El Consejo Nacional Electoral (CNE) enfrenta una crisis de credibilidad tras una auditoría técnica independiente realizada entre marzo y junio de 2024, que detectó 12 fallos críticos en sus 17 sistemas informáticos clave. El informe, entregado al Tribunal Supremo de Justicia (TSJ) y filtrado a medios especializados en julio, confirma vulnerabilidades en los módulos de transmisión de actas, verificación biométrica y consolidación de resultados. La falla más grave afecta el sistema de escrutinio automatizado en 14 de 24 estados, donde los servidores no registran auditorías de acceso en tiempo real.
Expertos advierten riesgo de alteración no detectada en conteo preliminar
«No hay trazabilidad real desde la mesa hasta la consolidación»
Según el ingeniero en ciberseguridad Carlos Mendoza, miembro del equipo auditor de la ONG Voto Seguro, «el sistema carece de mecanismos de hash criptográfico verificable por observadores. Un 73 % de los servidores no generan registros inmutables de cada transacción. Eso permite modificaciones posteriores sin huella digital».
Cronología de las fallas detectadas
- 12 de marzo de 2024: Inicio de la auditoría técnica por mandato del TSJ.
- 28 de abril: Identificación de ausencia de protocolos TLS 1.3 en 9 servidores regionales.
- 15 de mayo: Confirmación de que el sistema de respaldo automático no se activó en 36 centros de votación durante simulacro nacional.
- 30 de junio: Entrega formal del informe al TSJ y al Defensor del Pueblo.
Antecedentes y contexto
Este hallazgo se inscribe en una línea de deterioro progresivo de la infraestructura electoral. En 2021, el CNE reconoció públicamente la obsolescencia de sus servidores centrales, cuya última actualización data de 2017. En 2022, la Contraloría General informó que $42 millones asignados al «Plan de Modernización Tecnológica» no fueron ejecutados por «falta de especificaciones técnicas». En 2023, el Consejo de Participación Ciudadana emitió una resolución exigiendo auditorías externas tras denuncias de retrasos en la publicación de actas en 8 provincias. El CNE respondió con un comunicado del 14 de enero de 2024 donde afirmó que «todos los sistemas cumplen con los estándares internacionales de seguridad», sin presentar certificaciones externas.
Voces institucionales y reacciones oficiales
«Los resultados son técnicamente válidos, pero no auditables por terceros»
La directora de Tecnología del CNE, María Fernanda Rojas, declaró el 5 de julio ante la Comisión de Fiscalización de la Asamblea Nacional: «Los sistemas operan bajo normas ISO/IEC 27001, aunque no todas las certificaciones están vigentes. No obstante, garantizamos la integridad del proceso mediante controles manuales complementarios».
«Es una brecha de confianza institucional que exige intervención inmediata»
El Defensor del Pueblo, Javier Alvarado, emitió un pronunciamiento el 8 de julio: «La ausencia de trazabilidad en 12 sistemas críticos viola el artículo 231 de la Ley Orgánica del Sufragio, que exige ‘registro inalterable y público de cada etapa del escrutinio’. Exigimos la publicación íntegra del informe auditor y la convocatoria a un comité técnico multipartidista antes del 15 de agosto».
El informe también reveló que 3 de los 5 proveedores tecnológicos contratados por el CNE entre 2022 y 2024 carecen de certificación ISO/IEC 27001. Uno de ellos, la empresa DataVox S.A., fue sancionada en 2023 por la Superintendencia de Telecomunicaciones por incumplimiento de estándares de protección de datos personales. A pesar de ello, su software sigue operando en 7 estados.
La auditoría no encontró evidencia de manipulación activa, pero sí confirmó que el 100 % de los sistemas carecen de mecanismos de verificación cruzada entre plataformas, lo que impide detectar inconsistencias entre el conteo manual y el digital. Según el informe, esta condición «permite la introducción de errores no intencionales o intencionales sin alerta temprana».
El TSJ aún no ha emitido resolución pública sobre el informe. Mientras tanto, el CNE ha anunciado una «actualización parcial de firmware» para agosto, sin especificar qué sistemas serán afectados ni quién realizará la validación independiente de los cambios.
