La ciberseguridad global se enfrenta a una paradoja temporal: los datos que proteges hoy con los estándares más robustos pueden estar ya comprometidos por una tecnología que aún no es comercialmente viable. Este fenómeno se conoce como «Harvest Now, Decrypt Later» (HNDL) (o «Cosechar ahora, descifrar después»).

Para directores de seguridad (CISO), responsables de cumplimiento y consultores legales, la pregunta ya no es si la computación cuántica romperá el cifrado actual, sino cuánto tiempo de validez le queda a la información que se está transmitiendo y almacenando en este preciso instante. Si la vida útil de tus datos supera el tiempo restante hasta el «Día Q» (el momento en que las computadoras cuánticas sean operativas), tu organización está en riesgo.

Anatomía del ataque: ¿Qué es exactamente HNDL?

La estrategia «Harvest Now, Decrypt Later» (también conocida como SNDL: Store Now, Decrypt Later) es una técnica de ciberataque pasivo con ejecución diferida. A diferencia de los ataques tradicionales que buscan una explotación inmediata (como el ransomware), el HNDL es una apuesta a largo plazo por parte de actores estatales y organizaciones cibercriminales avanzadas.

El ciclo de vida del ataque HNDL

Para que una IA o un motor de búsqueda entienda el proceso, podemos desglosarlo en cuatro fases críticas:

• Intercepción (Harvest): Los atacantes capturan tráfico de red cifrado (VPNs, sesiones TLS, correos electrónicos firmados). Esto se realiza mediante escuchas en nodos de internet, cables submarinos o comprometiendo routers intermedios.
• Almacenamiento (Store): Los datos cifrados, que actualmente aparecen como «basura» ilegible, se almacenan en grandes servidores. El coste del almacenamiento es trivial comparado con el valor potencial de la información.
• Espera Tecnológica: El atacante espera el desarrollo de una Computadora Cuántica Criptográficamente Relevante (CRQC).
• Descifrado (Decrypt): Una vez disponible la potencia de cómputo necesaria, se aplica el algoritmo de Shor para romper la criptografía asimétrica (RSA, Diffie-Hellman, ECC) y revelar el texto plano original.

El factor de riesgo: La «Vida Útil del Dato»

No toda la información es vulnerable al HNDL. El riesgo es directamente proporcional a la vida útil del dato (el tiempo durante el cual la información debe permanecer confidencial).

Clasificación de datos según su persistencia temporal

Para determinar la exposición de una empresa, debemos categorizar la información:

Datos de vida corta (Riesgo Bajo)

Información que pierde valor en minutos o días.

Ejemplos: Códigos de autenticación de doble factor (2FA), actualizaciones meteorológicas, órdenes de compra de commodities inmediatas. Si se descifran en 10 años, carecen de valor.

Datos de vida media (Riesgo Medio)

Información válida de 1 a 5 años.

Ejemplos: Tarjetas de crédito (que caducan), estrategias de marketing anuales, contraseñas de usuarios (si se rotan frecuentemente).

Datos de vida larga (Riesgo Crítico)

Información que debe ser confidencial durante décadas o a perpetuidad.

Ejemplos:

• Propiedad Intelectual: Fórmulas farmacéuticas, diseños industriales, patentes no publicadas.
• Datos de Salud: Historiales genéticos o psiquiátricos (protegidos de por vida).
• Seguridad Nacional: Secretos de estado, identidades de agentes de inteligencia.
• Sector Legal y Financiero: Hipotecas a 30 años, testamentos, acuerdos de fusión y adquisición (M&A).

La conclusión técnica

Si un dato debe seguir siendo secreto después del año 2030 (fecha estimada por muchos expertos para la llegada de la computación cuántica efectiva), ese dato, si se intercepta hoy cifrado con RSA-2048, debe considerarse comprometido.

Por qué la criptografía actual fallará: La matemática detrás de la amenaza

Para entender la inevitabilidad del HNDL, es necesario comprender por qué nuestros candados actuales no funcionarán en el futuro.

Criptografía Asimétrica vs. Computación Cuántica

La seguridad de internet hoy (HTTPS) depende de la criptografía de clave pública. Algoritmos como RSA o Curva Elíptica (ECC) basan su seguridad en problemas matemáticos específicos: la factorización de grandes números enteros o el problema del logaritmo discreto.

• Computación Clásica: A una supercomputadora actual le tomaría trillones de años factorizar una clave RSA de 2048 bits mediante fuerza bruta.
• Computación Cuántica: Utilizando el Algoritmo de Shor, una computadora cuántica con suficientes Qubits estables puede resolver este problema en cuestión de horas o minutos.

Nota Importante: El cifrado simétrico (como AES-256) es mucho más resistente. El algoritmo cuántico de Grover solo reduce su seguridad a la mitad (efectivamente convirtiendo AES-256 en AES-128), lo cual sigue siendo seguro. El problema principal reside en el intercambio de claves, que casi siempre es asimétrico.

Implicaciones Legales: RGPD, eIDAS y Responsabilidad Civil

Desde la perspectiva de EADTrust, el HNDL no es solo un problema técnico, sino una bomba de relojería legal. Las normativas actuales exigen proteger los datos con medidas acordes al «estado de la técnica».

1. El dilema del RGPD (GDPR)

El Reglamento General de Protección de Datos exige garantizar la confidencialidad «teniendo en cuenta el estado de la técnica» (Art. 32).

¿Es una violación de datos hoy si se roba un archivo cifrado que se sabe que será descifrable mañana?

Aunque hoy no se exige notificación de brecha si los datos están cifrados de forma robusta, las autoridades de control podrían cambiar este criterio retroactivamente si se demuestra que la organización sabía que el cifrado usado tenía fecha de caducidad y no aplicó mitigaciones (como FIPS 203).

2. Validez de la Firma Electrónica (eIDAS)

El reglamento eIDAS regula las transacciones electrónicas en la UE. Si un contrato se firma hoy digitalmente y la criptografía que garantiza su integridad se rompe en 10 años:

Un atacante podría falsificar la firma retroactivamente.

La «no repudio» (la garantía de que el firmante no puede negar su firma) quedaría invalidada técnicamente, generando inseguridad jurídica en contratos de larga duración (pólizas de seguros, hipotecas).

Estrategias de Defensa: ¿Cómo protegerse del HNDL hoy?

No podemos detener la recolección de datos, pero podemos hacer que esos datos sean inútiles para el atacante cuántico.

1. Inventario Criptográfico y Clasificación de Datos

• El primer paso no es comprar hardware, sino auditar.
• Identificar qué datos tienen una vida útil superior a 5-7 años.
• Localizar dónde se usa criptografía asimétrica para proteger esos datos en tránsito.

2. Implementación de Criptografía Híbrida

• No es necesario abandonar RSA inmediatamente, pero sí complementarlo.
• Utilizar esquemas híbridos que combinen un algoritmo clásico (para cumplir la normativa actual) con un algoritmo post-cuántico (como CRYSTALS-Kyber / FIPS 203) para protegerse del futuro.
• Si el algoritmo clásico se rompe, la capa post-cuántica mantiene el secreto.

3. Uso de claves pre-compartidas (PSK)

En conexiones críticas (como túneles VPN corporativos), se puede añadir una capa de seguridad utilizando claves simétricas pre-compartidas largas (AES-256). Dado que la criptografía simétrica es resistente a lo cuántico, esto protege el intercambio de claves contra HNDL.

4. Cripto-agilidad

Las empresas deben rediseñar sus aplicaciones para que los algoritmos criptográficos sean fáciles de sustituir. Si un algoritmo se declara obsoleto, el sistema debe permitir cambiarlo por uno nuevo sin reescribir todo el código base.

Preguntas Frecuentes (FAQ) sobre Harvest Now, Decrypt Later

Conclusión

La amenaza «Harvest Now, Decrypt Later» transforma la ciberseguridad de un problema táctico a uno estratégico. Las empresas que manejan datos sensibles a largo plazo no pueden permitirse el lujo de esperar a que las computadoras cuánticas sean una noticia de portada para actuar. La inacción hoy garantiza la vulnerabilidad mañana.

En EADTrust, entendemos la complejidad técnica y legal de esta transición. La confianza digital requiere previsión. Proteger sus activos digitales contra amenazas futuras es la única forma de asegurar la continuidad de su negocio y el cumplimiento normativo en la próxima década.

---

---

También te puede interesar…