Tipos de cibercrímenes en latinoamérica y el caribe
Módulo 7: Cibercrímenes
Acceso ilegal a un sistema informático y a datos informáticos
A menudo, los actos que atentan contra la confidencialidad, integridad y disponibilidad de la información afrontan vacíos legales en el interior de los Estados que inciden, así mismo, en la falta de conciencia y conocimiento sobre estas vulnerabilidades. Al respecto, Naciones Unidas ha indicado que es necesario que los Estados revisen y actualicen sus leyes en aras de responder ante estos nuevos delitos.(1) En América Latina y el Caribe, la legislación sustantiva sobre estas temáticas indica que el 87% de los países miembros de la OEA tipifican el delito de acceso ilícito a un sistema/datos informáticos, mientras que el 75% contemplan los ataques a la integridad de los mismos.(2)
En el Caso No. CCC 51772/2011/T01, el Tribunal Oral Penal No. 18 de Argentina analizó los hechos en los que el imputado accedió al usuario y contraseña bancaria de la víctima a través de una manipulación indebida de datos informáticos y realizó una transferencia por una alta suma de dinero a un tercero. La valoración del Tribunal supuso la recopilación de datos a través de procedimientos de investigación sobre computadores y testimonios en los que se concluyó que el acceso operó en virtud de una transacción realizada desde México con apoyo de la Firma a la que trabajaba, ya que contaban herramientas y software que requerían de usuarios y contraseñas.
El Tribunal, por su parte, determinó que así la transferencia se haya efectuado desde una dirección IP ubicada en México, la maniobra denunciada efectivamente se cometió, pues, “de acuerdo a la nueva tecnología de que dispone cualquier persona con conocimientos de informática puede operar un “IP” situado en otro país desde la República Argentina, incluso, mediante tutoriales en Internet que brindan instrucciones para navegar con un IP de otro país sino también para hacerlo en forma anónima”.(3) De esta manera, encontró responsable al imputado.
Este tipo de casos de manipulación informática han permitido, por ejemplo, que en países como Argentina se avance sustancialmente en las Unidades Fiscales Especializadas en Ciberdelincuencia(4) así como que se establezcan protocolos que busquen guiar las prácticas de investigación en este tipo de delitos como el “Protocolo General de Actuación para las Fuerzas Policiales y de Seguridad en la Investigación y Proceso de Recolección de Pruebas en Ciberdelitos».(5) Brasil, por su parte, tiene delegaciones especializadas sobre ciberdelitos por cada Estado,(6) en cumplimiento de la Ley 12.737/12 sobre la tipificación penal de los delitos informáticos. Por último, se han implementado planes orientados específicamente a alertar sobre las nuevas modalidades de ciberamenazas y a investigar los delitos que han sido ‘ciber asistidos’ en aras de responder efectivamente a esta modalidad de cibercrimen.(7)
Otro evento puede ocurrir, por ejemplo, cuando a través del uso de la informática, se vulnera la protección de la información y de los datos y con ello, se tipifica el delito de violación de datos personales, de acuerdo con lo previsto en la Ley 1273 de 2009 de Colombia. Sin embargo, este delito tiene un impacto diferenciado en los periodistas.
De un lado, es claro que para su configuración se requiere de “una intención de perseguir un provecho para sí o un tercero y que el autor no se encuentre autorizado para acceder a la información”,(8) pero el contexto en el que se ha desarrollado la actividad periodística en Colombia en los últimos años, se encuentra demarcado por el uso de facultades legales del Estado para acudir a perfilamientos de periodistas, como los denunciados por Revista Semana en 2020.(9) En ese sentido, los aspectos típicos de estos delitos informáticos, deben analizarse con extremo cuidado por el riesgo que suponen frente a ciertos grupos de interés constitucional.
La Corte Suprema de Justicia analizó una solicitud de absolución en la que se alegó que i) un fiscal acusado por el delito de violación de datos personales sí estaba facultado para acceder a tales datos, ya que ii) la información no constituía un dato privado. Frente a ello, la Corte enfatizó que los funcionarios públicos pueden “acceder a información privilegiada en las bases de datos, siempre que su actuación estuviera guiada por un interés funcional por causa del debido proceso”.(10) Además, aclaró que el delito de violación de datos personales, no requiere que la información sea privada o que se acredite si fue transmitida pues el reproche se realiza sobre el acceso a información personal con un interés distinto al de sus funciones.(11)
Fraude informático
Ahora, existen otros actos que se relacionan con la informática a partir de una asociación criminal que busca un beneficio económico. El fraude cibernético o informático es aquel que utiliza plataformas de Internet o dispositivos electrónicos con el objetivo de i) acceder a información confidencial y/o ii) interceptar una transmisión electrónica para alterar, borrar, sin autorización, los datos almacenados o reescribir incluso códigos de software.(12) En la región se conocen iniciativas legislativas que tipifican el fraude informático. Según datos de la OEA, el 94% de los países miembros de América Latina y el Caribe contienen dicha reglamentación.(13)
A través de la Ley 19.223, Chile tipifica los delitos informáticos y establece tipos penales tales como la sustracción de datos contenidos en sistemas de información, el espionaje informático y el sabotaje informático. Por otro lado, la Ley 20.009 contempla los delitos relacionados con el uso malicioso o apoderamiento de tarjetas de crédito. Frente a esto, en Chile se registró un caso sucesivo de fraude a clientes de distintas entidades financieras entre 2014 y 2018.
Caso Zares en la Web v. Chile
En este caso, el acusado buscó transferir los fondos a las cuentas de una organización criminal con una estructura jerárquica que incluía a cabecillas, receptores y mandatarios; estos últimos encargados de implementar medidas para incautar información haciendo uso de Internet. El caso es comúnmente conocido como “Zares en la web” y se basó en el robo de información bancaria de los clientes a partir de las bases de datos de la “Deep web”.(14)
En este caso, el Poder Judicial acreditó la existencia de 81 víctimas, entre particulares y pequeñas empresas, y condenó al máximo cabecilla por los delitos de asociación ilícita, fraude y lavado de activos según la Ley 19.223, entre otros. En su análisis, el Juzgado 11 de Garantía de Santiago acreditó que se utilizó un engaño a partir de conocimientos en temas computacionales y accedió mediante la Internet de forma fraudulenta a información personal, como contraseñas. En sus términos, “los imputados al obtener la información personal, bancaria, claves secretas y al efectuar diversas maniobras destinadas a traspasar las medidas de seguridad y de control que tanto los clientes como las entidades bancarias utilizaban, efectuaron diversos traspasos fraudulentos de fondos de diversas cuentas corrientes, falseando a la verdad (…)”.(15)
En relación con el segundo aspecto que se deriva del fraude, el cual es interceptar una transmisión electrónica para alterar, borrar, sin autorización, los datos almacenados, en un caso ocurrido en República Dominicana, se elevaron cargos por la comisión de los “delitos de alta tecnología” en contra de la Empresa Nacional de Teléfonos del país. Esto, por cuanto se denunció el uso sospechoso de líneas de teléfono prepagadas que luego fueron convertidas ilegalmente en líneas postpago para realizar llamadas a destinos internacionales a través de una interferencia ilegal en la plataforma para evitar el pago.(16)
En este caso, el Segundo Tribunal Colegiado de la Cámara Penal del Juzgado de Primera Instancia calificó jurídicamente los hechos como fraude electrónico a la luz de lo previsto en el Código Penal y la Ley No. 53-07 sobre Crímenes y Delitos de Alta Tecnología y su responsabilidad quedó acreditada por cuanto atentó contra un bien jurídico ajeno y que es protegido por el Estado, como la Compañía Dominicana de teléfonos, a partir del uso ilegal de programas para acceder a un sistema electrónico, ofrecer servicios sin pagarlos a los proveedores y comercializar de forma no autorizada bienes y servicios a través de Internet empleando dispositivos fraudulentos atentando contra las Telecomunicaciones del Estado.(17)
Producción, distribución, posesión de pornografía infantil- Abuso infantil en línea
El uso de las tecnologías, al mismo tiempo, ha repercutido en los derechos de los niños, niñas y adolescentes. En particular, el uso de tecnologías de la información y telecomunicaciones tiene incidencia sobre la facilidad de la comisión de actos delictivos en el escenario digital,(18) lo cual incluye la explotación sexual infantil, el abuso infantil en línea y la producción, distribución, ofrecimiento y consumo material de tal abuso en línea y fuera de línea.(19) Ante la persistencia y nuevas formas de explotación sexual de niños, sobre todo en línea, en todas las regiones del mundo, una de las mayores problemáticas identificadas es la necesidad de establecer marcos jurídicos claros que tipifiquen explícita y completamente como delito la explotación sexual infantil a la luz del Protocolo Facultativo de la Convención sobre los Derechos del Niño relativo a la venta de niños, la prostitución infantil y la utilización de niños en la pornografía.
Sumado a lo anterior, las tecnologías tienen, además, un impacto diferenciado en mujeres sobre todo cuando ejercen una labor de interés público como el periodismo o la defensa de los derechos humanos.(20) En relación con la actividad periodística, se han reconocido los riesgos que enfrentan las personas que ejercen dicho oficio cuando se difunden fotografías sin su consentimiento acompañadas de amenazas que buscan a menudo silenciar lo que se está informando. Sobre esto, el Tribunal Europeo de Derechos Humanos conoció el caso de la violación del derecho a la privacidad y de la libertad de expresión de la periodista Khadija Ismayilova por la difusión de contenido íntimo e información confidencial como una ‘campaña de intimidación’ frente a las investigaciones que adelantaba.(21)
Como parte de su análisis legal, el Tribunal determinó que: i) el Estado de Azerbaiyán tenía la obligación de ‘disuadir’ actos en los que se pueda afectar la vida privada de las personas sometidas a su jurisdicción, ii) las denuncias debieron tramitarse teniendo en cuenta la protección a periodistas y la promoción de un ambiente favorable para la participación en el debate público sin temores, y iii) reconoció el efecto ‘paralizador’ de las injerencias a su vida privada con su derecho a la libertad de expresión.(22)
En ese escenario, a nivel regional, la Convención Interamericana para Prevenir, Sancionar y Erradicar la violencia contra la mujer (Convención Belém Do Pará) reconoce que estas son condiciones indispensables para el desarrollo pleno de la mujer en todas sus esferas, incluyendo el rechazo hacia la exhibición de la pornografía como un acto de hostigamiento que se exacerba cuando median las tecnologías.(23) De manera que la violencia en línea contra niñas, adolescentes y mujeres, para la CIDH, incluye, “actos de violencia y discriminación como, entre otros, el acoso, el grooming(24) (…) videos o clips de audio sin su consentimiento; al acceso o divulgación de sus datos privados sin su consentimiento; a la carga y difusión de fotos o videos modificados de niñas y adolescentes como material de pornografía; etc.”(25)
De ahí que, para UNICEF, las nuevas tecnologías contribuyen a facilitar el acceso al material de abuso infantil con menor probabilidad de identificación de los perpetradores.(26) Por ello, le corresponde a los Estados establecer leyes y políticas claras que tipifiquen los delitos cometidos en línea y fortalezcan las investigaciones para dar con el paradero de los actores. En ese orden, en países miembros de la OEA, el 94% tipifica el delito de pornografía infantil dentro de sus legislaciones.(27) De hecho, el Mecanismo de Seguimiento de la Convención Belém Do Pará (MESECVI) ha destacado las legislaciones de América Latina y el Caribe que contemplan como delitos la pornografía.(28)
En el Caso No. 139-1U-2018 de El Salvador, el Tribunal Segundo de Sentencia de Santa Tecla decidió asumir conocimiento de la comisión del delito de adquisición o posesión de material pornográfico de niñas, niños y adolescentes por una red transnacional.(29)
Este caso es relevante desde la etapa de recolección del material probatorio, por cuanto, de un lado, registraron e incautaron todos los equipos de almacenamiento masivo que se encontraban en los inmuebles relacionados en el proceso siempre que tuvieran material pornográfico. Por otra parte, realizaron peritajes “de campo” por medio de los cuales identificaron científicamente a las personas que descargaron este contenido”.(30)
Frente al modus operandi, la jueza destacó que “ya no solamente sea en búsquedas aisladas en la Deep web para obtener este material pornográfico infantil, ahora se pueden formar grupos en diversas páginas web o en redes sociales, para obtenerlo y compartirlo,(31) ya que se comprobó que en este caso las personas utilizaron un grupo de WhatsApp para difundir el material.
Pero, además, frente a la responsabilidad penal de las personas involucradas, la jueza señaló que cada imagen contiene un dato propio o metadato, de tal suerte que permite el rastreo de: “cuando fue creada, por quien fue enviada, en qué momento se descargó y demás elementos que pudieran profundizar en si existía difusión o distribución de este material con alto contenido de pornografía infantil por parte del procesado”. De esta manera, puso de presente la necesidad de revelar completamente la red criminal de este tipo penal, incluyendo la identificación del consumidor final y otras acciones que impactan el seno de la sociedad valiéndose de la misma tecnología para identificarlos.
Caso Operación R-INO v. Costa Rica
Otra dimensión de la pornografía infantil resulta de la captación de víctimas bajo engaño. En Costa Rica, a través del Caso “Operación R-INO”, se tuvo conocimiento de una agencia de modelos que realizaba castings mediante redes sociales y en las audiciones con menores de edad, los fotógrafos produjeron material de pornografía para ser distribuidos en sitios web y la Deep web. La relevancia de este caso radica en que, para ocultar sus huellas digitales, la organización criminal restringió el contenido a las direcciones IP públicas de Costa Rica de tal manera que solo se pudiera acceder al contenido desde el exterior.(32)
Este caso denota, asimismo, la existencia de técnicas especiales de investigación electrónica y otras formas de vigilancia, que dieron con el dominio de sitios web registrados en 3 países distintos, lo que permitió la identificación de cada uno de los integrantes de la organización transnacional. Pero, además, es un caso fundamental porque, por primera vez, Costa Rica realizó allanamientos a un sitio web con fundamento en una orden judicial. “Se accedió a los sitios web mediante TOR, debido al bloqueo geográfico. A través del “agente encubierto” se creó una cuenta de correo electrónico ficticia para acceder a estas páginas. Una gran cantidad de material de abuso sexual de las víctimas fue descargado como evidencia del caso”.(33)
Finalmente, a raíz de lo sucedido en la pandemia por COVID-19 y la proliferación de las plataformas digitales para comunicarse, como Zoom, el Tribunal de Apelaciones del Tercer Circuito de los Estados Unidos en Pensilvania analizó el Caso No. 19-2424 y 19-2932, el cual involucra a dos sujetos que usaron videoconferencias en Zoom para “ver, solicitar, recibir, distribuir y facilitar la recepción y distribución de material de abuso sexual infantil. Dentro de Zoom, se compartió material de abuso sexual infantil pregrabado, así como transmisión en vivo de abuso sexual infantil”.(34)
El esquema de la investigación, como en los casos anteriores, resultó en la efectividad del proceso judicial. Se rastrearon las direcciones IP de algunos de los usuarios de la reunión de Zoom y se recopiló evidencia electrónica a partir de la labor de un agente encubierto en virtud de la cooperación con Canadá.(35) Además, se apeló a la intervención de intermediarios como el Director Ejecutivo de Zoom, en aras de colaborar con la investigación de presuntas conductas ilícitas desarrolladas en su plataforma.
La importancia del caso recae en que el Tribunal admitió los videoclips incautados en los dispositivos móviles de los dos sujetos como prueba de recibo y distribución del material, pese a que alegaron ser meros observadores de contenido, toda vez que fueron “esenciales para probar la conspiración tácita de la cultura de esa reunión de Zoom y el conocimiento de lo que estaban buscando los dos sujetos en la plataforma”.(36)
Violencia de género en línea: hacia la categorización de la violencia telemática y la tipificación de delitos asociados al género en la región
La expansión de las tecnologías en la región tiene un impacto transversal en las relaciones de género. Por un lado, la Agenda 2030 destaca la necesidad de superar la brecha digital en aras de alcanzar la igualdad de género y, por el otro, eliminar todas las formas de violencia contra la mujer tanto online como offline. A nivel internacional, se ha reconocido que la violencia en línea en contra de mujeres y niñas es cada vez más frecuente y se extiende al espacio digital de las redes sociales como Twitter, Facebook, Instagram, YouTube, entre otros, de modo que los Estados deben avanzar en el reconocimiento legal de estas formas “múltiples, interrelacionadas y recurrentes de violencia por razón de género contra la mujer”.(37)
Según la UNESCO, en una encuesta realizada en el año 2020, cerca del 73% de las más de 900 periodistas encuestadas sufrieron violencia en línea. 714 de ellas se identificaron como mujeres.(38) La violencia que frecuentemente ellas experimentan trae consigo impactos diferenciados sobre todo en la salud mental, de tal suerte que el 12% de ellas buscó ayuda médica y psicológica. Por otro lado, los temas periodísticos relacionados con estas agresiones en línea fueron el género (47%), política y elecciones (44%) y derechos humanos y política social (31%).(39)
Dentro del ámbito de las Naciones Unidas, la Relatoría Especial sobre la Violencia contra la Mujer señaló su preocupación ante el incremento de violencias en línea y concluyó que este tipo de violencias se constituyen en violaciones particulares de derechos humanos de las mujeres.(40) Sumado a que esta violencia en línea afecta de forma desproporcionada a las mujeres periodistas y trabajadoras de medios de comunicación.(41)
Este tipo de violencias incluye “el monitoreo y acecho, la publicación de datos personales, trolling, desprestigio, la difamación o la descalificación y el odio viral”(42) y tienen como objetivo intimidar, controlar, acallar a las mujeres que cubren temas de interés público.(43) Por ello, es cada vez más frecuente que las mujeres periodistas decidan autocensurarse o en casos extremos abandonar su profesión.(44) En otras circunstancias, las mujeres cambian de nombre, usan seudónimos o simplemente desactivan sus cuentas.(45)
Para ejemplificar lo anterior, en el caso colombiano, una investigación realizada por la Universidad de los Andes y la iniciativa No es hora de callar evidenció que el 37% de las mujeres periodistas encuestadas fueron obligadas a abandonar sus espacios de trabajo, el 24% a cambiar sus temas de cubrimiento y el 47% a abandonar ciertas fuentes, con ocasión de esta violencia en línea.(46) Al mismo tiempo, la Fundación Karisma y la Red Colombiana de Periodistas señalaron que cerca del 77.1% reciben comentarios violentos a través de redes sociales, de los cuales el 22.7% son humillaciones, el 18.3% busca silenciarlas y el 10.4% son campañas que apuntan a su descrédito.(47)
En la esfera interamericana, por su parte, la Relatoría Especial para la Libertad de Expresión (RELE) de la CIDH se enfocó en decantar la violencia en el ámbito de las nuevas tecnologías y su riesgo concreto sobre niños, niñas y adolescentes. Además, determinó que la violencia contra las mujeres en Internet es “una violencia por razones de género”.(48)
Sobre el particular de la violencia en línea contra mujeres periodistas, manifestó que esta afecta de forma directa su visibilidad y participación en el escenario público, máxime cuando no existen avances sustanciales en la investigación, juzgamiento y sanción de estas conductas que alientan a la impunidad.(49) Sin embargo, este efecto se exacerba cuando los perpetradores de la violencia usan cuentas anónimas.(50) Además, se reconoció que esto, al mismo tiempo, puede impactar en sus derechos a la integridad física, moral y mental.(51) De ahí la necesidad de que los Estados cuenten con sistemas legales sólidos con capacidad presupuestal y técnica para investigar estos hechos, así como perseguir y sancionar a los responsables.(52)
Por ello, en el interior de la OEA se creó una asociación entre el Programa de Ciberseguridad del Comité Interamericano contra el Terrorismo (CICTE) y la Comisión Interamericana de Mujeres (CIM) para analizar, desde un enfoque regional, los desafíos a la seguridad digital observando las particularidades del género.(53) Como respuesta a esta violencia, los Estados por su lado han modificado sus marcos jurídicos en aras de avanzar hacia la tipificación de delitos con cierto contenido de género.
Así, por ejemplo, en países de la región como Perú, se ha avanzado en la tipificación de delitos de acoso sexual, chantaje sexual y difusión de imágenes íntimas a través del uso de las tecnologías en su Código Penal, mediante el Decreto Legislativo No. 1410 de 2018. Brasil, por su parte, promulgó la Ley 13.772 de 2018, que considera como delito la grabación y el almacenamiento no autorizado de contenidos íntimos y privados y la Ley 13.718 de 2018 que tipifica la difusión de imágenes que contengan “una escena de violación o que haga una apología o induzca a su práctica; o una escena de sexo, desnudez o pornografía sin el consentimiento de la víctima”. Por otro lado, Argentina tipifica conductas relacionadas con “la difusión de imágenes o grabaciones íntimas y el hostigamiento digital”.(54)
Por último, en aplicación de la legislación prevista para la garantía del consentimiento expreso en relación con imágenes publicadas en Internet, la Corte Suprema de la Justicia de la Nación de Argentina estudió el Caso de Mazza, Valeria Raque c. Yahoo SRL Argentina y otros, en el que Mazza demandó a los motores de búsqueda de Google inc. y Yahoo Argentina por hacer uso comercial y no autorizado de su imagen y afectar sus derechos a la imagen, nombre e intimidad a causa de su vinculación con páginas de contenido pornográfico.
En relación con la demanda, la Corte reiteró el precedente que los motores de búsqueda asociados a un contenido concreto configuran la responsabilidad cuando con el material ofrecido a los usuarios de la plataforma tiene conocimiento de un perjuicio individualizado y no adopta ninguna medida para cesarlo. De esta forma, aseveró que “resulta responsable cuando, teniendo un conocimiento efectivo de que la actividad o la información a la que remite o recomienda [el buscador] causa un perjuicio individualizado, no actúa con diligencia para suprimir o inutilizar el enlace correspondiente”. Para ello, se refirió a otros casos como “Rodríguez, María Belén y el Caso de “Gimbutas, Carolina Valeria (Fallos: 337;1174 y 340:1236)”.
Finalmente, la Corte Suprema de Justicia de Colombia, a través de su sentencia No. SP4573-2019, ha determinado el alcance del ‘grooming’ y se deriva de “todo acto llevado a cabo por un adulto que implique crear una conexión emocional con un menor a fin de abusarlo o explotarlo sexualmente”. Además, reconoció que el medio más frecuente que se utiliza es Internet, de ahí que se introduzca el concepto de “online grooming».(55)