bookmark_borderThe Facebook Papers: un salón de rumores mal comprendido

Reading Time: 4 minutes

Imaginemos una reunión social (boda, graduación, aniversario, etc.) de entre 500 y 2000 personas. Inicialmente se observan mesas de entre 8 y 12 personas bien ubicadas y diferenciadas, quiza en grupos de amistad, parentesco o por algún criterio extraño para que sea un salón ordenado, con espacios claros: el bar, la pista de baile, área de fumadores y las mesas.

Con el pasar de las horas, la dinámica cambia, los asistentes se movilizan y la estructura inicial queda en el olvido. Los asistentes encuentran conocidos que no sabian que estarían presentes, brindan y bailan con desconocidos y crean nuevos lazos de amistad. No resulta extraño que surjan relaciones de nogocios o amorosas, en fin toda una interacción social con resultados inesperados. No pueden faltar por supuesto las miradas de envidia, los comentarios ofensivos y hasta uno que otro enfrentamiento verbal o físico cuando las cosas suben de tono. En cuestion de horas, aquel salón bien estructurado y ordenado se convierte en un salón de rumores mal comprendido.

¿Se parece la visión sugerida a la plataforma Facebook?… es una analogía que surgió en mi mente tras leer e investigar sobre los Papeles de Facebook, un escándalo que surgió a inicios de octubre de 2021, cuya protagonista principal es la ingeniera y científica de datos Frances Haugen, que en septiembre compartió documentos internos de Facebook con autoridades estadounidenses. Ella afirma que investigaciones internas de de la compañia revalaron que la red social amplifica el odio, la desinformación y la inestabilidad política, sin embargo, Facebook esconde toda esta preocupante situación. En una entrevista con el programa 60 minutos dio a conocer lo siguiente

Lo que observé una y otra vez en Facebook fue un conflicto de interéses entre lo que es bueno para el público y lo que es bueno para Facebook… pero la compañía eligió siempre por optimizar lo que es bueno soló para sus interéses y cómo ganar más dinero

Haugen ha trabajado por al menos 15 años en compañias muy importantes, entre ellas Google, Pinterest y finalmente en Facebook, la que decidió dejar en mayo, pero no sin antes de hacerse, de forma cuestionable, con copias de miles de documentos internos que son la base de su denuncia, la que inicialmente fue anónima, pero que decidió dar la cara y mostrar al mundo lo que sucede dentro del gigante de las redes sociales.

Un punto clave para comprender lo que Haugen denuncia es el cambio introducido en 2018 por Facebook en el funcionamiento de sus algoritmos. Con la actualización implementada el programa decide que publicaciones se muestran al usuario, utilizando el historial de aquellas publicaciones identificadas como de mayor interés para el propio usuario, con el objetivo de generar mayor interés y mayor tiempo de conexión con la aplicación. Según Haugen

Facebook reconoció lo peligroso del algoritmo para las elecciones de 2020 en Estados Unidos, por lo que desabilitó este comportamiento, pero al terminar el proceso de elección presidencial, nuevamente fué habilitado… lo que es una grave traición para la democracia

En un comunicado oficial, Facebook indicó

Si alguna investigación hubiese encontrado una solución a un reto tan complejo, la industria tecnológica, los gobiernos y la sociedad ya hubieran solucionado el problema hace mucho tiempo.

Todo empresario de espacios de convivencia social sabe que su negocio es un lugar de reuniones de donde surgen relaciones de todo tipo. Sucede en los salones de eventos como el descrito inicialmente, pero también pasa en restaurantes, cafeterías, bares, salones de belleza y muchos más. La genialidad de las plataformas de convivencia virtual es haber logrado generar ingresos extras, aprovechando esa aglomeración de millones de personas las 24 horas del día, con diversidad de intereses, formas de pensar y concebir el mundo.

Si regresamos a la analogía del salón de eventos, no resulta sorpresivo que en los grupos que se forman entre los asistentes, opera una dinámica similar al algoritmo explicado por Haugen. Cada grupo habla de un tema de interés común, que se retroalimenta con comentarios y opiniones sobre el mismo tema, que hace que todos sigan con el interés de hablar de lo mismo, como si aquel tema fuera lo más importante para la socidad, algo de lo que depende el mañana de la humanidad. Sin embargo, lo que se comenta en la mayoría de los grupos, no es más que un momento de charlas irrelavantes para el resto de los otros grupos del salón.

Para muchos la situación que afronta Facebook es la peor crisis en sus 17 años de historia, algo que seguramente marcará un antes y un después. En Estados Unidos se desarrolla un momento clave para la relación entre la Tecnología y el Derecho. De la pugna entre los denunciantes y el sector político contra el gigante de las redes sociales surgirán criterios, directrices y normativa que de no realizarse de forma responsable, afectará una dinámica impresionante y de gran utilidad para millones de personas alrededor del mundo.

Se reclama que Facebook no hace mucho por las actitudes de los usuarios, algo que me hace plantear las siguientes inquietudes:

  • ¿Es Facebook o cualquier otra compañía responsable de lo que transita en sus plataformas?
  • ¿Es factible y razonable hacerle responsable?

Si algún lector considera responder las preguntas planteadas, debe recordar siempre la analogía del salón de eventos.

Considero que las preocupaciones sobre los efectos de la interacción en redes sociales es algo útil y necesario, pero es solo un pequeño aspecto de un problema más grande, algo que lamentable y peligrosamente es mal comprendido por quienes hoy ponen el grito en el cielo. Irónicamente se acude al gobierno a solicitar apoyo contra un peligro o daño social, cuando la manipulación social ha sido, es y será algo de mucho interés para los políticos y gobernantes.

A título personal me sorprende lo que sucede en Estados Unidos, me parecería más lógico en Europa, donde existe una infraestructura normativa más formal y agresiva de control tecnológico, reforzada por una tradición jurídica paternalista de larga trayectoria. Las reflecciones sobre los efectos –positivos y negativos– de la tecnología en la sociedad no son nuevas, pero hoy van tomando importancia en diversos grupos de la sociedad, algo que en principio es positivo, sin embargo, existe el grave riesgo de abordar la situación con poca o ninguna comprensión sobre lo que es tecnología y como ha sido pieza clave para el progreso humano.

En los próximos meses la humanidad atestiguará como lo jurídico aborda lo tecnológico. Seremos testigos del juicio del salón de los rumores. Ojalá se haga de la mejor manera posible, de tal forma que se logre un equilibrio entre los intereses de los creadores de tecnología y los derechos de los usuarios y la ciudadania en general.

Bibliografía

bookmark_borderAtaques DDoS contra proveedores de VoIP

Reading Time: 2 minutes

A mediados de septiembre de 2021, un proveedor de servicio VoIP, VoIP.ms reportó ser víctima de un ataque de denegación de servicio distribuido -DDoS-.

VoIP –Voice over Internet Protocol– es un servicio que permite utilizar Internet o una red privada para realizar llamadas de voz, haciendo que los mensajes viajen como paquetes, al igual que un correo electrónico por ejemplo. Gracias a este recurso, es posible realizar llamadas telefónicas a cualquier lugar del mundo, sin depender de la infraestructura tradicional de las compañias telefónicas, lo que representa ahorro y conveniencia para los usuarios. Claro está, que sin señal de Internet o datos en el teléfono móvil no pueden realizarse este tipo de llamadas.

Las llamadas se realizan mediante aplicaciones para teléfonos móviles, pero afortunadamente, plataformas de mensajeria como WhatsApp, Telegram y Messenger también incluyen esta función. Lamentablemente, este útil servicio también es de interés para los ciberdelincuentes.

Los ataques de denegación de servicio, afectaron a muchos usuarios corporativos de VoIP. Un experto de Kaspersky explica sobre este tipo de ataques los siguiente:

Este tipo de ataque aprovecha los límites de capacidad específicos que se aplican a cualquier recurso de red, tal como la infraestructura que habilita el sitio web de la empresa. El ataque DDoS envía varias solicitudes al recurso web atacado, con la intención de desbordar la capacidad del sitio web para administrar varias solicitudes y de evitar que este funcione correctamente.

El objetivo de este tipo de ataques es interrumpir el acceso a los usuarios de los servicios en línea. Las personas que intenten acceder al servicio recibiran un mensaje que indica que el recurso no esta disponible o en el mejor de los casos, percibiran una lentitud de respuesta en la plataforma.

Otra victima fue la empresa Bandwidth, que dió a conocer sobre la situación, ofreciendo disculpas a sus clientes y ofreciendo realizar lo que fuese necesario para mitigar el impacto del ataque. Adicionalmente implementaron una página para actualizaciones en tiempo real sobre el incidente.

Otros proveedores también fueron afectados, quienes debieron incorporar a sus plataformas información para sus clientes sobre el estatus de los servicios. Al parecer, lo que le sucedió en Estados Unidos es sólo una parte de algo más grande. Según la Cloud Communications Alliance -CCA-, entre finales de agosto e inicios de septiembre al menos tres proveedores VoIP en el Reino Unido fueron también victimas de ataques de denegación de servicios. Los ataques se basaron en bombardear las red de las empresas con trafico de entre 100 y 450 gigabits por segundo, hasta por 24 horas en varias ocasiones.

Para el 18 de septiembre, se dió a conocer que el grupo criminal ruso REvil, se atribuyó el la autoría del ciberincidente, reclamando un pago de un bitcoin –US$ 45 mil– para detener el ataque, pero en corto tiempo la extorción se incremento a 100 bitcoins –US$ 4.3 millones-.

Desafortunadamente los servicios VoIP no cuentan con estrategias maduras contra ataques DDoS, al igual que muchos otros servicios basados en Internet. Seguramente continuaremos presenciando incidentes que pondrán de manifiesto lo mucho que falta por avanzar.

Bibliografía

bookmark_borderPhishing: un peligro latente para los chapines

Reading Time: 4 minutes

Si eres usuario de Banca Electrónica y tu banco tiene ya cierta madurez respecto de la Ciberseguridad, seguramente has recibido en los últimos meses o años, correos de tu proveedor financiero informando y adviertiendo sobre el Phishing.

Revisando en mi historial de correos, encontré uno de Banco Industrial de noviembre de 2016, en el que me recomiendan actualizar mi contraseña mediante algunos consejos para su protección. El correo también incluye los siguientes consejos para evitar ser victima de Phishing:

  • Asegurar que la dirección de la plataforma sea la correcta y que inicie con https.
  • No utilizar la plataforma desde cualquier lugar
  • No ingresar desde conexiones de WiFi pública

¿Qué es y cómo funciona el phishing?

El origen del término es la palabra inglesa fishing -pescar-, que literalmente hace alusión a que los atacantes lanzan un ansuelo a sus víctimas, esperando que alguna de ellas lo muerda. El ansuelo consiste en la utilización de mensajes electrónicos (correo, texto, WhatApp, FaceBook, etc), haciendose pasar por una persona o entidad con la que la víctima tiene alguna relación. La identidad falsa de una persona puede ser de un amigo o familiar, en tanto las entidades pueden ser proveedores comerciales, centros educativos o instituciones gubernamentales. Si el mensaje falso es lo suficientemente convincente, el usuario tendrá confianza en la comunicación, que usualmente tiene por objetivo que inocentemente provea información delicada o confidencial.

La técnica detrás del Phishing requiere conocer cierta información del objetivo, ya que la confianza del proceso se basa en mostrar al usuario información que le hagan creer que la fuente de la comunicación es legítima. El complemento del Phishing es lo que se conoce como Ingenieria Social, que proveé al atacante de información básica sobre el uso frecuente de algún servicio o relación con alguna entidad, para así, suplantar su identidad.

¿Un fenómeno nuevo?

En 2021 se cumplen 25 años de la identificación de este tipo de ataques. En 1996 la plataforma de AOL identificó que sus usuarios estaban recibiendo mensajes falsos, con la intención de que proporcionaran información que le permitiera adueñarse de la cuenta de la víctima, que posteriormente se utiliza para cometer crímenes.

El Anti-Phishing Working Group publicó un informe al primer trimestre de 2021 con datos muy interesantes, entre ellos se mencionan:

  • 245,771 sitios web únicos de Phishing
  • La industria financiera es la más atacada (24.9%), seguido de las redes sociales (23.6) y luego proveedores de servicios (19.6%)
  • 172,793 textos únicos en ataques mediante correo electrónico

Desde su aparición los atacantes han mejorado la técnica y actualmente se utilizan diversas variantes y/o técnicas de Phishing. Hoy existen millones de plataformas elecrónicas que proveen servicios remotos a los usuarios, todo se realiza desde la comodidad del hogar o la oficina y desde cualquier dispositivo conectado a Internet. El problema radica en que, como usuarios, pocas veces confirmamos que la dirección del servicio al que se accede o del mensaje que se recibe sea legítima, lo que es en sí un problema dificil de resolver dejandolo en manos de los usuarios.

Para iniciar, no siempre es algo facil de comprender. Por ejemplo, en el caso de un sitio web de algun servicio, la forma de acceder es mediante la URLUniform Resource Locator-, que es el medio para encontrar recursos en internet, como pueden ser las páginas web, algunos ejemplos son:

  • Wikipedia: https://www.wikipedia.org
  • Naciones Unidas: https://www.un.org

Muchos, quizás más del 90 por ciento de los usuarios no escriben la URL de los servicios que utilizan en la barra del navegador… un momento ¿Sábes que existe y qué es verdad? Lo que hacen es escribir en el buscador, seguramente de Google la expresión Wikipedia o Naciones Unidas, que mostrará como resultado los links a páginas relacionadas con el término. Esto lo realizan a diario millones de personas para acceder a sus cuentas de banco, centros de estudio, tiendas en línea o redes sociales.

El riesgo es que uno de los links que muestra Google, apunte a un sitio de apariencia similar, pero que sólo es una imitación maliciosa, cuyo objetivo es que el víctima introduzca su usuario y contraseña, para luego mostrale un mensaje distractor que informe que de momento la plataforma esta en mantenimiento y que lo intente más tarde… !! Para el usuario, ya es demasiado tarde !!

Más dificil, quizás imposible, es pretender que los usuarios puedan identificar que un mensaje de correo electrónico, con toda la apariencia de ser confiable, proviene de un remitente legítimo. Si lográ llegar a la bandeja de entrada de la víctima, posiblemente llamará su atención y si esta bien diseñado el ataque, seguramente realizará acciones que son útiles para el atacante.

¿Cómo esta Guatemala respecto del Phishing?

Guatemala se encuentra muy rezagada en materia de Ciberseguridad. Recientemente la Unión Internacional de Telecomunicaciones publicó el Índice Global de Ciberseguridad 2020. El país se ubica a nivel mundial en el puesto 150 de 182 países y con una calificación de 13.3 puntos de 100, respecto del continente americano ocupa el puesto 26 de 35. Los resultados no son alentadores, lo que implica que existe poca institucionalidad que respalde a los guatemaltecos en materia de Ciberseguridad, lo que deber ser una razón de alerta para todo usuario.

El tema del Phishing, como muchos otros del mundo tecnológico no es sencillo, a pesar que aparenta serlo. La comodidad y conveniencia que ofrecen las diveras plataformas digitales que se utilizan a diario, afectan en gran medida la seguridad, lo que dificilmente es captado y comprendido por los usuarios. Es importante aclarar que no es un tema exclusivo de la banca, pero es un sector de mucho interés para quienes realizan este tipo de ataques.

Extraoficialmente se rumora de muchos casos de Phishing en instituciones bancarias, que han afectado a los usuarios, que han sufrido estáfas y pérdidas financieras que dificilmente logran resolver. Entre los atacantes, que puedan estar en el país o en cualquier lugar del mundo y las instituciones bancarias, que dificilmente aceptan tener algun grado de responsabildid, los usuarios quedan desprotegidos, llegando en muchas ocasiones a tener que aceptar las pérdidas.

Algo positivo que esta ocurriendo es la publicación en medios y páginas de diversas instituciones privadas y públicas sobre el tema de Phishing y Cibersguridad en General. Todo usuario debe conocer los aspectos generales del tema y tomar sus precauciones, de lo contrario, corre el riesgo de aprenderlo de una forma muy dolorosa y posiblemente costosa.

Bibliografía

bookmark_borderCibercrimen en la mira de la ONU

Reading Time: 3 minutes

El 27 de Julio de 2021, el embajador ruso en Estados Unidos, Anatoly Antonov, presentó ante la ONU el primer borrador del tratado mundial contra la ciberdelincuencia titulado Lucha contra la utilización de las tecnologías de la información y las comunicaciones con fines delictivos. El embajador explicó en Twitter que su país esta abierto a una beneficiosa cooperación mutua y honesta, sin agendas ocultas y politizadas. El borrador del nuevo convenio busca expandir la lista de delitos cibernéticos y el control de las criptomonedas.

Actualmente impera a nivel internacional el Convenio de Budapest, aprobado por el Comité de Ministros del Consejo de Europa en 2001, que en su redacción original incluyó 9 delitos, que luego de la aprobación del Protocolo Adicional, agregó figuras delictivas relacionadas con el racismo y xenofobia. El Convenio de Budapest cumplirá 20 años de su aprobación en noviembre de 2021, pero no ha tenido la aceptación global que pudiera esperarse. A nivel latinoamericano diversos países aún no toman en serio el tema, lo que es aún más crítico para Centroamérica. En Febrero de 2020, el Instituto Panameño de Derecho y Nuevas Tecnologías –IPANDETEC– publicó el documento titulado Centroamérica Segura, en el que concluye que después de analizar detalladamente la situación de ciberseguridad en la región de Centroamérica y República Dominicana, llegamos a la conclusión que nos encontramos ante un subcontinente muy inmaduro en materia de ciberseguridad.

A raíz de la pandemia del COVID-19, los ciberataques han reflejado un crecimiento exponencial, afectando a millones de usuarios alrededor del mundo. También se han registrado y documentado cientos de ataques a sectores comerciales, gubernamentales y educativos, que han representado perdidas de miles de millones de dolares, tanto por los daños a la infraestuctura, equipo e información de las víctimas, como por los pagos que han recibido los atacantes en los casos de Ransomware.

El borrador presentado por Rusia, es resultado de un esfuerzo multilateral de varios países. Desde octubre del año 2019 la Asamblea General de las Naciones Unidas aprobó la resolución con la que se decició establecer un comité intergubernamental especial de expertos de composición abierta, representativo de todas las regiones, a fin de elaborar una convención internacional integral sobre la lucha contra la utilización de las tecnologías de la información y las comunicaciones con fines delictivos. La resolución fué redactada por Rusia, China, Corea del Norte, Nicaragua y Venezuela. El proyecto es resultado del informe presentado en julio de 2019, que recoge la opinión de los Estados Miembros sobre los problemas que enfrentan en la lucha contra la ciberdelincuencia. La opinión de Guatemala no figura en dicho informe.

Desde que se dió a conocer el interés de Rusia, China y sus países aliados sobre un estándard internacional en materia de cibercrimen, diversos países y organizaciones defensoras de los Derechos Humanos han manifestado serias preocupaciones. La crítica se centra en la concepción amplia de cibercrimen incluida en el borrador, ya que además de abordar los constantes y dañinos ataques ciberneticos a infraestructuras críticas y empresas multinacionales, también incluye una intromisión preocupante y peligrosa en los Derechos Fundamentales de los ciudadanos. Un tema recurrente es la postura represiva en contra del cifrado, que limita la intromisión de terceros en las telecomunicaciones, entre ellos los propios gobiernos.

La presentación del tratado ocurre en medio de un vaiven de tensiones y pláticas entre Estados Unidos y Rusia, derivado de ataques cibernéticos a grandes corporaciones norteamericanas, donde se ha identificado grupos organizados rusos y chinos. También se ha identificado actividad de vigilancia digital por parte de Agencias Nacionales rusas. A nivel político Rusia ha proyectado una imágen muy conciliadora. En septiembre de 2020 el presidente ruso Vladímir Puttin, propuso a Estados Unidos un programa para restaurar la cooperación en el campo de la seguridad, en el uso de las tecnoloǵias de la información y la comunicación, con el objetivo de evitar una confrontación a gran escala en el campo digital. La propuesta se basa en cuatro aspectos:

  • Restaurar el dialogo bilateral
  • Mantener de forma continua y eficiente los canales de comunicación
  • Desarrollar un acuerdo bilateral de prevención de ciberincidentes
  • Garantizar la no intervención extranjera –mediante tecnología– en asuntos internos, incluidos los procesos electorales.

Aunque su discusión tomará al menos un par de años más, la posible aprobación de un tratado en materia de ciberdelitos a nivel mundial es un evento muy importante. El Derecho Informático parece estar tocando a las puertas de la casa grande, lo que podría representar un vehículo muy apropiado para su incorporación a todos los Estados Miembros de las Naciones Unidas.

Bibliografía

bookmark_borderRobocalls: el imparable problema del spam teléfonico

Reading Time: 3 minutes

Las llamadas automáticas pregrabadas –Robocalls-, han sido utilizadas por un buen tiempo como una forma eficiente de llegar a los clientes. Han sido utilizadas en áreas de Marketing y también para fines políticos, llegando en muchas ocasiones a ser un verdadero dolor de cabeza para los usuarios. En el año 2019, en el Mobile World Congress se dió a conocer que el crecimiento de este tipo de llamadas habia crecido un 325 a nivel mundial, con una cifra estimada de 85 mil millones de registros. Desde el año 2017 la Alliance for Telecommunications Industry Solutions -ATIS- y la Federal Communications Commission -FCC- permiten a los operadores tomar medidas para frenar este tipo de llamadas, lo que dio vida a un campo de desarrollo de soluciones diversas.

El crecimiento de incidentes es impactante, derivado de la pandemia COVID 19 inicialmente parecia ir en disminución, sin embargo la industria logro una adaptación interesante, la situación empeoró a nivel global y las autoridades ven con procupación los peligros que representa para los usuarios. Algunos datos estadísticos interesantes:

  • Mundialmente (2019): 26 billones de usuarios afectados entre enero y octubre
  • Mundialmente (2020): 31.3 billones de usuarios afectados entre enero y octubre
  • Europa (2020): varios países aparecieron por primera vez en el top 20 de este tipo spam
  • Brazil (2020): los usuarios recibieron 50 llamadas mensuales, el mayor número por país
  • Estados Unidos (2021): en febrero se registraron 4.6 billones de llamadas

En 2019, durante la administración de Donald Trump se promulgo el Telephone Robocall Abuse Criminal Enforcement and Deterrence Act -TRACED Act-, una ley que impone penas de decomiso por violar la prohibicion de cierto tipo de llamadas automatizadas, sean estos actos intencionales o no. Tambien requiere a los proveedores desarrollar tecnologías de identificación de llamadas, a fin de evitar el spoofing telefónico, confirmando la autenticidad de las lineas involucradas mediante el ID del emisor de la comunicación. La norma tambi{en requiere que la Federal Communications Commission -FCC- a crear reglas, politicas y procedimientos para proteger a los individuos de las llamadas fraudalentas, incluyendo también mensajes de texto desde numeros no autenticados. El TRACED Act constituye un avance a un tema resagado por muchas decadas, ya que es una enmienda al Communications Act de 1934.

En marzo de 2021, la FCC dió a conocer sobre la multa de 225 millones de dolares, impuesta a una compañia de telemarketing ubicada en Texas. Es la multa más larga en la historia de la FCC, impuesta por transmitir apróximadamente un billon de llamadas fraudalentes, para vender planes de seguros de salud, suplantando la identidad de compañias de seguros de renombre. El dueño de la compañía admitió haber realizado millones de llamadas diaras durante el primer semestre del 2019, a sabiendas que se realizaban a consumidores que expresamente indicaron no autorizar recibirlas. Las llamadas fraudulentas relacionadas con servicios de seguros de salud se han visto incrementadas desde el año 2018. Como parte de los esfuerzos para detener este tipo de llamadas, el 30 de junio venció el plazo para implementar el protocolo Stir –secure telephone identity revisited- /Shaken –signature-based handling of assesrted information using tokens-. Los mayores proveedores de servicios de vos en Estados Unidos, como AT&T, Verizon y T-Mobile deben implementar dicha tecnología en la que las llamadas pueden ser rastraedas para mitigar las que sean consideradas fraudulentas.

Las llamadas automáticas pregrabadas difilmente desapareceran, seguramente surgiran nuevas modalidades de este tipo de spam.

Bibliografía

bookmark_borderEvidencia Digital: Un producto de la informática forense

Reading Time: 4 minutes

En el artículo del 18 de septiembre titulado Informática Forense, se mencionó  el proceso de adquirir, preservar, obtener y presentar evidencia digital, actividad que tiene como objetivo garantizar su integridad desde la propia escena del crimen hasta el momento en que ha de ser puesta a disposición de quienes decidiran si es una evidencia relevante. En el campo jurídico, la prueba constituye  el medio que otorga a los jueces la convición sobre los hechos que interesan en juicio, sin éste requisito resulta impensable una adecuada administración de justicia. En la actualidad muchos acuerdos, negocios y contrataciones laborales se realizan de forma digital, utilizando el correo electrónico y una diversidad de redes sociales, existiendo además los denominados delitos informáticos,  considerados como una evolución de las forma de delinquir, que incluye delitos tradicionales realizados por vías informáticas y una creciente y preocupante aparición de nuevos actos ilíticos.

El experto en crímenes informáticos Ajoy Ghosh define la evidencia digital como “Cualquier información, que sujeta a una intervención humana u otra semejante, ha sido extraída de un medio informático”.  Aunque la obtención de cualquier medio de prueba no es sencillo, la  evidencia digital requiere un manejo diferente.  A diferencia de la física, la información digital posee dos características interesantes

  • Facil de copiar, es posible generar copias identicas sin dejar rastro, lo que dificulta establecer diferencias entre original y duplicado. Ésta facilidad de duplicidad permite que el procesamiento de la evidencia digital no se utilice la información original, para ello se realizan duplicados mediante procedimientos que garantizan su integridad bit a bit, utilizando programas especializados  en informática forense. Existen también programas para verificar que una aparente copia identica no coincide con la original.
  • Inborrable, la información digital es muy dificil de borrar, no importa que los usuarios e inclusive expertos en computación intenten eliminar registros informáticos, es posible su recuperación. Cuando la información se encuentra o transita por Internet –sitios web, correo electrónico, redes sociales- las posibilidades de eliminarla son aún más remotas.

Es importante advertir que la evidencia digital, no es lo mismo que  evidencia electrónicaque constituye el elemento material o físico en un sistema informático, es decir, el hardware en que se almacena o por el que se transmite la información, por ejemplo, no se debe confundir el teléfono celular –evidencia electrónica-  con el mensaje de texto mediante el cual se concreta un negocio o se recibe una extorción –evidencia digital-, sin embargo, ambos elementos son parte del proceso. El reconocimiento adecuado de la evidencia digital, implica también establecer que rol juega dentro del iter criminis,  logrando identificar que:

  • Es un delito en si misma, por ejemplo si se trata de una copia no autorizada de software o información confidencial.
  • Es un instrumento, por ejemplo el software malicioso que puede dañar sistemas informáticos o recopiliar información no autorizada.
  • Es evidencia en la comisión de otros delitos, sean estos informáticos o no, por ejemplo los registros de acceso no autorizado a sistemas informáticos.

Es la interacción de los usuarios con los sistemas informáticos lo que produce los registros que contienen la evidencia digital, los cuales se clasifican de la siguiente manera:

  • Registros almacenados en computadorque constituye la información generada por los usuarios, tal es el caso de documentos, fotografías, mensajes, etc. En estos registros es importante determinar el autor, la fecha de creación o modificación. Es util también establecer la fuente u origen, situación que se da cuando es a través de una red local o remota, donde un documento de word almacenado en un servidor en Estados Unidos pudo ser creado por un usuario desde Singapur, Australia o Alemania. La interconectividad hoy permite que adicional a la creación remota de registros, está pueda realizarse através de computadoras personales, laptos, tablets, teléfonos y hásta consolas de juego o televisores inteligentes.
  • Registros generados por computador, que no son generados por los usuarios, sino por las computadoras en los que se lleva el registro de eventos de usuario o logs. Los registros generados por computador pueden contener una cantidad extensa  de información sobre la actividad de los usuarios, lo que permite identificar con precisión cada una de las acciones realizadas en los sitemas informáticos involucrados, constituyendo un rastro inborrable de cada elemento utilizado por los usuarios, que se relaciona con el famoso principio forense de Transferencia o Intercambio de Locard, el cual implica que “cada contacto deja un rastro“, el cual se aplica también al ámbito informático.
  • Registros híbridos, que combinan los dos anteriores, es decir, contienen registros almacenados en computador por los usuarios y generados por computador.

Los retos que representa el manejo de evidencia digital son complejos, uno de los más críticos es la cantidad de información que puede llegar a necesitar evaluarse, un volúmen muy extenso de registros causa en principio problemas de almacenamiento y toma un tiempo considerable para lograr algun resultado positivo. Existe tambien  la cadena de custodia que implica la capacidad de identificar quien ha tenido acceso a los registros en cualquier momento, desde la recolección inicial hasta la presentación de la evidencia.  Las deficiencias en la cadena de custodia constituyen un mecanismo efectivo para desacreditar la incorporación de evidencia en procesos judiciales.

La evidencia digital como producto de la informática forense, garantiza la integridad y relevancia de los elementos que resolveran conflictos surgidos desde  las nuevas tecnologías de la información, superando además las limitaciones que la prueba documental o testimonial padecen al no coincidir necesariamente con la realidad. Es común que los documentos –aún redactados con calidad de declaración jurada o respaldados con la fé pública notarial-,  contengan información falsa o que las declaraciones de supuestos testigos –aunque sin intención de mentir-, se refieran a situaciones o hechos distintos a los que realmente sucedieron. Los registros digitales, mediante el uso de técnicas apropiadas, permiten una reconstrucción de hechos con menor riesgo a equivocaciones, lo cual mejora sustancialmente los resultados en el proceso de averiguación de la verdad.

La cantidad de evidencia digital que se produce día a día con los millones de interacciones de usuarios es increible, constituye  la huella de sus actividades cotidianas, que contiene el momento, lugar y dispositivos desde donde se realizan, información que sin lugar a dudas forma parte ya de extensas bases de datos.

Bibliografía

bookmark_borderEl Delito Informático: La conducta criminal en el mundo digital

Reading Time: 4 minutes

En octubre de 2016, a nivel mundial muchos usuarios de internet vivieron una mala experiencia al no poder conectarse a redes sociales como Facebook, Twitter y otros servicios importantes mediante páginas web y medios de pago electrónico. Lo curioso del caso es que ninguna plataforma afectada estuvo fuera de servicio, lo que sucedió es que Internet fue víctima de un ciberataque de grandes proporciones, mediante lo que se conoce como Ataque de Denegación de Servicios Distribuido –DDos -, el cual consiste en la generación de flujo de información de diversos puntos, saturando la capacidad de tráfico de uno o varios servidores, generando inestabilidad y lentitud en los servicios que presta.

El ataque ocurrido fue contra la empresa Dynamic Network Servies, Inc. –Dyn-, la mayor proveedora de Servidores de Nombre de Dominio –DNS, mediante los cuales se asegura que una solicitud de conexión a un servicio o página web tome la ruta correcta, pero el ataque bloqueo o deshabilito el acceso a esta información, haciendo que las conexiones de los usuarios jamás llegaran a su destino. Una forma sencilla de entender este tipo de ataques es imaginar que estamos en una ciudad por primera vez y no tenemos un mapa o persona que nos guíe  como llegar a los lugares que deseamos visitar. La empresa Dyn reportó que el incidente fue controlado, adicionalmente El FBI y el Departamento de Seguridad Nacional de los Estados Unidos –DHS investigaron el ataque, debido a la preocupación por la fragilidad del Internet ante eventos similares, que son cada vez más sofisticados y con efectos a mayor escala.

El ataque descrito es tan sólo uno de los llamados delitos informáticos. Actualmente se disfruta de una mejora constante en muchas de nuestras actividades y calidad de vida gracias a la tecnología, pero también es posible que su utilización sea con el fin de generar daño a las personas, con la capacidad de realizarse a gran escala y con mucha eficiencia, irónicamente,  gracias a la misma tecnología. La interacción social genera grandes beneficios a los miembros de la sociedad, pero existen también conductas antisociales que ponen en peligro los valores sobre los que descansa la convivencia humana pacífica.

El Derecho Penal provee –en su parte sustantiva– la regulación sobre los delitos y las penas, lo que garantiza a las personas que el poder punitivo del Estado se realizará siempre bajo una ley vigente, en otras palabras, para que una conducta sea calificada como delito, debe estar definida en la ley con anterioridad a su realización, de forma clara, precisa y sin referencias a situaciones semejantes o análogas. Un delito informático se refiere a una acción criminal o delictiva en la que la tecnología es utilizada para su consumación, pero para el Derecho Penal esto no es suficiente. Algunos juristas señalan que el término Delito Informático no es correcto, ya que se refiere a una pluralidad de modalidades delictivas vinculadas con la informática, por tal motivo se debe utilizar en plural, es decir, Delitos Informáticos.  Existen ademas otros aspectos a considerar, de los cuales mencionamos algunos de los mas relevantes:

  • Delito informático como medio o como fin. En la comisión de un delito informático debe diferenciarse si la tecnología fué utilizada como medio o como fín. Es un medio si la tecnología fue el método para cometer otro delito, que puede o no ser informático, tal es el caso de la falsificación de documentos mediante computadora o la sustracción de información confidencial almacenada en un sistema informático. Es un fin cuando el objetivo es dañar un sistema informático o alguno de sus componentes, el ejemplo más conocido es el caso de los virus o programas que bloquean el funcionamiento normal de un sistema.
  • Tiempo y espacio. Los delitos informáticos trascienden fronteras, ya que las delimitaciones geográficas no son un obstáculo, lo que representa una dificultad seria para el principio de territoralidad.  El escenario donde se realizan muchas conductas criminales es conocido como Ciberespacio, un lugar donde no existen fronteras. También es posible que el daño sea programado con un efecto retardado, condicionado a una fecha o un evento que puede ser provocado por la misma víctima, lo cual dificulta ubicar al posible delincuente en el momento en que sucede el delito.
  • Un nuevo bien jurídico tutelado. Existe en la doctrina la idea de que la Sociedad de la Información requiere la incorporación de los valores inmateriales, como la información, como un bien jurídico que necesita de protección, de esa forma se puede decir que es la protección de la información el bien jurídico que se busca proteger mediante la regulación de los delitos informáticos, con la salvedad de que esta información esta considerada de diferentes formas, así puede concebirse como un valor económico o  como un valor intrínseco de la persona.
  • De dificil comprobación. Comprobar quien, donde, cuando y de que forma fué cometido un delito informático no es fácil, situación que se relaciona con la la Informática Forense y la Evidencia Digital. En su momento se le denomó un delito de cuello blanco, por la especialización requerida para su perpetración.
  • Vulnerabilidad de los usuarios. Muchos de los delitos cometidos por los ciberdelincuentes se deben a descuidos de las propias víctimas, al no estar conscientes de los riesgos que corren por compartir su información personal, de trabajo y de terceros en páginas web, redes sociales y plataformas de pago. Muchos usuarios piensan que los ataques informáticos solo suceden en las películas, sin percatarse que gran cantidad de sistemas de redes en universidades y centros de trabajo son atacados a diario. Esta situación hace necesario considerar dentro de las políticas de combate a los delitos informáticos, la educación a los usuarios en el uso de las nuevas tecnologías y los peligros que representa.

Los sistemas jurídicos enfrentan un reto importante ante las conductas criminales que surgen del uso y del abuso de la actividad de las personas en la informática, que día a día va tomando importancia en los sectores empresariales, académicos y gubernamentales. El Delito Informático es uno de los muchos aspectos que deberán afrontar los sistemas jurídicos del mundo. Es necesario que desde lo jurídico se aborden estos temas y se comprendan apropiadamente, previo a desarrollar instrumentos legales que provean a la sociedad de mecanismos actualizados para afrontar una realidad tan cambiante y dinámica, donde mucha interacción social se realiza de manera distinta a la del mundo físico.

Bibliografia