En la actualidad estamos asistiendo a un momento álgido de la criminalidad en el ciberespacio, tanto en sentido cuantitativo dado el creciente uso de Internet en todo el mundo y por todo el mundo, como cualitativo al aparecer flamantes formas de delincuencia relacionadas con los nuevos servicios y usos surgidos en el ecosistema digital.
Esta actividad delictiva en la Red adopta muchas formas diferentes y cambiantes: se roban identidades, se asaltan sistemas informáticos, se comercia ilícitamente con software, se intercambia pornografía infantil, o se blanquea dinero. Las estafas, las botnets y los keyloggers, el hacking, el cracking, el phishing, el fraude con tarjetas de crédito, el espionaje y los delitos políticos han marcado el comienzo de este siglo y se inventan constantemente planes criminales cada vez más sofisticados, incluyendo ahora las innovaciones tecnológicas de la encriptación, la computación en la nube (cloud computing) o la inteligencia artificial.
Los autores son numerosos y están repartidos por todo el mundo. El costo de esta actividad se mide en cientos de miles de millones de dólares anuales, concretamente en 2017 su impacto ha sido de 600.000 millones de dólares (cerca de 500.000 millones de euros), lo que supone el 0.8 por ciento del PIB mundial, cifra que es notablemente superior a la registrada en 2014, que ascendía entonces a los 445.000 millones de dólares, y es probable que las cifras se incrementen a medida que aumente el número de usuarios de Internet, especialmente en el mundo en desarrollo.
Todas estas razones, expuestas con la precisión y rigor habituales de Moisés Barrio, justifican sobradamente la necesidad de una obra como «Delitos 2.0 Aspectos penales, procesales y de seguridad de los ciberdelitos», de la que es autor.
Dado el interés de este trabajo, fruto de las reflexiones y el análisis de uno de los mayores expertos de nuestro país en todas las cuestiones relacionadas con el Derecho y la Tecnología, reproducimos a continuación su capítulo introductorio.
Internet es, sin duda, la clave de bóveda de la Sociedad de la Información y desempeña un papel crucial en el desarrollo económico de nuestro tiempo. La popularización de la Red a escala global ha permitido la creación del «ciberespacio virtual», tal y como lo concibiera el autor que acuñó tal término, William Gibson, al haberse configurado de forma paralela al mundo físico un espacio comunicativo e interactivo que, sobre todo en la última década del siglo XX, ha modificado las relaciones económicas, políticas, sociales y, muy especialmente, las personales. Incluso ha surgido una nueva disciplina jurídica, el «Ciberderecho» o «Derecho de Internet» (Cyberlaw), para dar respuesta a las situaciones jurídicamente disruptivas que plantea Internet y que hemos analizado en otra obra reciente.
Algunos de los avances técnicos proporcionados por Internet pueden sintetizarse en la enorme facilidad y rapidez con la que se accede, copia, modifica y distribuye todo tipo de información, siempre a distancia y con posibilidad de ocultar la identidad real. Cada persona puede ser, a la vez, emisor y receptor de contenidos, fortaleciendo así libertades garantizadas constitucionalmente. Estas características han convertido a la Red en una herramienta insustituible para cualquier tipo de usuario. En la actualidad, los sistemas informáticos (o de información) y redes electrónicas (o telemáticas) resultan de extraordinaria importancia para todos los sujetos: desde administraciones públicas, prestadores de servicios públicos, empresas, entidades privadas hasta, por supuesto, los ciudadanos. En este sentido, la integración de Internet en prácticamente todas las actividades, tanto públicas como privadas, y el proceso de globalización que caracteriza la economía actual han permitido nuevas formas de organización de la producción y del comercio. También afecta al pleno ejercicio de los derechos fundamentales y las libertades de las personas. Tampoco debe olvidarse su utilización como forma de diversión, con las redes sociales y la web 2.0 como forma de interactuación social por antonomasia en un tiempo histórico en el que somos digitales.
Lo anterior conduce a que, en casi todos los ámbitos de la vida, dependamos, de forma muy intensa, de las Tecnologías de la Información y la Comunicación (en adelante, TIC), concepto amplio, abierto y dinámico que engloba todos los elementos y sistemas utilizados en la actualidad para el tratamiento de la información, su intercambio y comunicación en el milenio digital. Y, a medida que las redes de comunicaciones se hacen más convergentes y prestan mayores servicios, aumenta, de forma pareja, su vulnerabilidad, de modo que ambos factores —dependencia y vulnerabilidad— se han ido incrementando progresivamente desde los años 90(6). Por tanto, se trata de una tendencia que implica numerosas ventajas pero que también va acompañada de nuevos riesgos.
En general, los riesgos generados por Internet pueden reconducirse a dos grandes categorías. En primer lugar, las amenazas sobre bienes jurídicos tradicionales cuya peculiaridad deriva del empleo de las ya no tan «nuevas» tecnologías y ahora tecnologías disruptivas. Así, por ejemplo, en la protección de la intimidad, los peligros derivados de la utilización de programas espía (sniffers), la monitorización digital (cookies, spyware), el control inconsentido por grandes corporaciones tecnológicas (el reciente escándalo protagonizado por Facebook y Cambridge Analytica), etc.; en el caso del patrimonio, de las técnicas de suplantación de identidad (phishing); en los supuestos de pornografía infantil, las nuevas formas de producción y distribución de material a través del uso de webcams, smartphones, plataformas P2P, etc.; y, por último, en la tutela de los derechos de propiedad intelectual, el especial impacto que ha tenido en los mismos la utilización de las plataformas P2P o las páginas web de enlaces, etc. En segundo lugar, los riesgos que pesan sobre las propias infraestructuras electrónicas cuando son atacadas con el objetivo de alterar o impedir el normal funcionamiento de los sistemas de información. Estos incidentes suelen ejemplificarse en conductas como el acceso no autorizado, la difusión de programas informáticos perjudiciales —en sus múltiples modalidades de virus, bombas lógicas, caballos de troya o gusanos (también todo ello referido con el término malware)— y los ataques intencionados de denegación de servicio (DDoS), que perturban los servicios ofrecidos por Internet y pueden causar daños a las entidades que cuentan con un portal propio desde el cual realizan operaciones con sus clientes y usuarios.
En la actualidad, y a modo de muestra, el informe anual de ciberseguridad de Cisco de 2017, basado en una encuesta a casi 3.000 profesionales de 15 países, señala que un 29% de las organizaciones sufrieron pérdidas de ingresos causadas por ciberataques, con perjuicios superiores al 20% de los ingresos en un 38% de los casos, siendo estas cifras significativamente superiores a las de los informes de años precedentes. En España, la gestión de ciberataques llevada a cabo por el equipo de respuesta a incidentes de ciberseguridad CERTSI, el CERT de Seguridad e Industria del Instituto Nacional de Ciberseguridad (INCIBE), pasó de unos 18.000 en 2014 a 50.000 en 2015, a cerca de 107.000 en 2016 y a más de 122.000 en 2017, de los cuales el 95% afectó a empresas y ciudadanos, un 4,5% a la Red Académica y de Investigación Española (RedIRIS) y un 0,72% a operadores de infraestructuras críticas. Entre los incidentes de mayor repercusión, en el último año han tomado especial protagonismo los ciberataques con programas de tipo ramsonware, que secuestran la información de los usuarios (por ejemplo, cifrando sus discos duros) solicitando a continuación un rescate para su recuperación. Estas infecciones se propagan en correos electrónicos que suplantan a usuarios legítimos (phishing), o incluso alterando sitos web legítimos (defacement) que contagian a los internautas que los visitan.
Habiéndose originado Internet en los Estados Unidos, fueron sus tribunales quienes primero van a enjuiciar los incipientes ciberdelitos y sus particulares consecuencias a principios de 1990. Así, en United States v. Morris), el acusado, un estudiante de ingeniería informática de la Universidad de Cornell, creó un virus diseñado para infectar Internet con el propósito de demostrar las insuficiencias de las medidas de seguridad en las redes electrónicas. Su programa informático funcionó increíblemente bien, y pese a los intentos del acusado de detener la propagación del virus, éste causó daños importantes a ordenadores de todo el país pertenecientes a instituciones académicas, militares y comerciales. Robert Morris fue condenado en primera instancia en virtud de la Computer Fraud and Abuse Act de 1986 (CFAA), condena que fue confirmada en apelación.
Más recientemente, el 12 de mayo de 2017 asistimos a un ataque informático de alto impacto cometido a través del virus WannaCry (o WanaCrypt0r 2.0) que afectó a más de 300.000 equipos informáticos en 150 países del mundo. El virus —o, más precisamente, un ransomware— aprovechó una vulnerabilidad del sistema operativo Windows para contagiar sistemas informáticos vulnerables y propagarse posteriormente a otros elementos de esos mismos sistemas de información. El efecto fundamental del ataque fue la encriptación y posterior secuestro de la información alojada en los sistemas violentados para cuya liberación los ciberdelincuentes reclamaban el pago de determinadas cantidades de dinero, pagaderas en moneda virtual. En el ciberataque resultaron afectados, entre otros, los sistemas informáticos de la red de hospitales públicos del Reino Unido y los de una pluralidad de empresas de distintos ámbitos geográficos, entre ellas las españolas Telefónica, Iberdrola y Gas Madrid. Pues bien, pocas semanas después, el 27 de junio, de nuevo se produjo otro ciberataque de carácter transnacional y también de fuerte impacto, originado esta vez por otro ransomware llamado Petya, más sofisticado que el anterior y dirigido contra operadores del sector público y también de telecomunicaciones y energía. En esta segunda ocasión la incidencia en España fue mínima, alcanzando únicamente a algunas filiales de empresas con sede en otros países de la Unión Europea.
De este modo, en el momento presente asistimos a un momento álgido de la criminalidad en el ciberespacio, tanto en sentido cuantitativo dado el creciente uso de Internet en todo el mundo y por todo el mundo, como cualitativo al aparecer flamantes formas de delincuencia relacionadas con los nuevos servicios y usos surgidos en el ecosistema digital.
Así, como ha estudiado en nuestra doctrina Miró Llinares, la evolución del cibercrimen también conlleva una evolución en sus protagonistas esenciales, los criminales y las víctimas: del ya mítico hacker estereotipado en el adolescente introvertido y con problemas de sociabilidad, encerrado en su casa y convertido en el primer ciberespacio en un genio informático capaz de lograr la guerra entre dos superpotencias usando sólo su ordenador, hemos pasado a las mafias organizadas de cibercriminales que aprovechan este nuevo ámbito para aumentar sus actividades ilícitas y sus recursos. Y al no ser los ciberdelitos solamente los realizados con ánimo económico, también varían los perfiles de cibercriminales que cometen delitos, que ya no son únicamente réplicas en el ciberespacio de los que ejecutarían en el espacio físico. Y lo mismo ocurre con las víctimas. Las personas jurídicas siguen siendo objeto de victimización debido tanto al uso generalizado de las TIC en ellas como a sus recursos económicos objeto de deseo por los cibercriminales. No obstante, muchas suelen ocultar los ciberdelitos que padecen. La actitud poco favorable a la denuncia se debe al temor de que la trascendencia del hecho se traduzca en una suerte de descrédito de la fiabilidad de la gestión de la propia entidad (que, en este ámbito, se ciñe a una pérdida de confianza en sus sistemas de seguridad) y de su prestigio (por ejemplo, caso Yahoo, caso Equifax, caso Facebook...), así como a las posibles repercusiones por responsabilidad civil y protección de datos. De este modo, a fin de evitar mayores pérdidas, prefieren «resolver» el problema internamente.
Pero la aparición de los ciberdelitos sociales convierte a cualquier ciudadano que se relacione en Internet, que interactúe con otros, envíe mensajes, charle en foros o comparta sus fotos por ejemplo en redes sociales, en objeto de un posible ciberataque personal a su honor, intimidad, libertad sexual o similares bienes jurídicos. Y lo mismo sucede con otras instituciones públicas estatales o supranacionales en relación con los ciberdelitos políticos o ideológicos cometidos con intención de desestabilizar un Estado o de difundir un determinado mensaje político aprovechando las posibilidades de comunicación masiva que ofrece el ciberespacio: la ciberguerra, el hacktivismo o el ciberterrorismo han convertido a las infraestructuras tecnológicas de los estados y los operadores de servicios esenciales en objetivo prioritario de ataques de denegación de servicio (DDoS), de infecciones de malware (categoría que, como hemos indicado, engloba todo tipo de software malicioso) u otros que pueden llegar, como ha sucedido, a paralizar la actividad de importantes instituciones de un país.
En cualquier caso, las diversas manifestaciones de conductas delictivas vinculadas a las tecnologías cibernéticas, cuyo rasgo definitorio y diferenciador es el de realizarse en otro espacio distinto a aquél en el que siempre se habían ejecutado las infracciones penales, han planteado importantes retos y desafíos jurídicos, frente a los cuales ya se han promulgado respuestas normativas, de ámbito estatal, europeo e internacional. Ahora bien, la ciberdelincuencia conforma una delincuencia amplia, variada y cambiante, que ni puede asociarse a una concreta tecnología o a un específico grupo de sujetos, ni limitarse a un preciso sector de la actividad social. Y es ese ámbito y su carácter innovador y mutante lo que determina una problemática particular de la misma que va a ser objeto de atención en esta obra, brindando especial atención a las novedades y cambios introducidos por la Ley Orgánica 1/2015, de 30 de marzo (LA LEY 4993/2015), por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal (LA LEY 3996/1995), así como a la más reciente jurisprudencia.
De este modo, se analizan en profundidad los delitos de descubrimiento y revelación de secretos, el intrusismo e interceptación de las comunicaciones (hacking), la protección de la intimidad, la protección de datos y el derecho a la propia imagen, la utilización no autorizada de imágenes previamente obtenidas con consentimiento en un lugar privado (sexting y revenge porn), los daños informáticos y sabotajes (cracking), la obstaculización o interrupción de un sistema informático, los fraudes y estafas a través de Internet, el abuso de sistemas informáticos (phreaking), las calumnias e injurias en la Red, el ciberacoso (cyberstalking), la pornografía infantil, el acercamiento y embaucamiento de menores (childgrooming), los delitos contra la propiedad intelectual y el ciberterrorismo.
Asimismo, la obra examina las nuevas medidas de investigación tecnológica que ha incorporado la Ley Orgánica 13/2015, de 5 de octubre (LA LEY 15163/2015), de modificación de la Ley de Enjuiciamiento Criminal (LA LEY 1/1882) para el fortalecimiento de las garantías procesales y la regulación de las medidas de investigación tecnológica. Finalmente, también se exponen los aspectos de ciberseguridad dado que, en último término, los derechos individuales no pueden protegerse si no es a través de redes y sistemas seguros.
A la postre, sólo mediante una comprensión global del fenómeno que identifique los caracteres comunes del evento criminal cometido en Internet podremos mejorar la prevención de «la delincuencia del siglo XXI».
Para saber más:
Delitos 2.0 Aspectos penales, procesales y de seguridad de los ciberdelitos
Autor: Moisés Barrio Andrés Edita: Wolters Kluwer. Coleccíón Temas — La Ley
Edición: septiembre 2018
N.o de páginas: 436. ISBN: 978-84-9020-743-7
ISBN Digital: 978-84-9020-744-4
Disponible en https://tienda.wolterskluwer.es/p/delitos-20
ÍNDICE SISTEMÁTICO
-
I. Introducción
-
II. Del delito informático al ciberdelito
-
III. Los problemas jurídico-penales de la ciberdelincuencia
-
1. Un nuevo grupo de delincuentes cibernéticos
-
2. Problemas de persecución (I): el anonimato
-
3. Problemas de persecución (II): delitos a distancia y competencia territorial
-
4. Otros problemas
-
IV. Derecho comparado, internacional y europeo
-
1. Derecho comparado
-
2. Derecho internacional
-
3. El Convenio de Budapest sobre la ciberdelincuencia
-
4. Derecho de la Unión Europea
-
V. Su tratamiento en el Derecho Penal español
-
VI. Ciberdelitos contra la intimidad y el derecho a la propia imagen
-
1. Descubrimiento y revelación de secretos
-
2. Intrusismo informático e interceptación de las comunicaciones (hacking)
-
3. Utilización no autorizada de imágenes previamente obtenidas con el consentimiento de la víctima en un lugar privado (Sexting y Revenge Porn)
-
4. Causas de justificación
-
VII. Ciberdelitos de daños y sabotajes (Cracking)
-
1. Daños informáticos y sabotajes (Cracking)
-
2. Obstaculización o interrupción de un sistema informático
-
3. Delito de facilitación de herramientas informáticas dañinas
-
VIII. Ciberdelitos contra el patrimonio
-
1. Estafa
-
2. Abuso de sistemas informáticos (Phreaking)
-
IX. Ciberdelitos contra el honor y la libertad personal
-
1. Calumnias e injurias
-
2. Ciberacoso (Cyberstalking)
-
X. Ciberdelitos contra la libertad e indemnidad sexuales
-
1. Pornografía infantil
-
2. Delito de acercamiento y embaucamiento por medio de tecnologías de la comunicación (Childgrooming)
-
XI. Ciberdelitos contra la propiedad intelectual y derechos conexos
-
1. Delitos contra la propiedad intelectual
-
2. Páginas web de enlaces
-
3. Supresión de las medidas de protección
-
XII. Ciberterrorismo
-
1. Delitos de terrorismo
-
2. Ciberterrorismo
-
XIII. Aspectos procesales y policiales
-
1. Disposiciones comunes a los nuevos actos de investigación tecnológica
-
2. Fuerzas y cuerpos de seguridad especializados
-
3. Líneas de evolución futura
-
XIV. Las distintas medidas de investigación tecnológica para los ciberdelitos
-
1. Las diligencias de investigación tecnológica en particular
-
2. Medidas de aseguramiento
-
XV. Ciberseguridad
-
1. Derecho europeo. La Directiva NIS
-
2. Derecho español
-
XVI. La responsabilidad de los proveedores y plataformas de Internet
-
1. Régimen legal
-
2. Régimen de exclusión de responsabilidad de los intermediarios
-
3. Prohibición de imponer obligaciones generales de supervisión
-
4. Evolución futura
Conclusiones
Anexo (extracto de las disposiciones legales vigentes)
Bibliografía
