Los delitos en el ciberespacio

Miércoles 10 de Junio de 2009 16:48 |

Escrito por Francisco Uría

Estamos ante una nueva realidad, la información está disponible para todo el mundo a través de internet de manera gratuita y abierta. El ciberespacio se percibe como independiente, anárquico e ingobernable y en él cualquier persona puede expresarse sin ningún tipo de censura. Los delitos en el ámbito cibernético existen independientemente de otras formas jurídicas lo que provoca la preocupación de las organizaciones internacionales por los actos ilegales y nocivos cometidos al utilizar las redes de comunicación.

Por un lado, los Estados y las instituciones públicas internacionales intentan regular el ciberespacio y, por otro lado, los defensores de la libertad de pensamiento y los derechos civiles pretenden mantener a Internet libre de cualquier tipo de regulación. Ambos tienen el mismo objetivo, el mantenimiento de la dignidad y los derechos fundamentales, pero desde opciones opuestas.

Entre las iniciativas de las organizaciones internacionales que intentan regular este campo cabe destacar:

- Asamblea General de Naciones Unidas. Las Resoluciones 55/63 y 56/121 sobre la lucha contra la utilización de la tecnología con fines delictivos pretenden eliminar los paraísos legales (en algunos países como Brasil el spam no está prohibido), la creación de un marco legal mínimo entre todos los países así como el intercambio de información entre países.

- OCDE. Existen Recomendaciones para que a nivel internacional un determinado hecho pueda ser calificado dentro de un marco penal similar.

- G8. Creó una Red de Puntos de Contacto, que pretende ser un referente internacional para la cooperación. Se trata de un directorio de nombres que pueden ser contactados en cada país para facilitar una acción inmediata cuando sea necesaria.

- Unión Europea. La Decisión Marco del Consejo 2005/222/JHA de 24 de febrero de 2005 relativa a los ataques contra los sistemas de información impone a todos los estados miembros normas sobre cooperación internacional (red de puntos de contacto) y el intercambio de información entre los mismos. La Directiva 2006/24/CE del Consejo y el Parlamento Europeo de 15 de marzo de 2006 sobre conservación de datos generados o tratados en relación con la prestación de servicios de comunicaciones electrónicas de acceso público o de redes públicas de comunicaciones es la primera norma vinculante relativa exclusivamente a la obtención de prueba electrónica en la Unión Europea. Establece la obligación a los prestadores de servicios de internet (ISP) de retener los datos de navegación de sus clientes (direcciones IP) durante un periodo de tiempo que oscila entre 6 y 24 meses.

El término "Ciberdelincuencia" es usado de forma restringida para describir una actividad delictiva en la que un ordenador o una red son parte esencial del delito. No se puede hablar de una forma específica de delito, el listado puede ser interminable: difamación cometida en un periódico electrónico, amenazas realizadas por correo electrónico, blanqueo de dinero en un banco virtual, estafas y falsificaciones informáticas, interferencias en los datos, intromisión en los sistemas, accesos ilegales, ciberterrorismo, delitos contra la propiedad intelectual, espionaje industrial, apología del terrorismo, descubrimiento y revelación de secretos, etc.

Se trata de un fenómeno global, de dimensión planetaria, en el que cada delito tiene múltiples conexiones territoriales: los autores de estos delitos tienen su base en una determinada jurisdicción nacional, pero sus acciones alcanzan sistemas informáticos, ordenadores y víctimas en muchos otros países.

La respuesta internacional a la "ciberdelincuencia" se articula a través de:

- Interpol. Proporciona asistencia a sus 184 miembros (cuerpos y fuerzas de seguridad de todo el mundo) a través de unos Puntos de Referencia Nacional Central (NCRP). Sus objetivos consisten en permitir a la policía identificar expertos en otros países, obtener asistencia a las investigaciones relacionadas con sistemas informáticos y la obtención de pruebas y garantizar que la información policial pueda intercambiarse de manera rápida.

- Unión Europea. Establece la Red de Puntos de Contacto 24/7, puntos de contacto operativos disponibles las 24 horas del día todos los días de la semana.

- Europol. Pretende mejorar la eficacia y la cooperación entre los cuerpos y fuerzas de seguridad de cada uno de los estados miembros de la Unión Europea, facilitando el análisis de la información penal y compartiendo información entre los estados miembros.

- El Convenio Europeo sobre Ciberdelincuencia del Consejo de Europa de 2001, en vigor desde julio de 2004, es el primer instrumento vinculante sobre cibercriminalidad. Criminaliza la pornografía infantil cometida a través de un sistema informático, penalizando la mera posesión de materiales con este contenido.

- El Convenio Europeo sobre Asistencia Judicial en materia penal de 1959 es el origen del Convenio sobre Ciberdelincuencia.

Las modernas formas de delincuencia requieren, durante la investigación y el juicio, el apoyo de expertos especialistas en pruebas electrónicas que analicen las pruebas existentes y aporten una interpretación adecuada a las mismas ante los Tribunales de Justicia.

El análisis forense de la prueba electrónica consiste en un análisis científico de la información contenida o recuperada de un dispositivo de almacenamiento digital de forma tal que esa información sea admitida como prueba en un proceso judicial. Es imprescindible, por tanto, el uso de procedimientos estrictos en el aseguramiento y gestión de la prueba electrónica.

Las etapas de todo análisis forense son las siguientes:

- Identificación. Análisis de la infraestructura tecnológica para identificar equipos y dispositivos clave para la investigación.

- Aseguramiento de prueba. El objetivo principal consiste en mantener la integridad del dispositivo original. Se debe trabajar siempre que sea posible sobre una copia del original por lo que hay que realizar una réplica idéntica bit a bit del original sin alterar el original en el proceso de copia (se utilizan funciones de hash, si cuadran el hash de origen y el de destino la copia será idéntica). El proceso de copias idénticas se consigue con una duplicadora de discos duros. El original se debe poner en custodia sin romper en ningún momento su cadena. La custodia del original siempre debería quedar en manos de un fedatario público, pero en la práctica la custodia la realiza el perito o analista una vez que el original ha pasado por el notario (precinto del original). El notario, además, debe identificar la duplicadora de discos duros y confirmar que el original y las copias son idénticos.

- Análisis. Se persigue extraer la información relevante para la investigación. Ello requiere una gran cantidad de tiempo al analista. Entre las técnicas que emplea cabe destacar las búsquedas ciegas por palabra clave que permite al investigador centrarse en los fragmentos de texto relevantes con una búsqueda global automatizada. Este análisis de la información requiere del uso de herramientas especializadas (Encase, FTK Forensic Toolkit, X-Ways, Autopsy, SleuthKit, etc.)

- Informe y ratificación. Consiste en la explicación de términos forenses en un lenguaje llano y carente de tecnicismos de forma que puedan ser comprendidos por todas las partes presentes. Se presentan únicamente hechos, las opiniones, teorías o suposiciones no deben quedar plasmadas nunca en el informe.

La Ley Orgánica 15/2003 de reforma del Código Penal español criminaliza diversas prácticas delictivas llevadas a cabo utilizando como medio las nuevas tecnologías. Entre estos tipos delictivos cabe destacar los siguientes:

- Acceso ilícito a redes.

El art. 286 contempla los siguientes supuestos (prisión de seis meses a dos años y multa de seis a 24 meses):

1. Facilitar, sin consentimiento del prestador de servicios y con fines comerciales, el acceso a un servicio de radiodifusión sonora o televisiva, a servicios interactivos prestados a distancia por vía electrónica, o suministrar el acceso condicional a los mismos.

2. Que con ánimo de lucro se altere o duplique el número identificativo de equipos de telecomunicaciones, o comercialice equipos que hayan sufrido alteración fraudulenta.

3. Que sin ánimo de lucro se facilite a terceros el acceso descrito en el apartado 1, o por medio de una comunicación pública, comercial o no, suministre información a una pluralidad de personas sobre el modo de conseguir el acceso no autorizado a un servicio o el uso de un dispositivo o programa, de los expresados en ese mismo apartado 1, incitando a lograrlos.

Ejemplo de estos supuestos lo constituye el pirateo de tarjetas de acceso a un proveedor de servicios de comunicaciones o el hecho de que una persona enseñe a piratear tarjetas o publique las claves de acceso. Hay portales web que señalan donde puedes obtener un determinado servicio, pero sin ofrecerlo directamente. Estos portales ya fueron denunciados y absueltos.

Por lo que se refiere al acceso sin consentimiento a la red inalámbrica de un vecino aún no existe jurisprudencia al respecto.

- Intromisión ilícita en las telecomunicaciones

1. Art. 256. Consiste en hacer uso de un equipo terminal de telecomunicación sin consentimiento de su titular ocasionando a éste un perjuicio superior a 400 euros. En estos casos se impondrá una multa de tres a doce meses. Es complicado que se cause un perjuicio superior a 400 euros, excepto si se trata de redes 3G.

2. Art. 197. Descubrimiento de secretos o vulneración de la intimidad de otro sin su consentimiento al apoderarse de sus mensajes de correo electrónico, interceptación sus telecomunicaciones, apoderamiento, utilización o modificación de datos reservados de carácter personal o familiar de otro que se hallen registrados en ficheros o soportes informáticos (prisión de uno a cuatro años y multa de doce a veinticuatro meses). Se impondrá la pena de prisión de dos a cinco años si se difunden, revelan o ceden a terceros los datos o hechos descubiertos o las imágenes captadas referidas anteriormente.

Aquí es donde entra en juego la figura conocida como Man in the middle (hombre del medio), figura delictiva consistente en intervenir la comunicación en origen antes de que llegue al interlocutor (averiguación de una clave, intromisión en la cuenta y lectura de emails)

3. Art. 264.2 Destrucción, alteración o inutilización de datos, programas o documentos electrónicos ajenos contenidos en redes, soportes o sistemas informáticos (prisión de uno a tres años y multa de doce a veinticuatro meses). Debe haber dolo en la destrucción de los datos e implica necesariamente la afectación de los equipos.

- Fraude informático

Falsificaciones

1. Arts. 386 y 387. Clonado de tarjetas de crédito (prisión de ocho a 12 años y multa del tanto al décuplo del valor aparente de la moneda).

2. Arts. 390 y 392. Páginas web fraudulentas – phising (prisión de seis meses a tres años y multa de seis a doce meses).

Estafas

1. Arts. 387 y 248. Conseguir, con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, la transferencia no consentida de cualquier activo patrimonial en perjuicio de tercero (prisión de seis meses a tres años, si la cuantía de lo defraudado excediere de 400 euros). En este tipo se encuentra el carding o comprar con tarjetas de crédito ajenas. También se prevé la fabricación, introducción o posesión de programas de ordenador específicamente destinados a la comisión de las estafas.

2. El pharming consiste en suplantar el sistema de resolución de nombres de dominio (DNS) para conducir al usuario a una página web falsa.

- Propiedad intelectual

Arts. 270 y siguientes. Reproducción, plagio, distribución o comunicación pública, con ánimo de lucro y en perjuicio de tercero de una obra literaria, artística o científica en cualquier tipo de soporte o comunicada a través de cualquier medio, sin la autorización de los titulares de los correspondientes derechos de propiedad intelectual (prisión de seis meses a dos años y multa de 12 a 24 meses).

Este es un tema polémico y ya muy comentado. Aquí quiero únicamente poner de manifiesto la interpretación que sobre este asunto hace la Fiscalía General del Estado a través de su Circular 1/2006, no consideran delito el uso particular de las redes peer to peer. La Fiscalía General dispone en esta Circular que "quienes colocan en un sitio de Internet una obra protegida sin la autorización de su titular o los usuarios de un sistema peer to peer de intercambio de archivos, realizan una conducta de comunicación pública no autorizada, e infringen el derecho exclusivo del titular; dicha infracción es susceptible de ser denunciada y reparada mediante el ejercicio de las correspondientes acciones de carácter civil, pero en principio, y salvo que por las circunstancias concurrentes se acredite lo contrario, no concurre en los mismos el elemento subjetivo del ánimo de lucro que exige el tipo penal. El elemento del ánimo de lucro debe ser interpretado, no en el sentido amplio de obtención de cualquier tipo de ventaja, utilidad o beneficio, sino en el sentido estricto de "lucro comercial". En cuanto a la conducta del que se limita a bajarse de la red una obra para su disfrute personal, no realiza un acto de comunicación, sino una copia privada, sin que concurra tampoco el elemento subjetivo de ánimo de lucro en el sentido estricto de lucro comercial".

- Pornografía infantil

1. Art. 189.1. Producción, venta, distribución, exhibición o facilitación de las anteriores por cualquier medio de material pornográfico en cuya elaboración hayan sido utilizados menores de edad o se poseyera para estos fines (de prisión de uno a cuatro años).

2. Art. 189.2. Posesión de material pornográfico para uso propio en cuya elaboración se hubieran utilizado menores de edad (tres meses a un año de prisión o con multa de seis meses a dos años).

- Ciberterrorismo

Art. 560. Ataques a infraestructuras básicas telecomunicaciones -denegación de servicios- (prisión de uno a cinco años).

- El robo de identidad aún no está regulado en el Código Penal.

Finalmente, uno de los mayores problemas con los que se encuentran los jueces y tribunales consiste en poder determinar el lugar de comisión de un delito cometido en el ciberespacio y el tribunal competente para investigar y juzgar el caso.

Varios son los principios que se han seguido para intentar dar una solución a este problema, entre los que cabe destacar:

- Principio de ubicuidad: el delito se comete en todas las jurisdicciones en las que se haya realizado algún elemento del tipo, por lo que el juez de cualquiera de ellas que primero haya iniciado las actuaciones procesales, será en principio competente para la instrucción de la causa". Este principio seguido por el Tribunal Supremo facilita pero no resuelve el problema.

- Principio de eficacia: el juez que más pruebas tenga será el competente para conocer del delito. Es el principio con más aceptación internacional.