Los nuevos delitos telemáticos en el Código Penal 3: Ataque DDOS

Siguiendo con la serie de post sobre los nuevos delítos telemáticos introducidos tras la reforma por LO 5/2010 continuamos con un tipo que por su descripción no puede existir más allá de las redes de telecomunicación:

Los ataques DDOS

La wikipedia define un ataque DDOS como (ampliar aquí):

 

"Un ataque a un sistema de computadoras o red que causa que un servicio o recurso sea inaccesible a los usuarios legítimos. Normalmente provoca la pérdida de la conectividad de la red por el consumo del ancho de banda de la red de la víctima o sobrecarga de los recursos computacionales del sistema de la víctima.

Se genera mediante la saturación de los puertos con flujo de información, haciendo que el servidor se sobrecargue y no pueda seguir prestando servicios, por eso se le dice "denegación", pues hace que el servidor no dé abasto a la cantidad de usuarios."

 

Imagen de ataque Ddos

 El tipo penal queda descrito de la siguiente forma en el artículo 264.2:

"El que por cualquier medio, sin estar autorizado y de manera grave obstaculizara o interrumpiera el funcionamiento de un sistema informático ajeno, introduciendo, transmitiendo, dañando, borrando, deteriorando, alterando, suprimiendo o haciendo inaccesibles datos informáticos, cuando el resultado producido fuera grave, será castigado, con la pena de prisión de seis meses a tres años."

Es un tipo bien descrito en cuanto al resultado técnico de un ataque DDOS, pero mal descrito en relación al elemento subjetivo. Y esto es así, porque el propósito único de los accesos debe ser obstaculizar el funcionamiento y no otro, cuando no se dice nada de ello en este sentido. Mientras que la autorización es algo irrelevante siendo la mayor parte de los servicios web de entidad abierta.

¿Por qué? 

Pues porque un ataque no es lo mismo que un intento de acceso. Imaginen una norma desquiciante del gobierno, algo como, retirada del sistema de pensiones. Se hace público y todos los ciudadanos buscan la manera de hacer público su desacuerdo. Medio obvio e inmediato: internet. Entre accesos a la web del congreso y correos a los congresistas el servidor cae.

¿Soy un ciudadano no autorizado? Puede, en la medida que no necesito autorización. ¿Obstaculizo de manera grave? Entre mi conexión y la de otros 2 millones de personas hacemos caer el servidor. ¿Hago inaccesibles los datos? Claro.

¿Y como se distingue la conducta típica de la atípica?

Pues deberá ser el juez.

En primer lugar, es difícil que existan los medios técnicos para registrar todas las IP que realizan la conexión de manera simultanea. 

En segundo lugar, es difícil también identificar las conexiones que buscan cometer el bloqueo o inutilización de los accesos ordinarios a la web o servicio (reiteración de solicitudes tal vez, pero si quiero acceder para manifestar mi opinión y no lo consigo reiteraré mi conexión haciendo muchos clicks). 

Y tercero, analizar quien se esconde detrás de las IP es para delitos considerados graves (no para resultados graves de delitos). El art. 13 en relación con el 33 nos indican que son graves los delitos con pena de prisión mayor de 5 años. Este delito del 264.2 la tiene de 6 meses a 3 años. Y la ley 25/2007 sólo permite identificar a los sujetos detrás de la IP en el marco de delitos graves.

Art. 1: "Esta Ley tiene por objeto la regulación de la obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación, así como el deber de cesión de dichos datos a los agentes facultados siempre que les sean requeridos a través de la correspondiente autorización judicial con fines de detección, investigación y enjuiciamiento de delitos graves contemplados en el Código Penal o en las leyes penales especiales."

Por lo tanto, la propia norma pone dificil la persecución de la conducta.

Una oportunidad desperdiciada o una reforma innecesaria, ya que con el sabotaje informático se podría acoger perfectamente el tipo.

 

Para saber más:

Convenio Internacional de Budapest sobre Ciber-Crimen 2001 (inglés)

Decisión Marco 2005/222/JHA relativa a los ataques contra los sistemas de información (Bilingüe Inglés-Español)

LO 5/2010 de reforma el Código Penal (PDF).

Los nuevos delítos telemáticos en el Código Penal 2: Cracking

Como veíamos en el post anterior, la reforma del Código Penal por Ley Orgánica 5/2010, introduce descripciónes de tipos relativos a los delitos informáticos. Veamos otro.

Cracking

Mediante la reforma se modifica la redacción de los artículos 263 (pasa de la descripción general a contener también modalidades agravadas) y 264, dando entrada, dentro de la modalidad de daños y sabotajes al daño informático por excelencia: el cracking.

264.1 CP: "El que por cualquier medio, sin autorización y de manera grave borrase, dañase, deteriorase, alterase, suprimiese, o hiciese inaccesibles datos, programas informáticos o documentos electrónicos ajenos, cuando el resultado producido fuera grave, será castigado con la pena de prisión de seis meses a dos años."

Esta reforma supone una actualización del anterior delito de sabotaje informático que se encontraba, antes de la reforma, en el art.264.1.6º: "La misma pena se impondrá al que por cualquier medio destruya, altere, inutilice o de cualquier otro modo dañe los datos, programas o documentos electrónicos ajenos contenidos en redes, soportes o sistemas informáticos."

En primer lugar se observa que ahora si existe un elemento intencional y además una descripción taxativa de conductas, cosa que en articulo relativo al hacking no aparece, mucho más actualizada respecto al delito telemático como el borrado, la supresión o el hacer inaccesible. Añade además un resultado grave como condicionante, que evidentemente será interpretado por el juez.

El tipo esta muy bien descrito, casi copiado.

Se recogen ni más ni menos las conductas descritas en la decisión 2005/222.

Illegal data interference: "Each Member State shall take the necessary measures to ensure that the intentional deletion, damaging, deterioration, alteration, 

suppression or rendering inaccessible of computer data on an 

information  system  is  punishable  as  a  criminal  offence  when 

committed without right, at least for cases which are not minor."

(Cada estado miembro deberá tomar las medidas necesarias para asegurar que el borrado, daño, deterioro, alteración, supresión o inaccesibilidad de datos informáticos en un sistema de información es perseguible como delito cuando sea cometido sin permiso, al menos en los casos no menores.)

Pero... ¿la pena es excesiva?

Lo que resulta curioso es que la pena no esta graduada en relación al delito de hacking, y parece que uno y otro haya sido redactado por personas que no hayan tenido contacto alguno. La mera intromisión sin daño tiene la misma pena que la intromisión más el daño. Y para colmo, el daño tiene que ser grave cuando para la intromisión basta cualquier conducta.

No creo que se pueda aplicar que cuando haya conductas de cracking se cometan dos delitos hacking y cracking, acceso y destrucción, de forma separada, ya que el propio tipo de cracking describe la conducta como "por cualquier medio", es decir, el acceso ilegítimo es parte de la descripción mas idónea del tipo, por lo que difícilmente se aplicará otro argumento.

En definitiva, buena descripción del tipo, acorde con los requerimientos europeos, pero pésima adecuación de la pena obviando la necesaria proporcionalidad de la ley penal.

Para saber más:

Convenio Internacional de Budapest sobre Ciber-Crimen 2001 (inglés)

Decisión Marco 2005/222/JHA relativa a los ataques contra los sistemas de información (Bilingüe Inglés-Español)

LO 5/2010 de reforma el Código Penal (PDF).

Los nuevos delítos telemáticos en el Código Penal 1: Hacking

Con la Ley orgánica 5/2010 se modificó nuestro Código Penal de tal forma que el 23 de diciembre de 2010 se describen nuevos tipos relacionados con la informática y las telecomunicaciones. En los siguientes post haré un repaso por los mismos.

Hacking

A diferencia del Proyecto de Reforma de 2007 no se ha incluido la palabra hacker o hacking en la descripción del tipo, cosa que sin duda es un acierto, porque la sociedad no suele identificar correctamente el término (recordar la diferencia entre white hat hacking por un lado y black hat hacking o cracking por otro). Sin embargo, si se ajusta a una conducta de hacking la descripción del tipo, pero no del elemento subjetivo (intencionalidad) de la conducta.

Art 197.3: "El que por cualquier medio o procedimiento y vulnerando las medidas de seguridad establecidas para impedirlo, acceda sin autorización a datos o programas informáticos contenidos en un sistema informático o parte del mismo o se mantenga dentro del mismo en contra de la voluntad de quien tengo el legítimo derecho a excluirlo, será castigado con pena de prisión de 6 meses a dos años."

La novedad es que se criminaliza el mero acceso, y cualquier acceso, en contraposición a la situación anterior del Código Penal donde el tipo se basaba en la apropiación o descubrimiento de secretos, donde se requería al menos una apropiación de datos y no la posibilidad de que esta exista.

Son claves la ausencia de intención de producir cualquier perjuicio y la vulneración intencional de las medidas de seguridad establecidas, dejando claro con esta última que no se penalizan los accesos fortuítos.

Y a nivel internacional...

La reforma se plasma así de la forma más estricta sugerida por la Decisión Marco 2005/222/JHA de donde deriva, en la cual se decía:

"Each Member State shall take the necessary measures to ensure that the intentional access without right to the whole or any part of an information system is punishable as a criminal offence, at least for cases which are not minor."

(Cada Estado Miembro deberá tomar las medidas necesarias para asegurar que el acceso intencional sin derecho a un sistema de información o parte de el es castigable como delito, al menos en los casos no menores).

También plasma de la forma más dura posible el tipo dentro del Marco del Convenio de Budapest 2001:

"Each Party shall adopt such legislative and other measures as may be necessary to establish as criminal offences under its domestic law, when committed intentionally, the access to the whole or any part of a computer system without right. A Party may require that the offence be committed by infringing security measures, with the intent of obtaining computer data or other dishonest intent, or in relation to a computer system that is connected to another computer system."

(Cada estado miembro deberá adoptar a nivel legislativo y de otras formas las medidas necesarias para establecer como delito bajo su ley doméstica, cuando se haya cometido de forma intencional, el acceso a un sistema de ordenadores o parte del mismo sin derecho. El Estado miembro puede requerir si la ofensa a sido cometida infringiendo medidas de seguridad, con el intento de obtener datos informáticos o otras intenciones deshonestas, o en relación a un ordenador que esta conectado a una red o sistema).

Se ha optado así por no atender a la calidad del acceso, quizás para zanjar los problemas de prueba que eso puede ocasionar.

Pero...

Sin embargo la clave que ofrece de forma optativa el Convenio de Budapest es muy interesante y debiera haberse plasmado para delinear mas correctamente el tipo frente al espíritu del derecho penal y en concreto del artículo donde se encuentra, el 197, donde se habla del descubrimiento y revelación de secretos: la intencionalidad de obtener datos informáticos o otras intenciones deshonestas.

Porque un hacker es aquel que llega a la perfección máxima de su ciencia mediante el conocimiento absoluto del medio y las herramientas que se utilizan. La labor de un hacker informático es encontrar todas las imperfecciones de seguridad de una red o sistema. Y esto, va a ser delito. El hacker no podrá desarrollar su ciencia en sistemas existentes y, según el tipo penal, no podrá indicar la existencia de fallos en el mismo. Se dejará que llegue el cracker primero para destruir o apoderarse del sistema. 


Aquí el tipo de describe de forma demasiado abierta por un lado y se olvida de todo elemento subjetivo.

Una pena que se podría haber solucionado con dos palabras: intencionalidad deshonesta.


Para saber más:


Convenio Internacional de Budapest sobre Ciber-Crimen 2001 (inglés)


Decisión Marco 2005/222/JHA relativa a los ataques contra los sistemas de información (Bilingüe Inglés-Español)


LO 5/2010 de reforma el Código Penal (PDF).

Páginas de enlaces y comunicación pública: ¿Es delito?

La ley SINDE nace con el propósito de acabar con las llamadas web de enlaces, ya que la justicia esta determinando reiteradamente que un enlace no es delito a pesar de que haya lucro. Para ello se sirve de algo tan sencillo como eliminar a los jueces para poder ejercitar censura. 

¿Que ha venido considerando la justicia de las webs de enlaces? Trataré de explicarlo.

Regulación legal.

Este asunto se regula en el artículo 270.1 del Código Penal vigente:

"Será castigado con la pena de prisión de seis meses a dos años y multa de 12 a 24 meses quien, con ánimo de lucro y en perjuicio de tercero, reproduzca, plagie, distribuya o comunique públicamente, en todo o en parte, una obra literaria, artística o científica, o su transformación, interpretación o ejecución artística fijada en cualquier tipo de soporte o comunicada a través de cualquier medio, sin la autorización de los titulares de los correspondientes derechos de propiedad intelectual o de sus cesionarios."

El bien jurídico protegido por esta norma es el derecho de explotación del autor. 

¿Que es un enlace?

También llamado vínculo, hiperenlace o hipervínculo, en enlace es un elemento que sirve de vínculo a otro contenido en internet, un mero intermediario además de un elemento arquitectónico de internet.  

Por ejemplo, pinchando en esta frase ustedes acceden en una nueva pestaña al artículo en Wikipedia relativo a "hiperenlace".

Obviamente  el enlace no es el contenido sino que nos lleva a él.

¿Que es una web de enlaces?

En una web donde se recopilan enlaces que llevan a otro contenido alojado en un lugar distinto de internet, pero en ningún caso contienen el mismo. Por ejemplo, en las siguientes lineas introduzco enlaces a películas de Charles Chaplin.

The Kid

Charlie Chaplin Festival 

Evidentemente yo no he subido el archivo, están alojados en un servidor que no me pertenece, en este caso Youtube.

¿Las copias en internet están sujetas al régimen de la copia privada?

No, aunque la Ley de Propiedad Intelectual vigente, habilita la posibilidad de copia privada, esta se debe hacer bajo los siguientes parámetros:

• La copia o la reproducción debe ser en un solo ejemplar.
• Debe ser realizada por el adquirente original de un fonograma o videograma u obra literaria de circulación lícita.
• No puede tener fines lucrativos.
• La copia debe ser para un fin personal.
• Debe ser obtenida por una persona natural.
• No podrá ser empleada la copia en un modo que sea contrario a los usos del original adquirido (no puede haber comunicación pública). 

¿Las webs de enlaces tienen ánimo de lucro?

La norma entes referida establece dos condiciones, el perjuicio de tercero y el ánimo de lucro, además del dolo (la intención) que va directamente relacionado con este último.

No por tener enlaces tienes ánimo de lucro, puedo poner enlaces para descargar 100 películas en este blog y no percibiría ni un céntimo por ello.

Pero de haberlo puede ser, en teoría de dos tipos:

• Lucro directo: Proveniente de la comercialización de una copia, por ejemplo si para poder ver el enlace tienes que enviar un SMS con cargo adicional o hacer un ingreso en paypal. Estos casos, en cuanto a contenido ilegítimo, no han existido en ningún momento aunque si es habitual que los haya de forma legítima en el cine para adultos.

• Lucro indirecto: Si hay publicidad en la página, el gestor de la misma recibe dinero en función de las visitas, pero no directamente del contenido a lo que los enlaces dirigen. Ejemplos de estas páginas hay muchos y seguro que ustedes conocen unos cuantos. La consideración jurídica de ese lucro no esta del todo clara.

Sin embargo, el lucro no es la clave del asunto. Las condiciones antes indicadas, incluido el ánimo de lucro, funcionan una vez que se ha cometido un acto de los recogidos en la norma (conducta tipificada o tipo penal) para ver si la misma es punible.

¿Que tipo penal cometen las páginas de enlaces?

Esa es la gran pregunta, veamos:

• Reproducción: En la página de enlaces no se te facilita una copia, ya que en ningún momento el servidor que aloja esa web de enlaces contiene la misma. Se facilita un enlace que no contiene "per se" la obra protegida, sino que nos remite a un contenido en otra web, probablemente subido por otro usuario. 

• Plagio: En la página de enlaces no se atribuye una autoría distinta a la obra, de hecho se suele resaltar la verdadera.

• Distribución: En el ámbito civil y mercantil la distribución es venta al por menor, pero por especialidad nos referiremos al artículo 19.1 de la Ley de Propiedad Intelectual: “se entiende por distribución la puesta a disposición del público del original o copias de la obra mediante su venta, alquiler, préstamo o de cualquier otra forma”. Evidentemente no hay ni venta, ni alquiler, ni préstamo. Pero ¿y ese de cualquier otra forma? El responsable o propietario de esa web de enlaces ni siquiera tiene ese original o esas copias, por pura lógica no esta poniendo a disposición de terceros las mismas de ninguna forma. En cambio un top manta si cumple con el tipo. La clave sobre la distribución nos la da el artículo 20 de la Ley de Propiedad Intelectual cuando dice que habrá comunicación pública cuando "una pluralidad de personas pueda tener acceso a la obra sin previa distribución de ejemplares a cada una de ellas." y el apartado 2.e de este artículo nos dice "sea o no mediante abono". En la web de enlace no se facilita una copia porque ni siquiera se dispone de ella, ni se da esa escala comercial que debe entenderse de las palabras "venta, alquiler, préstamo, respecto a cualquier otra, ya vemos que en todo caso, si no hay abono, nos estaríamos refiriendo a comunicación pública. La jurisprudencia entiende que la distribución: "conduce a la obtención de un beneficio económico (...)pretendido o buscado al copiar la misma, bien para su posterior venta, bien para otros usos no exclusivos del propietario del soporte del que se obtienen las copias" (Sentencia caso Donkeymania y otros).

• Comunicación pública:  De nuevo por especialidad acudimos, por especialidad, al artículo 20 de la LPI que describe la comunicación pública genérica como: "todo acto por el cual una pluralidad de personas pueda tener acceso a la obra sin previa distribución de ejemplares a cada una de ellas." Y después hace una extensa enumeración de cuales pueden ser estos actos, de las cuales ninguna hace referencia explícita a las formas de comunicación posibles por internet, siendo tal vez la siguiente la mas adecuada: "2.e :La transmisión de cualesquiera obras al público por hilo, cable, fibra óptica u otro procedimiento análogo, sea o no mediante abono." Este quizás es el tipo que mas suspicacias causa, por lo que lo analizaré separadamente.

¿Hay comunicación pública en una web de enlaces?


Pondré un ejemplo sobre lo que es una web de enlaces:


En una biblioteca hay muchos libros, se supone que están ordenados, pero ir a buscar a ciegas a las estanterías, por mucho que esté ordenado alfabéticamente y por géneros, es poco práctico. Por ello, la propia biblioteca crea un índice, disponible en papel en el que nos dice la obra y donde se encuentra la misma.


Una web de enlaces tiene exactamente esa función. Ahora imaginemos que la biblioteca no ha creado ese índice, o la hecho sólo a grandes rasgos (como por ejemplo en internet hace google) y un usuario particular redacta ese índice que dice donde se encuentra cada obra. Por ejemplo: "La República de Platón", estantería 54.


La biblioteca sería internet y los libros los contenidos protegidos por los derechos de autor. El enlace es una referencia a la ubicación de la misma. Y esa ubicación, normalmente servicios como Rapidshare, Megaupload, Megavideo (para streming) o Fileserver (que normalmente desconocen el contenido de los archivos subidos por otros usuarios), o incluso enlaces P2P, que tienen una regulación totalmente distinta y donde no hay ánimo de lucro ni escala comercial.


Es evidente que las obras que hay en la biblioteca no le pertenecen. No hace copias, ni las plagia, ni las distribuye ni por supuesto las comunica públicamente. El hecho de poner publicidad en su índice o que los medios técnicos faciliten una inmediatez en el acceso no cambian para nada que no se comete ningún acto típico (sin entrar en si este sería punible por el ánimo de lucro o no).


Una vez entendido como funciona internet y las webs de enlaces no cabe ninguna duda:  

No hay comunicación pública. 



¿Ilegal o injusto?


Otra discusión  sería si es justo que alguien se lucre con una web de enlaces por encima del autor. Pero esa discusión debe realizarse junto con la siguiente. Hoy día, el coste de una copia se ha reducido enormemente, de hecho, en caso de copia digital, es cercana a 0, sin embargo, la copia digital vale lo mismo que la copia física y el autor, en el mejor de los casos se lleva un 10% del precio de venta, el 90% es para la industria que no ha tenido coste de copia y distribución.

• ¿Es legal una web de enlaces que se lucre de forma indirecta de obras creadas por terceros? Si lo es y de hecho, no hay ninguna sentencia condenatoria contra estas webs salvo por conformidad del acusado (por miedo a no poder hacer frente a los costes del proceso). ¿Es justo?

• ¿Es legal que la industria reporte el 10% o menos al autor pese a que los costes se han reducido a cero en el caso de las copias digitales? Si es legal, de hecho es habitual. ¿Es justo?

Para saber mas:


Hiperenlace en Wikipedia.
Art. 270 del Código Penal.
Sentencia caso Shareemula en pdf.
Sentencia caso Donkeymania.
Ley de Propiedad Intelectual. 
Sentencia Indice-web.com