Conócenos

Ciberdelitos

Especial enfasis de ataques cibernéticos durante la crisis económica.

Por D. Juan de Dios Meseguer González

Parte tres (de cinco) de la Tribuna: Los nuevos "modi operandi" de los ciberdelincuentes durante la crisis económica

  • Imprimir

Ya lo decían diversos medios de comunicación, entre ellos RTVE, que el ciberdelito aumentaría durante la crisis económica. Y es más, se consideran infravalorados sus efectos, siendo curioso este hecho, si atendemos que cada día aparecen más de 70.000 nuevas muestras de software malicioso.

Para establecer de manera coherente unas estrategias tanto policiales, informáticas como legales, es preciso preguntarse ¿Ante quién o que nos enfrentamos? Nuestra prevención, se extiende más allá de las propias recomendaciones que a nivel de usuario nos corresponde garantizar.

En realidad quién ataca ya no es una persona concreta a la que podamos localizar en un ordenador. Lo difícil de rastrear del ciberdelincuente, es que actúa desde el anonimato, enmascarado a través de un software: virus o programa malicioso: malware[1], que será quién produzca los efectos deseados por su creador y que se ve favorecido por poder actuar a través de cualquier parte del mundo a través de cualquier medio conectado a internet, que estudia las distintas vulnerabilidades (bug ‘s) de los sistemas informáticos para tras descubiertas las mismas, producir un ataque.

Tradicionalmente, muchas de las características mencionadas, han respondido a lo que conocemos como hackers, pero en realidad cualquiera con conocimientos de informática y movido por el ansia del dinero, puede prestar su ciencia a empresas de seguridad o emplearla, para beneficio propio. Lo también preocupante, es que el perfil de estos Black hats[2] (hackers de sombrero negro), que yo denomino “genios negros”, responde cada vez más, a jóvenes, en muchos casos menores de edad, lo que en este último caso aún perjudica el contraataque, porque la responsabilidad penal de los menores (en el caso de España), se exige a las personas mayores de catorce años y menores de dieciocho por la comisión de hechos tipificados como delitos o faltas en el Código Penal o en las leyes penales especiales. ¿Pero que ocurre cuando son menores de las edades indicadas y la gravedad de los ciberdelitos atenta seriamente a la sociedad?

Las redes son cada vez más convergentes y prestan mayores servicios, pero también aumenta su vulnerabilidad, por lo que se hace imprescindible el desarrollo de una correcta política de seguridad en la Red. Es necesario, por tanto, concienciar al legislador de la importancia de regular unos códigos penales que permitan tratar estos fenómenos con la actualidad que se merecen.

Es evidente que la tecnología se ha desarrollado a unos pasos mucho más agigantados que los sistemas legislativos pueden contemplar, que han obligado a los países ha tener que cambiar rápidamente la mentalidad frente a la aparición de las nuevas tecnologías y esto ha provocado, que se imponga la digitalización y la informatización, en todos los sectores.

Evidentemente, lo que beneficia a estos tipos de delincuentes, es que la informática no esté plenamente controlada por los Estados. Si a esto le añadimos, que en la época de crisis que atravesamos, se están viendo recortes que afectan a todos los sectores, no lo es menos en el área de la seguridad de los sistemas informáticos. La verdad es que sin ánimo de causar alarmismos innecesarios, defendemos que una central nuclear, puede estar menos protegida que un ordenador doméstico, aunque el riesgo de que se introduzca un virus en el ordenador que controla el núcleo principal de la central, como se puede uno imaginar, es bastante más alarmante, por las consecuencias que ello conlleva.

Sólo hay que navegar por internet y observar las noticias que se van generando, para comprender el alcance de las mismas[3]:

 

Pero en este período global de recesión económica, no sólo la seguridad se ve afectada, sino que proliferan los fraudes precisamente entre quienes buscan ofertas de trabajo. En este sentido, basta con un e-mail de un remitente desconocido que ofrece una oferta laboral sin precedentes, prometiendo un gran sueldo, aunque el objetivo es conseguir que los que caigan en el engaño, realicen transferencias bancarias con las que blanquear dinero. A esta nuevo modus operandi, se le denomina “Scammers”.

Esta situación ha supuesto un incremento en la cantidad de otros tipos de malware, como el adware, que en circunstancias normales serían secundarios con respecto a los troyanos bancarios.

Por ejemplo, se ha observado un incremento importante en el número de estafas con falsos programas antivirus que engañan a los usuarios para que realicen compras online de estos productos, en lugar de ataques de phishing para robar datos bancarios.

Estos son algunos de los datos clave descubiertos por PandaLabs[4]:

-De media, el mercado de valores norteamericano sufrió una caída del 3 al 7 por ciento entre el 1 de septiembre y el 9 de octubre. Sin embargo, ocurrió todo lo contrario en el "mercado del malware": creció de manera substancial mientras caía la bolsa.

-Entre el 5 y el 16 de septiembre, los índices Dow Jones, ASDAQ, S&P 500 y Composite cayeron desde un porcentaje del 0.0 a un porcentaje negativo de -3.0 e incluso inferior. En ese mismo período el IBEX 35 español y el FTSE 100 londinense sufrieron también una importante caída. Sin embargo, durante ese mismo período de tiempo se produjo un aumento significativo en el número de amenazas diarias; por ejemplo, del 8 al 10 de septiembre, el volumen de amenazas diarias creció de 10.150 a más de 24.000.

-Del 14 al 16 de septiembre, los mercados de valores cayeron desde un porcentaje de -0.5 a -5.5 mientras que las amenazas diarias aumentaban en un 50 por ciento cada día, de 8.276 el día 14 a más de 31.404 el día 16-

En Rusia se ofrece abiertamente la venta de Botnets[5] o su alquiler, de manera que cuando se ejecuta una acción coordinada desde diversos ordenadores situados en diferentes partes del mundo, puede suponer un ataque informático a gran escala de envío masivo de publicidad no deseada o basura (spam) o cualquier otra acción con graves perjuicios económicos, siendo Android una plataforma móvil muy vulnerable.

Lo que se deduce de estos peligros, es por una parte, un negocio en crecimiento muy bien remunerado y un perjuicio para quienes lo sufren, dada la dispersión geográfica de los ordenadores que componen el ataque, es casi imposible encontrar un patrón de las máquinas que te están atacando y dado el alto número de ellas que lo estarán haciendo simultáneamente, no se puede evitar, porque no existe una solución real que funcione con efectividad.

Otros modi operandi[6], como novedades de este periodo, son:

-Citas online fraudulentas: igual que el virus “I Love You”, las citas online fraudulentas tocan la fibra sensible de las víctimas para acometer su propósito. La típica estafa online de citas comienza cuando el estafador publica una foto atractiva en un sitio de citas en Internet. A continuación, el estafador envía mensajes a otros miembros del sitio web expresando su interés. El siguiente paso es iniciar una conversación personal con las víctimas, normalmente a través del correo electrónico o mensajes instantáneos, en los que los ciberdelincuentes cuentan una triste historia, creando una relación personal para pedir dinero, bienes u otros favores.

-Fraude nigeriano: Este timo, también conocido como el “fraude de pago por adelantado”, por lo general consiste en un mensaje de correo electrónico no deseado de un extranjero que necesita ayuda para retirar millones de dólares de su país y ofrece al destinatario un porcentaje de su fortuna por ayudarle en la transferencia. Por desgracia, a pesar de que este timo es demasiado bueno para ser verdad, muchos de los destinatarios han picado y han perdido varios miles de dólares en el proceso, porque los ciberdelincuentes solicitan varios pagos por adelantado para facilitar el trato.

Ahora bien, para establecer una metodología que nos permita combatir los fenómenos estudiados, pasa por conocer nuestro sistema punitivo. De hecho, el caso particular español, no ayuda precisamente en este combate, dado el “Código Penal español en su Ley Orgánica 10/1995, de 23 de noviembre, no contempla ni define los delitos informáticos como tales”, debiendo acudir a otras normativas y definiciones. En la Ley Orgánica 5/2010, de 22 de junio, por la que se modifica la Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, tampoco lo define expresamente, si bien se refiere dentro del 248.2 a las manipulaciones informáticas, dentro de la SECCIÓN I “De las estafas”.

Existen otros artículos, bajo otros títulos y capítulos del CP, en base a los cuáles podríamos hablar de las consecuencias que produce el fenómeno del delito informático, pero que en ningún caso aparecen como pertenecientes a una clasificación de estos. Así, encontramos, artículos del CP: 197, 278, 189, 186, 205, 206, 208, 209, 211, 263, 234, 237, 238, 239, 255, 623, 256, 270, 273, 282, 390 y  395, bajo los que los tribunales atribuyen los delitos por actos informáticos.

Ni siquiera, en la reforma que se pretende por el gobierno actual, se plantea un reforzamiento del código penal que trate el delito informático, como así se requiere, porque las modificaciones consisten en introducir un nuevo delito consistente en la “difusión de mensajes a través de las redes sociales” que inciten a alteraciones de orden público. Estará castigado con entre 3 meses y 1 año de cárcel, aunque también podrá ser sancionado con multa. Incluso, se prevee que se castigarán la difusión de “vídeos íntimos por la red y sin permiso”.

El nuevo delito no especificará los canales de difusión de esos mensajes de incitación a la violencia, pero incluirá Twitter, Facebook, WhatsApp o cualquier otra red social o de comunicación en general. Ahora bien, ¿a los efectos de combatir estos fenómenos delictivos resulta eficaz esta reforma en la parta que nos afecta según nuestro estudio? Evidentemente no, porque quizás se eviten las calumnias o las enjurias, pero no las principales figuras delictivas.

Llegados a este punto, creemos que ya se entiende que sea precisa una coordinación de los distintos sistemas nacionales e internacionales, tanto policiales, penales, como judiciales, para que resulte efectiva, cualquier medida encaminada a frenar la escalada de delitos informáticos. Sin esta estrecha colaboración, nuestra seguridad quedará en entredicho, porque cualquier análisis actual, sin las debidas garantías de cumplimiento por parte de los estados, solo facilitará más las actuaciones de estos nuevos ciberdelincuentes o cibercriminales, según los casos.

Esta Tribuna forma parte de Los nuevos "modi operandi" de los ciberdelincuentes durante la crisis económica, compuesta por:


[1] Eddy Willems, experto en seguridad: "La forma principal de evitar el malware es educar al usuario"

[2] Hackers de sombrero negro: Se le llama hacker de sombrero negro a aquel que penetra la seguridad de sistemas para obtener una ganancia personal o simplemente por malicia. La clasificación proviene de la identificación de villanos en las películas antiguas del vejo oeste, que usaban típicamente sombreros negros; Hackers de sombrero blanco: Se le llama hacker de sombrero blanco a aquel que penetra la seguridad de sistemas para encontrar puntos vulnerables. La clasificación proviene de la identificación de héroes en las películas antiguas del viejo oeste, que usaban típicamente sombreros blancos; Hackers de sombrero gris: Como el nombre sugiere, se le llama hacker de sombrero gris a aquel que es una combinación de sombrero blanco con sombrero negro, dicho en otras palabras: que tiene ética ambigua. Pudiera tratarse de individuos que buscan vulnerabilidades en sistemas y redes, con el fin de luego ofrecer sus servicios para repararlas bajo contrato; Script kiddies: Se les denomina script kiddies a los hackers que usan programas escritos por otros para lograr acceder a redes de computadoras, y que tienen muy poco conocimiento sobre lo que está pasando internamente.

[3] PandaLabs, el laboratorio de análisis y detección de malware de Panda Security, ha emitido una alerta de seguridad que revela una relación directa entre la reciente volatilidad del mercado bursátil y el aumento en la aparición de nuevas amenazas.

[5] Botnet es un término que hace referencia a un conjunto de robots informáticos o bots, que se ejecutan de manera autónoma y automática, para controlar todos los ordenadores y servidores, que infectados de forma remota enviando spam (correo basura) y que se venden normalmente a los spammers.

[6] Informe de Mcafee. Una gran década para el cibercrimen.

Lefebvre - EL Derecho no comparte necesariamente ni se responsabiliza de las opiniones expresadas por los autores o colaboradores de esta publicación

Widgets Magazine

Comentarios jurisprudenciales

CASE STUDY & MASTER CLASS

LOPD EN DESPACHOS DE ABOGADOS

  • Caso práctico: absorción o adquisición del despacho por otra entidad

    Tanto el despacho como persona jurídica, como los integrantes del mismo, los terceros a los que se ceden esos datos, y aquellos que prestan servicios al despacho y tienen acceso a datos de carácter personal, están obligados al secreto y al deber de guardar esos datos, 

  • Caso práctico: Lexnet

    El consentimiento para la comunicación de los datos de carácter personal a un tercero será nulo cuando la información que se facilite al interesado no le permita conocer la finalidad a que se destinarán los datos cuya comunicación se autoriza, o el tipo de actividad de aquel a quien se pretenden comunicar.

  • Caso práctico: almacenamiento de información

    Como decimoctava entrega de la serie de artículos sobre protección de datos personales en los bufetes de abogados, hoy les mostraré un caso práctico sobre almacenamiento de información personal y las ventajas del despacho digital.

ebook gratuito

ENTREVISTAS

GESTIÓN DE DESPACHOS

  • ¿Por qué es importante implementar el marketing en una empresa de servicios jurídicos?

    Hoy en día, el mercado legal está inmerso en una etapa de dinamismo que se está llevando a cabo a través de numerosas integraciones y/o fusiones entre despachos de diferente perfil que lo que buscan es crear una marca más sólida con la que poder prestar un servicio más completo a sus clientes.

  • La web y el blog, primeras piedras del camino hacia el posicionamiento SEO

    ¿Recuerdas cuando captar clientes se reducía al ‘boca a oreja’ y al prestigio del despacho? ¿Todo iba mucho más rodado, ¿verdad? ¿Cuál es el motivo por el que ahora ya no es tan fácil? Muy sencillo: se ha constituido un nuevo canal de captación que aún tiene mucho potencial: internet, la web y Google, el mayor canal de información y búsqueda de contenidos de España.

REDES SOCIALES & ABOGADOS

  • Internet y Redes Sociales para despachos de abogados: una exigencia necesaria

    ¿Por qué es importante que los despachos de abogados entren en la dinámica de las redes sociales e Internet? ¿Cómo puede afectar a un bufete el estar o no en el mundo digital? ¿Qué es lo que quieren tus futuros clientes de su abogado? El mundo se ha digitalizado y los abogados no pueden quedarse atrás.

COLABORA CON NOSOTROS

Colabora

Envianos un artículo sobre nuevas tecnologías aplicadas al ámbito jurídico

Colaborar

Enviar Artículo

He leído y acepto las condiciones de la Política de Privacidad y el Aviso Legal

(*) Campos obligatorios

Pablo García Mexía

Abogado, Cofundador de Syntagma, Centro de estudios estratégicos.

1

Carlos Pérez Sanz

Socio del área de Information Technology y Compliance de ECIJA.

1

Raúl Rubio

Partner, Information Technology & Communications Baker & McKenzie

1

Nace Alastria, la primera red nacional de blockchain del mundo con presencia del sector jurídico

Cerca de 70 instituciones y empresas de sectores como la banca, la energía y las telecomunicaciones, entre otros, han constituido el consorcio sin ánimo de lucro Alastria, la primera red nacional regulada basada en blockchain del mundo, que tiene como objetivo el desarrollo del ecosistema de esta tecnología en España.

feedburner

Reciba LAW & TIC de forma gratuita.

Atención al cliente: De lunes a viernes de 8:30 a 20:00 horas ininterrumpidamente. Tel 91 210 80 00 - 902 44 33 55 Fax. 915 78 16 17