El senador Ron Wyden envió una carta el 2 de septiembre de 2026 al director de la NSA, el general Joshua Rudd, pidiendo a la agencia que actualice sus directrices de ciberseguridad con advertencias más claras y honestas sobre lo que una VPN comercial puede y no puede proteger de los estadounidenses. Es su tercera carta sobre este tema general este año, tras dos anteriores en marzo y julio, y apunta a una laguna técnica real más que a una alarma fabricada.
Lo que Wyden pide en concreto
El argumento central de la carta, según lo recogido por CyberScoop, es directo: aunque las redes privadas virtuales (VPN) comerciales están recomendadas por agencias federales y se venden ampliamente como escudos contra el espionaje en línea, las VPN de consumo estándar no protegen suficientemente a los usuarios frente a adversarios sofisticados. La preocupación no es que el cifrado de las VPN esté roto. Es que las directrices federales que recomiendan usar una VPN no detallan actualmente una limitación concreta y bien conocida: el análisis de tráfico, donde un adversario con visibilidad sobre ambos extremos de una conexión VPN puede correlacionar el tiempo y el volumen de datos para desenmascarar actividad sin descifrar nada en ningún momento.
Por qué esto siempre vuelve al análisis de tráfico
Según lo publicado por TechRadar, un memorando del Congressional Research Service citado en relación con la carta afirma sin rodeos que la sola fortaleza del cifrado no protege a los usuarios frente a una amenaza avanzada y persistente que realiza recolección masiva de tráfico de datos. Eso describe precisamente el análisis de tráfico: las VPN de un solo salto enrutan todo a través de un único servidor, y un adversario capaz de observar tanto el punto de entrada como el de salida de ese servidor puede hacer coincidir los patrones de tráfico entre sí, una capacidad realmente limitada a actores estatales con grandes recursos y con infraestructura de vigilancia a nivel de backbone, no a un hacker cualquiera o un anunciante.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
A qué alternativas apunta la carta
Según lo informado, la carta de Wyden recomienda que las directrices de la NSA dirijan a los usuarios hacia arquitecturas diseñadas específicamente para resistir este tipo de correlación: configuraciones VPN de múltiples saltos, iCloud Private Relay de Apple (que reparte el tráfico entre dos repetidores gestionados por separado), Tor, y servicios basados en mixnets como NymVPN. Ninguno de ellos se describe como sustituto de las VPN comerciales en su uso general. Se plantean como las herramientas adecuadas para una categoría más reducida de usuarios de alto riesgo, periodistas, activistas y otras personas que enfrentan amenazas estatales realmente sofisticadas, donde la limitación de una VPN estándar de un solo salto sí importa.
Un patrón, no una carta puntual
Esta es la tercera carta de Wyden presionando sobre las directrices federales relacionadas con VPN en 2026, tras dos anteriores en marzo y julio. Según lo informado, las respuestas previas de la Oficina del Director de Inteligencia Nacional solo ofrecieron notas de precaución generales sobre examinar con cuidado a los proveedores de VPN, sin abordar directamente la laguna sobre el análisis de tráfico que esta última carta señala específicamente. El tema recurrente en las tres cartas: las agencias federales recomiendan ampliamente el uso de VPN, pero las salvedades técnicas concretas sobre lo que esa recomendación cubre y no cubre no han seguido el ritmo, en opinión de Wyden, de la sofisticación de las amenazas descritas en otras partes de esos mismos documentos de directrices, incluyendo un aviso previo de la NSA sobre una campaña patrocinada por China dirigida a redes de telecomunicaciones y gubernamentales.
La cronología de 2026, en orden
La presión de Wyden sobre este asunto se ha construido de forma constante a lo largo del año. En marzo, una carta anterior planteaba preocupaciones sobre la dependencia federal de la tecnología VPN en general. En julio, un seguimiento se dirigió específicamente a los dispositivos VPN heredados y expuestos a internet dentro de las agencias federales, pidiendo un plazo vinculante de dos años para eliminarlos, una propuesta sobre infraestructura empresarial y no sobre la app VPN de tu teléfono. Esta carta de septiembre es la más puntual de las tres, nombra una laguna técnica concreta, la resistencia al análisis de tráfico, y una solución concreta, directrices actualizadas de la NSA, en lugar de una queja institucional más amplia. Leídas juntas, las tres cartas describen un argumento cada vez más contundente: la comunicación federal sobre las VPN no ha seguido el ritmo de cómo se describen realmente las amenazas subyacentes en otras partes de los avisos gubernamentales.
Cómo serían realmente unas directrices más claras
La laguna que describe Wyden no trata en realidad sobre si las VPN se recomiendan o no, sino sobre la letra pequeña que hay debajo de esa recomendación. Las directrices federales actuales respaldan ampliamente el uso de VPN sin distinguir de forma consistente entre el tipo de protección de la privacidad que una VPN de un solo salto ofrece frente a un proveedor de internet o un sitio web, que es sólida, y el tipo de protección que no puede ofrecer frente a un adversario con los recursos para observar una conexión en varios puntos a la vez. Unas directrices más claras, según el planteamiento de Wyden, especificarían explícitamente esa segunda categoría y señalarían específicamente alternativas de múltiples saltos o mixnet para el pequeño grupo de personas que realmente necesita planificar en función de ello, en lugar de dejar que esa distinción se reconstruya a partir de artículos académicos e informes de grupos de defensa.
Lo que esto no significa para el usuario de VPN normal
Merece la pena ser precisos con el alcance aquí, ya que cartas como esta tienden a reducirse a titulares del tipo “las VPN no sirven”, que exageran el mensaje. Para la inmensa mayoría de lo que la gente realmente usa una VPN, ocultar la navegación a un proveedor de internet, proteger datos en wifi pública, desbloquear contenido con restricción regional, una VPN estándar y auditada sigue siendo totalmente eficaz. El análisis de tráfico es una limitación real pero acotada, que importa específicamente frente a un adversario capaz de vigilancia de red en tiempo real a gran escala, lo que describe a un pequeño número de servicios de inteligencia estatales, no a las amenazas por las que realmente se preocupa la mayoría de los consumidores en el día a día.
Por qué esto es un problema de directrices, no una retirada de producto
Nada en la carta de Wyden sugiere que algún proveedor de VPN concreto haya hecho algo mal, y ninguna empresa de VPN ha sido nombrada como parte de esta preocupación, una distinción que conviene tener presente si los titulares sobre la carta acaban reduciéndose a algo más alarmista de lo que realmente se dijo. El problema, tal como se plantea, es enteramente sobre la comunicación federal: agencias que dicen a los estadounidenses que usen una VPN sin explicar también, con claridad y precisión, la categoría de amenaza que una VPN no cubre. Esa distinción importa a la hora de saber cuán en serio tomarse esto como consumidor. Es un llamado a un mejor etiquetado y directrices más claras, no una prueba de que algún proveedor de VPN habitual tenga un fallo que corregir.
Qué hacer realmente con esta información
Si tu uso diario de la VPN es por privacidad frente a tu proveedor de internet, seguridad en wifi pública, o acceso a streaming, esta carta no cambia nada sobre qué VPN elegir ni si seguir usando una. Si tienes una razón real para pensar que eres específicamente objetivo de vigilancia estatal, merece la pena investigar directamente las alternativas que recomienda la carta, Tor, configuraciones multi-salto, o un servicio mixnet, en lugar de asumir que tu suscripción actual de VPN de consumo cubre ese modelo de amenaza. La NSA no ha respondido públicamente a la carta hasta el momento de escribir esto. Dado el patrón de las dos cartas anteriores de 2026, una respuesta pública sustancial, si llega a producirse, es más probable que aparezca como una actualización discreta de un documento de aviso ya existente meses después, que como una respuesta formal dirigida directamente a Wyden.
La carta de Wyden no identifica un fallo nuevo en ninguna VPN, presiona para que las directrices federales sean más precisas sobre una limitación conocida y acotada: el análisis de tráfico por parte de adversarios estatales. El uso normal de una VPN para privacidad, wifi pública y streaming no se ve afectado. Los usuarios de alto riesgo son el público al que van dirigidas las alternativas recomendadas en la carta. Para la mayoría de la gente, una VPN rápida y auditada como NordVPN sigue siendo una opción adecuada para el día a día.
Sigue leyendo: Ataques de análisis de tráfico explicados y El senador Wyden quiere eliminar las VPN heredadas del gobierno de EE. UU..