Un experto en seguridad digital de la UE alerta sobre los lectores de MiDNI en las urnas: «El riesgo está en la gestión de los terminales»

«Yo el riesgo lo veo en la gestión de los terminales». Ignacio Alamillo sitúa el foco en los dispositivos con los que Interior pretende verificar MiDNI el 29-N, mientras el Tribunal Supremo estudia si suspende su utilización electoral. La Junta Electoral Central levantó la prohibición el 5 de noviembre. El Supremo rechazó la suspensión cautelarísima solicitada por Iustitia Europa, pero concedió a la JEC hasta el viernes 13, a las 15:00 horas, para presentar alegaciones sobre las medidas cautelares.

La cualificación de Alamillo explica el alcance de su análisis: doctor en Derecho, auditor certificado de sistemas de información (CISA), director de seguridad certificado (CISM) y participante en organismos que desarrollan estándares internacionales de identidad digital, en especial ISO. Su especialización alcanza a eIDAS 2, el nuevo marco europeo de identidad digital que obliga a los Estados miembros a ofrecer una cartera europea de identidad digital interoperable antes del 24 de diciembre de 2026.

Como reveló El Debate el 6 de noviembre, MiDNI, la aplicación que el Gobierno ha vuelto a conseguir que la JEC apruebe para identificarse en las elecciones del 29-N, no es una aplicación móvil reconocida conforme a ese marco. El Ejecutivo comenzó a tramitar urgentemente el proyecto de la cartera europea apenas seis días antes de que Sánchez convocara las próximas elecciones generales. El propio Ministerio lo define como «habilitador jurídico esencial» del sistema europeo de identidad digital. Tuvo seis años para implementarla, pero la aparcó en un cajón mientras impulsa a toda costa la identificación mediante MiDNI en las urnas.

El punto débil: los terminales de las mesas

Interior prevé distribuir más de 60.000 dispositivos a través de Correos para acceder al verificador QR oficial. Alamillo distingue entre la seguridad de la aplicación y la del sistema electoral completo: «La auditoría del uso del producto por la Administración electoral debe incluir el entorno operacional; esto es, terminales y el software que contienen».

Reclama controles que impidan la instalación de aplicaciones no autorizadas y permitan comprobar que los terminales no han sido manipulados antes de llegar a las mesas. Ni los interventores ni los miembros de las mesas tienen necesariamente preparación técnica para detectar un terminal comprometido o una página que imite al verificador oficial. La autenticidad del QR no demuestra que el dispositivo utilizado para leerlo sea seguro.

¿Qué auditorías se han realizado?

El Real Decreto 311/2022 regula el Esquema Nacional de Seguridad (ENS). Su artículo 31 contempla auditorías y el 38 procedimiento de conformidad.

Alamillo considera probable que el sistema empleado en el proceso electoral sea de categoría MEDIA, aunque debe determinarse mediante un análisis de riesgos. En tal supuesto, la certificación exige una entidad acreditada. La evaluación LINCE de MiDNI, aunque debe valorarse favorablemente, no acredita por sí sola la evaluación del verificador web ni de los dispositivos electorales.

Preguntado si el dispositivo podría transmitir a servidores centrales la identidad del elector, la mesa y la hora de identificación, responde: «Es posible, dado que el terminal dispone de toda la información necesaria para ello».

Aclara que ese tratamiento sería ilícito y presume que no se habrá previsto. Pero reclama comprobar que no existe ninguna función de seguimiento individualizado. No sostiene que Interior esté recopilando esos datos: identifica una posibilidad técnica que exige controles verificables.

Un QR auténtico no basta para identificar al votante

Alamillo plantea otro escenario de riesgo: «No parece que nada impida que dicho titular entregue a un tercero el código de activación de la aplicación obtenido durante el registro, por lo que en este caso dicho tercero tendría la capacidad de generar QRs».

Con la colaboración del titular, otra persona podría presentar una credencial auténtica. La mesa debe contrastar la fotografía con el rostro, aunque el especialista señala que la imagen es «de baja calidad» y admite que la suplantación presencial se dificulta si las personas no se parecen.

La documentación de la Policía de junio de 2025 confirma que la firma y la caducidad del QR acreditan la autenticidad y validez temporal de los datos. No garantizan por sí solas quién presenta la credencial.

Sobre la viabilidad de preparar y auditar los dispositivos antes del 29-N, responde: «Se trata de un sistema relativamente simple, pero ciertamente parece inviable realizar dicho despliegue en tres semanas».

Y añade: «Y, desde luego, sería altamente improbable superar la auditoría del ENS».

La JEC no certifica sistemas informáticos. Según Alamillo, debería exigir la documentación técnica, incluida la auditoría ENS, si todavía no lo ha hecho. Sin esas garantías, dice, habría que realizar «un acto de suspensión de la incredulidad por parte de la ciudadanía».

La palabra de Interior que evita advertir de los otros riesgos

Las reservas técnicas del experto de sistemas contrastan con la nota oficial de Interior del 6 de noviembre: «La seguridad del Documento Nacional de Identidad en el Móvil (MiDNI) ha sido evaluada y certificada por el Centro Criptológico Nacional (CCN)». El Ministerio también invoca análisis independientes sobre el servidor, las comunicaciones y la autenticación.

Sin embargo, Interior no identifica la versión certificada, el alcance de la evaluación ni si incluye el verificador web y los más de 60.000 dispositivos de las mesas electorales el 29-N. Tampoco acredita públicamente que se haya auditado la configuración y el funcionamiento de esos dispositivos, ni los controles establecidos para impedir su manipulación durante la distribución. A ello se suma la dificultad de los integrantes de las mesas para detectar posibles alteraciones informáticas o suplantaciones de identidad, además del riesgo técnico de que los terminales puedan registrar quién se identifica, dónde y a qué hora. La certificación de MiDNI no garantiza por sí sola la seguridad del proceso electoral.

Siete millones y muertos vivientes en el censo

A estas advertencias se añade el coste de la operación. El Gobierno ha comprometido 7.000.455 euros para alquilar 61.603 dispositivos de verificación de MiDNI, mediante un contrato de emergencia adjudicado a Telefónica Defensa y Seguridad y firmado el 21 de octubre, antes de que la Junta Electoral Central levantara la suspensión de la identificación digital. El coste medio asciende a 113,64 euros por terminal.

La urgencia llegó hasta el extremo de publicar en el BOE, el 29 de octubre y en pleno luto oficial por la tragedia ferroviaria de Urda, la orden necesaria para distribuir los lectores QR. Como reveló El Debate, la disposición se publicó cuando todavía permanecían sin identificar 64 víctimas. La orden garantizaba la trazabilidad de los aparatos durante su entrega y recogida, pero no establecía una obligación equivalente de registrar y auditar las verificaciones digitales de los electores.

A este despliegue millonario se suma otra grieta electoral destapada por El Debate. El INE reconoció en abril de 2026 que el padrón conserva registros de personas fallecidas, después de excluir 5.228 de su censo estadístico de 2021, sin aclarar si permanecen en el censo electoral. Además, un informe de Interior, Exteriores y la Oficina del Censo Electoral revelado por este periódico documentó que en las europeas de 2024 se devolvieron 12.567 envíos de documentación electoral por «fallecido». El Gobierno admite que las incidencias persisten y que, cuando resulta imposible contactar con los electores, determinadas bajas consulares y censales no pueden tramitarse.

El resultado es una doble incertidumbre sobre las garantías electorales: registros de fallecidos cuya posible permanencia en el censo no ha sido aclarada y más de 61.000 dispositivos de identificación digital cuya seguridad operativa debe acreditarse. Todo ello a las puertas del 29-N.