Existe un escenario capaz de transformar radicalmente la seguridad digital mundial sin necesidad de apagar internet, destruir servidores o ejecutar un ciberataque convencional. Se conoce como Q-Day y representa el momento hipotético en que una computadora cuántica suficientemente potente pueda comprometer algunos de los principales sistemas criptográficos de clave pública utilizados actualmente. En un nuevo episodio de Ciberinteligencia Podcast, Óscar Sánchez Belmont analiza por qué gobiernos, empresas tecnológicas y especialistas en ciberseguridad ya trabajan contrarreloj ante una amenaza cuya fecha exacta todavía se desconoce, pero cuyas consecuencias podrían comenzar mucho antes de que esa máquina exista.
El peligro está relacionado con una diferencia fundamental entre las computadoras tradicionales y las cuánticas. Sistemas ampliamente utilizados, como RSA, dependen de problemas matemáticos cuya resolución resulta extremadamente costosa para las computadoras convencionales. Una computadora cuántica criptográficamente relevante podría utilizar algoritmos especializados para reducir drásticamente esa dificultad. El desarrollo tecnológico todavía enfrenta obstáculos considerables, particularmente la construcción de cúbits lógicos suficientemente estables y resistentes a errores. Sin embargo, nuevos avances han provocado que investigadores revisen sus cálculos sobre los recursos necesarios para atacar sistemas como RSA-2048, alimentando el debate sobre cuánto tiempo queda realmente para prepararse.
Pero existe un detalle que convierte al Q-Day en una amenaza del presente. La estrategia conocida como “harvest now, decrypt later” —cosechar ahora, descifrar después— consiste en interceptar y almacenar enormes cantidades de información cifrada actualmente, aunque el atacante todavía no pueda leerla. El objetivo es conservar esos datos hasta disponer de tecnología cuántica capaz de intentar descifrarlos. De esta forma, una conversación, documento o base de datos robada en 2026 podría convertirse en información legible varios años después. El atacante no necesita romper hoy la cerradura: únicamente necesita robar la caja y esperar hasta conseguir la llave.
Esto modifica por completo la lógica tradicional de la ciberseguridad. Un dato que perderá relevancia en unos meses representa un riesgo diferente al de información que debe permanecer confidencial durante décadas. Expedientes médicos, información genética, secretos industriales, investigaciones científicas, comunicaciones diplomáticas, documentación militar e información de inteligencia son particularmente sensibles. Si estos archivos son interceptados actualmente, su cifrado podría protegerlos hoy y, sin embargo, resultar insuficiente frente a capacidades tecnológicas futuras. El verdadero reloj del Q-Day, por tanto, ya habría comenzado para cualquier información cuya vida útil supere el tiempo necesario para desarrollar una computadora cuántica criptográficamente relevante.
El sistema financiero representa otro escenario crítico. Buena parte de la infraestructura bancaria mundial depende de mecanismos criptográficos para autenticar usuarios, proteger comunicaciones y validar operaciones. Las redes blockchain tampoco son completamente inmunes al problema. Bitcoin y Ethereum, por ejemplo, utilizan criptografía de clave pública en componentes esenciales de sus sistemas. Esto no significa que el Q-Day automáticamente “destruya Bitcoin” ni que todas las criptomonedas desaparezcan de inmediato, pero sí plantea la necesidad de migrar determinados mecanismos antes de que una computadora cuántica suficientemente avanzada pueda convertir ciertas vulnerabilidades teóricas en ataques prácticos.
La carrera para evitar ese escenario ya comenzó. En agosto de 2024, el National Institute of Standards and Technology (NIST) de Estados Unidos publicó sus primeros estándares finalizados de criptografía post-cuántica, diseñados para resistir ataques tanto de computadoras tradicionales como de futuras máquinas cuánticas. La existencia de estos estándares demuestra que la discusión dejó de ser únicamente académica: ahora el desafío consiste en sustituir progresivamente algoritmos, certificados, aplicaciones, dispositivos e infraestructuras que dependen de tecnologías criptográficas potencialmente vulnerables.
Y ahí aparece uno de los mayores problemas señalados en Ciberinteligencia Podcast: cambiar la criptografía de una organización no equivale a actualizar una contraseña. Una institución compleja puede necesitar años para identificar todos sus sistemas, comprobar qué algoritmos utiliza cada uno, sustituir hardware incompatible, renovar certificados, actualizar software heredado y coordinar proveedores. Grandes compañías tecnológicas ya experimentan e implementan mecanismos post-cuánticos, pero la transición global será considerablemente más complicada para gobiernos, hospitales, bancos, pequeñas empresas y organismos que todavía utilizan infraestructura tecnológica antigua.
El Q-Day también se ha convertido en una carrera geopolítica. Estados Unidos, China, Europa y otras potencias destinan recursos a computación cuántica porque alcanzar una ventaja significativa tendría implicaciones científicas, industriales, económicas, militares y de inteligencia. Quien consiga desarrollar primero capacidades criptográficamente relevantes no solamente obtendría una herramienta tecnológica extraordinaria: potencialmente podría adquirir una ventaja sobre comunicaciones y archivos capturados previamente. Por eso la supremacía cuántica no debe entenderse exclusivamente como una competencia entre laboratorios, sino también como una nueva dimensión de la seguridad nacional.
Para México, el episodio plantea una pregunta especialmente delicada: ¿qué ocurriría con las bases de datos de millones de ciudadanos si la información que contienen es robada hoy y descifrada dentro de diez años? CURP, datos biométricos, información fiscal, historiales clínicos, expedientes gubernamentales y otras bases con información de larga duración requieren una estrategia que contemple amenazas futuras, no solamente los ataques conocidos actualmente. Sánchez Belmont cuestiona en ese sentido el nivel de preparación tecnológica y resiliencia del Estado mexicano frente a una transformación que las principales potencias ya consideran estratégica.
El desafío tampoco consiste únicamente en instalar nuevos algoritmos. El primer paso para cualquier organización es realizar un inventario criptográfico: descubrir dónde se encuentra la criptografía dentro de su infraestructura, qué certificados existen, qué protocolos están activos, cuáles dispositivos no podrán actualizarse y durante cuánto tiempo necesita permanecer confidencial cada categoría de información. A partir de ahí puede diseñarse una migración hacia sistemas post-cuánticos y, cuando resulte conveniente, arquitecturas híbridas capaces de combinar mecanismos actuales con nuevos estándares durante la transición.
Existe además una paradoja inquietante. La inteligencia artificial, que actualmente ayuda a defender sistemas, descubrir vulnerabilidades y acelerar investigación científica, también puede contribuir al avance de tecnologías relacionadas con la computación cuántica. La convergencia entre IA, supercomputación, nuevos materiales y sistemas cuánticos podría hacer que las previsiones cambien nuevamente. Precisamente por esa incertidumbre, esperar a conocer la fecha exacta del Q-Day sería una estrategia peligrosa: cuando exista certeza absoluta de que la tecnología está lista, muchas organizaciones podrían descubrir que comenzaron su migración demasiado tarde.
El nuevo episodio de Ciberinteligencia Podcast plantea así una amenaza diferente a los ataques digitales que conocemos. El Q-Day todavía no tiene una fecha marcada en el calendario y nadie puede asegurar cuándo existirá una computadora cuántica capaz de comprometer criptografía a escala práctica. Pero la información que podría convertirse en su objetivo ya existe, circula y puede estar siendo almacenada hoy. La carrera más importante quizá no sea descubrir quién construirá primero la computadora capaz de abrir los secretos digitales del pasado, sino quién conseguirá proteger esos secretos antes de que llegue ese día.