Guillem Alsina Gonzàlez
La Unión Europea ha fijado un plazo de tres años para que los operadores de telecomunicaciones retiren equipamiento de proveedores clasificados como “de alto riesgo”. El mandato no se limita a reemplazar dispositivos, sino que afecta a la forma en que se gestiona la confianza en componentes que sostienen servicios esenciales.
Pero, según Aras Nazarovas, Senior Information Security Researcher en Cybernews, la sustitución de equipos de origen chino por alternativas europeas o estadounidenses no resuelve automáticamente el problema de las posibles puertas traseras.
El cambio puede trasladar el foco desde el origen del proveedor hacia una pregunta más incómoda: ¿en quién se deposita la confianza cuando no es posible auditar el interior del sistema?. En términos operativos, el riesgo no desaparece por cambiar de marca si el producto sigue siendo una “caja negra” cuyo funcionamiento real no puede verificarse de manera independiente.
Buena parte del problema se origina en cómo gobiernos y operadores han construido infraestructuras críticas sobre sistemas que, en la práctica, no pueden ser comprobados por terceros. Sustituir hardware cerrado por otro hardware igualmente cerrado puede responder a una necesidad de apariencia regulatoria sin aportar, por sí solo, garantías adicionales de seguridad. Esto implica que el control del riesgo no puede descansar únicamente en la nacionalidad del proveedor, sino en los mecanismos de verificación disponibles.
En un router o en un equipo de red, podemos encontrar vulnerabilidades en varios niveles, que van desde el firmware hasta el software de gestión que se ejecuta por encima, pasando por el sistema operativo interno. En muchos casos se trata de fallos accidentales, consistentes en errores de programación que dejan rutas sin autenticación, código de pruebas que llega a producción o bibliotecas sin actualizar con fallos ya conocidos, sigue explicando Nazarovas.
En la práctica, y según apunta el analista, el impacto de una vulnerabilidad no depende tanto de si fue producto de una mala ingeniería o de un sabotaje deliberado, como del hecho de que abre una vía de entrada, un riesgo que se agrava porque parte de ese código está en cimientos del sistema que se actualizan poco o tarde, lo que permite que debilidades profundas permanezcan sin detectar durante años.
Además, las herramientas de seguridad convencionales como el antivirus tienden a observar lo que ocurre en la superficie del sistema, y pueden no identificar fallos ocultos en capas inferiores, especialmente si están diseñados para pasar desapercibidos.
Los precedentes recientes citados por Nazarovas subrayan el alcance del problema: en 2025, investigaciones sobre campañas vinculadas a actores chinos, como Salt Typhoon y otras relacionadas, mostraron cómo los atacantes lograron infiltrarse en redes telefónicas de los Estados Unidos y de países aliados. En algunos casos, esas intrusiones se asociaron al uso indebido de herramientas de interceptación integradas en la propia red, concebidas para su uso con autorización judicial.
Más allá de las telecomunicaciones
Uno de los elementos más relevantes de la propuesta europea es, según el analista de Cybernews, su amplitud, ya que las restricciones se extienden más allá del 5G e incluyen escáneres de seguridad fronteriza, sistemas de tratamiento de agua, redes eléctricas y dispositivos médicos, entornos donde un ciberataque puede llegar a comprometer servicios esenciales. En escenarios así, las consecuencias no se reducen a una interrupción tecnológica, sino que pueden afectar a la continuidad de hospitales, a la potabilidad del agua o al suministro eléctrico.
Este alcance, sin embargo, también expone una limitación del enfoque basado únicamente en vetos por procedencia; prohibir proveedores chinos no garantiza que las sustituciones sean más transparentes o seguras si no existen exigencias explícitas de auditoría independiente, verificación abierta del código y pruebas periódicas de terceros. Sin requisitos de revisión externa y pruebas regulares, los proveedores europeos y estadounidenses pueden mantener el mismo nivel de opacidad que aquellos a los que sustituyen. A partir de aquí, el debate se desplaza de “qué proveedor” a “bajo qué condiciones”.
Nazarovas concluye que la Unión Europea tiene margen para ir más allá del relevo de suministradores y exigir que cualquier fabricante, con independencia de su nacionalidad, cumpla estándares verificables, lo que incluye abrir el código fuente a revisión independiente, someterse a pruebas de seguridad periódicas, y mantener procesos transparentes para reportar y corregir vulnerabilidades.
