La Corte Suprema aprueba las boletas por correo que llegan después del día de las elecciones

En un 5-4 decisiónla Corte Suprema confirmó el derecho de los estados a aceptar boletas por correo con matasellos del día de las elecciones, pero que pueden llegar hasta cinco días después a través del sistema de correo.

El caso surge de una demanda presentada por el Comité Nacional Republicano contra Mississippi y su Secretario de Estado, argumentando que no podían contar legalmente las boletas por correo que llegan después del día de las elecciones, incluso si tienen matasellos de ese mismo día o antes. El RNC argumentó que la ley federal define “elecciones” y “día de las elecciones” como la emisión y recepción de votos antes de ese día.

En nombre de la mayoría, la jueza Amy Coney Barrett rechazó ese argumento y afirmó que “nada en los estatutos federales del día de las elecciones exige que las papeletas se reciban antes del día de las elecciones”.

“Los estatutos federales del día de las elecciones no prevalecen sobre la ley de Mississippi porque el elemento definitorio de una 'elección' siempre ha sido la elección del candidato por parte del electorado”, escribió Barrett.

Barrett, junto con los jueces John Roberts, Elena Kagan, Sonia Sotomayor y Ketanji Jackson Brown, señaló que otros estatutos electorales federales, como la Ley de Voto Ausente para Ciudadanos Uniformados y en el Extranjero, dicen explícitamente que la ley estatal rige cuándo se deben recibir las boletas, no el gobierno federal.

Además, si bien el Congreso insertó la frase “Día de las elecciones” y lo especifica como martes en su actualización más reciente, también permite a los estados modificar ese período de votación en respuesta a ciertos eventos de fuerza mayor, como la pandemia de COVID-19.

Si bien la Constitución exige que la votación se lleve a cabo en un momento determinado, no es necesario que la revisión de los votos emitidos legalmente concluya al mismo tiempo.

“La Constitución exige el 'Día en el que [the electors] «Darán que sus votos» son «los mismos en todo Estados Unidos», pero no dicen nada sobre el día de recepción», escribió Barrett. «La Constitución prevé, por lo tanto, un sistema en el que la recepción de votos está necesariamente divorciada de la votación. Y fija el día crucial y uniforme como el día de la votación, dejando que la recepción se realice más tarde. Los estatutos federales del día de las elecciones siguen el mismo patrón”.

David Becker, director ejecutivo del Centro para la Innovación e Investigación Electoral, dijo que el fallo defiende el principio de que “la elección se completa para el votante en el momento en que completa su boleta, no en el momento en que algún funcionario electoral administrativo recibe esa boleta o la revisa”.

También valida más de cien años de autonomía estatal para establecer sus propias reglas con respecto a la recepción de las papeletas electorales.

«Este caso trataba sobre quién puede tomar esa determinación», dijo Becker. “Y como pretendían los fundadores, como se establece claramente en la cláusula electoral de la Constitución, los estados pueden tomar la decisión sobre cuándo esas papeletas deben ser entregadas por el servicio postal y contadas”.

Aún así, Becker lamentó la lenta y constante politización del tema y dijo en conversaciones que muchos funcionarios electorales estaban ansiosos por el caso y aliviados de ver una victoria, aunque sea estrecha.

“Seré honesto contigo, en cualquier otra época este caso debería haber sido un 9-0. [decision]», dijo Becker. «Esto es un fracaso, los estados claramente tienen la autoridad para hacer esto, lo han estado haciendo durante décadas y décadas».

Es probable que el fallo impida cambios importantes en la forma en que los estados reciben o aceptan boletas por correo antes de las elecciones de mitad de período, pero Becker espera que algunos estados busquen cambios legislativos para alinear sus leyes estatales con el cronograma postelectoral de cinco días aprobado por el tribunal.

14 estados y Washington DC tienen leyes estatales que permiten que cualquier boleta se reciba hasta cinco días después del día de las elecciones o más, mientras que más de 30 permiten que las boletas militares y del extranjero lleguen después del día de las elecciones. Los expertos electorales han dicho que dictaminar que dichas papeletas eran inválidas podría haber trastocado décadas de precedentes y procedimientos electorales para los votantes estadounidenses en el país y en el extranjero.

Michael McNulty, director de Issue One Policy, una organización sin fines de lucro centrada en el dinero en la política y las elecciones, dijo que si el tribunal hubiera fallado en sentido contrario, habría creado un caos para la administración electoral en más de una docena de estados que aceptan este tipo de boletas, obligándolos a cambiar los plazos de recepción de las boletas, rediseñar los procedimientos y realizar campañas de educación electoral a gran escala sin ningún financiamiento adicional.

La Corte Suprema “rechazó con razón un intento de reinterpretar la ley federal para forzar cambios radicales de último momento en los sistemas electorales en todo el país y descartar los votos emitidos legalmente”.

Pamela Smith, directora ejecutiva de Verified Voting, una organización sin fines de lucro centrada en promover tecnologías electorales seguras, dijo que el fallo debería brindar alivio a los votantes que dependen del voto por correo o en ausencia.

«Este fallo garantiza que un retraso postal fuera del control de cualquier votante no borre un voto emitido legalmente y respalda la capacidad de los funcionarios electorales de captar la voluntad de los votantes», dijo Smith.

Las auditorías e investigaciones postelectorales han demostrado sistemáticamente que el fraude electoral en Estados Unidos es extremadamente raro y que el voto por correo no es más susceptible al fraude que otras formas de votación.

Sin embargo, los estados que aceptaron boletas por correo después del día de las elecciones ha sido un tema políticamente cargado desde las elecciones de 2020, cuando el entonces presidente en ejercicio Donald Trump fue derrotado por Joe Biden en parte debido a la fuerza de las boletas por correo que llegaron tarde y se inclinaron fuertemente a favor de Biden.

En los años posteriores, tanto Trump como el Partido Republicano en general han calificado los votos por correo que llegan tarde como intrínsecamente sospechosos, poco confiables y opacos.

Esas creencias han persistido.

En su disidencia, los jueces Samuel Alito, Neil Gorsuch, Clarence Thomas y Brett Kavanaugh escribieron que la decisión “deja abiertas oportunidades para el fraude electoral que puede socavar aún más la fe de los estadounidenses en la integridad de las elecciones de este país”.

“La votación por correo también presenta una mayor oportunidad para la manipulación de los votantes, una cadena de custodia de las boletas más vulnerable y una menor capacidad para detectar irregularidades en tiempo real”, escribió Alito en nombre de la minoría. «La decisión de hoy agrava estas vulnerabilidades. Permitir que lleguen votos en ausencia durante los días y semanas posteriores al día de las elecciones, momento en el que los resultados electorales preliminares se informan públicamente, crea mayores oportunidades de fraude y corre el riesgo de socavar aún más la confianza del público en la integridad electoral».

Derek B. Johnson

Escrito por Derek B. Johnson

Derek B. Johnson es reportero de CyberScoop, donde su área incluye la ciberseguridad, las elecciones y el gobierno federal. Antes de eso, ha brindado una cobertura galardonada de noticias sobre ciberseguridad en los sectores público y privado para varias publicaciones desde 2017. Derek tiene una licenciatura en periodismo impreso de la Universidad de Hofstra en Nueva York y una maestría en políticas públicas de la Universidad George Mason en Virginia.

¿Por qué las directivas de parches sólo llegan hasta cierto punto?

Cuando CISA emite una directiva de emergencia, el mensaje para cada agencia federal y cada equipo de seguridad que preste atención es parchear ahora. Para CVE-2026-50751, una omisión de autenticación CVSS 9.3 en Check Point Remote Access VPN, esa directiva llegó el 21 de junio, a pesar de que la explotación comenzó a principios de mayo. Esa brecha de seis semanas de intrusión activa no es una nota a pie de página. Es la historia completa.

El defecto en sí es sencillo de la peor manera posible. Un error lógico en el proceso de validación de certificados, desencadenado cuando el protocolo de intercambio de claves IKEv1 obsoleto está habilitado, permite a un atacante remoto establecer una sesión VPN completamente autenticada sin una contraseña válida. Sin phishing. Sin robo de credenciales. No se requiere movimiento lateral para llegar al perímetro. El atacante cruza la puerta principal y la puerta lo registra como una entrada legítima.

Cuando Check Point reveló la vulnerabilidad el 8 de junio, un afiliado de ransomware Qilin ya la había utilizado para comprometer unas pocas docenas de organizaciones en todo el mundo. El manual posterior al acceso fue eficiente e incluyó Rclone para la exfiltración de datos, el protocolo Tox para la comunicación de comando y control enrutada a través de una infraestructura VPS desechable. Silencioso, rápido y diseñado para completar el trabajo antes de que la detección tuviera la oportunidad de importar.

El producto de seguridad se convirtió en el vector de ataque.

Hay una ironía particular en CVE-2026-50751 con la que la industria debe sentarse. El dispositivo que fue vulnerado no es una estación de trabajo sin parches ni un depósito de nube mal configurado. Es la puerta de enlace VPN, el producto vendido específicamente para mantener a los atacantes fuera del perímetro. El control diseñado para impedir el acceso no autorizado se convirtió en el mecanismo del mismo.

Esto no es exclusivo de Check Point y no es una crítica a ningún proveedor en particular. Refleja un problema estructural con la arquitectura de seguridad dependiente del perímetro. Cuando el dispositivo perimetral es el ancla de confianza, comprometer ese dispositivo no sólo viola el perímetro. Hereda la autoridad del perímetro. Cada control posterior, cada verificación de identidad, cada herramienta de detección basada en el comportamiento ahora razona sobre una sesión que cree que es legítima, porque la VPN así lo dice.

Esa es la condición que aprovechó Qilin. Y parchear la vulnerabilidad, si bien es absolutamente necesario, no hace nada para cambiar la posición de las organizaciones que fueron atacadas durante el período de mayo a junio. Para ellos, el atacante ya actúa como un usuario de confianza. La directiva CISA no es un remedio para estas organizaciones. Es un mensaje para todos los demás.

Por qué la respuesta estándar se queda corta

La secuencia estándar después de una divulgación como esta es una que todos hemos escuchado antes: parchear los sistemas afectados, actualizar las firmas de detección, revisar los registros en busca de indicadores de compromiso. Si bien cada uno de estos pasos es una buena práctica, ninguno de ellos resuelve el problema subyacente.

Parchar cierra la puerta a futuros atacantes, pero no desaloja a los que ya están dentro. Las firmas de detección ayudan a identificar el comportamiento conocido posterior a la explotación, pero los afiliados de ransomware han demostrado una disciplina operativa constante, utilizando herramientas legítimas para la exfiltración y protocolos estándar de comando y control precisamente porque estos enfoques se mezclan con el tráfico normal. La revisión de registros es valiosa, pero los atacantes que explotaron la vulnerabilidad tuvieron semanas de acceso antes de que alguien mirara.

El modelo de detección y respuesta supone que la detección llega antes de que se complete el daño. Frente a un día cero armado con una ventaja de seis semanas, esa suposición no se cumple. Cuando se activa una alerta, los datos se han movido. El ransomware está preparado. El reloj del rescate ha comenzado.

Hacer que el punto final sea más difícil de explotar

La vulnerabilidad de Check Point obliga a una pregunta crítica: ¿cómo se detiene la ejecución de la carga útil cuando un atacante ya logró la autenticación y eludió todas las demás defensas?

Requiere mover la capa defensiva al propio punto final, en el punto de ejecución, donde la carga útil del ransomware tiene que operar independientemente de cómo se obtuvo el acceso. Las técnicas que transforman el entorno de la memoria de ejecución, transformando las estructuras que el malware necesita encontrar y utilizar en el momento de la ejecución, detienen la carga útil de manera determinista. El atacante puede tener credenciales autenticadas, una sesión legítima y semanas de acceso no detectado. Si el entorno de destino no se parece a lo que espera la carga útil, ésta falla.

Esto no reemplaza los parches. Las organizaciones deben aplicar la solución Check Point de inmediato y deben tratar cualquier sistema con IKEv1 habilitado durante el período de mayo a junio como potencialmente comprometido. Pero aplicar parches es el comienzo, ya que las organizaciones que estaban dentro de la ventana de explotación de seis semanas necesitan un control que funcione después de que el perímetro haya desaparecido.

La lección antes de la próxima directiva

CISA emitirá otra directiva de emergencia. Habrá otra omisión de autenticación, otro dispositivo perimetral convertido en vector de ataque, otro actor de amenazas motivado financieramente con una ventaja medida en semanas. El ciclo de parchear y detectar se repetirá, y las organizaciones cuya exposición se gestionaba completamente en el perímetro se encontrarán en la misma posición.

La lección aquí no es que Check Point falló o que las VPN se acabaron. Es que cualquier arquitectura en la que una única omisión de autenticación le otorga al atacante autoridad operativa sobre todo el entorno tiene un problema estructural que ningún parche resuelve. Es necesario cerrar la puerta. Asegurarse de que el ransomware no pueda detonar incluso después de que el atacante esté dentro es la parte que la industria aún no ha resuelto a escala.

Ésa es la conversación que la directiva CISA debería iniciar, y en la mayoría de los casos no lo hace.

Brad La Porte

Escrito por Brad LaPorte

Brad LaPorte es director de marketing de Morphisec.