Delitos y abusos en el comercio electrónico

La importancia del ciberdelito

La mayoría de los que trabajan en el campo de las comunicaciones y transacciones electrónicas no duda de la importancia del ciberdelito. Combatir el delito informático, especialmente en el interior de la empresa, ha preocupado, desde hace tiempo, a quienes desarrollan, implementan y administran los sistemas informáticos, principalmente en el sector financiero; aunque a veces parece como si el mundo de la política y de los medios acabara de enterarse de las posibilidades del ciberdelito, y ahora insistiera en tener una respuesta instantánea y totalmente eficaz. Los puntos vulnerables que han conducido a esta toma de conciencia son suficientemente reales. Entre ellos está la misma naturaleza del comercio electrónico, que requiere la automatización de varios tipos de procedimientos de seguridad y "controles de realidad"; la facilidad con la cual, una vez detectados los puntos vulnerables, éstos pueden ser explotados desde cualquier lugar del mundo; y la enorme cantidad de tráfico en Internet, que dificulta cualquier tipo de control. Se han tenido que desarrollar algunas herramientas nuevas para poder hacer frente a estos puntos vulnerables específicos; pero muchos procedimientos de seguridad y normas informáticas habían sido desarrollados mucho antes de la aparición de Internet.

La industria informática ha estado preocupada, desde hace mucho tiempo, por los temas de la seguridad, en particular en el sector financiero, pero la difusión de Internet ha llevado esta preocupación hasta el público

Es extremadamente difícil dar cifras sobre la incidencia del ciberdelito, tanto del basado en Internet como del más "tradicional", pero es un hecho que existe: se han identificado muchos tipos de incidentes y de ataques, y algunos usuarios han denunciado numerosos intentos de intrusiones, algunas veces con éxito. Hay una creencia generalizada entre los que tratan el tema, a saber, los ciberdelitos no siempre se denuncian, por varios motivos: ignorancia, falta de confianza en las medidas de respuesta o deseo de evitar la publicidad negativa.

Hay una creencia generalizada, de que los ciberdelitos no siempre se denuncian, por varios motivos: ignorancia, falta de confianza en las medidas de respuesta o deseo de evitar la publicidad negativa

Cualquiera que sea la incidencia del ciberdelito, hay pocas dudas de que los puntos vulnerables están muy extendidos; y es razonable sugerir que la política pública debería fomentar la protección y las medidas defensivas sin esperar a que haya pruebas de que estos puntos vulnerables se estén explotando. De hecho, la experiencia sobre el cumplimiento de las leyes en otras áreas muestra que, donde hay oportunidades para delinquir, los delincuentes saben aprovecharlas.

Una falta de confianza en las medidas de protección y de respuesta a los ciberdelitos podría ser un potente freno al desarrollo del comercio electrónico, especialmente de las transacciones "B2C" o "empresa-consumidor"

Otra consecuencia del ciberdelito, o quizás más concretamente de la percepción del ciberdelito, es su efecto sobre la confianza. De nuevo es difícil dar cifras, pero parece que la falta de confianza en la protección y en las medidas de respuesta contra el ciberdelito es un freno importante al desarrollo del comercio electrónico, especialmente a las transacciones "B2C" o "empresa-consumidor". Antes de que un consumidor inicie una operación de comercio electrónico, tendrá algunos "requisitos de confianza". Estos pueden incluir:

· que la empresa sea honrada

· que la empresa sea financieramente sólida

· que sea posible una compensación en caso de disputa

· que haya una protección razonable para evitar que los delincuentes intervengan en la transacción.

Se están creando varios mecanismos para ayudar a los consumidores a adquirir confianza en casos apropiados (véase http://econfidence.jrc.it/) pero queda aún mucho por hacer. Los medios han prestado mucha atención a incidentes recientes, y esto ha tenido el efecto positivo de alertar a quienes desarrollan los sistemas y a los proveedores de comercio electrónico sobre los puntos vulnerables de sus sistemas; pero en ausencia de cifras fiables sobre el ciberdelito es difícil evaluar el efecto de la atención de los medios en la percepción del público en general. Por ello, aunque puede haber corregido el exceso de confianza, puede también haber conducido a una precaución excesiva.

Taxonomía

Una de las primeras cuestiones que deben abordarse es la definición y clasificación del "ciberdelito". Éste se puede entender como cualquier actividad delictiva o abusiva relacionada con los ordenadores, pero esta definición es demasiado amplia para poder utilizarla técnicamente. La distinción primera y más fundamental es la que existe entre utilizar un ordenador como herramienta de un delito o que el sistema informático (o sus datos) sea el objetivo del delito. Aquí nos centramos en este último caso1.

Aunque el ciberdelito en sentido amplio incluye cualquier actividad delictiva o abusiva relacionada con las TIC, existe una distinción fundamental entre utilizar un ordenador como herramienta para cometer un delito, o que sea el ordenador el objetivo del delito

Cuando llegamos a preguntarnos qué actividades deberían considerarse, es claramente insatisfactorio utilizar una definición basada en las leyes civiles o criminales; éstas varían de una jurisdicción a otra; están en rápida evolución en varios países y dejan considerables incertidumbres sobre lo que debe o no cubrirse en el caso de actividades que se extienden a varias jurisdicciones. Por tanto, la definición utilizada aquí está basada en lo que los administradores y usuarios de sistemas informáticos consideran inaceptable más que en cualquier definición estrictamente legal.

Obviamente el no usar una definición legal podría conllevar problemas, en especial el de no saber si una actividad determinada está o no cubierta. Sin embargo, desde un punto de vista técnico, el estatus legal de una actividad abusiva concreta es normalmente de menor interés: lo importante es saber lo que está pasando y detectar y frenar lo que sea inaceptable. La excepción quizás se presente en cuanto a la reacción a los incidentes, donde la posibilidad de querellas legales puede limitar seriamente el proceso de obtención de pruebas; en este caso puede ser apropiado emprender acciones completamente diferentes contra las actividades "antisociales" y contra las "delictivas".

Los tres enfoques principales de una taxonomía del ciberdelito están basados en las acciones técnicas que se llevan a cabo, la intención del que lo comete, y los efectos de las acciones

Si los límites externos del campo cubierto son algo difusos, lo mismo sucede con algunas de sus distinciones internas. Se han propuesto varias taxonomías para los ciberdelitos, pero ninguna de ellas nos parece completamente convincente y exhaustiva2. Hay tres enfoques fundamentales para tales taxonomías: uno basado en las acciones técnicas que se llevan a cabo, el segundo basado en la intencionalidad del que las comete, y un tercero basado en los efectos (reales o hipotéticos) de las acciones. Pero ninguno de éstos está plenamente definido, ni es totalmente satisfactorio. Así, si utilizamos la taxonomía técnica de las acciones para el nivel superior, deberíamos distinguir entre:

· conseguir acceso a los datos

· modificar los datos

· atacar al funcionamiento del ordenador

· atacar al funcionamiento de la red

Sin embargo, esta distinción de alto nivel agrupa actividades muy diferentes. "Conseguir acceso a los datos" significa distintas cosas si los datos a los que se refiere representan:

· la palabra clave del administrador

· un fichero de números de tarjetas de crédito

· una canción pop

Además, un incidente individual es probable que involucre a más de una de estas actividades: si ha encontrado la palabra clave del administrador, ¿qué va a hacer a continuación el infractor?

Del mismo modo, cualquiera que sea la importancia en términos legales de las intenciones del atacante, no ofrecen una base satisfactoria para una clasificación técnica de los ciberdelitos: con frecuencia no se conocen en el momento en que aquél se comete, y sólo se pueden establecer con ayuda de información externa. Distinguir por los efectos, reales o hipotéticos, de las acciones es en algunas ocasiones tentador, y de hecho es la práctica habitual en la industria. No obstante, deja mucho que desear como herramienta analítica formal, en especial porque los efectos posibles de cualquier tipo de sabotaje ("cracking") son casi ilimitados.

Aunque una taxonomía plenamente desarrollada no parece que esté próxima en la actualidad, es posible identificar las cinco principales áreas de preocupación que se mencionan a continuación:

· Transacciones fraudulentas en el comercio electrónico (bien por parte del proveedor o del cliente)

· Robo de identidad, haciéndose pasar por otro

· Robo del número de tarjetas de crédito y similares (puede considerarse como una variante del robo de identidad)

· Robo de derechos de propiedad intelectual

· Denegación de servicios y ataques en Internet

Prevención y detección

En las áreas de la prevención y detección del ciberdelito, hay una amplia gama de productos de software disponibles comercialmente, así como algunos conjuntos de herramientas más especializados para mercados determinados3.

Es necesario entender la seguridad como un proceso y no como un producto. Las herramientas de software no son suficientes por sí mismas, sino que necesitan una instalación y un uso correctos y un control continuo

Dos áreas sobresalen como necesitadas de una mayor atención. En primer lugar, "la seguridad es un proceso y no un producto": las herramientas de software no son suficientes por sí mismas: deben ser instaladas y utilizadas correctamente, y el control continuo es esencial. En segundo lugar (y esto desde luego está relacionado con el primer punto), existe aún una necesidad muy extendida de formación en el ámbito del conocimiento y de las precauciones básicas (entre el personal y los clientes), la selección y uso de herramientas de prevención concretas y en cuanto a si pedir la ayuda de un experto y en qué momento.

En algunos países y sectores industriales europeos, parece estar desarrollándose un mercado de servicios centralizados de control para ayudar a detectar el ciberdelito en tiempo real. El seguimiento de las transacciones para detectar ciberdelitos requiere personal y equipo especializados, y es probable que solamente las empresas muy grandes tengan recursos para realizarlo con sus propios medios. Muchas de las grandes empresas consultoras ofrecen ahora servicios informáticos forenses a sus clientes con fines de seguridad interna e investigación de los incidentes.

El incremento de los CERT (Computer Emergency Response Teams, equipos de respuesta a las emergencias informáticas) en los últimos años ha significado una aportación considerable a la lucha contra el ciberdelito. Sin embargo, la provisión de servicios CERT es aún fragmentaria, aparentemente debido, al menos en parte, a la falta de concienciación entre los clientes potenciales. Recientemente, la Comisión Europea ha hecho un llamamiento para fortalecer los CERT y mejorar la cooperación entre ellos4.

Respuesta

Cuando se produce un incidente, hay dos necesidades, a veces contrapuestas: la integridad del sistema ha de ser restaurada, y el incidente tiene que ser investigado5. Esto significa recoger, preservar, organizar y subsiguientemente presentar las pruebas de lo que ha sucedido. Si estas pruebas deben presentarse a los administradores del sistema para ayudarles a proteger mejor sus sistemas, un método muy informal puede ser aceptable; pero tan pronto como aparezca la posibilidad de proseguir la investigación, es necesario asegurar que las pruebas obtenidas cumplan los requisitos impuestos por las autoridades competentes. Ello puede abarcar desde los procedimientos disciplinarios internos de la empresa, pasando por la mediación y el acuerdo extra judicial, hasta los tribunales de lo civil y lo criminal. Cada uno de estos organismos puede tener sus propias normativas de admisión de pruebas, y es importante que las investigaciones iniciales de incidentes sospechosos no contaminen las pruebas electrónicas de tal modo que no se puedan utilizar.

Cuando se produce un incidente, la necesidad de restaurar rápidamente el sistema puede entrar en conflicto con la necesidad de recoger, preservar y organizar las pruebas que pueden ser exigidas en un proceso penal

Hay en el mercado muchas herramientas "forenses" para investigar los incidentes informáticos. Con su ayuda, se pueden estudiar e interrogar los ficheros de conexión; los datos borrados y eliminados pueden salvarse; se pueden identificar los puntos cruciales en un sistema complejo; y se pueden reconstruir los sucesos que ocurrieron durante el incidente. Algunas de estas herramientas también ayudan para construir una cadena coherente de pruebas. Sin embargo, es necesario seguir trabajando para producir una metodología general que asegure que la cadena de pruebas esté plenamente garantizada; e incluso cuando se disponga de ella, deberá integrarse con el sistema objetivo. Fundamentalmente, el fin no debe ser meramente demostrar que "este era el estado del sistema informático y de los datos cuando se iniciaron las investigaciones", sino "ésta es la prueba de lo que ha sucedido".

Si una investigación como ésta llega al juzgado, especialmente a un tribunal de lo penal con su alto nivel de exigencia en cuanto a las pruebas, para satisfacer plenamente al tribunal sobre la exactitud de las declaraciones formuladas puede ser necesario producir ficheros fuente de las herramientas forenses utilizadas, e incluso de los sistemas operativos y del software. Esto es un reto al que la industria no se ha enfrentado aún plenamente, y pudiera ser que con el tiempo este requisito lleve a un uso mucho más generalizado de software de fuente abierta, no solamente para las herramientas informáticas forenses, sino también para las aplicaciones de comercio electrónico y los servidores en los que funcionan.

Normas

La cuestión de las normas europeas o mundiales surge a menudo en este contexto, pero destacan dos áreas especiales: los procedimientos de denuncia y el análisis de las pruebas.

Los procedimientos de denuncia comunes claramente no resolverán todas las dificultades, tales como el escaso número de denuncias, pero proporcionarán una cierta base para comparar países, sectores, o actividades, etc.

Hoy simplemente no es posible determinar con precisión la incidencia del ciberdelito. Se pueden obtener cifras aquí y allá, pero no está claro lo que significan y cómo pueden compararse unas con otras. Las únicas cifras que ofrecen alguna posibilidad de comparación son las cifras de pérdidas financieras (asumiendo siempre que (a) las empresas afectadas sepan la cantidad que han perdido y (b) que den una información verdadera). Aunque los procedimientos de denuncia comunes para los delitos informáticos no resolverán todas las dificultades, en especial el problema del escaso número de denuncias, sí darán al menos una cierta base para comparar un sector, un país, una época o una actividad con otros. El modelo de EE.UU puede ser instructivo; comprende un centro de quejas sobre fraudes en Internet y un centro nacional sobre delitos administrativos, que constituyen centros de intercambio de información para denunciar incidentes, ofreciendo con ello un cierto grado de coherencia entre los diferentes sectores y los diferentes tipos de incidentes.

En cuanto a las normas de análisis de pruebas, es necesario desarrollar, en paralelo con sistemas integrados de recogida de pruebas, normas consensuadas para la recogida y análisis de datos de conexión y otros ficheros similares. Estas normas deberían asegurar que los investigadores también respeten los requisitos de las leyes europeas de Protección de Datos, a fin proteger la privacidad de las partes inocentes durante las investigaciones. En ausencia de un sistema bien definido que respete la protección de datos y la privacidad, o bien los incidentes no serán investigados o el derecho a la privacidad de las partes inocentes será violado.

Conclusiones

A finales de 2000, el personal de IPSC, junto con un equipo de otras organizaciones europeas, lanzó un estudio sobre la lucha contra las actividades delictivas o abusivas ("ciberdelito") que afectaban al comercio electrónico. El estudio pretende establecer un "estado de la cuestión" técnico, en otras palabras, definir la situación actual y la evolución esperada de las herramientas y procedimientos para combatir el ciberdelito. El grupo de estudio identificó tres áreas principales de preocupación técnica: la prevención del ciberdelito, la detección del ciberdelito, y la respuesta a actos ciberdelictivos concretos. Sin embargo, pronto se comprobó que había que incluir otra área, a saber, el desarrollo de normas.

En el momento de escribir este artículo (junio 2001) el informe sobre el estudio está aún en forma de borrador. El trabajo preliminar del grupo ha puesto de manifiesto las áreas donde se necesita profundizar en los aspectos técnicos de la prevención, la detección y la respuesta al ciberdelito. Esto no es todo: también se necesitan iniciativas políticas, tanto en el aspecto legal como en el administrativo y, de hecho, están en marcha en la Unión Europea y en muchos países miembros. Sin embargo, estas iniciativas políticas llevarán tiempo, y el mundo de la informática (y el de los delincuentes) se mueve con rapidez. Quienes desarrollan sistemas de comercio electrónico, así como los proveedores y los usuarios, pueden hacer mucho para conseguir una mejor protección contra el ciberdelito.

Palabras clave

Ciberdelito, taxonomía, prevención y detección, normas sobre denuncia

Notas

1. Esto no excluye la posibilidad de algunas "derivaciones", en especial en lo que respecta a la respuesta y a la obtención de pruebas: un sistema fiable de obtención y preservación de pruebas electrónicas puede ser útil para investigar y juzgar muchos tipos de delitos que utilizan el ordenador como instrumento.

2. El único esfuerzo internacional bien desarrollado a favor de una taxonomía definida legalmente es el proyecto de convenio del Consejo de Europa sobre el ciberdelito. Véase: http://conventions.coe.int/treaty/EN/projects/cybercrime25.htm, donde figura el 25º borrador. Sin embargo, su alcance es deliberadamente limitado.

3. El grupo de estudio está evaluando los instrumentos básicos para un análisis general de las amenazas, con vistas a desarrollar un modelo de seguridad común. El trabajo está en curso.

4. http://europa.eu.int/information_society/eeurope/news_library/pdf_files/netsec_en.pdf

5. Se ha sugerido que otra razón para la escasez de denuncias sobre ciberdelitos es que la presión comercial para que el sistema funcione de nuevo es prioritaria sobre la investigación del delito.

Contactos

Robin Urry, JRC

Tel.: +39 (0332) 78 92 63, fax: +39 (0332) 78 95 76, correo electrónico: robin.urry@jrc.it

Neil Mitchison, JRC

Tel: +39 (0332) 78 53 25, fax: +39 (0332) 78 90 07, correo electrónico: neil.mitchison@jrc.it

Laurent Beslay, IPTS

Tel.: +34 954 488 206, fax: +34 954 488 208, correo electrónico: laurent.beslay@jrc.es

Sobre los autores

· Neil Mitchison se graduó en Matemáticas en Cambridge, Reino Unido y trabajó durante diez años como consultor informático investigando sobre inteligencia artificial y desarrollo de sistemas de información financiera para grandes empresas. Se incorporó al Centro Común de Investigación en 1988, trabajando sobre sistemas de control en tiempo real, sistemas de seguridad y retos de la seguridad en entornos en línea y fuera de línea.

· Robin Urry se graduó de ingeniero mecánico y estudió después política y administración de empresas. Ha trabajado durante 20 años en la industria de las TI, diez como directivo en Digital y cuatro en una empresa escocesa de desarrollo de comercio electrónico. Actualmente es director de Cybersecure Scotland Ltd., y está pasando un año como científico visitante en el Centro Común de Investigación.

The IPTS Report, is the refereed techno-economic journal of the IPTS,edited by D. Kyriakou, published monthly in English, French, German and Spanish.