La compañía amplió el 11 de noviembre su respuesta al incidente de eMudhra; la retirada de confianza comenzará el día 16 y afecta a los servicios que dependan de esas cadenas de certificación.

SANTO DOMINGO, RD.— Microsoft anunció que retirará los certificados raíz restantes de eMudhra de sus listas de confianza a partir del 16 de noviembre. La medida, detallada en una actualización del 11 de noviembre, puede provocar errores de validación en sitios y aplicaciones que todavía dependan de esas autoridades certificadoras, incluidos servicios institucionales que utilicen sus certificados.

El cambio no afectará por igual a todas las páginas de universidades o del Gobierno. La condición es que el certificado del servicio dependa de una de las cadenas retiradas y no disponga de una ruta alternativa que siga siendo aceptada. La documentación consultada no identifica instituciones dominicanas afectadas.

Los certificados digitales ayudan a comprobar la identidad de un sitio y a establecer comunicaciones cifradas. Esa comprobación se apoya en una cadena de confianza: el navegador o el sistema operativo reconoce a una autoridad certificadora y, a través de ella, valida el certificado que presenta el servicio.

El incidente que desencadenó las medidas salió a la luz en octubre. Según la alerta de NHS England Digital, las claves de determinadas autoridades intermedias podían recuperarse debido a una generación criptográfica defectuosa, con insuficiente aleatoriedad. Su utilización indebida podía permitir certificados fraudulentos y la suplantación de servicios. Microsoft aclara que el problema se originó en la jerarquía de eMudhra, no en una intrusión en sus propios sistemas.

La retirada anunciada ahora es más amplia que el bloqueo inicial de las claves comprometidas. El Programa de Certificados Raíz de Microsoft confirmó que diez raíces restantes dejarán de formar parte de la lista de confianza de Windows. Su documentación advierte que restaurar la confianza localmente requiere evaluar los riesgos y el comportamiento de las aplicaciones.

Para los usuarios, el efecto visible puede ser una advertencia al intentar acceder a un servicio legítimo cuya certificación quedó desactualizada. Eso no demuestra, por sí solo, que el sitio haya sido atacado. Microsoft plantea como alternativa reemplazar los certificados dependientes o utilizar una cadena que conserve la confianza de los productos afectados.

En Windows conectado a los servicios de actualización, los cambios se distribuirán automáticamente. Los equipos desconectados necesitan recibir las modificaciones mediante su mecanismo de mantenimiento, según la compañía. Las fechas de otros productos varían, por lo que el 16 de noviembre no representa un cambio simultáneo en todo el ecosistema.

Sobre el costo de la transición, eMudhra informó el 28 de octubre que ofrecía alternativas sin cargos adicionales a sus clientes TLS. Esa declaración no permite atribuir gratuidad a cualquier proveedor, contratación nueva o trabajo técnico externo. La relación oficial de certificados y el calendario están disponibles en los avisos del programa de Microsoft; eMudhra mantiene su información de migración en el comunicado del incidente.

Ilustración de portada creada con inteligencia artificial para 849 Noticias. No representa una fotografía de los hechos.

Fuentes de verificación

Microsoft, respuesta al incidente, actualizada el 11 de noviembre: https://www.microsoft.com/en-us/msrc/blog/2026/10/microsoft-response-to-compromised-emudhra-certificate-authority-keys

Programa oficial de certificados raíz de Microsoft, anuncio del 10 de noviembre: https://github.com/TrustedRootProgram/Program-Requirements/blob/main/Announcements.md

NHS England Digital, alerta técnica del 23 de octubre: https://digital.nhs.uk/cyber-alerts/2026/cc-4880

eMudhra, comunicado del incidente y condiciones de migración: https://emudhra.com/en/post/certificate-security-incident/