El Registro de Transparencia de Suiza está previsto que entre en funcionamiento el 1 de octubre de 2026, catalogando a los beneficiarios finales de aproximadamente 600.000 entidades legales. Pero un ciberataque al sistema casi idéntico de la vecina Liechtenstein ha llevado a los gestores de patrimonio suizos a cuestionar si el lanzamiento debería posponerse.

Hackers irrumpieron en el Registro de Beneficiarios Finales de Liechtenstein, conocido como VwbP, durante la noche del 29 al 30 de julio, extrayendo datos personales vinculados a aproximadamente 31.000 entidades legales. La información comprometida incluía nombres, fechas de nacimiento, nacionalidades y países de residencia de las personas detrás de empresas, fundaciones y fideicomisos. No se accedió a datos financieros.

Qué ocurrió en Liechtenstein

Liechtenstein lanzó su VwbP en 2021 para cumplir con las directivas europeas contra el lavado de dinero. Las autoridades detectaron irregularidades en el registro el 30 de julio, poniendo fin a su período de operación segura. El gobierno de Liechtenstein respondió rápidamente, desconectando la base de datos y estableciendo una unidad de crisis liderada por la primera ministra Brigitte Haas y el ministro de Justicia Emanuel Schädler. Los funcionarios fueron notificados formalmente el 31 de julio o el 1 de agosto. Las declaraciones públicas que confirmaban el alcance de la brecha se produjeron entre el 2 y el 4 de agosto.

Por qué los gestores de patrimonio suizos están preocupados

Suiza y Liechtenstein están profundamente entrelazados en materia de gestión patrimonial. Muchos clientes suizos utilizan entidades domiciliadas en Liechtenstein, en particular fundaciones y fideicomisos, como parte de su estructura patrimonial. La brecha, por lo tanto, no solo afecta a personas en Vaduz; también afecta a clientes al otro lado de la frontera, en Zúrich, Ginebra y otros centros de banca privada.

El propio Registro de Transparencia de Suiza funcionaría de manera similar al VwbP de Liechtenstein, recopilando datos de beneficiarios finales de las entidades legales del país. Sin embargo, la escala es significativamente mayor: cubriría unas 600.000 entidades estimadas frente a las 31.000 de Liechtenstein, es decir, aproximadamente 20 veces la superficie de ataque, un punto que los intermediarios financieros suizos están enfatizando con urgencia.

El argumento de los gestores de patrimonio no es que la transparencia sea mala. Más bien, sostienen que lanzar una base de datos centralizada masiva con información personal sensible sin una ciberseguridad blindada es temerario. A su juicio, la brecha en Liechtenstein sirve como prueba de concepto exactamente del tipo de ataque que podría afectar al registro suizo en una escala mucho mayor.

El debate se inserta en una reconsideración europea más amplia sobre quién debería poder ver los datos de beneficiarios finales. En noviembre de 2022, el Tribunal de Justicia de la Unión Europea dictaminó que el acceso público indiscriminado a dichos registros violaba el derecho a la privacidad, restringiendo el acceso a personas con un interés legítimo. Esa sentencia remodeló la forma en que los Estados miembros de la UE —y países del EEE como Liechtenstein— operan sus registros, y enmarca la discusión actual en Suiza sobre cuán estrictamente debería limitarse el acceso al Registro de Transparencia una vez que se lance.

La tensión entre transparencia y seguridad

Los registros de beneficiarios finales existen por un objetivo político directo: dificultar el lavado de dinero al obligar a revelar quién controla realmente las entidades corporativas. Liechtenstein, aunque no es miembro de la UE, adoptó el marco a través de su pertenencia al Espacio Económico Europeo. Los registros forman parte de un impulso internacional más amplio de organismos como el Grupo de Acción Financiera Internacional (FATF) y el G20 para eliminar el anonimato que pueden brindar las empresas pantalla.

Los datos robados de Liechtenstein, aunque no contienen saldos de cuentas ni historiales de transacciones, distan de ser inofensivos. Los nombres y fechas de nacimiento de los beneficiarios finales, combinados con sus nacionalidades y países de residencia, proporcionan información suficiente para ataques sofisticados de ingeniería social, robo de identidad o incluso amenazas a la seguridad física de personas adineradas.

La respuesta de las autoridades suizas a las preocupaciones de los gestores de patrimonio en el período previo al lanzamiento de octubre de 2026 —ya sea con reglas de acceso ajustadas, requisitos de seguridad reforzados o una postergación— señalará cómo el país pretende equilibrar sus compromisos contra el lavado de dinero con las expectativas de protección de datos de su sector de banca privada.