Ciberseguridad en el espacio

Durante años, en la industria satelital se asumió que, por tratarse de tecnología compleja y costosa, la comunicación venía protegida “de fábrica”. El paper “Don’t Look Up” discutió esa idea con datos: señaló que existen enlaces IP en satélites geoestacionarios (GEO) donde circula información sin cifrar.

La investigación fue realizada por equipos de UC San Diego y la University of Maryland. El método no recurrió a equipamiento sofisticado: los autores describieron el uso de herramientas comerciales y trabajo sostenido para identificar señales, interpretarlas y reconstruir datos.

El punto central es simple: si un enlace no está cifrado, alguien con conocimiento técnico puede escuchar. En el mundo satelital, esa escucha puede ocurrir sin “ruido” visible para el operador o el cliente.

Qué encontró el estudio y qué significa “en claro”

El paper relevó tráfico IP en 39 satélites GEO y reportó que, en una parte relevante de los enlaces observados, circulaba información en texto plano. En términos prácticos, “en claro” significa que los datos viajan sin una capa de cifrado que impida leer el contenido si se logra interceptarlo.

La investigación incluyó ejemplos de información sensible: comunicaciones asociadas a conectividad en vuelos, redes empresariales, backhaul celular (la conexión entre antenas móviles y la red troncal) y otros flujos operativos. El trabajo no afirma que todo el ecosistema GEO esté expuesto, sino que demuestra que hay casos concretos donde la protección no alcanza.

Esa distinción es importante: el problema no es que “el satélite sea inseguro” por definición. El riesgo aparece cuando, en alguna parte de la cadena (equipos, configuración, protocolos heredados, integraciones), el cifrado no está activado o no existe.

Por qué ocurre: incentivos, legado y complejidad

En muchos despliegues satelitales conviven tecnologías de distintas épocas. Se acumulan capas: modems, gateways, redes internas, proveedores de software y, cada vez más, servicios en la nube para gestión y operación. Esa mezcla suele aumentar la superficie de ataque.

A eso se suma un factor clásico: el cifrado tiene costos. Exige diseño, compatibilidad, administración de claves, auditorías y pruebas. Cuando el servicio funciona y el cliente no pide evidencia, la seguridad tiende a quedar relegada a un segundo plano.

El paper empuja a una conclusión incómoda: no basta con “suponer” que la información viaja cifrada. Si no se lo exige y verifica, puede no ocurrir.

La reacción institucional: la NRO arma un “hub” de ciberseguridad espacial

En paralelo al debate que abrió “Don’t Look Up”, la National Reconnaissance Office (NRO) de Estados Unidos anunció la creación de un programa de ciberseguridad espacial para ordenar y coordinar actividades dentro de la agencia.

Según lo explicado en CyberSat, el enfoque se apoya en tres líneas: definir prioridades, incorporar ciberseguridad desde el diseño (no al final) y acelerar decisiones internas. La NRO también planteó una articulación directa con CISA, el organismo civil de referencia en ciberseguridad e infraestructura crítica.

Más allá del ámbito gubernamental, el mensaje es relevante para el mercado: la seguridad deja de ser un “agregado” y pasa a ser un requisito de arquitectura. Ese giro suele bajar luego a contratos, normas internas y exigencias a proveedores.

Qué cambia para operadores, integradores y clientes

Para el sector, el aprendizaje es directo. Primero, el cifrado debe tratarse como condición de servicio: si no está garantizado y probado, la exposición existe. Segundo, el riesgo no está solo “en el satélite”: el segmento terreno y las integraciones (redes, software, nube) concentran buena parte de los puntos vulnerables.

Tercero, crece la necesidad de evidencia. En el mercado corporativo y gubernamental, la conversación deja de ser “prometemos seguridad” y pasa a ser “cómo se demuestra”. Eso incluye auditorías, segmentación de redes, gestión de credenciales y controles de configuración.

En la economía digital, la confiabilidad ya no se mide solo en cobertura y disponibilidad. También se mide en confidencialidad e integridad de los datos. “Don’t Look Up” volvió visible un problema que suele quedar debajo de la alfombra técnica: cuando falta cifrado, la conectividad puede funcionar igual, pero la privacidad y la seguridad se vuelven una apuesta.