Los miembros de una mesa electoral abren las urnas para proceder al recuento de votos
Más de siete millones a lectores del DNI digital, pero Interior ignora en su guía de ciberseguridad su uso y sus riesgos
Interior mantiene prácticamente intacta la guía de 2023, cuando ya se permitía votar con miDGT sin verificar el QR. Los expertos consultados por El Debate advierten de posibles manipulaciones y verificadores falsos
El Gobierno prepara el despliegue de 61.603 dispositivos para identificar digitalmente a los votantes mientras los expertos advierten de posibles manipulaciones de los terminales y falsificaciones de los verificadores. Sin embargo, la guía de ciberseguridad que Interior acaba de facilitar a los partidos políticos no contiene una sola instrucción sobre el uso de MiDNI ni una advertencia específica sobre los riesgos del nuevo sistema.
La responsabilidad de remitir esta guía corresponde a la Dirección General de Política Interior, dependiente del Ministerio del Interior y dirigida por Carmen López García. Es la misma responsable que defendió ante la Junta Electoral Central (JEC) que los votantes pudieran identificarse mostrando una fotografía en el móvil, sin comprobar su autenticidad mediante el código QR.
Durante nueve elecciones desde mayo de 2023 el Gobierno consiguió que se permitiera identificar a los votantes con miDGT sin verificar el código QR. En ocho de ellas, la autorización se extendió también al voto por correo. Ahora, el Gobierno ha conseguido recuperar la utilización de MiDNI para el 29-N.
Lo sorprendente es que en las dos elecciones generales en las que el Gobierno ha introducido sus aplicaciones digitales en el sistema electoral las guías de ciberseguridad distribuidas por Interior ignoran los riesgos específicos de ambos procedimientos. Así ocurrió el 23-J de 2023 con miDGT sin QR de verificación y el próximo 29-N con MiDNI y miles de lectores para comprobarlo. Unos riesgos de ciberseguridad elementales ignorados sobre los que precisamente han advertido algunos de los principales expertos españoles en identidad digital consultados por El Debate.
Una guía de 2023 con «pequeñas actualizaciones»
La «Breve Guía de Ciberseguridad para Partidos Políticos», fechada en octubre de 2026 y publicada en la web de la JEC, incorpora una presentación de Interior que reconoce que el Centro Criptológico Nacional, a través del CCN-CERT, ha introducido únicamente «pequeñas actualizaciones» respecto de mayo de 2023 sobre correcciones menores, cambios de formato y la supresión de una referencia a los plazos habituales de renovación de contraseñas.
Comunicado del Ministerio del Interior
La guía conserva su estructura original: protección de información, accesos, dispositivos móviles, servidores, redes sociales, gestión de incidentes y capacitación. No menciona MiDNI, códigos QR ni verificadores electorales. La única mención es una referencia genérica al documento de identidad físico, dentro de las recomendaciones sobre privacidad en redes sociales.
En 2023 ya se permitía votar sin verificar el QR
La omisión ya ocurrió cuando Interior difundió la primera guía, en mayo de 2023. El árbitro ya había autorizado, mediante acuerdo del 16 de febrero, la utilización de miDGT ante las mesas electorales sin exigir la lectura del QR. Posteriormente, Correos obtuvo autorización para aceptar el permiso de conducir digital en las operaciones de voto por correo del 23-J. Interior elaboró así una guía para proteger a los partidos frente a amenazas informáticas mientras el sistema electoral admitía identificaciones digitales sin comprobar criptográficamente su autenticidad.
Tres años después, el Gobierno incorpora lectores QR al procedimiento, pero la nueva guía destinada a los partidos tampoco aborda su utilización ni ofrece orientaciones específicas para reconocer posibles falsificaciones del sistema.
Carmen López y las estructuras de seguridad electoral de Interior
Como reveló ayer El Debate, el Gobierno de Sánchez creó una Red de Coordinación para la Seguridad en Procesos Electorales, en la que participa el Centro Criptológico Nacional, además de un subcomité especializado en la seguridad de los resultados provisionales.
La Dirección General de Política Interior está encabezada por Carmen López García, la misma responsable que defendió ante la JEC la identificación con MiDNI sin verificar el QR, una comprobación que la Junta terminó exigiendo tras las investigaciones de El Debate.
La cuestión es qué papel ha desempeñado esa red en la evaluación del nuevo sistema, qué riesgos ha evaluado, qué garantías ha exigido antes de desplegarlo y por qué Interior distribuye una guía de ciberseguridad que no menciona los lectores ni sus riesgos específicos.
Más de siete millones sin contar el coste de distribución y recogida
El 21 de octubre, Interior firmó un contrato de emergencia con Telefónica Defensa y Seguridad por 7.000.455 euros para alquilar 61.603 terminales, a un coste medio aproximado de 113,64 euros por unidad. La orden la publicó en pleno luto, el 29 de octubre, como reveló este periódico.
A los más de siete millones del alquiler se añade el coste de distribución y recogida por Correos, cuya tarifa máxima es de 28,07 euros por dispositivo. La orden establece la trazabilidad de las entregas y recogidas, pero no regula una auditoría individual de las verificaciones de identidad.
La JEC levantó el 5 de noviembre la suspensión de MiDNI después de que Interior confirmara que las mesas electorales dispondrían de dispositivos capaces de comprobar el código QR temporal «con todas las garantías necesarias», según recoge literalmente el Acuerdo 334/2026. La Junta mantuvo, en cambio, la suspensión de miDGT.
La cuestión es si Interior puede acreditar que esas garantías alcanzan también a la seguridad de los verificadores y de los 61.603 terminales que desplegará el 29-N. Interior aseguró el 6 de noviembre que la aplicación MiDNI había sido evaluada y certificada por el CCN. Sin embargo, no aclaró si esa certificación comprende también
Certificar la aplicación que genera el QR no equivale necesariamente a acreditar la seguridad de todos los dispositivos que lo verifican, como han denunciado en estas páginas dos de los mayores expertos.
Julián Inza, presidente de EAD Trust, advierte: «Los lectores de QR son solo uno de los componentes necesarios. Hace falta una aplicación informática cuya seguridad esté certificada por una auditoría específica para leer los DNI de la App MiDNI». Denuncia, además, vulnerabilidades que deben prevenirse como páginas falsas aparentemente idénticas a la oficial y aplicaciones maliciosas capaces de intentar utilizar funciones del verificador legítimo. Reclama también auditar el sistema completo, incluida su utilización efectiva en los terminales.
Ignacio Alamillo, doctor en Derecho, auditor certificado y especialista en identidad digital europea, coincide en que el riesgo está en «la gestión de los terminales». Y añade: «la autenticidad del QR no demuestra que el dispositivo utilizado para leerlo sea seguro». Advierte de aplicaciones no autorizadas, manipulaciones previas a la entrega y dificultades para detectar dispositivos comprometidos. Un terminal podría técnicamente transmitir la identidad del elector, la mesa y la hora de identificación. Alamillo aclara que sería ilícito y no afirma que Interior esté recopilando esos datos. Considera, además, «altamente improbable» superar una auditoría del Esquema Nacional de Seguridad en apenas tres semanas.
El Supremo examina las garantías
El Tribunal Supremo rechazó la suspensión cautelarísima solicitada por Iustitia Europa tras las investigaciones de El Debate, pero concedió a la JEC hasta este viernes, 13 de noviembre, a las 15:00 horas, para presentar alegaciones. A dieciséis días de las elecciones, Interior prepara el despliegue de los terminales sin que su guía de ciberseguridad para los partidos explique los controles específicos del nuevo sistema.
¿Quién ha auditado los verificadores? ¿Cómo se comprobará que cada terminal utiliza la aplicación auténtica? ¿Cómo detectarán las mesas un dispositivo sospechoso?
