# eMudhra abandona el SSL global tras el golpe a su seguridad

> eMudhra deja el negocio global de SSL/TLS tras el bloqueo de ocho certificados. Era el 1% de sus ingresos y le ha costado un 36% en bolsa.
> Por José Maldonado · Ciberseguridad · 2026-10-22

El consejo de eMudhra decidió este 22 de octubre de 2026, retirarse del negocio global de certificados SSL/TLS, y lo hizo cinco días después de que Google, Mozilla, Apple y Microsoft bloquearan ocho de sus autoridades intermedias. La decisión encierra una paradoja que conviene mirar de cerca: esa línea aportaba alrededor del 1% de los ingresos globales de la compañía y no había emitido ni un solo certificado final a un cliente, según el [comunicado de la empresa.](https://emudhra.com/en/press-release/emudhra-to-exit-global-ssl-tls-certificate-business)

V. Srinivasan, presidente de la firma con sede en Bengaluru, sostiene en ese texto que la empresa revocó las autoridades afectadas en 14 horas, que nadie entró en su infraestructura y que no hubo fuga de datos. Añade dos razones de negocio: el coste y la complejidad de cumplir requisitos de soberanía en decenas de países subían cada año, y varios gigantes regalan el certificado, así que el retorno de esa actividad se estrechó frente al resto de la cartera. El comunicado también dice, sin rodeos, que la amplificación en redes sociales trajo un escrutinio desproporcionado al peso real de SSL/TLS.

Lo que queda no es un problema de criptografía, sino de contabilidad reputacional. En un negocio que vende confianza, una línea que factura poco puede concentrar el riesgo de toda la marca. Los clientes tienen margen hasta 2040 y las demás autoridades miran el precedente.

## Lo que la empresa sostiene y lo que ya es público

El relato del comunicado es coherente con lo que se sabe, aunque el orden de los acontecimientos matiza una de sus frases. Los navegadores no esperaron a la revocación: Chrome bloqueó las seis intermedias TLS mediante un CRLSet a las 19:45 UTC del 17 de octubre, menos de dos horas después del informe privado, y Firefox recibió la lista OneCRL a las 22:59. La revocación formal de las ocho llegó al día siguiente, a las 09:38 UTC, tal como recogimos en [la crónica de aquel fin de semana](https://observatorioblockchain.com/ciberseguridad/certificados-tls-emudhra-comprometidos/).

### Un guion roto en la ceremonia

El origen también está documentado. Las claves nacieron el 30 de abril de 2025 en una ceremonia que generó 24 intermedias y, según la propia empresa, un paso de envolver y desenvolver produjo un segundo juego de claves débiles junto a las fuertes. Esas fueron las que entraron en los almacenes de confianza. El [ticket de Mozilla](https://bugzilla.mozilla.org/show_bug.cgi?id=2083449) y el análisis de [Cisco Talos](https://blog.talosintelligence.com/compromised-intermediate-certificates/) dejan poco margen a la interpretación.

Eran enteros por debajo de 256 en una curva P-384, recuperables calculando los 255 puntos posibles de la curva; el investigador Scott Helme encontró que una de ellas era directamente el número 4.

## Un negocio del 1% que costó un 36% en bolsa

El mercado no midió el peso de la línea, midió la grieta. Las acciones pasaron de 540 rupias el 19 de octubre a 432 el día 21, un 20% menos, y cayeron otro 20% el 22 hasta 345,60, mínimo de 52 semanas. Son 194,40 rupias por título en dos sesiones, un 36% de capitalización, y una investigación en marcha del Ministerio de Electrónica y Tecnología de la India, que constituyó un equipo especial.

La dirección calificó el episodio como un incidente puntual y subrayó que las operaciones indias no se ven afectadas, un argumento que [recogió CNBC TV18](https://www.cnbctv18.com/market/emudhra-share-price-fall-management-one-off-incident-action-taken-impact-microsoft-google-finances-20016711.htm). La parte financiera del argumento se sostiene: si la actividad aporta el 1% de los ingresos y exige cumplimiento en 35 países, salir es barato para el estado de resultados y caro para la narrativa. La parte reputacional no se resuelve con aritmética, y ahí está el detalle que importa para cualquier proveedor de servicios de confianza.

## ¿Qué pasa con los clientes hasta 2040?

La transición tiene calendario largo y reglas concretas. Las raíces G1 RSA seguirán en servicio hasta que el traspaso se complete, la empresa ofrecerá recambio gratuito a través de sus socios y los servicios de revocación y de estado del certificado seguirán funcionando hasta que el último emitido caduque o se sustituya.

eMudhra se compromete además a entregar a los programas de navegadores el informe completo de causa raíz, la pieza que aún falta para cerrar el expediente y explicar cómo una ceremonia generó claves de un byte.

### La cola que dura hasta 2040

El problema vive en la cola. Los certificados afectados no expiran hasta el 28 de abril de 2040, y el bloqueo de los navegadores solo alcanza a los almacenes que se actualizan. Los lenguajes con su propio depósito de confianza, las distribuciones de Linux sin refresco, los contenedores con imágenes viejas y el firmware congelado de equipos industriales siguen aceptando esas cadenas hasta que alguien los toque. Quien tenga servicios internos hablando TLS entre bambalinas debería revisar el inventario antes que el proveedor cambie de manos.

## Un mensaje al mercado sobre la confianza

La salida reduce la oferta en un mercado que ya era corto. Las autoridades que los navegadores aceptan se cuentan con los dedos de dos manos, así que cada retirada deja a los clientes con menos alternativas y a los programas de raíz con más peso relativo: en la práctica, Google, Mozilla, Apple y Microsoft actúan como reguladores de facto de la infraestructura, sin pasar por un parlamento y con plazos de horas.

También ordena las prioridades de cualquier proveedor. La empresa conserva la firma digital, eSign, las plataformas de PKI y los productos de identidad, que no comparten infraestructura con SSL/TLS. Es la parte del comunicado que suena a estrategia y no a retirada.

Queda una pregunta que el comunicado no responde: si el incidente lo provocó un fallo de guion en una ceremonia, qué cambia en el procedimiento para que no vuelva a ocurrir en las líneas que se quedan. El informe de causa raíz prometido a los programas de navegadores debería contestarla, y su publicación será la prueba real de si la retirada fue una decisión de foco o una forma de cerrar la puerta antes de que alguien pregunte más.

Para los clientes, el mensaje es prosaico y urgente. Un certificado que valida hasta 2040 no caduca cuando el proveedor se va, y ninguna nota de prensa sustituye a un inventario de qué confía en qué. La confianza se compra una vez y se pierde en dos sesiones de bolsa.