Derecho Informático - Delitos Informáticos

INTRODUCCIÓN

Breve Introducción al tema de los Delitos Informáticos en Colombia

Colombia es un país pionero en materia de tipificación de delitos informáticos, prueba de ello es la ley  1273 de  2009, la cual da vida a un nuevo bien Jurídico, denominado: “De la Protección de la información y de los datos”, además, clarifica temas como el fraude cibernético, suplantación de identidad entre otros, pero sobre todo, tipifica algunos delitos informáticos que en otros países no lo están, como por ejemplo: <<La negación del servicio>>, acto que se explicará posteriormente.   

Este país ha logrado dichos avances en esta materia a partir de que entendió para qué puede servir la investigación digital, precisamente a partir de lo sucedido con los computadores de <<Raúl Reyes>>, es decir, se ha vislumbrado o concienciado, de que a partir de un computador o sistema informático, se puede recuperar información, la cual puede ser utilizada para investigar un caso en particular, cosa que no es tratada ni regulada en otros en otros países. Hecho que ha dado nacimiento  a la <<Informática o Computo Forense>>  como ciencia a estudiar y desarrollar en nuestro territorio.


Para efecto de analizar las conductas típicas contempladas en la presente Ley, han de entenderse los términos aquí empleados de la siguiente manera:

• DELITO INFORMÁTICO: Los Delitos Informáticos son las conductas  típicas, antijurídicas y culpables cometidas utilizando como medio algún soporte como instrumento o fin.
• SISTEMA INFORMÁTICO: Es todo dispositivo aislado o conjunto de dispositivos interconectados o relacionados entre sí siempre que uno o varios de ellos permitan el tratamiento automatizado de datos en ejecución de un programa de ordenador.
• DATOS INFORMÁTICOS: Cualquier representación de hechos, información o conceptos de una forma que permita el tratamiento informático , incluido un programa diseñado para que un sistema informático ejecute una función.
• DATO PERSONAL: Todo dato que permita la identificación e individualización de una persona natural y que sea susceptible de tratamiento informático.
• SISTEMA DE AUTENTICACIÓN: Cualquier procedimiento que se utilice  para identificar de manera unívoca a un usuario de un sistema informático.
• SISTEMA DE AUTORIZACIÓN: Cualquier procedimiento que se utilice para verificar que un usuario identificado está autorizado para realizar determinadas acciones.

- - - - - - - -     - - - - - - - -  
LA INFORMÁTICA Y LAS CONDUCTAS DELICTIVAS

¿Cuáles son los más DELITOS INFORMÁTICOS más comunes en Colombia?

Si hablamos de delitos informáticos en Colombia, la lista la encabeza el robo de secretos industriales o de derechos de autor, la difamación, el espionaje industrial y, en general, todo el tema de fraude corporativo.

A diferencia de lo que piensa la mayoría de la gente, los Crackers, personas que desde afuera vulneran los sistemas informáticos, tal y como lo haría un hacker, representan el nivel más bajo de esta actividad delictiva, con menos del 5%. Porque realmente el enemigo está dentro de las misma organizaciones, es decir, generalmente, los empleados son los que roban la información, la comparten, la dañan, y no las personas externas a la empresas. Un caso común es el de un ejecutivo que se retira de una empresa y en una memoria USB o cualquier otro medio digital se lleva información confidencial a la competencia. Las pérdidas que esto genera pueden ir desde inversiones en sistemas de seguridad, hasta la cobertura de indemnizaciones, campañas de imagen, pérdida de competitividad, baja de acciones, etc.


¿Cuál o cuáles son las diferencias entre los Crackers y los Hackers?

• Hackers: Los Hackers pueden definirse como gente apasionada por la seguridad informática. Esto principalmente en lo concerniente a entradas remotas no autorizadas por medio de redes de comunicación, generalmente para demostrar la baja seguridad de las mismas o de un sistema, o simplemente para demostrar que son capaces de hacerlo.
• Crackers: A diferencia de un Hacker, un cracker es alguien que viola la seguridad de un sistema informático de la misma forma como lo haría un hacker, sólo que a diferencia de este último, el cracker realiza la intrusión con fines de beneficio personal o para hacer daño a su objetivo.

- - - - - - - -      - - - - - - - -  
RESPECTO DE LOS TIPOS PENALES CONSAGRADOS EN NUESTRA NORMATIVIDAD
En nuestra normatividad, los delitos informáticos están divididos en 2 clases:

1) De los atentados contra la confidencialidad, integridad y disponibilidad de los datos y de sistemas informáticos.

• Artículo 269A. ACCESO ABUSIVO A UN SISTEMA INFORMÁTICO. El que, sin autorización o por fuera de lo acordado, acceda en todo o en parte a un sistema informático protegido o no con una medida de seguridad, o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes.
• Artículo 269B. OBSTACULIZACIÓN ILEGÍTIMA DE SISTEMA INFORMÁTICO O RED DE TELECOMUNICACIÓN. El que, sin estar facultado para ello, impida u obstaculice el funcionamiento o el acceso normal a un sistema informático, a los datos informáticos allí contenidos, o a una red de telecomunicaciones, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes, siempre que la conducta no constituya delito sancionado con una pena mayor.
• Artículo 269C. INTERCEPTACIÓN DE DATOS INFORMÁTICOS. El que, sin orden judicial previa intercepte datos informáticos en su origen, destino o en el interior de un sistema informático, o las emisiones electromagnéticas provenientes de un sistema informático que los trasporte incurrirá en pena de prisión de treinta y seis (36) a setenta y dos (72) meses.
• Artículo 269D. DAÑO INFORMÁTICO. El que, sin estar facultado para ello, destruya, dañe, borre, deteriore, altere o suprima datos informáticos, o un sistema de tratamiento de información o sus partes o componentes lógicos, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes.
• Artículo 269E. USO DE SOFTWARE MALICIOSO. El que, sin estar facultado para ello, produzca, trafique, adquiera, distribuya, venda, envíe, introduzca o extraiga del territorio nacional software malicioso u otros programas de computación de efectos dañinos, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes.
• Artículo 269F. VIOLACIÓN DE DATOS PERSONALES. El que, sin estar facultado para ello, con provecho propio o de un tercero, obtenga, compile, sustraiga, ofrezca, venda, intercambie, envíe, compre, intercepte, divulgue, modifique p emplee códigos personales, datos personales contenidos en ficheros, archivos, bases de datos o medios semejantes, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes.
• Artículo 269G. SUPLANTACIÓN DE SITIOS WEB PARA CAPTURAR DATOS PERSONALES. El que con objeto ilícito y sin estar facultado para ello, diseñe, desarrolle, trafique, venda, ejecute, programe o envíe páginas electrónicas, enlaces o ventanas emergentes, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes, siempre que la conducta no constituya delito sancionado con pena más grave. En la misma sanción incurrirá el que modifique el sistema de resolución de nombres de dominio, de tal manera que haga entrar al usuario a una IP diferente en la creencia de que acceda a su banco o a otro sitio personal o de confianza, siempre que la conducta no constituya delito sancionado con pena más grave. la pena señalada en los dos incisos anteriores se agravará de una tercera parte a la mitad, si para consumarlo el agente ha reclutado víctimas en la cadena del delito.
• Artículo 269H. CIRCUNSTANCIAS DE AGRAVACIÓN PUNITIVA: Las penas imponible de acuerdo con los artículos descritos en este título, se aumentarán de la mitad a las tres cuartas partes si la conducta se cometiere: 1. Sobre redes o sistemas informáticos o de comunicaciones estatales u oficiales o del sector financiero, nacionales o extranjeros. 2. Por servidor público en ejercicio de sus funciones. 3. Aprovechando la confianza depositada por el poseedor de la información o por quien tuviere un vínculo contractual con este. 4. Revelando o dando a conocer el contenido de la información en perjuicio de otro. 5. Obteniendo provecho para si o para un tercero. 6. Con fines terroristas o generando riesgo para la seguridad o defensa nacional. 7. Utilizando como instrumento a un tercero de buena fe. 8. Si quien incurre en estas conductas es el responsable de la administración, manejo o control de dicha información, además se le impondrá hasta por tres años, la pena de inhabilitación para el ejercicio de profesión relacionada con sistemas de información procesada con equipos computacionales.

2) De los Atentados Informáticos y otras infracciones.

• Artículo 2691. HURTO POR MEDIOS INFORMÁTICOS Y SEMEJANTES. El que, superando medidas de seguridad informáticas, realice la conducta señalada en el artículo 239 manipulando un sistema informático, una red de sistema electrónico, telemático u otro medio semejante, o suplantando a un usuario ante los sistemas de autenticación y de autorización establecidos, incurrirá en las penas señaladas en el artículo 240 de este Código.
• Artículo 269J: TRANSFERENCIA NO CONSENTIDA DE ACTIVOS. El que, con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, consiga la transferencia no consentida de cualquier activo en perjuicio de un tercero, siempre que la conducta no constituya delito sancionado con pena más grave, incurrirá en pena de prisión de cuarenta y ocho (48) a ciento veinte (120) meses y en multa de 200 a 1500 salarios mínimos legales mensuales vigentes. La misma sanción se le impondrá a quien fabrique, introduzca, posea o facilite programa de computador destinado a la comisión del delito descrito en el inciso anterior, o de una estafa. Si la conducta descrita en los dos incisos anteriores tuviere una cuantía superior a 200 salarios mínimos legales mensuales, la sanción allí señalada se incrementará en la mitad.

- - - - - - - -      - - - - - - - -  
¿CÓMO SE PERPETRAN COMÚNMENTE DICHOS DELITOS INFORMÁTICOS?
1) Suplantación de sitios web para capturar datos personales - <<PHISING>>.

2) Obstaculización ilegítima de sistema informático o red de telecomunicación - <<LA NEGACIÓN DEL SERVICIO>>.

Un ataque de denegación de servicio, también llamado ataque DoS (de las siglas en inglés Denial of Service), es un ataque a un sistema de computadoras o red que causa que un servicio o recurso sea inaccesible a los usuarios legítimos. Normalmente provoca la pérdida de la conectividad de la red por el consumo del ancho de banda de la red de la víctima o sobrecarga de los recursos computacionales del sistema de la víctima.

Se genera mediante la saturación de los puertos con flujo de información, haciendo que el servidor se sobrecargue y no pueda seguir prestando servicios, por eso se le denomina "denegación", pues hace que el servidor no dé a basto a la cantidad de solicitudes. Esta técnica es usada por los llamados crackers para dejar fuera de servicio a servidores objetivo.

Una ampliación del ataque DoS es el llamado ataque distribuido de denegación de servicio, también llamado ataque DDoS (de las siglas en inglésDistributed Denial of Service) el cual lleva a cabo generando un gran flujo de información desde varios puntos de conexión.

La forma más común de realizar un DDoS es a través de una botnet, siendo esta técnica el ciberataque más usual y eficaz por su sencillez tecnológica.

En ocasiones, esta herramienta ha sido utilizada como un buen método para comprobar la capacidad de tráfico que un ordenador puede soportar sin volverse inestable y afectar a los servicios que presta. Un administrador de redes puede así conocer la capacidad real de cada máquina.

3) Conductas tales como el Acceso abusivo a un sistema informático, Interceptación de datos informáticos, Daño Informático, Violación de datos personales, Hurto por medios informáticos y semejantes, así como la Transferencia no consentida de activos.  Son conductas realizadas comúnmente mediante el Uso de Software malicioso.

Entre ellos destacan:

• Los Virus: Un virus es un código informático malintencionado, que se adjunta a sí mismo a un programa o archivo para propagarse de un equipo a otro, cuyo fin es el que su programador disponga; estos se caracterizan principalmente por ser capaces de ejecutarse a si mismos, así como de replicarse, sin embargo, para ejecutarse e incluso replicarse, necesita de la intervención humana en primera instancia, es decir, requiere del error humano para infectar a una máquina, para luego obrar por su cuenta.

• Los Troyanos: Un troyano informático, caballo de Troya,  es un código informático malintencionado que hace honor a su nombre, pues está tan lleno de artimañas como lo estaba el mitológico caballo de Troya de la Odisea de Homero. A primera vista un troyano parece ser un programa útil  o un archivo inofensivo de procedencia segura, pero cuando se ejecuta un troyano en una máquina, los resultados pueden variar dependiendo del objetivo del programador. Estos se caracterizan por crear <<puertas traseras>> o <<backdoors>> en la máquina infectada, permitiendo el acceso del programador del código malintencionado a la misma, dándole la capacidad de disponer de ella y de su contenido a su antojo. A diferencia de los virus y gusanos, los troyanos ni se auto-ejecutan, ni se replican infectando a otros archivos, estos requieren estrictamente el error humano, es decir, que sean ejecutados por el usuario de la máquina, para que estos creen el <<acceso>> para su programador.

• Los Gusanos: Un Gusano informático es un código malintencionado similar a un virus en cuanto a su diseño.  Estos se caracterizan por propagarse de una máquina a otra, pero a diferencia de un virus, estos tienem la capacidad a propagarse sin la ayuda de una persona. Un gusano informático se aprovecha de las características de intercambio de archivos propias de un sistema informático, para replicarse.

• Los Exploits: Un exploit es un código informático malintencionado que tiene como objetivo forzar alguna deficiencia o vulnerabilidad de otro programa o sistema informático. Mediante este se puede conseguir la destrucción o inhabilitación del sistema atacado, aunque normalmente es usado para violar las medidas de seguridad y poder acceder al mismo de forma no autorizada para emplearlo en beneficio propio o como origen de otros ataques a terceros.