Ochenta y ocho días
Terminó esta semana.
Irán restableció el acceso a la internet global a partir de alrededor de las 11:00 UTC del martes 26 de mayo de 2026. Según el recuento de NetBlocks era el día 88 del corte que se intensificó tras los ataques del 28 de febrero — el apagón de internet a escala nacional más largo de la historia moderna. El presidente Masoud Pezeshkian dio la orden el 25 de mayo; el grupo de trabajo del Consejo Supremo del Ciberespacio aprobó el restablecimiento pese a la objeción de los sectores duros. Unos 90 millones de personas habían quedado incomunicadas. El coste económico del periodo de apagón se estima en unos 1.800 millones de dólares.
Hay una manera humana de leer esto, y es la primera lectura correcta: una población de 90 millones de personas está volviendo a conectarse con el mundo tras tres meses a oscuras, y eso es bueno. Los iraníes están de nuevo en línea — hablando con la familia en el extranjero, accediendo a las noticias, haciendo negocios. Cloudflare Radar captó el momento: un aumento marcado tanto del tráfico como de las consultas DNS a partir del 26 de mayo.
Y entonces, el punto de quiebre.
En su punto máximo del 26 de mayo, Cloudflare midió un tráfico que volvía solo a alrededor del 40 por ciento de la actividad máxima observada en lo que va de 2026. El "filternet" — la capa de censura de Irán — permaneció plenamente activo durante todo el restablecimiento. WhatsApp, YouTube e Instagram siguen bloqueados o fuertemente restringidos. Siguen haciendo falta VPN para llegar a lo que el filternet bloquea. El despacho de CNN recogió el estado de ánimo: los iraníes "reaparecen en línea con escepticismo y desafío".
Y bajo el restablecimiento hay un hecho arquitectónico que replantea los 88 días enteros. Un miembro del Consejo Supremo del Ciberespacio de Irán, Mohammad Sarafraz, reveló en mayo — según información de RFE/RL — que Irán importó hardware chino de inspección profunda de paquetes destinado al bloqueo permanente de la internet global para los usuarios corrientes, permitiendo solo un acceso estrechamente vigilado a usuarios seleccionados.
El apagón no fue solo una emergencia. Fue la fase de construcción y demostración de una arquitectura permanente.
Se demostró que el interruptor de apagado funciona durante 88 días. El hardware chino vuelve permanente el estrangulamiento. Que el apagón termine no deshace la arquitectura.
La arquitectura era el objetivo.
Cuarenta por ciento
La cifra más dura del restablecimiento es el 40 por ciento.
Ese es el pico: en su punto más alto del 26 de mayo, según Cloudflare Radar, el tráfico de internet iraní alcanzó solo alrededor del 40 por ciento del máximo de 2026. La cifra se moverá; una medición de pico no es una línea de base fija y permanente, y la conectividad puede seguir subiendo en los días posteriores a la publicación de este texto. Pero el volumen no es lo importante. Lo importante es la forma.
Durante todo el restablecimiento, el filternet siguió plenamente activo. El mismo bloqueo que definió el apagón define el restablecimiento; la diferencia está en el volumen de tráfico que atraviesa el filtro, no en la existencia del filtro. WhatsApp, YouTube, Instagram: siguen bloqueados. VPN: siguen siendo necesarias. La internet restablecida es la internet filtrada, con más caudal.
Los niveles de acceso por clases construidos durante el apagón permanecen como infraestructura estable. El nivel "white SIM" y el costoso nivel "Internet Pro" — en el que profesionales autorizados vinculados al IRGC y a MCI reciben ancho de banda en lista blanca a unos 0,20 € por gigabyte mientras el público general paga aproximadamente 75 € al mes por acceso VPN comercial, un diferencial de aproximadamente 12,5× — no se desmantelaron con el restablecimiento. Se demostraron, se normalizaron y se conservaron. El Quincy Institute llamó al sistema "apartheid digital" en un análisis del 12 de mayo. Los niveles sobrevivieron al apagón.
Esta es la lectura estructural del restablecimiento: que el apagón termine no deshace la arquitectura que construyó. Los 88 días fueron el periodo durante el cual se probó el interruptor de apagado a escala nacional, se levantaron los niveles de acceso y se instaló el hardware chino. El restablecimiento es el sistema entrando en funcionamiento, no el sistema siendo desmantelado.
La cifra de volumen subirá. La forma del acceso — controlado, estratificado, mediado por DPI — es la nueva línea de base.
El estrangulamiento permanente
La inspección profunda de paquetes es el mecanismo que convierte un apagón en un estrangulamiento.
Un apagón es un instrumento romo: la conectividad cae al 4 por ciento de lo normal, como midió NetBlocks en Irán, y todo el mundo queda incomunicado por igual. Es económicamente catastrófico — los 1.800 millones de dólares de coste del apagón son la medida de cuánto — y políticamente caro, porque dejar sin conexión a 90 millones de personas produce 90 millones de agravios. Un apagón no se puede sostener indefinidamente. Por eso este terminó a los 88 días.
El DPI es el instrumento de precisión. En vez de cortar la línea, inspecciona cada paquete en la capa de red y decide — por conexión, por protocolo, por destino — qué pasa. Es el mecanismo del Gran Cortafuegos de China: la capacidad de identificar y bloquear tráfico cifrado sin tumbar la red entera. Permite a un Estado mantener internet "encendida" al 40 por ciento mientras bloquea permanentemente lo que decida, de forma indefinida y a un coste económico y político mucho menor que el de un apagón.
La revelación de Sarafraz — atribuida a un miembro con nombre y apellidos del Consejo Supremo del Ciberespacio, informada por RFE/RL — es que Irán importó hardware chino de DPI exactamente con ese fin: el bloqueo permanente de la internet global para los usuarios corrientes, con acceso estrechamente vigilado para usuarios seleccionados. "Permanente" aquí es intención declarada, todavía no un régimen operativo estable; "already in place" ("ya instalado"), según la información de TechTimes, es el estado del hardware. La distinción importa. Lo que está demostrado es la capacidad y la intención. Lo que está construido es el hardware.
Hacia esto lleva años avanzando la Red Nacional de Información de Irán: la separación total de la internet global, con una red doméstica controlada por el Estado en su lugar. El planteamiento de ARTICLE 19 y de analistas iraníes es preciso: el proyecto transforma el acceso a internet "de un derecho cívico y una herramienta de desarrollo en un lujo, una mercancía controlada por motivos de seguridad". El apagón no interrumpió ese proyecto. El apagón lo hizo avanzar.
La cadena de suministro es en sí misma una superficie de vigilancia. La Ley de Inteligencia Nacional china de 2017, en su artículo 7, obliga a las empresas chinas a cooperar con las operaciones de inteligencia del Estado cuando se les requiera. Un hardware que inspecciona cada paquete en la capa de red, suministrado por empresas sujetas a esa obligación legal, no es solo una herramienta de censura para el Estado importador: es una posible relación de recolección de inteligencia para el exportador. ARTICLE 19 ha documentado esto en Irán como "la infraestructura de opresión de China".
El cortafuegos es un producto
La objeción a todo esto es que Irán es un caso especial — un Estado en guerra, bajo sanciones, con un régimen particular, y por tanto no un patrón generalizable.
El hardware es la razón por la que sí se generaliza.
El Gran Cortafuegos no es solo el sistema doméstico de China. Es un modelo de exportación explícito. El hardware de DPI es una línea de producto, que se vende y se envía; la misma cadena de suministro que equipó a Irán puede equipar a cualquier comprador. La información de RFE/RL sobre la revelación de Sarafraz y la documentación de ARTICLE 19 sobre la infraestructura de censura china en el exterior describen una arquitectura transferible, no un caso aislado. Irán no es la excepción a la regla. Irán es la unidad de demostración.
La arquitectura se generaliza precisamente porque el hardware lo hace. Un Estado no necesita desarrollar un Gran Cortafuegos a lo largo de quince años, como hizo China. Puede comprar la capacidad, instalarla y — como Irán acaba de demostrar — someter el interruptor de apagado a una prueba nacional de 88 días mientras el estrangulamiento de precisión se cablea por detrás.
Quién compra a continuación es una pregunta legítima, y no de las que responde la información disponible. Lo que sí establece la información es que la capacidad es un producto, que el producto tiene al menos un operador nuevo a escala nacional, y que ese operador ejecutó el apagón de internet más largo de la historia registrada como parte de su puesta en marcha.
El contragolpe es un protocolo
El contragolpe a la inspección profunda de paquetes no es una política. Es una propiedad de protocolo.
Los transportes resistentes al DPI están diseñados para derrotar exactamente el mecanismo que Irán está desplegando. Funcionan — son la vía por la que millones de personas dentro de China alcanzan la internet global a través del Gran Cortafuegos cada día — y sus mecanismos están ajustados a la amenaza:
VLESS + Reality toma prestado el saludo TLS de un sitio web real y ajeno, de modo que para una caja de DPI la conexión resulta indistinguible del tráfico HTTPS ordinario hacia ese sitio; no hay una huella distintiva que bloquear.
Shadowsocks-2022 produce un flujo de tráfico sin firma de protocolo reconocible: para el DPI parece bytes aleatorios, sin cabecera ni saludo que cotejar con una lista de bloqueo.
Trojan imita el HTTPS estándar lo bastante de cerca como para que bloquearlo signifique bloquear HTTPS.
obfs4 envuelve el tráfico en una capa de ofuscación de transporte conectable que elimina la firma estadística en la que se fijaría un clasificador.
La red superpuesta entre pares de URnetwork reparte el transporte por una malla de participantes en lugar de por un conjunto fijo de extremos bloqueables; no hay un registro de operadores de servicio público que una caja de DPI pueda consultar.
Son propiedades de protocolo consolidadas, diseñadas y probadas sobre el terreno contra el Gran Cortafuegos. El punto no está en discusión: el DPI se puede derrotar. Precisamente por eso el restablecimiento iraní importa como advertencia y no como tranquilizante.
Porque esa derrota tiene una condición previa.
No se puede instalar después
El hecho operativo más afilado sobre la elusión es que no se puede adquirir después de que caiga el estrangulamiento.
Los transportes resistentes al DPI son software. El software se distribuye por la red. Cuando la red está estrangulada — cuando las tiendas de aplicaciones están bloqueadas, cuando los servidores de descarga son inalcanzables, cuando no se puede obtener la configuración que apunta a un cliente hacia un puente que funcione — la ventana de adquisición ya se ha cerrado. Las herramientas para rodear el estrangulamiento están al otro lado del estrangulamiento.
Los 88 días lo demostraron sobre el terreno. Las personas dentro de Irán que conservaron el acceso durante el apagón fueron, de forma abrumadora, las que se habían preposicionado: quienes ya tenían terminales Starlink en el tejado, aplicaciones de malla como Briar ya instaladas y emparejadas, configuraciones de VPN y de transportes conectables ya cargadas y probadas antes de que cayera la conectividad. Quienes esperaron a necesitar la elusión para salir a buscarla se encontraron con que la búsqueda misma estaba bloqueada.
Esta es la conclusión operativa que impone la fase de DPI permanente. El preposicionamiento ya no es una precaución para una emergencia hipotética. Con hardware chino de DPI instalado para un estrangulamiento permanente, el preposicionamiento es un requisito permanente. La pila de elusión hay que instalarla, configurarla y ejercitarla mientras la red está abierta, porque la próxima contracción puede no tener una fecha de fin a los 88 días.
La pila de primitivas del lado del usuario no es algo a lo que se recurre cuando cae el estrangulamiento. Es algo dentro de lo cual se vive antes de que caiga.
Quince días
El reloj estadounidense corrió en paralelo esta semana, y no es el reloj de Irán.
La Sección 702 de la Foreign Intelligence Surveillance Act expira el 12 de junio: quince días a partir de hoy. El Senado vuelve del receso del Memorial Day el lunes 1 o el martes 2 de junio. La opinión del 17 de marzo del Tribunal de Vigilancia de Inteligencia Extranjera (FISC) sigue clasificada. La Oficina del Director de Inteligencia Nacional dijo el 21 de mayo que la directora Tulsi Gabbard está "trabajando con diligencia para desclasificar"; no se ha comprometido ninguna fecha.
Vale la pena enunciar con precisión la escalada que aparece en la información, con la salvedad que exige. Según lo publicado sobre la opinión del FISC, todavía clasificada, el tribunal constató que, incluso después de que el Departamento de Justicia clausurara una herramienta de filtrado que el FBI utilizó en 2024, el FBI ha estado usando otra herramienta de filtrado similar para realizar consultas sin cumplir los requisitos — y, según esa misma información, la NSA y la CIA están usando herramientas similares para buscar comunicaciones de estadounidenses en los datos de la Sección 702. Esto es información sobre un documento clasificado, no una constatación pública ya juzgada; "with DOJ's blessing" ("con la bendición del Departamento de Justicia") es la caracterización del reportaje. Si es exacta, amplía la preocupación desde las prácticas de consulta de una sola agencia hasta un patrón de toda la comunidad de inteligencia.
La comparación con el filternet iraní hay que hacerla con cuidado, porque los dos casos no son equivalentes y decirlo con claridad es el único encuadre honesto. Estados Unidos tiene derecho de orden judicial, un tribunal contradictorio que escribió la opinión en cuestión, supervisión parlamentaria que negoció su desclasificación y una prensa libre que informa sobre el documento clasificado — nada de lo cual tiene el filternet iraní. El hilo común no es el contexto de derechos, que difiere por completo. El hilo común es la dirección arquitectónica: hacia un mayor control del intermediario. En la columna estadounidense es el Estado consultando datos de comunicaciones que ya obran en su poder. En la columna iraní es el Estado inspeccionando tráfico de comunicaciones en la capa de red. Mecanismos distintos, universos jurídicos distintos, una sola dirección.
La pelea por la §702 en los próximos quince días se librará sobre un programa cuya resolución judicial reciente el Congreso todavía no puede ver.
Una unidad USB en su oficina
La historia cibernética más afilada de la semana es aquella en la que la ingeniería social entró por la puerta principal.
El FBI emitió el 26 y 27 de mayo una alerta FLASH (TLP:Clear) advirtiendo de que el Silent Ransom Group — rastreado también como Luna Moth, Chatty Spider y UNC3753, una banda criminal de extorsión activa desde 2022, no un actor estatal — está atacando a bufetes de abogados con visitas presenciales a sus oficinas. La cadena de ataque empieza de forma convencional: un correo de phishing dirige al objetivo a llamar a un soporte informático falso; la llamada de vuelta presiona a un empleado para que abra una sesión de escritorio remoto. Pero cuando eso falla, el grupo escala físicamente. Un operativo se presenta en la oficina haciéndose pasar por informático, dice que necesita respaldar o clonar un sistema por "posibles problemas" relacionados con el correo de phishing, e inserta un dispositivo de almacenamiento USB en el ordenador.
Ningún malware entregado por la red. Ninguna alerta. Una persona y una memoria USB. Más de 38 bufetes ya figuran en el sitio público de filtraciones del grupo; los investigadores estiman más de 100 ataques en total, con un repunte a principios de 2026.
Es la rima ofensiva de la lección iraní. La lección defensiva del apagón es que la capa independiente del operador — lo que no se enruta por la red controlada — es lo que sobrevive. La versión ofensiva es que el atacante que rodea la red rodea los controles de la red. Un adversario que pasa una memoria USB por delante del cortafuegos ha derrotado al cortafuegos, exactamente igual que un defensor que preposiciona un terminal Starlink ha derrotado al apagón. La red no es todo el perímetro, para ninguno de los dos bandos.
El resto de la columna cibernética de la semana completa el mismo patrón de exposición del custodio centralizado. Carnival confirmó una brecha que afecta a casi 6 millones de personas — otro gran conjunto de datos en manos de un único custodio, perdido de una sola vez. Una vulnerabilidad en las imágenes de contenedor de Gitea, divulgada el 28 de mayo, permitía a los atacantes descargar imágenes de contenedor privadas, exponiendo código fuente, credenciales e infraestructura — un recordatorio de que la capa autoalojada acarrea su propia carga de disciplina; el control viene con responsabilidad. El mismo día se divulgó una vulnerabilidad de secuestro de cuentas en Pretalx, la herramienta de gestión de congresos de código abierto. Y el plazo de remediación FCEB para la CVE-2026-42897 de Microsoft Exchange OWA vence mañana, 29 de mayo — día 14 de explotación activa, todavía sin parche definitivo, solo mitigación.
Las capas y la tubería
La columna de países receptores muestra esta semana una primitiva capturada en cada nivel de la pila.
México — 33 días hasta el plazo de la CURP Biométrica del 30 de junio, cuando aproximadamente 127 millones de líneas móviles sin registrar se enfrentan a la suspensión. El registro sigue por debajo del 10 por ciento. La capa capturada es el registro de identidad.
Níger — día 20 del veto a nueve medios internacionales; Burkina Faso — día 23 del veto permanente a TV5 Monde. La capa capturada es el radiodifusor.
Hong Kong — la Ley de Seguridad Nacional se está operativizando para forzar el descifrado contra personas concretas. La capa capturada es el dispositivo, en el momento de la coacción por vía legal. Aquí es donde el cifrado de extremo a extremo alcanza su límite y hay que decirlo con honestidad: el cifrado de extremo a extremo protege un mensaje frente a su divulgación por la plataforma, pero no protege un teléfono que su dueño ha sido legalmente obligado a desbloquear. El contragolpe en la capa del dispositivo frente a un extremo coaccionado no es el cifrado por sí solo: es un sistema operativo endurecido (GrapheneOS, CalyxOS) más seguridad operativa más, donde la ley lo permita, una compartimentación plausible. El protocolo no absuelve al operador.
Frente a cada capa capturada, la tubería de protocolos entrega un contragolpe, y esta semana lo entregó al margen del calendario de cualquier Estado:
- Capa financiera: Monero FCMP++ cerró su auditoría con Trail of Bits el 22 de mayo (informe a entre 2 y 6 semanas vista, red principal prevista para el segundo semestre de 2026); Zcash NU7 lanzó su red de pruebas el mismo día.
- Capa de comunicaciones: el cifrado de extremo a extremo DAVE de Discord sigue desplegándose hacia unos 200 millones de usuarios activos mensuales; el Sparse Post-Quantum Ratchet de Signal sigue iterando.
- Capa de red anónima: el Navegador Tor 15.0.14 se publicó el 19 de mayo junto con una ronda de micromecenazgo de diez proyectos; la red superpuesta de URnetwork opera la capa de transporte resistente al DPI.
- Capa de dispositivo: GrapheneOS 2026050900 y CalyxOS 7.2.1.0 siguen siendo las bases endurecidas vigentes.
Una primitiva capturada en cada capa; un contragolpe del lado del usuario en cada capa.
La pila que aguantó
La contabilidad honesta de la pila de primitivas del lado del usuario tiene que incluir sus costes, y esta semana los suministró.
Depende de instituciones: el desarrollo de Tor se financia en buena medida con subvenciones (Open Technology Fund, Departamento de Estado); la auditoría de Monero pasó por Trail of Bits y el MAGIC Monero Fund; la actualización de Zcash pasa por Shielded Labs. La tubería no es autónoma respecto de la aportación institucional. La afirmación que hace esta serie es más estrecha y sobrevive a la concesión: la tubería no se comprime en torno al calendario de ningún Estado concreto, y las primitivas, una vez entregadas, se ejecutan en el dispositivo del usuario al margen del intermediario.
Es de acceso desigual: las personas que conservaron conectividad durante el apagón iraní fueron las que ya tenían terminales Starlink y herramientas preconfiguradas — que no es todo el mundo, y la desigualdad es real. Y acarrea su propia carga de disciplina: la vulnerabilidad de Gitea es el recordatorio de que el autoalojamiento y el control por parte del usuario vienen con responsabilidad, de que la pila premia las primitivas practicadas y castiga las descuidadas. No es magia. Es un conjunto de herramientas que exigen competencia.
Y con todo eso concedido, esto es lo que la semana estableció: la pila de primitivas del lado del usuario es la capa que aguantó 88 días de control total del operador. Cuando el Estado cortó la red a 90 millones de personas durante el periodo más largo de la historia registrada, quienes siguieron conectados lo siguieron a través de Starlink, a través de la malla, a través de la elusión preposicionada — a través de las partes de la pila que no se enrutan por el intermediario controlado. Esa es la prueba individual más sólida que esta publicación ha documentado en toda la serie de estas ediciones. El apagón más largo de la historia moderna no pudo alcanzar del todo la capa independiente del operador.
Ochenta y ocho días demostraron que el interruptor de apagado funciona y construyeron el estrangulamiento que viene después. El hardware chino de DPI está instalado. El restablecimiento es un 40 por ciento dentro de un filternet que nunca se apagó. Restablecer no es volver.
La arquitectura era el objetivo.
El contragolpe también — y tiene que estar en pie antes de la próxima contracción, porque las herramientas para rodear el estrangulamiento viven al otro lado del estrangulamiento.
Ochenta y ocho días.
El interruptor se queda. Preposicione la pila.
URnetwork es una red superpuesta entre pares para transporte resistente a la censura, diseñada para resistir la inspección profunda de paquetes en la capa de red. Su lanzamiento del servidor MCP del 19 de febrero de 2026 permite a los clientes agénticos establecer sesiones VPN sobre la red superpuesta entre pares, abstrayendo el transporte de la capa del operador. URnetwork no figura en el registro de operadores de servicio público de ninguna de las leyes ni de los sistemas citados en este artículo.
https://ur.io