Siete agencias de ciberseguridad advierten que la migración ya no puede posponerse mientras actores maliciosos almacenan datos cifrados para descifrarlos en el futuro
Un grupo de trabajo de ciberseguridad del G7 emitió en junio durante la Cumbre en Francia un informe conjunto que redefine la amenaza cuántica como un riesgo económico inmediato, no como un problema criptográfico distante. El documento, firmado por CISA de Estados Unidos, el NCSC del Reino Unido, ANSSI de Francia, BSI de Alemania, CSE de Canadá, NCO de Japón y ACN de Italia, establece que las organizaciones ya no pueden permitirse posponer la transición a encriptación post-cuántica. La advertencia llega en un momento en que la administración Trump movió la fecha límite de migración federal de 2035 a 2030, mientras Google y otras empresas adelantaron sus propios cronogramas a 2029.
Por qué la amenaza cuántica ya está operando sin computadoras cuánticas funcionales
El informe del G7 identifica una paradoja que muchas organizaciones no terminan de procesar: la amenaza cuántica no requiere que exista una computadora cuántica operativa hoy. Actores maliciosos ya están recolectando datos encriptados actuales con la intención de descifrarlos en el futuro, cuando la tecnología cuántica esté disponible. Esta estrategia, conocida como «harvest now, decrypt later», convierte cada comunicación sensible cifrada hoy en un activo vulnerable mañana.
Las agencias del G7 advierten además que las computadoras cuánticas podrían comprometer mecanismos de autenticación y aseguramiento, permitiendo la falsificación de datos confiables o el robo de confirmaciones. Esto pondría en riesgo no solo comunicaciones seguras sino contratos legales y transacciones financieras que dependen de firmas digitales basadas en criptografía de clave pública tradicional.
Cómo la realidad de los algoritmos post-cuánticos complica la transición
Los algoritmos de encriptación post-cuántica fueron diseñados por criptógrafos independientes y validados por NIST y la NSA, pero el proceso enfrenta una limitación fundamental: nadie puede probar su resistencia contra una computadora cuántica porque ninguna existe todavía con capacidad suficiente. El diseño de estas protecciones requiere estimaciones matemáticas y suposiciones sobre cómo funcionará la tecnología cuántica a escala.
Esas estimaciones pueden fallar. Algunos algoritmos seleccionados por NIST ya fueron rotos usando computadoras tradicionales o inteligencia artificial, lo que obligó a la agencia a respaldar múltiples algoritmos simultáneamente y promover el concepto de criptoagilidad: la capacidad de cambiar rápidamente entre diferentes esquemas criptográficos cuando uno resulta comprometido. Esta complejidad técnica explica en parte por qué muchas organizaciones fuera del gobierno federal y el sector financiero altamente regulado siguen posponiendo la migración.
El desfase entre sectores críticos y el resto de la industria
El grupo de trabajo del G7 reconoce que la transición avanza a dos velocidades. El gobierno federal estadounidense y el sector financiero, sometidos a regulación estricta, mantienen cronogramas definidos. Pero en otras industrias, los responsables de sistemas críticos priorizan amenazas que perciben como más inmediatas, dejando la preparación cuántica para después.
El informe señala que la amenaza cuántica permanece fuera del radar para muchas organizaciones y no recibe recursos adecuados. Los líderes en gobierno e industria, según el documento, deben replantear el problema cuántico como una amenaza de corto plazo que demanda acción en todos los sectores, no solo en infraestructura crítica. La transición exitosa, insisten las agencias firmantes, solo puede lograrse con compromiso temprano, planificación coordinada y toma de decisiones informada entre los sectores público y privado.
Qué significa esto para América Latina en un contexto de dependencia tecnológica
América Latina enfrenta esta transición desde una posición de dependencia estructural. La región importa la mayoría de sus soluciones de encriptación de proveedores estadounidenses y europeos, lo que significa que los cronogramas de migración post-cuántica de esos proveedores determinarán en gran medida cuándo y cómo las organizaciones latinoamericanas podrán actualizar sus sistemas. Sectores como banca y telecomunicaciones en México, Brasil y Colombia, que ya adoptaron estándares de seguridad alineados con regulaciones internacionales, probablemente sigan el ritmo de sus proveedores globales. Pero industrias menos reguladas, como comercio minorista o salud en países con menor madurez en ciberseguridad, podrían quedar expuestas durante años si no hay políticas públicas que aceleren la adopción.
El riesgo de recolección de datos cifrados actuales para descifrado futuro afecta especialmente a organizaciones que manejan información con valor de largo plazo: registros médicos, propiedad intelectual, comunicaciones diplomáticas. En una región donde la inversión en ciberseguridad ya es limitada, agregar la migración post-cuántica a la lista de prioridades compite con necesidades básicas de seguridad que muchas organizaciones todavía no resolvieron.
Nuestro análisis
El informe del G7 marca un cambio de tono en la comunicación oficial sobre amenazas cuánticas: deja de tratarlas como un problema técnico futuro y las posiciona como un riesgo económico presente. Esa reformulación es deliberada. Las agencias de ciberseguridad más importantes del mundo están intentando romper la inercia de organizaciones que ven la transición post-cuántica como algo que pueden posponer indefinidamente. La decisión de la administración Trump de adelantar cinco años la fecha límite federal y el movimiento de Google hacia 2029 refuerzan esa urgencia, pero también exponen una brecha: si el gobierno y las grandes tecnológicas migran antes que el resto de la industria, se crea una ventana de vulnerabilidad donde actores maliciosos pueden concentrarse en objetivos más blandos.
Lo que el informe no resuelve es cómo financiar esta transición en sectores donde los márgenes son ajustados y la ciberseguridad ya compite por presupuesto con operaciones básicas. La criptoagilidad que NIST promueve como solución técnica requiere arquitecturas de software que muchas organizaciones no tienen, especialmente en sistemas heredados que llevan décadas en producción. La pregunta que queda abierta es si la industria logrará migrar antes de que una computadora cuántica suficientemente potente exista, o si la carrera ya está perdida para los datos sensibles que se están recolectando hoy.