Cifrado en jaque: la doble amenaza que la IA y la cuántica ya no pueden esperar

La tormenta perfecta que ya empezó

Durante años, la ciberseguridad operó bajo una premisa razonable: los sistemas de cifrado actuales, como RSA o ECC, ofrecían una barrera sólida. Pero esa barrera está siendo erosionada desde dos frentes simultáneos y la industria aún no reacciona con la velocidad que el momento exige. Por un lado, la inteligencia artificial ha convertido el cibercrimen en una actividad de escala industrial, donde un ataque de phishing hiperpersonalizado ya no requiere semanas de inteligencia manual, sino segundos de procesamiento de un modelo de lenguaje. Por el otro, la computación cuántica —aunque aún no llegue a su madurez comercial— ya está generando una amenaza diferida: la captura de datos cifrados hoy para ser descifrados mañana, cuando un ordenador cuántico lo suficientemente potente esté disponible.

El dato que debería preocupar a cualquier director ejecutivo en América Latina es que el 90% de los incidentes de seguridad reportados en 2024 estuvieron ligados a técnicas asistidas por IA, según estimaciones del sector. Y el costo promedio de una filtración ya supera los 4,8 millones de dólares. No se trata de una evolución gradual, sino de un salto cualitativo: el atacante tiene ahora un copiloto que nunca se cansa, que aprende y que no necesita dormir. La pregunta que debemos hacernos es si nuestras defensas están escalando al mismo ritmo.

La cuenta regresiva de la criptografía

El segundo vector de la crisis es menos visible pero estructuralmente más devastador. La computación cuántica, cuando alcance un umbral de madurez —estimado entre 2030 y 2035 por los análisis más realistas—, será capaz de romper los algoritmos de cifrado asimétrico que sostienen desde las transacciones bancarias hasta las comunicaciones diplomáticas. Ya hay actores estatales acumulando tráfico cifrado con la estrategia de "cosechar ahora, descifrar después". Esto significa que los secretos industriales, los registros financieros y los datos personales que se protegen hoy podrían quedar expuestos en una década, sin que hayamos hecho nada para evitarlo.

Frente a este panorama, el Instituto Nacional de Estándares y Tecnología de EE.UU. (NIST) publicó en 2024 los primeros algoritmos de criptografía post-cuántica estandarizados, como CRYSTALS-Kyber para intercambio de claves y CRYSTALS-Dilithium para firmas digitales. Sin embargo, migrar a estos nuevos estándares no es un simple parche de software. Actualizar sistemas legacy que llevan décadas funcionando —desde cajeros automáticos hasta infraestructuras críticas— es una tarea titánica que puede llevar una década completa. McKinsey estima que la transición costará a las empresas globales entre 50.000 y 100.000 millones de dólares en la próxima década. Y mientras tanto, una encuesta del World Economic Forum reveló que solo el 30% de las organizaciones a nivel global ha iniciado algún tipo de preparación para la amenaza cuántica.

Una carrera asimétrica y desigual

La paradoja más incómoda de este escenario es que la propia IA que amenaza también puede defender. Sistemas de detección de anomalías como los que integran CrowdStrike y SentinelOne aprenden en tiempo real y son capaces de identificar patrones de ataque que ningún humano podría detectar. Pero los defensores admiten que la IA ofensiva evoluciona más rápido, porque el atacante no tiene que cumplir regulaciones ni probar exhaustivamente su código. Es una carrera asimétrica donde el que ataca siempre lleva ventaja.

Lo más preocupante para América Latina es la brecha de preparación. Mientras Estados Unidos impulsa en su Congreso una Ley de Preparación para la Ciberseguridad Post-Cuántica que exige planes de migración para 2030, y la Unión Europea integra el tema en su programa Horizon Europe, en la región apenas Brasil y México han empezado a discutir marcos de ciberseguridad que consideren la IA ofensiva. Ningún país latinoamericano ha tocado el tema cuántico de manera formal. La brecha digital se está convirtiendo también en una brecha de seguridad, y las consecuencias no tardarán en llegar.

El costo de la inacción no es lineal

Los escenarios que se abren no son teorías de ciencia ficción. En un escenario optimista, la migración a criptografía post-cuántica se acelera gracias a incentivos fiscales y presión regulatoria, mientras la IA defensiva logra anular la ventaja del atacante. Pero el optimismo requiere coordinación global, y la historia reciente no favorece esa hipótesis. Un escenario más realista es el del "diluvio gradual": fugas masivas pero localizadas, crisis financieras en cadena por brechas en bancos medianos, y un mercado negro de exploits cuánticos que opere fuera del alcance de los estados. En ese mundo, la ciberseguridad se convierte en un lujo de las economías desarrolladas.

Para los ejecutivos latinoamericanos, la señal de alarma debe ser clara: la ciberseguridad ya no es un departamento más dentro de la organización, sino la condición de posibilidad de cualquier negocio digital. Invertir hoy en evaluar la exposición a la amenaza cuántica, comenzar la migración a estándares post-cuánticos y reforzar las defensas con inteligencia artificial no es un gasto, es un seguro contra la obsolescencia. El tiempo no juega a favor de los defensores, y la ventana de oportunidad para actuar sin pánico se cierra más rápido de lo que parece. Quien espere a que el cifrado actual sea vulnerable para moverse, ya habrá llegado tarde.