Cuando el correo de la redacción también es un blanco: por qué el cifrado ya no es opcional
Ya hemos explicado en este diario cómo una VPN protege la conexión y la privacidad en línea frente a la vigilancia y los bloqueos que sufren periodistas y activistas en entornos con libertad de expresión limitada. Pero la VPN resuelve solo una parte del problema. Una vez que el tráfico está protegido, sigue existiendo la pregunta de qué pasa con el contenido de los propios correos: quién puede leerlos, dónde se almacenan y qué ocurre si el proveedor de correo recibe una solicitud de acceso a esos datos.
Para una redacción, una ONG o cualquier organización que trabaje con fuentes que prefieren mantenerse en el anonimato, esa pregunta no es teórica. Un correo corporativo cifrado de extremo a extremo reduce ese riesgo de raíz: ni siquiera el proveedor del servicio puede leer el contenido de los mensajes, algo muy distinto de lo que ofrecen la mayoría de las cuentas de correo gratuitas que solo cifran la conexión, no el contenido almacenado.
Por qué el correo sigue siendo el eslabón más débil
Cuando se habla de seguridad digital, la conversación suele centrarse en las VPN, las redes sociales o las aplicaciones de mensajería cifrada como Signal. El correo electrónico, sin embargo, sigue siendo el canal por el que circulan las comunicaciones más sensibles de una organización: coordinación editorial, contacto con fuentes, gestión de donantes, documentación interna.
La mayoría de los servicios de correo gratuitos no fueron diseñados pensando en este tipo de amenaza. Cifran la conexión entre el usuario y el servidor, pero el proveedor conserva la capacidad técnica de acceder al contenido de los mensajes almacenados, y por tanto de entregarlos si recibe una orden judicial o una presión de otro tipo.
Lo que cambia con el cifrado de extremo a extremo
Con un correo cifrado de extremo a extremo, el mensaje se cifra en el dispositivo de quien lo envía y solo se descifra en el dispositivo de quien lo recibe. El proveedor del servicio nunca tiene acceso a la clave necesaria para leer el contenido, así que aunque reciba una solicitud de acceso a los datos, no hay nada legible que pueda entregar.
Para una redacción esto tiene una consecuencia práctica muy concreta: una fuente que se comunica por correo con un periodista puede confiar en que ese intercambio no quedará expuesto ni siquiera si el proveedor del servicio se ve obligado a cooperar con una autoridad.
Buenas prácticas que conviene mantener de todas formas
Reporteros Sin Fronteras lleva años insistiendo en que el cifrado y el anonimato son esenciales para la libertad de información, especialmente en los países donde disidentes y periodistas necesitan proteger el contenido de sus mensajes para proteger, literalmente, sus propias vidas. El cifrado del correo es una pieza de ese conjunto, no un sustituto de otras precauciones como la verificación en dos pasos o el cuidado al compartir credenciales dentro de un equipo.
Vale la pena recordar también que ninguna herramienta por sí sola elimina el riesgo por completo. Combinar un correo cifrado con buenas prácticas básicas (contraseñas únicas, cierre de sesión en dispositivos compartidos, verificación de quién administra cada cuenta) sigue siendo la única forma realista de reducir la exposición de un equipo que trabaja bajo presión.
Un cambio que no requiere reinventar el flujo de trabajo
Migrar el correo corporativo de una organización no significa abandonar las herramientas que ya usa el equipo a diario. La mayoría de estos servicios se integran con clientes de correo habituales y permiten seguir trabajando con calendarios y contactos compartidos, solo que con el contenido protegido de una forma que el proveedor original no ofrecía.
Para una redacción que ya vive bajo vigilancia constante, ese cambio no es un lujo técnico. Es, sencillamente, una forma de proteger tanto a quienes escriben como a quienes se atreven a contarles algo.
También conviene pensar en quién administra las cuentas del equipo. Si una sola persona concentra el acceso a todo el correo corporativo, la organización queda expuesta si esa cuenta se ve comprometida o si esa persona deja de estar disponible en un momento crítico. Repartir responsabilidades, documentar quién tiene acceso a qué, y revisar periódicamente esos permisos son medidas sencillas que reducen bastante el riesgo, sin necesitar ningún conocimiento técnico avanzado por parte del resto del equipo.