VeraCrypt en crisis: Microsoft cancela cuenta de firma

¿Qué está pasando con VeraCrypt?

VeraCrypt, la herramienta de cifrado de disco de código abierto más utilizada por profesionales de tecnología y founders que gestionan datos sensibles, enfrenta una crisis inesperada: Microsoft terminó sin previo aviso la cuenta del desarrollador principal, que era la utilizada para firmar digitalmente los drivers de Windows y el bootloader del sistema. Sin esa firma, es prácticamente imposible distribuir actualizaciones funcionales para la plataforma Windows, donde se concentra la gran mayoría de los usuarios de VeraCrypt.

El anuncio fue publicado el 30 de marzo de 2026 en el foro oficial del proyecto en SourceForge, y rápidamente generó preocupación en la comunidad global de seguridad informática y software libre.

El problema de la firma de drivers en Windows

En el ecosistema Windows, cualquier driver que interactúe con el kernel del sistema operativo debe estar firmado digitalmente mediante un certificado reconocido por Microsoft. Este requisito —conocido como Windows Driver Signing— existe para garantizar que el software instalado es auténtico y no ha sido manipulado.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

El desarrollador de VeraCrypt utilizaba desde hace años una cuenta de desarrollador de Microsoft para obtener y renovar estos certificados de firma. Cuando Microsoft terminó abruptamente esa cuenta, no solo desapareció el acceso al certificado de firma de drivers, sino también el del bootloader, un componente crítico que permite a VeraCrypt cifrar el disco de arranque del sistema.

Lo más preocupante del caso: la terminación se produjo sin advertencia previa, sin notificación por correo electrónico y sin posibilidad de apelación. Al intentar contactar a Microsoft, el desarrollador recibió únicamente respuestas automáticas y bots, sin acceso a ningún representante humano.

Impacto real para los usuarios de VeraCrypt

Las consecuencias de esta situación son concretas y afectan directamente a quienes dependen de VeraCrypt para proteger información confidencial en entornos Windows:

Nuevas versiones bloqueadas: Sin una cuenta activa de firmado en Microsoft, no es posible publicar actualizaciones firmadas. Los usuarios no podrán instalar nuevas versiones sin deshabilitar manualmente las protecciones de Windows, algo que no es viable en entornos corporativos o equipos gestionados.
Parches de seguridad en pausa: Si surgiera una vulnerabilidad crítica, el equipo no podría distribuir un fix firmado de manera inmediata.
Otros proyectos del desarrollador también afectados: La misma cuenta de Microsoft se utilizaba para firmar código de otros proyectos vinculados, ampliando el alcance del daño.
Usuarios empresariales en riesgo: En organizaciones con políticas estrictas de seguridad, ejecutar drivers no firmados no es una opción. Esto paraliza la adopción de cualquier actualización futura.

Un caso de libro: la trampa de depender de plataformas corporativas

Para los founders y equipos tech que construyen sobre infraestructura de terceros, este incidente es una advertencia que no debe ignorarse. La dependencia de plataformas corporativas —llámese Microsoft, Apple, Google o AWS— puede convertirse en un punto único de fallo con consecuencias devastadoras y completamente fuera del control del equipo.

En el caso de VeraCrypt, un proyecto de open source con años de trayectoria, mantenido de forma voluntaria y con millones de usuarios, una sola decisión automatizada de una gran corporación bastó para paralizar la capacidad de distribución en la plataforma más usada del mundo. Sin recursos legales claros, sin soporte humano accesible y sin mecanismo de apelación, el desarrollador quedó atrapado en un callejón burocrático.

Esto refleja un problema estructural del ecosistema de seguridad informática y el software libre: la dependencia en certificaciones y cuentas controladas por actores privados genera vulnerabilidades que van más allá del código.

¿Qué soluciones se están explorando?

La comunidad de VeraCrypt se ha movilizado para buscar alternativas. Entre las propuestas en discusión:

Contactar directamente a Microsoft a través de canales de soporte para desarrolladores y el formulario oficial de recuperación de cuentas, aunque la efectividad de esta vía es incierta dada la política de no apelación comunicada.
Presión social y cobertura mediática para que el caso gane visibilidad y genere una respuesta de Microsoft.
Explorar certificados de firma alternativos provistos por otras autoridades certificadoras reconocidas por Windows, aunque este proceso puede ser largo y costoso.
Compilaciones auto-firmadas para usuarios avanzados que puedan gestionar la instalación manual de drivers no firmados, si bien esto no es viable para la mayoría.

A la fecha de publicación de este artículo, no hay una solución definitiva anunciada.

Lo que los founders tech deben aprender de este episodio

Si lideras un startup o gestionas herramientas tecnológicas críticas, este caso ofrece lecciones de resiliencia operacional directamente aplicables:

Audita tus dependencias de plataforma. Identifica qué servicios, cuentas o certificados de terceros son puntos únicos de fallo en tu stack. ¿Qué pasa si mañana tu cuenta de Google Cloud, Apple Developer o Microsoft Partner es suspendida?
Diversifica las cuentas críticas. Para firmas de código, distribución de apps o acceso a APIs, considera tener cuentas respaldadas por distintos titulares o entidades legales.
Construye relaciones humanas con proveedores clave. El soporte automático falla en los momentos más críticos. Contar con un contacto humano verificado puede marcar la diferencia.
Apoya el open source con recursos. Proyectos como VeraCrypt protegen datos de millones de personas y empresas. Si los usas en producción, considera contribuir económicamente o con trabajo. Un proyecto subfinanciado es un proyecto frágil.
Ten un plan B documentado. ¿Qué haría tu equipo si el servicio de firma de código, el app store o el repositorio principal de tu herramienta desaparecieran mañana?

Conclusión

El impasse de VeraCrypt con Microsoft no es solo un problema técnico de un proyecto de software libre: es un recordatorio poderoso sobre las fragilidades ocultas que existen cuando el destino de una herramienta crítica de seguridad informática depende de una cuenta corporativa que puede cerrarse sin previo aviso. Para la comunidad tech y los founders que construyen en ecosistemas complejos, la pregunta no es si este tipo de situaciones puede ocurrirles a ellos, sino cuándo. Prepararse con anticipación es la única respuesta inteligente.

Conecta con founders que han pasado por situaciones similares de dependencia de plataformas y aprende cómo proteger tu stack.

Conectar con founders