Un exfuncionario de la OFAC advierte de que las empresas tecnológicas chinas se arriesgan a sufrir sanciones de EE. UU. por prestar servicios a Irán
Jeremy Paner, abogado y exfuncionario de la OFAC, dice que incluso prestar servicios, por limitados que sean, a entidades iraníes sancionadas podría dar lugar a la aplicación de sanciones.
La Autoridad del Estrecho del Golfo Pérsico (PGSA) de Irán, sujeta a sanciones, recuperó el acceso seguro a Internet durante cuatro días después de que una empresa de seguridad informática con sede en Shanghai le proporcionara y luego revocara sus credenciales web, lo que permitió a Teherán inspeccionar buques, recaudar peajes en el Estrecho de Ormuz y seguir operando a pesar de las restricciones digitales de EE. UU., según informaron organismos internacionales de supervisión de Internet.
TrustAsia emitió un certificado automatizado con validación de dominio, un proceso rutinario que verifica el control sobre el dominio de una página web mediante comprobaciones del servidor y que, por lo general, no implica una revisión manual ni comprobaciones de antecedentes.
Esta medida llevó a varios expertos en sanciones de EE. UU., entre ellos Jeremy Paner, socio de Hughes Hubbard & Reed, a instar a TrustAsia a que revisara su programa de cumplimiento antes de seguir prestando servicios a la autoridad marítima vinculada al IRGC; Paner les advirtió que actuaran «antes de que sea demasiado tarde».
La PGSA dijo al principio que su página web sufrió una interrupción el 10 de agosto debido a «la influencia política del enemigo en los sistemas de prestación de servicios de Internet», según una publicación en X.
Los petroleros y los buques de carga hacen cola en el estrecho de Ormuz, vistos desde Mina Al Fajer, en los Emiratos Árabes Unidos, el miércoles 11 de marzo de 2026. (Altaf Qadri/AP Photo)
Alp Toker, de NetBlocks CEO , declaró a Fox News Digital que la autoridad había perdido sus credenciales de seguridad web después de que la entidad fuera incluida en la lista de sanciones de la Oficina de Control de Activos Extranjeros (OFAC) de EE. UU. el 27 de mayo.
Según Toker, la pérdida de los certificados SSL/TLS estándar hizo que no se pudiera acceder a la web de la PGSA con navegadores normales. Esto obligó a las empresas de transporte a usar conexiones sin cifrar que, según Toker, podrían dejar sus datos expuestos a ser interceptados.
Aunque no se ha tenido constancia de ninguna filtración de datos derivada del uso de estas conexiones, y no se conocen casos en los que los datos de una empresa de transporte hayan sido interceptados y utilizados en su perjuicio debido a la caducidad del certificado, Toker afirmó que la imposibilidad de acceder al sitio web provocó un cambio hacia lo que él describió como «protocolos inseguros».
«Los registros de transparencia digital son la fuente más fiable al respecto», dijo, y añadió que la medida obligaba a que el tráfico se transmitiera en un formato que se pudiera interceptar fácilmente.
«Se trata de un tipo de vulnerabilidad que el gobierno puede aprovechar, más que de una brecha de seguridad en una empresa o una filtración de datos personales».
Toker afirmó que esto podría facilitar a las autoridades la lectura de las comunicaciones enviadas a través de la plataforma, lo que podría permitirles identificar a las empresas de transporte que colaboran con la PGSA.
TRUMP DICE QUE IRÁN PAGARÁ — AÚN NO ESTÁ CLARO QUÉ HAY QUE HACER PARA ACABAR CON LA GUERRA
Unidades navales de Irán y Rusia simulan el rescate de un barco secuestrado durante unas maniobras conjuntas en el puerto de Bandar Abbas, en Hormozgan (Irán), el 19 de febrero de 2026. (Ejército iraní/Foto de archivo/Anadolu vía Getty Images)
«El resultado final fue que era más difícil acceder a la página web, porque la mayoría de los navegadores recomiendan encarecidamente el uso del protocolo seguro HTTPS», dijo Toker, y añadió que cualquier envío de formularios podría haberse «interceptado fácilmente, ya que ya no estaban cifrados durante la transmisión».
«El problema mencionado ya se ha solucionado, y el dominio seguro https://pgsa.ir vuelve a estar disponible para enviar solicitudes desde cualquier navegador», dijo la PGSA seis días después, el 17 de agosto, y en otra publicación compartida en X.
«Si el problema vuelve a surgir en el futuro, el dominio HTTP volverá a estar disponible temporalmente a través del navegador Firefox».
Toker confirmó que Irán había recurrido a TrustAsia Technologies, una autoridad de certificación con sede enShanghai, que, según él, expidió nuevas credenciales de seguridad digital a la PGSA a pesar de las sanciones de EE. UU., lo que permitió restablecer el acceso seguro a su página web.
«El Cuerpo de la Guardia Revolucionaria Islámica de Irán (IRGC) extorsiona a los buques que transitan por el estrecho de Ormuz a través de la denominada Autoridad del Estrecho del Golfo Pérsico (PGSA)», afirmó el Departamento del Tesoro en mayo al incluir a esta entidad en la lista de sanciones, y añadió que la PGSA «encabeza un plan controlado por Irán que viola de forma flagrante el derecho internacional y las sanciones de EE. UU.».
«Cualquiera que coopere con la denominada «autoridad del estrecho» podría estar prestando apoyo al Cuerpo de la Guardia Revolucionaria Islámica (IRGC) y recibiendo servicios de él, que en última instancia se beneficia de este intento de extorsión, por lo que podría correr el riesgo de sufrir sanciones », advirtió el Departamento del Tesoro.
La empresa china se presenta como una «autoridad de certificación líder y con certificación profesional en China , centrada en las comunicaciones criptográficas, seguras y de confianza en el mundo digital».
Su misión, según dicen, es «fomentar la confianza en todo el mundo digital».
«Casi todas estas autoridades de raíz hacen negocios con EE. UU., así que suelen cumplir con las sanciones estadounidenses», dijo Toker.
Pero TrustAsia, señaló, «había seguido su propio camino, creando una infraestructura de certificados basada en el « China » que elude a Occidente».
Toker dijo que TrustAsia «simplemente había seguido adelante y había expedido un nuevo certificado a la PGSA iraní, y que Irán volvía a recaudar ingresos de los barcos que pasaban por el estrecho a través de su portal seguro en línea».
TRUMP PIDE A LOS PAÍSES ÁRABES QUE FIRMEN ABRAHAM
El edificio del Tesoro en Washington, el 4 de mayo de 2021. Este miércoles, EE. UU. impuso una nueva ronda de sanciones a un grupo de 20 personas y empresas presuntamente implicadas en una red de facilitación financiera en beneficio del ejército iraní. Las sanciones del Departamento del Tesoro afectan a empresas y personas de lugares tan diversos como Hong Kong y los Emiratos Árabes Unidos. (AP Photo/Patrick Semansky)
Paner advirtió de que las autoridades estadounidenses tendrían competencias para tomar medidas al respecto.
«Estados Unidos tiene una competencia increíblemente amplia para imponer sanciones a empresas no iraníes que presten cualquier tipo de servicio a empresas iraníes sancionadas», declaró a Fox News Digital.
«Muchas veces, esa autoridad se resumirá o se explicará diciendo que se trata de proveedores de apoyo material a empresas iraníes sancionadas. Pero, en realidad, cualquier tipo de servicio, sea cual sea, podría servir de base para que Estados Unidos imponga sanciones a la empresa por prestar servicios a Irán».
«La recuperación del certificado es, sin lugar a dudas, motivo de sanción», advirtió Paner.
«La restauración del certificado es/fue un servicio prestado a la PGSA, lo que puede servir de base para imponer sanciones de conformidad con el Decreto Ejecutivo 13224, en su versión modificada.
«Esa disposición no exige en absoluto que el servicio se preste “a sabiendas” a la PGSA. En otras palabras, el hecho de que el servicio sea automatizado no viene al caso y no lo hace menos sancionable», añadió el abogado.
En unas declaraciones a Fox News Digital el 20 de agosto, un portavoz de TrustAsia confirmó que la empresa había emitido un «certificado TLS validado por dominio para pgsa.ir».
«Gracias por informarnos de este asunto», dijo la empresa, antes de aclarar que «los certificados DV se emiten mediante una validación automática del control sobre los nombres de dominio solicitados».
Soldados de la Armada iraní a bordo de una lancha rápida armada en el Golfo Pérsico, cerca del estrecho de Ormuz. (Morteza Nikoubazl/NurPhoto vía Getty Images)
«Este proceso no verifica ni confirma la identidad jurídica, la afiliación ni la situación en materia de sanciones de la entidad que gestiona el dominio o se beneficia de él.
«Por eso, la relación que mencionas en tu consulta no se detectó durante el proceso de emisión automático». Tras la revisión de la empresa, TrustAsia dijo que «añadió todo el espacio de nombres del dominio pgsa.ir a nuestra lista de emisiones restringidas para evitar nuevas emisiones o renovaciones».
«También esperamos completar la revocación del certificado actual esta misma semana», dijo el portavoz el 20 de agosto.
Estas acciones son medidas preventivas de cumplimiento y control de riesgos. No deben interpretarse como una conclusión de que el certificado se haya emitido de forma incorrecta desde el punto de vista técnico, según ha declarado TrustAsia.
Toker confirmó que se había retirado el privilegio del certificado de TrustAsia el 21 de agosto a las 12:15:25 UTC. «Esto suele significar que el emisor ha tomado medidas», dijo.
El experto en Internet aclaró que la revocación se irá aplicando poco a poco, y que la empresa «está indicando que ya no se debe confiar en el certificado PGSA, y está difundiendo este aviso de que se retira el privilegio, lo que suele significar un uso indebido por parte del cliente o el incumplimiento de las condiciones de uso».
«La página web segura dejará de funcionar en la mayoría de los navegadores, a menos que los propietarios encuentren una autoridad de certificación dispuesta a emitir un nuevo certificado», dijo Toker.
Las sanciones a Irán provocan una fuga de capitales, mientras que el secretario del Tesoro, Scott Bessent, informa de que los líderes iraníes habrían transferido presuntamente decenas de millones al extranjero en medio de la represión de las protestas. (Anna Moneymaker/Saeid Zareian/Picture Alliance vía Getty Images)
Tras revisar la declaración de TrustAsia, Paner también dijo que la OFAC esperaba que la empresa «aprovechara este hallazgo como una oportunidad para mejorar su programa de cumplimiento antes de que sea demasiado tarde».
El exfuncionario de la OFAC dejó claro que la recaudación de ingresos por parte de Irán en la vía navegable probablemente sería objeto de un escrutinio a alto nivel en Washington.
«El intento de Irán de chantajear al mundo con el tránsito de petróleo por el estrecho de Ormuz reviste una importancia capital para la OFAC, que es la agencia encargada de aplicar y hacer cumplir las sanciones económicas de EE. UU.». informó
Como los principales navegadores web de EE. UU. reconocen actualmente los certificados raíz de TrustAsia, los sistemas estadounidenses habrían considerado automáticamente de confianza el portal iraní sancionado.
Toker afirmó que el Departamento del Tesoro podría haber determinado que TrustAsia infringía las sanciones por prestar asistencia material a una entidad bloqueada, lo que podría haber obligado a gigantes tecnológicos como Google y Microsoft a retirar su confianza en TrustAsia.
No hay pruebas de que este proceso hubiera comenzado ni de que fuera probable que se produjera. No hay pruebas de que este proceso hubiera comenzado ni de que fuera probable que se produjera.
«Esto podría haber fracturado la cadena de confianza global y, posiblemente, haber hecho que gran parte de la red china quedara inaccesible desde Occidente», advirtió Toker.
Ahmad Vahidi, comandante de la Fuerza Quds del Cuerpo de la Guardia Revolucionaria Islámica; Esmail Qaani; e Iraj Masjedi, coordinador adjunto de la Fuerza Quds del Cuerpo de la Guardia Revolucionaria Islámica (IRGC), participan en una ceremonia para mark la memoria del antiguo comandante del IRGC, Hossein Salami, que murió en ataques israelíes, en una mezquita situada en un complejo de edificios del IRGC en Teherán, Irán, el 25 de julio de 2025. (Morteza Nikoubazl/Nur Photo vía Getty Images)
Paner aclaró que los certificados autentifican la página web, lo que refuerza su credibilidad, y sugirió que TrustAsia debería haber sopesado los riesgos de trabajar con entidades sancionadas.
«Cualquier empresa que decida hacer negocios con el IRGC siempre corre el riesgo de que su reputación se vea afectada».
«Si yo fuera el asesor de TrustAsia, como mínimo identificaría de inmediato todas las demás empresas del IRGC que reciben servicios».
Paner añadió que esta última situación coincidía con las advertencias más generales de los responsables del Gobierno.
«Creo que esto encaja bastante bien con lo que ha dicho el secretario Bessent sobre cómo las próximas sanciones van a ser diferentes a todas las anteriores. Las sanciones requieren sopesar cuidadosamente los costes y los beneficios.
«Cuando se trata de una empresa tecnológica china que presta servicios necesarios al Cuerpo de la Guardia Revolucionaria Islámica, estoy seguro de que el Gobierno de EE. UU. va a prescindir de cualquier tipo de equilibrio en ese sentido».
El 24 de agosto, Estados Unidos había impuesto sanciones a casi 60 personas, entidades y buques vinculados a Irán y había ampliado la amenaza de sanciones secundarias, según declaró la secretaria del Tesoro, Scott Bessent. Entre ellos no se encontraba TrustAsia.
HAZ CLIC AQUÍ PARA DESCARGAR LA APP DE FOX NEWS
Bessent describió estas medidas como parte de una «ofensiva económica» dirigida contra las redes financieras globales de Teherán en el marco de la «Operación Economic Outcast».
Un portavoz de la embajada china también dijo en un comunicado: « am o tengo conocimiento de los detalles que has mencionado. No tengo ninguna información que darte».
Fox News Digital se puso en contacto con el Departamento del Tesoro de EE. UU. y con la Casa Blanca para recabar sus comentarios.
