¿Están preparados los bancos colombianos para los computadores cuánticos?
Un estudio de 849 entidades financieras colombianas encontró que el 43,8 % de sus páginas públicas todavía no acepta la protección post-cuántica examinada. La preocupación no es que alguien pueda robar el dinero con un computador cuántico hoy, sino que cierta información capturada ahora podría quedar expuesta en el futuro.
Alguien podría estar copiando información cifrada que circula por internet sin tener todavía la capacidad de leerla. La guarda, espera unos años y, cuando disponga de un computador suficientemente poderoso, intenta descifrarla.
Es una posibilidad que preocupa a quienes protegen información financiera. Y acaba de convertirse en el centro de un estudio sobre Colombia.
El Observatorio Quantum Safe, una iniciativa de la empresa colombiana Cyte, publicó en octubre de 2026 un informe sobre la preparación de 849 entidades financieras del país frente a la amenaza de los futuros computadores cuánticos.
Su principal hallazgo: 372 de las 849 entidades examinadas, equivalentes al 43,8 %, no aceptaron el mecanismo de intercambio de secretos post-cuántico que los investigadores ofrecieron a sus páginas de inicio.
Eso merece atención. Pero antes de sacar conclusiones sobre la seguridad de los bancos, hay que entender qué significa exactamente el resultado, qué tecnología se está evaluando y cuáles son los límites del estudio.
Primero: ¿qué tiene que ver un computador cuántico con nuestra cuenta bancaria?
Cuando entramos a la página de un banco, consultamos un servicio financiero o intercambiamos información por internet, intervienen sistemas matemáticos diseñados para impedir que otras personas lean lo que estamos enviando.
Es lo que conocemos como cifrado.
Podemos pensar en él como una caja cerrada: la información viaja dentro y solamente quienes tienen los medios adecuados pueden abrirla.
Para que dos equipos se comuniquen de forma privada, primero necesitan ponerse de acuerdo sobre un secreto que les permita proteger la conversación. Ese procedimiento se conoce como intercambio de secretos criptográficos.
Buena parte de la seguridad actual de internet utiliza métodos matemáticos que resultan extraordinariamente difíciles de romper para los computadores convencionales.
El problema es que un computador cuántico suficientemente avanzado podría resolver determinados problemas matemáticos de otra manera y comprometer algunos de esos mecanismos.
No estamos hablando de todos los tipos de cifrado ni de cualquier computador cuántico. La amenaza se concentra especialmente en ciertos sistemas de criptografía de llave pública, utilizados para establecer comunicaciones seguras y verificar identidades digitales.
Hasta ahora no existe evidencia pública de un computador cuántico capaz de ejecutar esos ataques contra los sistemas criptográficos modernos a la escala necesaria.
Lo que existe es una amenaza técnicamente reconocida y un trabajo internacional para prepararse antes de que se materialice.
El ataque que podría comenzar muchos años antes de poder descifrar la información
Hay una estrategia conocida en ciberseguridad como harvest now, decrypt later, que podemos traducir como «capturar ahora, descifrar después».
Su lógica es sencilla.
Un atacante consigue copiar determinadas comunicaciones cifradas. No necesita entenderlas inmediatamente. Las almacena y espera a disponer de herramientas capaces de romper su protección.
La amenaza resulta especialmente importante cuando la información conserva su valor durante mucho tiempo.
Por ejemplo, una historia laboral y pensional, documentos financieros, datos relacionados con un crédito de vivienda o información empresarial confidencial podrían seguir siendo sensibles dentro de diez o veinte años.
Pero hay una condición que no podemos pasar por alto: para que este ataque funcione, alguien debe haber conseguido capturar información relevante y el mecanismo utilizado para protegerla debe ser vulnerable al ataque futuro.
Que una página todavía utilice criptografía convencional no demuestra que alguien esté interceptando sus comunicaciones. Tampoco significa que todas las conversaciones cifradas puedan recuperarse después.
El riesgo depende de cómo se haya establecido la comunicación y de qué información haya podido conservar el atacante.
La dificultad está en que actualizar la seguridad mañana no cambia automáticamente la protección de las comunicaciones que alguien hubiera copiado ayer.
¿Qué descubrió el estudio en Colombia?
El informe se titula Estado de la criptografía quantum safe en el sector financiero colombiano, 2026. Sus investigadores examinaron información técnica que los servicios de las entidades publican cuando se conectan a internet.
La medición principal se realizó el 21 de octubre de 2026. Incluyó bancos, cooperativas con actividad financiera, aseguradoras, administradoras de pensiones, empresas de pagos, servicios financieros digitales y otros participantes del sector.
Estos son algunos de sus resultados:
- 43,8 %: 372 de las 849 entidades examinadas no aceptaron el intercambio post-cuántico ofrecido durante la prueba de sus páginas de inicio.
- 56,2 %: 477 entidades sí aceptaron ese intercambio.
- 41,1 % de las que sí lo aceptaron: 196 de esas 477 entidades lo hicieron detrás de un proveedor extranjero de infraestructura identificable.
- 34,9 %: 246 de los 705 servicios de correo entrante en los que pudo determinarse el resultado aceptaron el intercambio post-cuántico examinado.
Estas cifras describen las condiciones observadas durante la medición. No son porcentajes de ataques, filtraciones, pérdidas económicas ni clientes afectados.
Hay además una diferencia importante entre que una entidad tenga disponible una protección y que haya desarrollado una estrategia propia para adoptarla.
Una parte de la seguridad depende de proveedores externos
Cuando visitamos una página web, nuestra conexión no siempre llega directamente a los servidores de la organización propietaria del sitio.
En ocasiones pasa primero por empresas especializadas que distribuyen el tráfico, aceleran la carga de las páginas y proporcionan diferentes mecanismos de protección.
Estas compañías pueden ofrecer criptografía post-cuántica sin que el banco tenga que desarrollar por su cuenta toda la infraestructura.
Eso puede ser positivo: permite incorporar tecnologías de seguridad con mayor rapidez.
Pero también introduce una dependencia. Si la configuración o el servicio del proveedor cambia, la protección disponible para los visitantes podría cambiar con él.
El informe encontró 196 entidades cuya protección post-cuántica observada dependía de un proveedor extranjero de infraestructura identificable.
También identificó 281 entidades con una protección que clasificó como propia. Pero sus autores advierten que esa categoría puede incluir funciones activadas automáticamente por el servicio de alojamiento.
Por eso, el estudio no permite afirmar que esas 281 organizaciones hayan ejecutado individualmente un proyecto de modernización criptográfica.
Tener una tecnología disponible no demuestra que una organización sepa dónde la utiliza, quién la administra o cómo la reemplazará cuando sea necesario.
¿Y qué ocurre con Bre-B?
Uno de los resultados más llamativos involucra a entidades que participan en Bre-B, el sistema colombiano que permite realizar pagos y transferencias inmediatas entre diferentes instituciones financieras.
El estudio identificó 193 participantes de Bre-B dentro de su censo. Según el informe, el 57,5 % de ellos no aceptó el intercambio post-cuántico examinado en su página pública de inicio.
Entre las demás entidades financieras medidas, la proporción fue del 39,8 %.
La diferencia merece investigación, especialmente porque Bre-B se ha convertido en una infraestructura importante para los pagos cotidianos en Colombia.
Pero sería incorrecto concluir que el 57,5 % de las transferencias de Bre-B son inseguras.
El estudio no examinó el canal de transacciones de Bre-B. Evaluó las páginas públicas de entidades que participan en el sistema, algo diferente de la infraestructura que procesa los pagos.
El Banco de la República explica que Bre-B funciona mediante una infraestructura interoperable que conecta diferentes participantes y sistemas de pagos inmediatos. Sus mecanismos de operación y seguridad no pueden deducirse únicamente a partir de la configuración de la página principal de cada entidad.
Así que el dato plantea una pregunta sobre la preparación tecnológica de las organizaciones participantes, pero no demuestra una vulnerabilidad en las transferencias inmediatas.
Una página protegida tampoco garantiza que todos los servicios lo estén
El informe fue más allá de las páginas principales.
Los investigadores examinaron por separado 3.582 direcciones de servicios asociadas con 539 entidades. Entre ellas había direcciones cuyos nombres sugerían funciones de banca en línea, autenticación, pagos o interfaces para conectar aplicaciones.
Una interfaz de programación de aplicaciones, conocida por las siglas API, permite que dos programas intercambien información o soliciten operaciones.
En las 227 entidades donde fue posible comparar la página principal con al menos uno de esos servicios, 74 presentaron una diferencia relevante: aceptaban el intercambio post-cuántico en la página de inicio, pero al menos uno de los servicios adicionales examinados no lo aceptaba.
Es el 32,6 % de ese grupo comparable.
Esto ilustra un problema frecuente en seguridad informática: una organización puede modernizar su entrada principal mientras conserva sistemas antiguos en otras partes de su infraestructura.
También hay una limitación: el estudio clasificó varios servicios según lo que sugerían sus nombres de dominio. No comprobó necesariamente la función real de cada uno mediante acceso interno.
El correo electrónico tiene otra historia
El correo también puede transportar documentos financieros, solicitudes y datos personales.
Por eso, el estudio examinó la protección de los servidores que reciben mensajes dirigidos a las entidades.
Entre los 705 casos donde pudo determinar el resultado, 246 aceptaron el intercambio post-cuántico examinado.
El informe encontró diferencias considerables entre proveedores. En los servicios identificados como Google Workspace, las 243 mediciones determinadas aceptaron ese mecanismo. En las 353 mediciones determinadas de Microsoft 365, ninguna lo aceptó.
Esto describe el comportamiento técnico observado en una fecha concreta, bajo las condiciones de la prueba. No equivale a una clasificación general de cuál proveedor de correo es más seguro.
El estudio tampoco midió los servidores utilizados para enviar mensajes desde las entidades. Sus resultados corresponden al correo entrante examinado.
Además, el cifrado de una conexión de correo es solamente una parte de la seguridad del mensaje. No debe confundirse con la protección del contenido de extremo a extremo.
La solución ya existe, aunque todavía hay trabajo por hacer
La criptografía post-cuántica busca utilizar procedimientos matemáticos diseñados para resistir los ataques conocidos que podrían realizar computadores cuánticos suficientemente avanzados.
No requiere que cada banco compre un computador cuántico.
Puede funcionar mediante software en computadores y servidores convencionales.
En agosto de 2024, el Instituto Nacional de Estándares y Tecnología de Estados Unidos, conocido como NIST por sus siglas en inglés, publicó tres estándares iniciales para facilitar esta transición.
Uno de ellos, denominado ML-KEM y documentado en el estándar FIPS 203, permite establecer secretos compartidos utilizando un mecanismo diseñado para resistir ataques cuánticos.
Los otros dos estándares, FIPS 204 y FIPS 205, se ocupan de firmas digitales. Estas permiten verificar la autenticidad de determinada información y detectar modificaciones no autorizadas.
La distinción importa porque proteger la confidencialidad de una conversación y comprobar que un documento es auténtico son problemas relacionados, pero diferentes.
Las organizaciones deben evaluar ambos.
La transición también requiere identificar los sistemas que utilizan criptografía, actualizar programas, comprobar compatibilidad con proveedores y mantener los servicios funcionando durante los cambios.
Por eso no se resuelve simplemente instalando una aplicación.
¿Qué tan confiable es el informe?
El documento tiene características que permiten examinar sus resultados: describe el procedimiento de medición, identifica las categorías analizadas, informa cuántas entidades participaron en cada cálculo y explica varias de sus limitaciones.
También señala que no realizó pruebas de intrusión, no accedió a sistemas internos y no recopiló datos personales.
Eso ayuda a entender exactamente qué información obtuvo.
Pero hay otros aspectos que el lector debe conocer.
El Observatorio Quantum Safe es una iniciativa de Cyte, una empresa colombiana que ofrece servicios criptográficos, incluidos servicios relacionados con la transición post-cuántica. El documento declara esa relación comercial y señala que entre las entidades examinadas podrían existir clientes de la compañía.
El informe también indica que fue elaborado con profesores de la Universidad de los Andes. Esa participación no debe interpretarse automáticamente como una auditoría institucional independiente de todos sus resultados.
Además, aunque describe su metodología, los microdatos de las mediciones no fueron publicados junto con el documento.
Por tanto, las cifras de las 849 entidades son resultados reportados por los autores del estudio, no resultados que esta publicación haya reproducido mediante una medición independiente.
La existencia de la amenaza cuántica y de estándares internacionales para prepararse sí está respaldada por documentación técnica independiente, como la publicada por el NIST.
¿Significa que los bancos colombianos están incumpliendo alguna norma?
No necesariamente.
El informe distingue entre los requisitos generales de seguridad informática y las obligaciones específicas de adoptar criptografía post-cuántica.
Según su revisión normativa, a octubre de 2026 Colombia no tenía una obligación general que exigiera a las entidades financieras utilizar criptografía post-cuántica con una fecha de cumplimiento determinada.
Por eso, encontrar una página que todavía utiliza mecanismos convencionales no permite concluir automáticamente que su entidad propietaria esté incumpliendo la regulación.
La situación internacional también presenta diferencias: algunas autoridades han publicado orientaciones y calendarios de transición, mientras otras mantienen exigencias más generales sobre la actualización de los sistemas de seguridad.
El desafío para las organizaciones consiste en prepararse antes de que la amenaza se convierta en una capacidad práctica de ataque.
Lo que esto significa
Para quienes utilizan servicios bancarios, el informe no demuestra que haya que retirar dinero, abandonar Bre-B o dejar de usar aplicaciones financieras.
Tampoco identifica una filtración de datos ni un ataque cuántico contra alguna entidad colombiana.
Lo que muestra es una diferencia entre la protección criptográfica que ya puede utilizarse y la que estaba disponible en determinados servicios financieros examinados el 21 de octubre de 2026.
Para los bancos, cooperativas y empresas de pagos, la pregunta importante es cuánto tiempo necesitan proteger la información que manejan y qué sistemas deberán actualizar para conseguirlo.
Para las autoridades, aparece otra cuestión: cómo evaluar la preparación de las entidades antes de que exista una emergencia tecnológica.
Y para las personas que utilizan estos servicios, conviene recordar que las amenazas más inmediatas siguen incluyendo el robo de contraseñas, las estafas, la suplantación de identidad y los mensajes fraudulentos. Las medidas habituales de protección de las cuentas continúan siendo necesarias.
La criptografía post-cuántica no sustituye esas precauciones. Atiende un problema diferente: la posibilidad de que algunos mecanismos matemáticos que hoy protegen nuestras comunicaciones dejen de ofrecer la misma resistencia en el futuro.
Hay una pregunta que resume la importancia de esta noticia: ¿la información que entregamos hoy a una entidad financiera seguirá siendo privada cuando la tecnología haya cambiado dentro de diez o veinte años?
La respuesta dependerá, en parte, de las decisiones técnicas que esas organizaciones comiencen a tomar desde ahora.
Bibliografía
- Observatorio Quantum Safe, iniciativa de Cyte. Estado de la criptografía quantum safe en el sector financiero colombiano, 2026. Informe fechado el 21 de octubre de 2026. Documento PDF proporcionado a esta redacción. Fuente de las cifras correspondientes a las 849 entidades, los servicios adicionales, el correo electrónico y los participantes de Bre-B.
- Instituto Nacional de Estándares y Tecnología de Estados Unidos (NIST). Announcing Approval of Three Federal Information Processing Standards (FIPS) for Post-Quantum Cryptography. 13 de agosto de 2024. Consultar publicación oficial.
- NIST. Post-Quantum Cryptography. Información oficial sobre estándares, algoritmos y migración a criptografía resistente a ataques cuánticos. Consultar proyecto.
- NIST, National Cybersecurity Center of Excellence. Migration to Post-Quantum Cryptography. Documentación técnica y preguntas frecuentes sobre la transición. Consultar documentación.
- Banco de la República de Colombia. Bre-B: Sistema de Pagos Inmediatos Interoperado de Colombia. Diseño, Implementación y Perspectivas. 26 de febrero de 2026. Consultar documento técnico.
- Banco de la República de Colombia. Preguntas frecuentes de Bre-B. Información oficial sobre funcionamiento, entidades participantes y responsabilidades del sistema de pagos inmediatos. Consultar preguntas frecuentes.
Comentarios
Publicar un comentario