Apple deja a los nuevos usuarios británicos de iCloud sin cifrado de extremo a extremo

Apple mantiene desde febrero de 2025 dos niveles distintos de protección para iCloud en el Reino Unido, y las cuentas británicas que se crean ahora no pueden acceder al más alto. La función que lo desbloquea, Protección de Datos Avanzada (ADP), dejó de ofrecerse a usuarios nuevos de ese país después de que se conociera una orden secreta del Gobierno británico para que la compañía pudiera entrar en datos cifrados de iCloud.

El 7 de febrero de 2025, The Washington Post publicó que las autoridades habían emitido en enero un Technical Capability Notice (TCN). La figura sale de la Investigatory Powers Act de 2016, la ley que sostiene la vigilancia moderna en el Reino Unido: obliga a un proveedor de comunicaciones o tecnología a mantener, o directamente a construir, la capacidad de cumplir ciertos requerimientos. El TCN no autoriza por sí mismo el acceso a los datos de nadie; lo que hace es garantizar que esa capacidad exista cuando llegue la orden o la autorización concreta. Antes de emitirlo, el Gobierno debe valorar la viabilidad técnica, el coste, el beneficio esperado y cuántos usuarios quedan afectados. Necesita el visto bueno de un comisionado judicial, y el destinatario queda obligado a no revelar su existencia ni su contenido salvo permiso del Secretario de Estado. El Ministerio del Interior, de hecho, ni confirma ni desmiente si un TCN concreto existe. Lo que pedía el del Reino Unido no era acceso a los datos de los británicos, sino a los de usuarios de Apple de todo el mundo.

Cifrado no es lo mismo que cifrado de extremo a extremo

iCloud cifra todo, pero eso no dice nada sobre quién tiene la llave. Las categorías sensibles —contraseñas, datos de salud, mensajes en iCloud— ya van con cifrado de extremo a extremo por defecto. Para el resto, Apple conserva la capacidad de descifrar y puede ser obligada por ley a entregar ese contenido. Con ADP, a la lista se suman las copias de seguridad, las fotos, las notas y otras categorías, y las claves dejan de estar en manos de Apple: no puede abrirlas ni aunque se lo pida un Gobierno, porque no las tiene.

Apple no pudo comentar públicamente el TCN mientras estuvo vigente la prohibición de divulgarlo, pero confirmó de forma indirecta el pulso con Londres. Su argumento no ha cambiado desde hace una década: debilitar el cifrado de extremo a extremo, sea para quien sea, deja a todos los usuarios menos protegidos.

Diez años del mismo pulso

En enero de 2014 Tim Cook decía en ABC que no había puerta trasera en sus servidores. Dos años después, tras el atentado de San Bernardino, el FBI consiguió una orden judicial para forzar a Apple a crear una versión de iOS que saltara los límites de intentos de contraseña del iPhone 5C de uno de los atacantes. Cook se negó en una carta abierta y describió ese software como el equivalente a un cáncer, capaz de servir de llave maestra para cientos de millones de dispositivos. El entonces director del FBI, James Comey, respondía que le incomodaba la idea de comercializar aparatos que dejaran a alguien fuera del alcance de la ley. Al final el FBI entró por otra vía, con ayuda de un tercero que se atribuyó a Cellebrite, y retiró la demanda.

El Tribunal de Investigatory Powers, que revisa las quejas por vigilancia ilegal, entró en escena tras conocerse la orden británica, y grupos como Privacy International sostuvieron que un Gobierno no puede obligar en secreto a una empresa a debilitar el cifrado sin escrutinio público.

Para quien decide dónde aloja datos, el asunto tiene una lectura práctica: la pregunta relevante no es si el proveedor cifra, sino quién custodia las claves y qué jurisdicción puede reclamarlas. ADP sigue disponible en el resto del mundo, y Apple detalla en su soporte en qué países se ofrece. Queda por ver qué resuelve el tribunal británico y si la retirada se extiende fuera del Reino Unido.