Con la migración de las transacciones bancarias analógicas a las digitales, la necesidad de proteger datos sensibles y mejorar su gestión se vuelve una cuestión que ocupa la mente de las entidades y usuarios involucrados en las operaciones. El sector financiero maneja grandes cantidades de información que se basan en sistemas en constante evolución. Cuando llega el momento de actualizar los programas encargados de la organización, de la consulta y de la ejecución de transacciones financieras, es habitual que se requiera una importante revisión de los sistemas que viene acompañada de pausas en su operabilidad y de una curva de aprendizaje asociado a cada nuevo programa. El proyecto Qryption, del centro tecnológico Gradiant, nace como respuesta a esta problemática: busca centralizar y simplificar la gestión y el gobierno de la criptografía que protege las operaciones de pago de las entidades financieras.
La base de Qryption está en la mejora de la criptografía asociada a estas transacciones. Esta técnica se emplea para proteger la información a través de mensajes codificados que solo el destinatario (sea este un programa informático o una persona) pueda comprender su contenido. Es una forma de garantizar la seguridad de los datos financieros de bancos y usuarios, y resulta especialmente relevante en el contexto digital que domina en el presente.
El líder de la línea tecnológica de seguridad avanzada del dato de Gradiant, Jaime Loureiro, explica que la criptografía es una tecnología más presente en la vida diaria de la sociedad del que suele creerse a pie de calle. «Cuando hacemos compras por Internet, o sacamos dinero del cajero, o pagamos con la tarjeta en el supermercado… Son acciones que parecen invisibles y rápidas, pero por la espalda las empresas bancarias hacen toda una serie de verificaciones que conforman su criptografía», explica Loureiro, quien define esta tecnología con las siguientes palabras: «Es un conjunto de técnicas y estructuras invisibles para el ciudadano que garantizan la seguridad de las transacciones».
Gestionar la criptografía que protege las operaciones financieras
«Qryption nace de una propuesta que presentamos en el 2025 al Programa Ignicia Proba de Concepto«, señala Jaime Loureiro. Esta convocatoria está impulsada por la Axencia Galega de Innovación de la Xunta de Galicia con el fin de ayudar a promover el desarrollo de aplicaciones comerciales nacidas de centros de investigación gallegos. «Nosotros nos presentamos con un proyecto orientado al sector financiero que pretende mejorar el gobierno de la criptografía que protege nuestros pagos», apunta el líder de la línea tecnológica de seguridad avanzada del dato.
Durante los momentos más tempranos de la transición digital del sector bancario, los programas y sistemas se diseñaron bajo la premisa de que los algoritmos, códigos y lenguajes verían pocos cambios en los años próximos. «Eso ya no es válido. Estamos a las puertas de los ordenadores cuánticos, de las amenazas de la inteligencia artificial… Los cambios tecnológicos ponen en riesgo muchos de los algoritmos criptográficos que gestionan nuestros pagos. Queremos que puedan cambiar la criptografía sin cambiar los sistemas de pago«, cuenta Loureiro.
La iniciativa está dirigida a entidades bancarias del sector financiero, mas toca una cuestión que se extiende la múltiples ámbitos y puntos geográficos. «Las amenazas del sector financiero también lo son para otros campos, fundamentalmente aquellos que se consideran infraestructuras críticas para la sociedad: telecomunicaciones, salud, energía, defensa… La criptografía es el pilar fundamental que protege nuestros datos en la era digital», apunta Jaime Loureiro. Añade: «Desde Galicia podemos desarrollar tecnología muy especializada para solucionar un problema de los sistemas de pago en todo el mundo».
Cómo funciona Qryption?
«Lo que hacemos en Qryption es una tecnología de middleware criptográfico [una capa de software intermedia entre las aplicaciones de pago y la infraestructura criptográfica] que da servicio a todas las aplicaciones financieras que demandan el uso de criptografía», explica Loureiro. Añade que el proyecto busca gestionar las claves y las infraestructuras criptográficas que necesitan los diferentes servicios de pago para verificar cada transacción (en concreto, los HSM, módulos de seguridad hardware). Son dispositivos que ejecutan estas operaciones de seguridad, como verificar el PIN o el código de seguridad de la tarjeta y autorizar los pagos. «Nosotros gestionamos todos estos tipos de hardware a través de una interfaz única para evitar tener que administrar la criptografía por separado en cada aplicación», indica el líder de la línea tecnológica de seguridad avanzada del dato.
Qryption está, pues, tratando de crear la posibilidad de que una infraestructura compleja —como es, en este caso, la criptografía financiera— resulte sencilla para quien a usa. «Queremos permitir la independencia entre los sistemas de pago y su criptografía. La principal innovación son los mecanismos de criptoagilidad que implementamos», asegura Jaime Loureiro. Con esto, buscan conseguir que los sistemas de pago no tengan que cambiar, incluso si es necesario actualizar la criptografía que los protege.
«También queremos tener en cuenta que el sector financiero está extremadamente regulado. Se les exige a los bancos unos sistemas de seguridad muy complejos. Al independizar los servicios de pago de las infraestructuras criptográficas que los aseguran, también los volvemos más ágiles«, apunta Loureiro, y aclara que esto facilita las auditorías, ya que los controles y las evidencias quedan centralizados en un único punto en lugar de repartidos entre todas las aplicaciones.
Los retos de la ciberseguridad
El líder de la línea tecnológica de seguridad avanzada del dato de Gradiant pone el foco en la seguridad. Explica que hoy la criptografía suele estar repartida en silos, con poca visibilidad sobre las claves y su uso, y que eso supone un riesgo. «Si centralizamos la gestión de la criptografía en un único punto a través del middleware de Qryption, ganamos mejor control. Es el principal valor que ofrecemos: la posibilidad de monitorizar y actualizar la criptografía en un solo espacio«, asegura Jaime Loureiro.
El investigador de Gradiant señala que, a nivel de seguridad, la criptografía enfrenta dos grandes amenazas: la computación cuántica y la inteligencia artificial. «Antes de que [la computación cuántica] sea una realidad, los sistemas financieros tendrán que cambiar su criptografía segundo una hoja de ruta que ya fijan los organismos internacionales. Esto significa que los bancos estarán obligados a cambiar su criptografía para proteger nuestra información. Nuestro objetivo es agilizar el proceso«, explica Loureiro. Añade que en lo relativo a la IA ve los beneficios que puede tener, pero también advierte de su potencialidad como peligro de ser empleada por ciberdelincuentes. «Pueden usarla para explotar las vulnerabilidades de ciertos algoritmos criptográficos. No solo hay que detectar las amenazas, sino que habrá que actualizar la criptografía. Nosotros buscamos que eso sea posible sin que haya un paro, una disrupción del servicio», apunta. Así, Gradiant presenta Qryption como una opción para llevar a cabo las migraciones necesarias de forma ágil sin que los usuarios vean mermados los sistemas de pago vigentes.
En qué punto se encuentra el proyecto?
Qryption es el resultado de años de investigación que ahora se materializa con la creación de una spinoff que arrancará a finales del año que viene, y que podrá materializarse gracias a la convocatoria Ignicia Proba de Concepto de la Xunta. «El sector financiero es complejo y los ciclos de implantación de proyectos son más largos que en otros sectores», reconoce Jaime Loureiro.
Actualmente, Qryption está en un nivel de madurez tecnológica TRL 6. «Esto significa que ya no es solo una tecnología de laboratorio, sino que se validó en entornos representativos de entidades financieras. El siguiente paso es llevarla a un escenario real y, de cara al año que viene, obtener un producto comercializable», concluye el líder de la línea tecnológica de seguridad avanzada del dato de Gradiant.
