La amarga lección del fraude de Ciudadanos: el sistema de voto electrónico aún está verde

La tragedia de Ciudadanos en Castilla y León se consumó en tres actos. Primero, la dirección nacional eligió a una paracaidista, Silvia Clemente, para encabezar la lista autonómica en mayo; después, el candidato escogido por los órganos locales, Francisco Igea, decidió plantar cara en unas primarias; y por último, todo el proceso saltó por los aires al destaparse un fraude electoral en favor de Clemente.

Los hechos. El origen del escándalo surge de un descuadre numérico. Cuando se cerraron las primarias, Clemente había obtenido 561 votos frente a los 526 de Igea y a los 7 de una tercera candidata. En total, 1.094 votos. ¿Problema? El sistema de voto telemático habilitado por Ciudadanos sólo registraba 1.013 votos. 81 menos. Cuando un grupo de simpatizantes de Igea cayó en la cuenta, comenzó a investigar.

El fraude. Ciudadanos emplea en su web un sistema de votación auditado por la Fábrica Nacional de Moneda y Timbre. Cada voto registrado incluye un código de 32 dígitos que condensa información crítica: la dirección del voto, la hora a la que se ha emitido y la IP desde la que se ha generado. Clemente recibió 51 votos a las 3:00 de la madrugada del sábado y otros 30 a las 07:00, poco antes de cerrar las urnas.

Todos provenían de la misma IP. El fraude se destapó porque el código de todos los votos es consultable por cualquier afiliado.

Cómo funciona. El modelo empleado por Ciudadanos es simple: cada afiliado puede registrarse utilizando su DNI y una contraseña; el sistema le envía un código a su correo ; y la clave le autoriza a emitir un voto en el Espacio Naranja. El proceso no está sometido a auditorias externas y había sido objeto de cuestión por miembros del Consejo General, según La Razón, que lo juzgaban inseguro.

Fallas. El proceso no difiere demasiado de los utilizados por otras formaciones, como Podemos. El partido morado optó en sus inicios por auditar y verificar sus múltiples consultas mediante Agora Voting (nVotos). Ciudadanos no. En 2016, El Español explicaba cómo la posibilidad de recuperar contraseñas y la ausencia de cifrados fiables cuestionaban seriamente la seguridad de voto.

Tres años después, los problemas siguen existiendo. La FNMT sólo se dedica a sellar el voto, a registrar "cuándo ha tenido lugar un evento y que dicho evento no pueda ser manipulado con posterioridad", pero su implicación en el proceso no va más allá.

¿Quién? No se sabe. Ciudadanos ha anulado los 81 votos de la discordia y ha declarado a Igea vencedor. La dirección del partido habla de "un error" que hubiera sido identificado por el sistema hubieran investigado los simpatizantes del candidato o no, pero no de fraude y mucho menos de pucherazo. Quién y cómo pudo hackear las primaras es un misterio. Pero que lo hizo es indudable.

Problemas varios. El voto digital aún está verde. Suiza es un buen ejemplo: un reciente estudio realizado por investigadores de la Jon Hopkins University ha encontrado fallos de seguridad en el sistema empleado por Swiss Post, y diseñado por la empresa española Scytl. Cuando Swiss Post anunció un pentest público para testar su seguridad, numerosos hackers señalaron sus agujeros antes del propio test.

Nuestros compañeros de Xataka hablaron con numerosos expertos sobre la conveniencia del voto telemático frente al físico en España. ¿Veredicto? El recuento actual es tan seguro que ni el sistema digital más fiable lo podría superar.

Estonia. Una pequeña luz en el horizonte: el 44% de los votos emitidos en las pasadas elecciones generales de Estonia fueron electrónicos. No es un proceso sencillo. Como explican en Genbeta, los estonios necesitan:

(...) su tarjeta de identificación nacional o un identificador móvil con certificados y PINs válidos, un lector especial de tarjetas y una aplicación de voto que verifica de forma automática si el votante es elegible para emitir su voto. 

La app recolecta el sufragio, lo cifra y lo envía al centro de datos. Un ejemplo de cómo el voto digital sí puede funcionar, pero también de los numerosos pasos que la mayor parte de naciones tienen que tomar aún por delante. Para llegar hasta aquí, Estonia lleva años digitalizando la totalidad de sus servicios públicos.

Imagen: Víctor J Blanco/GTRES