Microsoft bloquea las cuentas de WireGuard y VeraCrypt — actualizaciones de seguridad detenidas

Microsoft suspendió las cuentas de desarrollador de Jason Donenfeld (creador de WireGuard) y Mounir Idrassi (mantenedor de VeraCrypt) el 8 de abril, bloqueando actualizaciones de software crítico para Windows y dejando al cifrador de disco más usado por profesionales de seguridad ante un vencimiento de certificado en julio.

Donenfeld tenía lista la primera actualización significativa de WireGuard para Windows en casi cuatro años. El bloqueo la detuvo en seco. La situación de Idrassi es más grave: VeraCrypt depende de un certificado de firma de drivers de Windows vinculado a su cuenta suspendida. Ese certificado expira en julio de 2026. Si no se restaura el acceso a tiempo, Microsoft revocará la firma — y los usuarios con discos del sistema cifrados con VeraCrypt podrían quedar sin acceso tras una actualización de Windows. No existe recuperación automática.

Windscribe VPN también fue bloqueado bajo la misma medida.

Los tres casos tienen la misma causa raíz: el programa obligatorio de verificación de cuentas de desarrollador de Microsoft. Scott Hanselman, vicepresidente de la compañía, respondió públicamente el 9 de abril: “Llevamos enviando correos a los desarrolladores desde octubre de 2025 y las correcciones están en marcha.” Confirmó que las cuentas están en revisión.

La reacción de la comunidad fue inmediata y escéptica ante esa explicación. WireGuard está integrado en el propio Windows. VeraCrypt lo usan periodistas, abogados y especialistas en seguridad para proteger datos sensibles contra incautaciones físicas de dispositivos. No son proyectos abandonados. Tratarlos igual que aplicaciones genéricas en una barrida de cumplimiento automatizada es el problema central.

Microsoft controla la cadena de firma de todo el software que corre en Windows. Esa autoridad conlleva la responsabilidad de mantener vías de escalado para infraestructura de seguridad crítica. Un correo automatizado, enviado una sola vez, a mantenedores de código abierto sin equipos de operaciones dedicados no es una salvaguarda suficiente.

Las consecuencias concretas de VeraCrypt merecen atención directa. El cifrado del disco del sistema no se revierte en poco tiempo. Los administradores que desplegaron VeraCrypt en una organización no pueden retirarlo en una semana. Si la revocación del certificado procede en julio antes de que se restaure la cuenta de Idrassi, el daño no es teórico: son máquinas que no arrancarán.

La actualización bloqueada de WireGuard es una emergencia menor pero una contradicción más notable. Microsoft incluye WireGuard como parte de su propia infraestructura VPN mientras bloquea al desarrollador que mantiene la implementación para Windows. Eso revela el nivel de aislamiento entre el proceso de cumplimiento de certificaciones y los equipos de producto que dependen de sus resultados.

La declaración de Hanselman sugiere que la remediación está en curso. Si incluirá un período de gracia formal para proyectos de seguridad críticos — o simplemente restauraciones caso por caso — sigue sin aclararse.

Los desarrolladores que usen portales de socios de Microsoft para distribuir software firmado en Windows deben verificar su estado de cuenta inmediatamente. No se puede asumir que los correos llegaron o fueron atendidos.