SANTO DOMINGO.-Una auditoría criptográfica independiente realizada por la empresa Factor Inc. identificó dos alegadas fallas críticas de seguridad en el chip de la nueva Cédula de Identidad y Electoral dominicana, que comprometerían los mecanismos de verificación contra clonaciones y la validación electrónica del documento dentro y fuera del país.
“Los errores criptográficos identificados en la nueva cédula pueden aumentar de manera alarmante el riesgo de ataques fraudulentos, una vez que esta comience a ser utilizada por la población de manera digital y su uso sea expandido a bancos, elecciones, universidades, negocios e instituciones gubernamentales”, advirtió el premiado matemático Juan Luis Vargas Molina.
La investigación técnica, dirigida por Vargas Molina, mostró que el archivo anticlonación del chip del documento de identificación expedido este año fue firmado con el algoritmo RSA-1024, retirado hace más de una década, y con un certificado de “desarrollo” del proveedor.
El experto señaló que el pliego de condiciones de la licitación, adjudicada en agosto de 2025 al consorcio Emdoc por RD$3,361.5 millones, exigía el uso de “algoritmos criptográficos actuales”, custodia mediante módulos de seguridad de hardware (HSM) y chips con capacidad para utilizar claves RSA de 4096 bits.
“El defecto responde a una falla en el proceso de configuración y control de calidad, no a una limitación física del plástico”, sostuvo.
Mientras, continuó, no existe en Internet la raíz de confianza de la JCE, elemento indispensable e inalterable del que depende la seguridad de todas las operaciones, ya que permitiría verificar en cascada los certificados digitales y las firmas electrónicas.
“Como tampoco existe en Internet la lista de certificados revocados por la JCE precisamente para eventos como este, en donde un certificado débil debe ser rotado. Ambos son requisitos de estándares internacionales en esta área”, agregó.
Profundiza en el debate político dominicano con nuestra cobertura independiente:
Ver noticias nacionales Análisis político completoLos hallazgos del peritaje de Factor, titulado Proof of Cédula y publicados junto con evidencia reproducible de código abierto, fueron comunicados a la Junta Central Electoral (JCE) hace algunas semanas. Para su elaboración, los criptógrafos de la empresa analizaron documentos de identidad dominicanos emitidos entre principios de 2026 y septiembre de ese mismo año, con el consentimiento de sus titulares.
“Todas las cédulas analizadas contienen exactamente los mismos defectos de configuración en su infraestructura de seguridad, lo que podría facilitar que países extranjeros, entidades con grandes centros de datos y organizaciones criminales con capital suficiente pudiesen falsificar la prueba anticlonación del chip sin necesidad de poder computacional para romperla sin dejar rastro, con un certificado válido hasta 2079”, determinó el estudio.
Hasta octubre de 2026, la JCE había entregado más de 4.0 millones de nuevas cédulas de un padrón de 8.7 millones de ciudadanos habilitados, incluyendo una cantidad superior a 196,000 en el exterior, quedando por emitir cerca de 4.7 millones de documentos.
Errores fundamentales en la cédula 2026
La auditoría criptográfica aplicada por Factor al nuevo documento oficial de identidad emitido por la JCE, encontró fallas en la clave de prueba “desarrollo” y la presencia del algoritmo obsoleto RSA-1024 en el sistema anticlonación; en la raíz de confianza y en la inexistencia de la lista de revocaciones de certificados que, por normativas internacionales, debe estar disponible en Internet.
“El archivo de seguridad del chip, encargado de demostrar que el documento físico es genuino y no una copia, (EF.CardSecurity), está firmado con una clave RSA-1024, cuyo certificado se identifica como de «desarrollo» (OU=development), perteneciente a la empresa alemana de software cryptovision, parte de Eviden, y no a una clave de producción de la Junta Central Electoral (JCE)”, explicó Vargas Molina.
Añadió que el algoritmo RSA-1024 fue prohibido por el Instituto Nacional de Estándares y Tecnología de Estados Unidos, después de 2013; y rechazado por la Agencia Europea para la Ciberseguridad y la Oficina Federal de Seguridad de la Información, de Alemania, las cuales exigen un mínimo de más de 3,000 bits.
“Aún más crítico: al tratarse de una clave de prueba del fabricante, existe el riesgo de que la clave privada circule en paquetes de programación, muestras o entornos de prueba del proveedor, lo que permitiría falsificar la prueba anticlonación del chip sin necesidad de poder computacional para romperla sin dejar rastro, con un certificado válido hasta 2079”, subrayó el director ejecutivo de Factor.
Igualmente, aunque los datos de identidad del ciudadano «nombre, fotografía y firma en el archivo EF.SOD» están correctamente firmados con una clave moderna de la JCE, el estudio de Factor señala que la dirección web oficial inscrita en el propio chip para verificar la Autoridad Certificadora Raíz del país y la lista de certificados revocados no existen en Internet.
“Tampoco figura registrada en la lista pública de la Organización de Aviación Civil Internacional (OACI), donde solo aparece la autoridad de los pasaportes. Sin esta raíz de confianza pública, los bancos, consulados, oficinas públicas y sistemas electrónicos no pueden comprobar de forma autónoma la autenticidad del emisor ni enterarse de si una clave ha sido revocada”, añadió Vargas Molina.
El experto subrayó que aunque los datos biográficos y biométricos de la nueva cédula cuentan con integridad de firma válida, los contadores de PIN funcionan adecuadamente y el chip rechazó los intentos de escritura o alteración directa de datos, la clave de desarrollo tiene un algoritmo retirado hace más de diez años.
“Y que ese algoritmo obsoleto haya llegado a millones de documentos nacionales indica que faltó una revisión criptográfica independiente antes de emitir la primera tarjeta. Nosotros detectamos el certificado de prueba con un lector comercial en cuestión de minutos”, añadió.
Llamado a la calma ciudadana
El director ejecutivo de Factor enfatizó que no se ha demostrado ningún fraude consumado ni robo de identidad y que la cédula actual sigue siendo
plenamente válida para la identificación visual y la vida cotidiana; y que la integridad del pasaporte dominicano no se ve afectada por estos hallazgos.
Advirtió, sin embargo, que “los errores criptográficos identificados en la nueva cédula pueden aumentar de manera alarmante el riesgo de ataques fraudulentos, una vez que esta comience a ser utilizada por la población de manera digital y su uso sea expandido a bancos, elecciones, universidades, negocios e instituciones gubernamentales”.
Y exhortó a la población a no compartir nunca su PIN, a evitar publicar fotografías frontales de su cédula, dado que allí se imprime el número CAN que permite que cualquier dispositivo cercano acceda a la información del chip; y a seguir las instrucciones de la JCE en los aspectos correspondientes.
Siete pasos correctivos
Para corregir la vulnerabilidad antes de que sea emitida la mitad restante del padrón, Factor propone a la JCE y a las autoridades competentes una hoja de ruta de siete pasos:
1. Aclarar el estado de la clave de prueba: confirmar de inmediato con el proveedor si la clave privada de desarrollo existe en sus paquetes de software o muestras y tratarla como comprometida hasta demostrar lo contrario.
2. Detener la línea de personalización actual: asegurar que los 4.7 millones de tarjetas pendientes salgan exclusivamente con un firmante de producción de la JCE, verificado por un laboratorio independiente.
3. Publicar la raíz de confianza (CSCA) y la lista de revocación: habilitar de inmediato la infraestructura pública en una dirección web funcional, para permitir la validación electrónica legítima.
4. Medir el alcance real: realizar un muestreo independiente por lotes, centros de cedulación y fechas, para determinar el número exacto de plásticos afectados.
5. Evaluar la actualización sin reemplazo físico: determinar junto al fabricante si el archivo EF.CardSecurity puede ser actualizado en los puntos de servicio, como hicieron Estonia y España en 2017, ante crisis criptográficas en sus documentos de identidad o si requerirá reemisión focalizada sin costo para el ciudadano y asumida por el proveedor.
6. Proteger a los verificadores (bancos, telefónicas e instituciones): emitir lineamientos técnicos para que ningún sistema confíe en el certificado de desarrollo RSA-1024 y fijen únicamente la raíz de producción de la JCE.
7.Encargar una auditoría criptográfica completa: ejecutar una revisión integral con acceso a las ceremonias de claves, hardware de firma y registros internos antes de tomar cualquier decisión sobre una reemisión masiva.
Sobre Factor y Juan Luis Vargas Molina
Lanzada el 20 de abril de 2022 y respaldada ese mismo año por una subvención del Coinbase Crypto Community Fund, Factor es una blockchain pública de prueba de trabajo basada en la factorización de números enteros y el análisis práctico de seguridad RSA.
Su brazo comercial, Factor Inc., corporación registrada en Estados Unidos, ofrece servicios especializados de auditoría criptográfica para sistemas de identidad nacional, registro civil y gobierno electrónico en América Latina.
La investigación Proof of Cédula fue realizada de manera totalmente independiente, a partir de información pública y sin financiamiento de la Junta Central Electoral (JCE), proveedores ni terceros.
Juan Luis Vargas Molina, su director ejecutivo, es un matemático, investigador, criptógrafo y especialista en ciberseguridad dominicano radicado en los Estados Unidos, reconocido por sus aportes al desarrollo de cadenas de bloques (blockchain) e investigación sobre la factorización de números enteros.
Trabajó como matemático y criptógrafo en proyectos de seguridad e inteligencia para la Agencia de Seguridad Nacional de los Estados Unidos (NSA).
Es el creador de Factor, proyecto recibió una subvención y respaldo técnico de Coinbase, la mayor plataforma de criptoactivos de Estados Unidos.
Además de su trabajo técnico, participa activamente en el debate público dominicano y latinoamericano sobre la modernización de la ciberseguridad estatal, los riesgos criptográficos ante el avance de la inteligencia artificial y la enseñanza de las matemáticas en jóvenes hispanos.
En enero de 2026, fue distinguido por la Presidencia de República Dominicana como finalista del Premio Nacional de la Juventud (PNJ), en el renglón de jóvenes dominicanos destacados en el exterior.
Suscríbete y recibe las historias más importantes del día.
Al suscribirte aceptas nuestros términos y condiciones y política de privacidad.
