Fenomenología de la ciberdelincuencia

En este artículo, Quim Cano Teruel ofrece una visión fenomenológica de la ciberdelincuencia. Esto es, exponiendo una clasificación de los modos de ejecución de los ciberdelitos, no como un análisis de cada tipo penal ni atendiendo al bien jurídico que lesionan, sino como una referencia en base a su forma de manifestarse. Para ello, se centra en los tres tipos reconocidos en la actualidad según Fernando Miró Llinares: ataques puros, ataques réplica y ataques de contenido.

1. Ataques puros

El primer gran grupo lo conforman los ataques catalogados como puros, definidos como todas aquellas conductas delictivas de nueva creación que sólo pueden llevarse a cabo utilizando las TIC como medio de comisión. En otras palabras, se trata de acciones específicas que no presentan una modalidad en el mundo físico. Esto último sin perjuicio de la inclusión de determinadas conductas puras en tipos tradicionales. Es el caso del acceso informático ilegítimo, incorporado en el CP español como una modalidad del delito de daños. Aunque, bajo mi punto de vista, se trata de una visión algo forzada del legislador.

1.1. Hacking

Más allá de discusiones filosóficas y connotaciones semánticas acerca de los tipos de hackers y la clasificación en función de su nivel ético, podemos considerar que un ejemplo de ataque puro sería el hacking, entendido en sentido amplio como un acceso ilegítimo a un sistema informático a través de las TIC. Generalmente, estos accesos se materializan mediante la explotación de alguna vulnerabilidad derivada de una programación o configuración deficientes del sistema de la víctima.

En el hacking pueden incluirse diferentes conductas. Por un lado, el hacking en sentido estricto, consistente en el simple acceso ilegítimo a un sistema informático con finalidad de obtener información. Otra variedad es el cracking, referido al acceso ilegítimo con finalidad de dañar el sistema al que se accede, sea alterando datos o eliminándolos.

1.2. Malware

Otro tipo de ataque puro es el materializado mediante software malicioso (virus, troyanos, worms, ransomware, etc.) cuya finalidad general es sabotear el funcionamiento del sistema informático impidiendo su normal uso. Este tipo de ataques, afectan a la esfera personal y, especialmente, a organizaciones y empresas que pueden ver comprometidos sus datos y servicios con las consiguientes repercusiones económicas. Como ejemplo, cabe recordar el ataque WannaCry, perpetrado en mayo de 2017 mediante la propagación de un ransomware que cifró datos de miles de sistemas pidiendo a cambio un rescate para su restauración.

Aunque es innegable el potencial destructivo de cualquier tipo de ataque malware, a día de hoy es habitual utilizar este tipo de ataques como paso previo y preparatorio de otros ataques de acceso ilegítimo con la finalidad de atentar contra el patrimonio o la intimidad de las víctimas.

Otra aplicación de los ataques mediante malware es la creación de botnets, que son un conjunto de sistemas infectados a los que tiene acceso el atacante para lanzar ataques coordinados con posterioridad. La denegación de servicio distribuido (DDoS) o el envío masivo de spam para captar víctimas mediante phishing y consumar estafas son ejemplos de ataques coordinados.

2. Ataques réplica

El segundo grupo fenomenológico lo conforman los ataques réplica, cuya característica principal radica en el uso de las TIC como medio de comisión de delitos tradicionales ya previstos en una modalidad propia del mundo físico. Ejemplos de este tipo son, entre otros, las ciberestafas, el ciberacoso o la ciberextorsión.

2.1. Ciberestafa

También llamada ciberfraude o scam, es sin duda el tipo de ataque más común como demuestran los datos estadísticos referenciados en el Portal Estadístico de Cibercriminalidad del Ministerio del Interior de España. Se trata de la obtención de un beneficio patrimonial por parte del autor, que utiliza el engaño para perjudicar el patrimonio de la víctima. Existe una gran variedad de formas de ejecutar el engaño: utilización de tarjetas de crédito ajenas; venta de bienes y servicios que no llegan a entregarse al comprador una vez pagados; réplicas virtuales del timo de la estampita, el tocomocho o la carta nigeriana, entre otros.

Dentro de las ciberestafas, el tipo más extendido es el de pagos mediante tarjetas de crédito o débito ajenas. Para ello, el autor necesita hacerse con los datos personales y/o bancarios de la víctima utilizando campañas de phishing u otro sistema de ingeniería social.

El phishing se inicia con el envío de emails a la víctima (bajo apariencia de empleado de su entidad bancaria) sugiriéndole acceder, mediante el enlace adjunto, a la web de su entidad para actualizar datos o cualquier otra gestión similar. No obstante, tal página resulta ser una réplica de la original y, al acceder, los datos quedarán en posesión del autor del ataque, que podrá disponer de ellos para consumar la estafa económica. Estos envíos de emails se efectúan de forma masiva mediante spam, lo que incrementa las posibilidades de captar víctimas.

2.2. Ciberacoso

Mención especial merece el child grooming. Esta conducta, consiste en el contacto por parte del autor con menores de edad a través de las redes para generar un vínculo de confianza que le facilite posteriormente la comisión de delitos contra la libertad e indemnidad sexual del menor.