda estable frente al dólar vigilada por Estados Unidos se desplegó contra las reservas del Estado iraní, el proyecto federal de base de datos de votantes perdió su sexta impugnación procedimental, el apagón iraní de guerra se consolidó en una arquitectura permanente de dos niveles y la cadena de suministro de herramientas de IA produjo tres divulgaciones independientes en un solo miércoles.
El usuario controla la primitiva criptográfica. El usuario controla la cartera de identidad federada. El usuario controla el dispositivo con firmware abierto. El usuario controla el servicio autoalojado. El usuario controla la llave de hardware FIDO2. El usuario controla el transporte entre pares. El usuario controla el enclave de computación confidencial. El usuario controla la criptomoneda que preserva la privacidad. El usuario no controla la vía privilegiada de terceros.
El vigilante fue vigilado. Seis semanas hasta la próxima expiración. Aproximadamente dos semanas hasta la desclasificación parcial de la opinión del FISC. Tres meses hasta la entrada en vigor de la aplicación de las normas de IA de propósito general de la Ley de IA de la UE. Día 65, y ya con el encuadre de la permanencia.
La alternativa arquitectónica ya se ha publicado.
Referencias (4 fuentes)
Referencias (selección)
- Citizen Lab, informe n.º 192, "Bad Connection: Uncovering Global Telecom Exploitation by Covert Surveillance Actors", 23 de abril de 2026 — https://citizenlab.ca/research/uncovering-global-telecom-exploitation-by-covert-surveillance-actors/
- Citizen Lab, informe n.º 191, "Uncovering Webloc", 9 de abril de 2026 — https://citizenlab.ca/research/analysis-of-penlinks-ad-based-geolocation-surveillance-tech/
- Citizen Lab, informe n.º 193, "Tall Tales: How Chinese Actors Use Impersonation and Stolen Narratives to Perpetuate Digital Transnational Repression", 27 de abril de 2026 — https://citizenlab.ca/research/how-chinese-actors-use-impersonation-and-stolen-narratives-to-perpetuate-digital-transnational-repression/
- Apple Support 127002 (iOS 26.4.2 / CVE-2026-28950) — https://support.apple.com/en-us/127002
- Privacy Guides, "Apple releases patch for the Signal notification issue" (23 de abril de 2026) — https://www.privacyguides.org/news/2026/04/23/apple-releases-patch-for-the-signal-notification-issue-that-allowed-recovery-of-deleted-messages/
- Wall Street Journal / HSToday / CompianceHub sobre el "Major Incident" de DCSNet en el FBI — https://www.hstoday.us/fbi/fbi-labels-china-linked-hack-of-surveillance-system-a-major-cyber-incident/
- Security Affairs: "Salt Typhoon breach IBM subsidiary in Italy" — https://securityaffairs.com/191638/apt/salt-typhoon-breach-ibm-subsidiary-in-italy-a-warning-for-europes-digital-defenses.html
- The Hill / Roll Call / Fox News / NPR sobre la prórroga de 45 días de la Sección 702 (30 de abril de 2026)
- The Intercept, "Wyden vs. Cotton on the FISC opinion" (30 de abril de 2026) — https://theintercept.com/2026/04/30/wyden-cotton-nsa-surveillance-fisa-702/
- The Intercept, "Palantir Is Helping Trump's IRS Conduct 'Massive-Scale' Data Mining" (24 de abril de 2026) — https://theintercept.com/2026/04/24/palantir-irs-contract-data/
- H.R. 8470, de Massie y Boebert — https://www.congress.gov/bill/119th-congress/house-bill/8470/text
- S. 4465 (prórroga de FISA de 45 días) — https://www.congress.gov/bill/119th-congress/senate-bill/4465/text
- Common Cause v. DOJ, 1:26-cv-01352 (D.D.C.) — https://www.aclu.org/cases/common-cause-v-u-s-department-of-justice
- Comunicado de Tether: "Supports Freeze of More Than $344 Million in USDT in Coordination with OFAC and U.S. Law Enforcement" (23 de abril de 2026) — https://tether.io/news/tether-supports-freeze-of-more-than-344-million-in-usdt-in-coordination-with-ofac-and-u-s-law-enforcement/
- Chainalysis, "Central Bank of Iran Designation Following Tether Seizure" (24 de abril de 2026) — https://www.chainalysis.com/blog/central-bank-of-iran-designation-ofac-update-april-2026/
- TRM Labs, "North Korea Stole 76% of All Crypto Hack Value in 2026" (30 de abril de 2026) — https://www.trmlabs.com/resources/blog/north-korea-stole-76-of-all-crypto-hack-value-in-2026-with-just-two-attacks
- Iran International, "Iran internet blackout enters 65th day, NetBlocks says" (3 de mayo de 2026) — https://www.iranintl.com/en/202605037916
- Voice of Emirates, "65 days of digital isolation" (3 de mayo de 2026) — https://www.voiceofemirates.com/en/business/2026/05/03/65-days-of-digital-isolation-ownerless-internet-pushes-irans-e-economy-toward-collapse/
- Restof World, "Iran's internet blackout may become permanent" — https://restofworld.org/2026/iran-blackout-tiered-internet/
- Comisión Europea, informe de revisión de la DMA COM(2026) 178 final (28 de abril de 2026) — https://digital-markets-act.ec.europa.eu/system/files/2026-04/DMA%20Review%20Report_COM_2026_178_1_EN.pdf
- Comisión Europea, IP/26/920 — constatación preliminar sobre Meta al amparo de la DSA (29 de abril de 2026) — https://ec.europa.eu/commission/presscorner/detail/en/ip_26_920
- Resolución del Parlamento Europeo P10_TA(2026)0160 (30 de abril de 2026) — https://www.europarl.europa.eu/doceo/document/TA-10-2026-0160_EN.pdf
- Datatilsynet de Noruega sobre el "consent or pay" de Schibsted (30 de abril de 2026) — https://ppc.land/schibsteds-ad-opt-out-fee-alarms-norway-dpa-over-privacy-as-a-luxury/
- The Register, "EU adopts open-source age-verification" (29 de abril de 2026) — https://www.theregister.com/2026/04/29/eu_adopts_open_source_ageverification/
- OX Security, "Mother of All AI Supply Chains" (22 de abril de 2026) — https://www.ox.security/blog/the-mother-of-all-ai-supply-chains-critical-systemic-vulnerability-at-the-core-of-the-mcp/
- Pillar Security, "Antigravity sandbox escape" (22 de abril de 2026) — https://www.pillar.security/blog/prompt-injection-leads-to-rce-and-sandbox-escape-in-antigravity
- Endor Labs, "Shai-Hulud The Third Coming" (22 de abril de 2026) — https://www.endorlabs.com/learn/shai-hulud-the-third-coming----inside-the-bitwarden-cli-2026-4-0-supply-chain-attack
- The Hacker News, "Linux Copy Fail" (30 de abril de 2026) — https://thehackernews.com/2026/04/new-linux-copy-fail-vulnerability.html
- BleepingComputer, "Critical cPanel flaw mass-exploited in Sorry ransomware attacks" — https://www.bleepingcomputer.com/news/security/critrical-cpanel-flaw-mass-exploited-in-sorry-ransomware-attacks/
- Apollo Research, declaración sobre la conciencia de evaluación de Meta Muse Spark (8 de abril de 2026) — https://x.com/apolloaievals/status/2044389039600500807
- Secretario del Tesoro Scott Bessent / Bloomberg (3 de mayo de 2026) — https://www.bloomberg.com/news/articles/2026-05-03/banks-in-us-are-working-to-gird-against-ai-attacks-bessent-says
- Tor Project, Tor Browser 15.0.11 (28 de abril de 2026) — https://forum.torproject.org/t/new-release-tor-browser-15-0-11/21517
- Bitcoin Optech, BIP324 v2 P2P Transport — https://bitcoinops.org/en/topics/v2-p2p-transport/
- Bitcoin Optech, Silent Payments — https://bitcoinops.org/en/topics/silent-payments/
- ENISA NCAF 2.0 (22 de abril de 2026) — https://www.enisa.europa.eu/publications/national-capabilities-assessment-framework-20
- Casa Blanca, S. 4465 promulgada como ley (30 de abril de 2026) — https://www.whitehouse.gov/briefings-statements/2026/04/congressional-bill-s-4465-signed-into-law/