La empresa advirtió a la Junta Central Electoral (JCE) que el documento contiene defectos de configuración violatorios de las condiciones de licitación, los cuales afectan la verificación contra clonación y la validación electrónica; por lo que podría ser vulnerado por países extranjeros, grandes centros de datos u organizaciones criminales con suficiente capital.
Una auditoría criptográfica independiente realizada por FACTOR (www.projectfactor.io), firma especializada en seguridad por encriptación y blindaje de datos, reveló dos fallas críticas de aseguramiento en el chip de la nueva Cédula de Identidad y Electoral de República Dominicana, las cuales afectan la verificación contra clonación y la validación electrónica del documento a nivel nacional e internacional.
“Los errores criptográficos identificados en la nueva cédula pueden aumentar de manera alarmante el riesgo de ataques fraudulentos, una vez que esta comience a ser utilizada por la población de manera digital y su uso sea expandido a bancos, elecciones, universidades, negocios e instituciones gubernamentales”, advirtió el premiado matemático y criptógrafo dominicano Juan Luis Vargas Molina, director ejecutivo de FACTOR.
La investigación técnica, dirigida por Vargas Molina, mostró que el archivo anticlonación del chip del documento de identificación expedido este año fue firmado con el algoritmo RSA-1024, retirado hace más de una década, y con un certificado de “desarrollo” del proveedor.
El experto refirió que el pliego de condiciones de la licitación, adjudicada en agosto de 2025 al consorcio EMDOC por RD$3,361.5 millones, exigía el uso de “algoritmos criptográficos actuales”, custodia en módulos de seguridad de hardware (HSM) y chips con capacidad para claves RSA de 4096 bits, por lo que “el defecto responde a una falla en el proceso de configuración y control de calidad, no a una limitación física del plástico”.
Mientras, continuó, no existe en Internet la raíz de confianza de la JCE, elemento indispensable e inalterable del que depende la seguridad de todas las operaciones, ya que permitiría verificar en cascada los certificados digitales y las firmas electrónicas.
“Como tampoco existe en Internet la lista de certificados revocados por la JCE precisamente para eventos como este, en donde un certificado débil debe ser rotado. Ambos son requisitos de estándares internacionales en esta área”, agregó.
Los hallazgos del peritaje de FACTOR, titulado Proof of Cédula, publicados con evidencia reproducible de código abierto (https://github.com/ProjectFactor/auditoria_criptografica), fueron comunicados a la JCE hace unas semanas. Para su elaboración, criptógrafos de la empresa examinaron documentos de identidad dominicanos emitidos entre principios de 2026 y septiembre de 2026, con el consentimiento de sus titulares.
“Todas las cédulas analizadas contienen exactamente los mismos defectos de configuración en su infraestructura de seguridad, lo que podría facilitar que países extranjeros, entidades con grandes centros de datos y organizaciones criminales con capital suficiente pudiesen falsificar la prueba anticlonación del chip sin necesidad de poder computacional para romperla sin dejar rastro, con un certificado válido hasta 2079”, determinó el estudio.
Hasta octubre de 2026, la JCE había entregado más de 4.0 millones de nuevas cédulas de un padrón de 8.7 millones de ciudadanos habilitados, incluyendo una cantidad superior a 196,000 en el exterior, quedando por emitir cerca de 4.7 millones de documentos.
Errores fundamentales en la cédula 2026
La auditoría criptográfica aplicada por FACTOR al nuevo documento oficial de identidad emitido por la JCE, encontró fallas en la clave de prueba (“desarrollo”) y la presencia del algoritmo obsoleto RSA-1024 en el sistema anticlonación; en la raíz de confianza y en la inexistencia de la lista de revocaciones de certificados que, por normativas internacionales, debe estar disponible en Internet.
“El archivo de seguridad del chip encargado de probar que el plástico es genuino y no un clon (EF.CardSecurity) está firmado con una clave RSA-1024, cuyo certificado se identifica a sí mismo como de «desarrollo» (OU=development), perteneciente a la empresa alemana de software cryptovision (parte de Eviden) y no a una clave de producción de la Junta Central Electoral”, explicó Vargas Molina.
Añadió que el algoritmo RSA-1024 fue prohibido por el Instituto Nacional de Estándares y Tecnología de Estados Unidos, después de 2013; y rechazado por la Agencia Europea para la Ciberseguridad y la Oficina Federal de Seguridad de la Información, de Alemania, las cuales exigen un mínimo de más de 3,000 bits.
“Aún más crítico: al tratarse de una clave de prueba del fabricante, existe el riesgo de que la clave privada circule en paquetes de programación, muestras o entornos de prueba del proveedor, lo que permitiría falsificar la prueba anticlonación del chip sin necesidad de poder computacional para romperla sin dejar rastro, con un certificado válido hasta 2079”, subrayó el director ejecutivo de FACTOR.
Igualmente, aunque los datos de identidad del ciudadano (nombre, fotografía y firma en el archivo EF.SOD) están correctamente firmados con una clave moderna de la JCE, el estudio de FACTOR señala que la dirección web oficial inscrita en el propio chip para verificar la Autoridad Certificadora Raíz del país y la lista de certificados revocados no existen en Internet.
“Tampoco figura registrada en la lista pública de la Organización de Aviación Civil Internacional (OACI), donde solo aparece la autoridad de los pasaportes. Sin esta raíz de confianza pública, los bancos, consulados, oficinas públicas y sistemas electrónicos no pueden comprobar de forma autónoma la autenticidad del emisor ni enterarse de si una clave ha sido revocada”, añadió Vargas Molina.
El experto subrayó que aunque los datos biográficos y biométricos de la nueva cédula cuentan con integridad de firma válida, los contadores de PIN funcionan adecuadamente y el chip rechazó los intentos de escritura o alteración directa de datos, la clave de desarrollo tiene un algoritmo retirado hace más de diez años.
“Y que ese algoritmo obsoleto haya llegado a millones de documentos nacionales indica que faltó una revisión criptográfica independiente antes de emitir la primera tarjeta. Nosotros detectamos el certificado de prueba con un lector comercial en cuestión de minutos”, añadió.
Llamado a la calma ciudadana
El director ejecutivo de FACTOR enfatizó que no se ha demostrado ningún fraude consumado ni robo de identidad y que la cédula actual sigue siendo
plenamente válida para la identificación visual y la vida cotidiana; y que la integridad del pasaporte dominicano no se ve afectada por estos hallazgos.
Advirtió, sin embargo, que “los errores criptográficos identificados en la nueva cédula pueden aumentar de manera alarmante el riesgo de ataques fraudulentos, una vez que esta comience a ser utilizada por la población de manera digital y su uso sea expandido a bancos, elecciones, universidades, negocios e instituciones gubernamentales”.
Y exhortó a la población a no compartir nunca su PIN, a evitar publicar fotografías frontales de su cédula, dado que allí se imprime el número CAN que permite que cualquier dispositivo cercano acceda a la información del chip; y a seguir las instrucciones de la JCE en los aspectos correspondientes.
Siete pasos correctivos
Para corregir la vulnerabilidad antes de que sea emitida la mitad restante del padrón, FACTOR propone a la JCE y a las autoridades competentes una hoja de ruta de siete pasos:
- Aclarar el estado de la clave de prueba: confirmar de inmediato con el proveedor si la clave privada de desarrollo existe en sus paquetes de software o muestras y tratarla como comprometida hasta demostrar lo contrario.
- Detener la línea de personalización actual: asegurar que los 4.7 millones de tarjetas pendientes salgan exclusivamente con un firmante de producción de la JCE, verificado por un laboratorio independiente.
- Publicar la raíz de confianza (CSCA) y la lista de revocación: habilitar de inmediato la infraestructura pública en una dirección web funcional, para permitir la validación electrónica legítima.
- Medir el alcance real: realizar un muestreo independiente por lotes, centros de cedulación y fechas, para determinar el número exacto de plásticos afectados.
- Evaluar la actualización sin reemplazo físico: determinar junto al fabricante si el archivo EF.CardSecurity puede ser actualizado en los puntos de servicio (como hicieron Estonia y España en 2017, ante crisis criptográficas en sus documentos de identidad) o si requerirá reemisión focalizada sin costo para el ciudadano y asumida por el proveedor.
- Proteger a los verificadores (bancos, telefónicas e instituciones): emitir lineamientos técnicos para que ningún sistema confíe en el certificado de desarrollo RSA-1024 y fijen únicamente la raíz de producción de la JCE.
- Encargar una auditoría criptográfica completa: ejecutar una revisión integral con acceso a las ceremonias de claves, hardware de firma y registros internos antes de tomar cualquier decisión sobre una reemisión masiva.
Discussion about this post