Hace dos años, tras el hackeo de las grandes operadoras de Estados Unidos atribuido al grupo Salt Typhoon, la CISA recomendó a los ciudadanos cifrar sus comunicaciones: aunque alguien las interceptara, leerlas sería «imposible» (NBC News). Era verdad, y hoy lo sigue siendo. La pregunta es hasta cuándo: el Electronic Privacy Information Center (EPIC) ya advirtió de que la llegada de la computación cuántica hace cada vez más atractivo interceptar datos cifrados para leerlos más adelante.
Esta vez, frente a la amenaza, ya hay estándares, calendarios y gobiernos moviendo ficha. La mala noticia es que migrar la criptografía de todo un ecosistema digital lleva años, y la inteligencia artificial está acelerando el reloj por los dos lados.
El ataque cuántico ya ha empezado, aunque el ordenador que lo vaya a ejecutar todavía no se haya puesto a trabajar. Harvest now, decrypt later (cosecha ahora, descifra después): copiar hoy datos cifrados que no se pueden leer, guardarlos y esperar a que un ordenador cuántico sea capaz de abrirlos.
¿Cómo protegemos hoy la información y qué cambia la computación cuántica?
Casi toda la seguridad digital actual descansa en el cifrado asimétrico (RSA y curvas elípticas), y un ordenador cuántico lo bastante grande podría romperlo.
Cifrar es, en esencia, transformar un mensaje en algo ilegible con ayuda de una clave. La seguridad de la máquina Enigma, en la Segunda Guerra Mundial, descansaba en un número astronómico de combinaciones posibles. La llegada del ordenador lo cambió todo: el primer ordenador programable se diseñó precisamente para descifrar las comunicaciones del Eje.
Los métodos tuvieron que evolucionar. En los años setenta nació el cifrado asimétrico: una clave pública, que cualquiera puede conocer, y una clave privada, que solo guarda su dueño. Resolvió el viejo problema de cómo intercambiar claves de forma segura, y su fortaleza ya no depende de un secreto compartido, sino de la dificultad de ciertos cálculos matemáticos. Sobre ese principio se apoyan RSA y las curvas elípticas y, con ellos, la banca online, el correo, los certificados digitales y la firma electrónica.
Ahí entra la computación cuántica. Un ordenador clásico trabaja con bits que valen 0 o 1; uno cuántico, con qubits, que aprovechan propiedades como la superposición y el entrelazamiento (NIST). Conviene desmontar la explicación más repetida: no es un ordenador que «prueba todas las combinaciones a la vez». Es una máquina distinta, extraordinariamente buena en unos pocos problemas muy concretos. El problema para la ciberseguridad es que, entre ellos, están justo los cálculos que sostienen el cifrado asimétrico.
No todo es amenaza: la misma tecnología que promete avances en química, materiales o inteligencia artificial es la que obliga a replantear cómo protegemos los datos. Y ya se están haciendo avances: en Europa, la donostiarra Multiverse Computing ya ha ejecutado capas de un modelo de lenguaje en un procesador cuántico de IBM.
¿Qué es el algoritmo de Shor y por qué amenaza al cifrado actual?
El algoritmo de Shor (1994) permite a un ordenador cuántico factorizar números enormes y calcular logaritmos discretos de forma eficiente, que son los dos problemas que protegen RSA y las curvas elípticas.
En 1994, el matemático Peter Shor demostró que un ordenador cuántico podría factorizar números enormes y calcular logaritmos discretos de forma eficiente. Son exactamente los dos problemas que sostienen RSA y las curvas elípticas. El capitán de fragata Yoann Guglielmetti, autor de un análisis publicado por el Ministerio de Defensa de España, lo ilustra con una comparación: con las claves actuales, un superordenador tardaría miles o millones de años en factorizar, mientras que el coste del algoritmo de Shor crece de forma mucho más contenida. Treinta años después, el algoritmo sigue esperando una máquina lo bastante grande para ejecutarlo.
En 1996 llegó el algoritmo de Grover, que acelera las búsquedas a ciegas. Durante años se repitió que eso «partía por la mitad» la seguridad del cifrado simétrico. El Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST, por sus siglas en inglés) lo matiza en sus preguntas frecuentes: considera muy probable que Grover aporte poca o ninguna ventaja real contra AES (Advanced Encryption Standard), el estándar de cifrado simétrico que protege desde las conexiones web hasta los discos duros. El motivo es que el ataque no se puede repartir de forma eficiente entre varias máquinas, y por eso el organismo prevé que incluso AES-128 siga siendo seguro durante décadas. El criptógrafo Filippo Valsorda lo resume como un consenso casi unánime entre expertos y organismos de normalización.
Hay un detalle que lo explica todo: el candado aguanta, pero la llave viaja en un sobre que sí se abre. En una conexión cifrada, los datos van protegidos con cifrado simétrico, pero la clave de cada sesión se acuerda con criptografía asimétrica. Quien rompa ese intercambio con Shor recupera la clave sin tocar el candado. Es justo lo que aprovecha el harvest now, decrypt later, y la razón por la que Cloudflare empezó la migración por el intercambio de claves. Pasa también en apps como WhatsApp, y por eso Signal e iMessage ya blindan ese paso con criptografía postcuántica (Apple).
| Tecnología | Dónde se usa | Ante un ordenador cuántico |
| RSA | Certificados, firma electrónica, intercambio de claves | Se rompe (Shor) |
| Curvas elípticas (ECDSA, ECDH) | Conexiones web, firmas, monederos de Bitcoin | Se rompe (Shor) |
| AES (128 y 256 bits) | Cifrado de datos en reposo y en tránsito | Aguanta, según el NIST |
| SHA-2 y SHA-3 | Integridad de datos, huellas digitales | Aguanta |
| ML-KEM, ML-DSA y SLH-DSA | Los nuevos estándares del NIST (FIPS 203, 204 y 205) | Diseñados para resistir |
¿Cuándo llega el Q-Day? Lo que dicen los números (y lo que no)
El Q-Day es el día en que exista un ordenador cuántico capaz de romper el cifrado actual. Nadie sabe cuándo llegará, pero sí hacia dónde se mueven las estimaciones: hacia abajo.
En 2019, Craig Gidney (Google Quantum AI) y Martin Ekerå calcularon que romper una clave RSA-2048 exigiría unos 20 millones de qubits trabajando durante ocho horas. En mayo de 2025, el propio Gidney rebajó la cifra a menos de un millón de qubits en menos de una semana. En febrero de 2026, un preprint de Iceberg Quantum, aún sin revisión por pares, la situó por debajo de 100.000 con otra arquitectura (The Quantum Insider).
Ahora, la otra cara. Todas esas rebajas han ocurrido en papel: vienen de mejores algoritmos y de nuevas formas de corregir errores, no de máquinas que ya existan. Los qubits son extremadamente frágiles, hasta el punto de que cada qubit «útil» puede requerir del orden de 10.000 qubits físicos solo para corregir errores, según un estudio publicado en EPJ Quantum Technology. Hoy, ningún ordenador cuántico ha roto una clave RSA real.
Las previsiones también bailan. Gartner sitúa en 2029 el momento en que la criptografía asimétrica convencional dejará de ser segura. En cambio, un panel de 37 expertos consultados por el Global Risk Institute veía extremadamente improbable un ordenador así en cinco años, pero muy probable en treinta.
En comunicación sabemos que una amenaza sin fecha es la más difícil de contar: no tiene titular. Por eso el Q-Day lleva décadas siendo noticia de «dentro de diez años», y por eso cada nuevo paper que rebaja la cifra acaba convertido en un «rompen Bitcoin en nueve minutos». Ni lo uno ni lo otro ayuda a decidir, pero hay que moverse ya.
Cosecha ahora, descifra después: el robo que se cobra en diferido
Un atacante copia hoy datos cifrados que no puede leer: comunicaciones, expedientes, datos de identidad. No los descarta: los guarda. Dentro de unos años, un ordenador cuántico rompe la llave y el archivo se abre. El ataque se ejecuta en el futuro, pero la captura ocurre hoy.
Ni siquiera es una idea nueva. Entre 1943 y 1980, el proyecto estadounidense Venona se dedicó a descifrar telegramas soviéticos interceptados durante la Segunda Guerra Mundial. El primer gran avance llegó en 1946, años después de enviados los mensajes, y el programa acabó desvelando el espionaje soviético sobre el Proyecto Manhattan y la red de los Rosenberg (NSA; Center for Cryptologic History). No hizo falta un ordenador cuántico. Bastó con guardar el tráfico y esperar a que el adversario cometiera un error: reutilizar libretas de claves que debían usarse una sola vez.
¿Cuándo debe preocuparnos? El matemático Michele Mosca, de la Universidad de Waterloo, lo resumió en una inecuación que hoy manejan reguladores y responsables de seguridad (IACR, 2015; IEEE Security & Privacy, 2018):
X + Y > Z
X es el tiempo que un dato debe seguir protegido. Y, lo que tarda una organización en migrar su criptografía. Z, lo que falta para que exista un ordenador cuántico capaz de romperla. Si la suma de las dos primeras supera a la tercera, el problema ya existe, aunque el ordenador no. Por eso los ejércitos fueron de los primeros en hacer la cuenta: manejan información que debe seguir siendo secreta durante décadas.
La cuenta es sencilla. Si un dato tiene que seguir siendo confidencial diez años y migrar cuesta cinco, cualquier Q-Day por debajo de quince años convierte el riesgo en presente.
Confiar hoy, falsificar mañana: el ángulo menos contado
El harvest now, decrypt later habla de secretos. Pero la criptografía asimétrica también sirve para otra cosa: firmar. Con ella se demuestra que un certificado, un contrato, una actualización de software o un documento de identidad son auténticos. Y aquí el riesgo cambia de forma: lo que se firma hoy podría falsificarse mañana.
Conviene ser precisos. En una conexión en directo, la firma importa en ese momento, y nadie puede suplantar a posteriori una conversación que ya terminó. El problema está en lo que se firma para durar: certificados con años de validez, documentos de identidad, contratos o el firmware de un dispositivo. Por eso el NCSC británico pide incluir en los planes de migración las raíces de confianza de hardware de larga duración, y advierte de que la autenticación no será segura frente a la cuántica hasta que los certificados tradicionales hayan caducado o se hayan revocado.
¿Cómo es eso en la vida real? Tenemos un simulacro. En 2017, un equipo internacional de investigadores descubrió ROCA, un fallo en la generación de claves RSA de unos chips de Infineon. No era un ataque cuántico, pero permitía deducir la clave privada a partir de la pública: exactamente lo que un ordenador cuántico haría a gran escala.
Estonia, el Estado más digitalizado de Europa, tenía unos 800.000 documentos de identidad afectados, los de más de la mitad de su población (Information System Authority). El Gobierno bloqueó los certificados de 760.000 de ellos el 3 de noviembre de 2017 (Gobierno de Estonia). Su primer ministro, Jüri Ratas, lo justificó con una idea que hoy suena premonitoria: un Estado digital funciona sobre la confianza y no puede permitirse el robo de identidad de sus ciudadanos (AFP).
La autoridad estonia recuerda que el fallo alcanzó también a España, Austria y Eslovaquia. En España, la Policía Nacional anuló la firma electrónica de los DNI 3.0, la versión electrónica del documento nacional de identidad, con chips incorporados desde abril de 2015 (INCIBE-CERT; Vozpópuli), en una crisis que según estimaciones publicadas podía afectar a más de 17 millones de documentos (Xataka). El detalle más inquietante lo señalaron expertos en prensa: como el sistema no sellaba la fecha y la hora de cada firma, era imposible saber cuándo se había firmado cada documento. Esa es, exactamente, la definición de «falsificar mañana».
Si se quiere ver el debate en directo, basta con mirar a Bitcoin. Sus firmas usan curvas elípticas, y cada vez que alguien gasta desde una dirección, su clave pública queda grabada para siempre en la cadena. Un paper de Google Quantum AI con Stanford y la Ethereum Foundation, publicado en marzo de 2026, estimó que romper esas curvas podría requerir menos de 500.000 qubits físicos (The Quantum Insider), y que con trabajo preparado de antemano bastarían unos nueve minutos por clave expuesta (Google Quantum AI), frente a los diez que tarda de media un bloque. La respuesta de la comunidad, la propuesta BIP-360, mantiene las claves públicas fuera de la cadena hasta el momento de gastar. Otra forma de llegar a la misma conclusión: la migración no se improvisa.
IA y automatización: el acelerador que faltaba en la ecuación
Hasta hace poco, la amenaza cuántica y la inteligencia artificial se contaban por separado. En 2026 ya no se puede: la IA acelera el reloj por tres vías.
La IA como criptoanalista. En julio, Anthropic anunció que uno de sus modelos había encontrado una debilidad en HAWK, un algoritmo de firma postcuántica que el NIST estaba evaluando para estandarizar (Anthropic). Sus autores lo retiraron del proceso. El propio NIST lo recoge en su página de referencia y aclara que el hallazgo no afecta a los estándares ya publicados, como ML-KEM y ML-DSA. La lectura es doble: el proceso de revisión funcionó, y la IA ya forma parte de él.
La IA como atacante. En noviembre de 2025, Anthropic documentó la primera campaña de ciberespionaje orquestada en gran parte por agentes de IA, que atribuyó con alta confianza a un grupo patrocinado por el Estado chino (informe de Anthropic). Los agentes ejecutaron entre el 80% y el 90% de las tareas tácticas, del reconocimiento al robo de credenciales y la exfiltración de datos, contra una treintena de organizaciones de todo el mundo (CPO Magazine). El informe reconoce un límite: la IA exageraba sus hallazgos y, a veces, se inventaba datos. Para lo que nos ocupa, la conclusión es otra: la fase de cosecha ya se puede automatizar.
El acceso, al alcance de cualquiera. En octubre de 2026, un tutorial publicado en X superó el millón de reproducciones explicando cómo montar, en unos diez minutos, un equipo de cinco agentes de IA con acceso a datos, computación y ejecución a través de una única conexión y una clave API. Su fin es legítimo, la investigación financiera, y dedica un apartado entero a lo que los agentes no pueden hacer. Pero ilustra un cambio de escala: cada agente, cada clave y cada conexión es más tráfico cifrado que alguien puede guardar hoy, y más identidades de máquina que habrá que migrar mañana.
En comunicación diríamos que la IA ha cambiado el formato de la amenaza: ya no hace falta un equipo de especialistas para cosechar, basta con orquestar. Y también aquí la seguridad es, ante todo, una decisión de diseño.
La norma ya existe; el problema es la migración (criptoagilidad)
En agosto de 2024, tras un proceso internacional de ocho años, el NIST publicó sus tres primeros estándares de criptografía postcuántica: FIPS 203 (ML-KEM), para acordar claves, y FIPS 204 (ML-DSA) y FIPS 205 (SLH-DSA), para firmar. El organismo insiste en que pueden y deben usarse ya, mantiene en estudio algoritmos de respaldo como HQC y Falcon, y prevé retirar los algoritmos vulnerables de sus estándares en 2035, con los sistemas de alto riesgo bastante antes (CSRC-NIST).
La historia, sin embargo, dice que estas mudanzas son lentas. SHA-1 se estandarizó en 1995; el NIST lo desaconsejó en 2011 y lo prohibió para firmas digitales en 2013 (Dark Reading). En 2017, investigadores del CWI de Ámsterdam y de Google demostraron el primer ataque práctico contra él. Y aun así, el NIST no lo dará por retirado del todo hasta el 31 de diciembre de 2030: 35 años desde su llegada hasta su jubilación definitiva. Algo parecido ocurre con TLS 1.3: se publicó en 2018 y todavía hoy parte del tráfico de Internet sigue en la versión anterior (Cloudflare Radar).
Hay avances que invitan al optimismo. Más del 65% del tráfico humano que pasa por la red de Cloudflare ya viaja protegido con cifrado postcuántico, sin que el usuario haya tenido que hacer nada (Cloudflare). La compañía se ha fijado 2029 para completar también la autenticación, el mismo año que Google, y lo explica sin rodeos: si el Q-Day se acerca, una fuga de datos es grave, pero una autenticación rota es catastrófica.
De ahí que todos los marcos repitan la misma palabra: criptoagilidad. Durante años convivirán algoritmos clásicos y postcuánticos, y la guía del NCSC pide sistemas capaces de cambiar de algoritmo sin rehacerlo todo. No se trata solo de llegar a tiempo a esta migración, sino de estar preparados para la siguiente.
Los Estados ya mueven ficha
Si la tecnología no tiene fecha, la regulación sí. En apenas dos años, la conversación ha pasado de los laboratorios a los supervisores, y los gobiernos ya se han puesto las pilas.
| Quién | Qué ha hecho | Plazo clave |
| G7 (Grupo de Expertos en Ciberseguridad) | Hoja de ruta coordinada y no vinculante para el sector financiero (enero de 2026) | 2035 como referencia para completar la transición |
| Unión Europea | Hoja de ruta coordinada de los Estados miembros (junio de 2025) | Empezar antes de que acabe 2026; casos de alto riesgo, como tarde en 2030 |
| Reino Unido (NCSC) | Calendario de migración en tres hitos (marzo de 2025) | Plan en 2028, prioridades en 2031, migración completa en 2035 |
| Estados Unidos (NIST) | Estándares FIPS 203, 204 y 205 y calendario de retirada | Algoritmos vulnerables fuera de sus estándares en 2035 |
| Hong Kong (HKMA) | Primer índice de preparación cuántica de la banca (julio de 2026) | Pasar de 2,3 a 10 sobre 10 en 2030 |
| España y Portugal | Programa de cooperación entre el Banco de España y el Banco de Portugal (octubre de 2026) | Tres fases, con un grupo de trabajo con la industria |
El dato más honesto llega de Hong Kong. La autoridad monetaria encuestó a su banca y le puso un 2,3 sobre 10: el 32% de las entidades no había empezado la transición y cerca de la mitad no tenía una hoja de ruta formal (South China Morning Post). El índice mide cuatro dimensiones, de la concienciación a la preparación práctica, y llega con un kit de herramientas para ayudar a las entidades a priorizar (HKMA).
La advertencia más reveladora llega de Europa. Al anunciar su acuerdo el pasado 23 de octubre, el Banco de España y el Banco de Portugal señalaron que una migración descoordinada puede generar riesgos sistémicos, porque bancos y supervisores comparten proveedores, infraestructuras de mercado y dependencias de interoperabilidad (CriptoNoticias). Dicho de otro modo: la cuántica ha dejado de ser un problema de cada empresa para convertirse en un riesgo de sistema. Nadie migra solo.
Un rostro no se resetea: por qué la identidad es el dato más expuesto
Volvamos a la inecuación de Mosca y fijémonos en la X, el tiempo que un dato debe seguir protegido. Un mensaje de chat deja de importar en semanas; un contrato, en años. Pero un rostro, una huella, una fecha de nacimiento o el número de un documento acompañan a una persona toda su vida. El dato de identidad es el más longevo y el más sensible, y eso lo sitúa en el centro del harvest now, decrypt later. La propia guía del NCSC pide clasificar los datos según su vida útil y su valor para un adversario. Pocos puntúan tan alto en ambas cosas.
Lo explicábamos a propósito de la filtración de datos de Marruecos. La amenaza cuántica añade una capa más incómoda: los datos personales que se filtren dentro de diez años pueden estar circulando hoy, cifrados, en el disco de alguien que solo está esperando.
Certificados, credenciales y carteras de identidad digital descansan sobre firmas electrónicas. Un análisis académico sobre la cartera europea de identidad digital recuerda que sus prototipos usan firmas y mecanismos de autenticación que tendrán que sustituirse por criptografía postcuántica (Scuola Superiore Sant’Anna). Lo que hoy se emite para durar años tendrá que seguir siendo de fiar cuando llegue el Q-Day.
Por eso, frente a ese descifrado latente, la protección no consiste solo en cifrar mejor un mensaje. Consiste en garantizar todo el ciclo de vida del dato de la persona: cómo se captura, cómo se almacena de forma segura y quién controla su uso. El objetivo es sencillo de enunciar y exigente de cumplir: que, cuando llegue el decrypt later, no quede nada útil que descifrar.
Anticiparse en vez de reaccionar
El ataque cuántico a la identidad ya ha empezado, aunque el ordenador que lo vaya a ejecutar todavía no se haya puesto a trabajar. A partir de ahí, el reto es migrar hacia una criptografía resistente a la cuántica sin dejar huecos por el camino.
Eso exige anticiparse en vez de reaccionar, y proteger el ciclo de vida completo de la identidad, desde la captura hasta el control de su uso, no solo el instante de la verificación. Por ello desde Facephi creemos en la identidad continua: tratar la identidad como una señal que se protege y se comprueba durante toda su vida, y no como un archivo que se guarda en un cajón.
Para cualquier organización, el camino que marcan el NIST, el NCSC y el G7 se resume en cinco pasos:
- Inventariar. Saber dónde se usa criptografía de clave pública: aplicaciones, proveedores, dispositivos y API. El NCSC fija 2028 como fecha para tener ese mapa y un plan.
- Priorizar por vida útil. Empezar por los datos que deben seguir protegidos más tiempo, con los de identidad a la cabeza.
- Desplegar en modo híbrido. Combinar algoritmos clásicos y postcuánticos mientras el ecosistema madura, como ya hacen los grandes navegadores y redes de distribución.
- Construir criptoagilidad. Diseñar sistemas que puedan cambiar de algoritmo sin rehacerse, porque esta no será la última migración.
- Preguntar a la cadena de suministro, y a los agentes. Exigir a los proveedores una hoja de ruta postcuántica y tratar las identidades de los agentes de IA como lo que son: nuevas credenciales que también habrá que migrar.
La amenaza cuántica ha pasado de los laboratorios a los supervisores, con plazos, índices y acuerdos entre bancos centrales. La industria ha demostrado que se puede migrar a gran escala sin que el usuario lo note, y la inteligencia artificial ha entrado en el tablero para acelerar por igual a atacantes y defensores. La historia, de Venona a ROCA, deja además dos lecciones que conviene no olvidar: lo que se captura no caduca, y migrar siempre lleva más tiempo del previsto.
No debemos pensar solo en cuándo llegará el Q-Day, sino en qué estamos dejando hoy al alcance de quien sabe esperar.
Preguntas frecuentes
Es una estrategia de ataque que consiste en copiar hoy datos cifrados que no se pueden leer, guardarlos y descifrarlos en el futuro, cuando exista un ordenador cuántico capaz de romper el cifrado actual. La captura ocurre hoy; el daño, años después.
Es el día en que exista un ordenador cuántico capaz de romper la criptografía de clave pública que usamos hoy, como RSA o las curvas elípticas. No tiene fecha: las previsiones van desde 2029 hasta la década de 2030.
Es el conjunto de algoritmos diseñados para resistir ataques tanto de ordenadores clásicos como cuánticos. El NIST publicó en 2024 los tres primeros estándares: ML-KEM, ML-DSA y SLH-DSA.
Es un algoritmo cuántico publicado en 1994 por Peter Shor que permite factorizar números enormes y calcular logaritmos discretos de forma eficiente. Con un ordenador cuántico lo bastante grande, rompería RSA y las curvas elípticas.
Sí. Según el NIST, el algoritmo de Grover aporta poca o ninguna ventaja real contra AES, incluso en su versión de 128 bits. El riesgo está en cómo se intercambian las claves, que suele hacerse con criptografía asimétrica vulnerable.
A largo plazo, sí: Bitcoin firma con curvas elípticas, vulnerables al algoritmo de Shor. La comunidad debate propuestas como BIP-360 para proteger las claves públicas antes de que exista un ordenador capaz de romperlas.
La acelera por tres vías: ayuda a encontrar debilidades en algoritmos criptográficos, permite automatizar la fase de robo y exfiltración de datos, y multiplica el número de agentes, claves y conexiones que habrá que proteger.
Fijar plazos. La Unión Europea pide empezar la transición antes de que acabe 2026 y proteger los casos de alto riesgo antes de 2030. El Reino Unido y el G7 apuntan a 2035 para completar la migración, y supervisores como la HKMA o el Banco de España ya miden y coordinan la preparación del sector financiero.
La criptografía cuántica usa propiedades físicas de la mecánica cuántica, como la distribución cuántica de claves (QKD), y necesita hardware específico. La criptografía post cuántica son algoritmos matemáticos que funcionan en los ordenadores actuales y resisten ataques cuánticos, como los estándares FIPS 203, 204 y 205 del NIST.
Sí, si se almacenan o se transmiten protegidos con criptografía de clave pública vulnerable. Un rostro o una huella no se cambian como una contraseña, así que un dato biométrico capturado hoy seguirá teniendo valor cuando llegue el Q-Day. Por eso el NCSC pide priorizar los datos según su vida útil.
