Investigación de Delitos Informáticos

Este elemento es una profundización de los cursos y guías de Lawi. Ofrece hechos, comentarios y análisis sobre este tema. [aioseo_breadcrumbs] Sobre el particular, se reproducen algunos párrafos seleccionados de un artículo publicado en la Revista de Abogados del Estado (España), titulado “Reacciones jurídicas ante los ataques que se pueden producir a través de páginas webs” y cuyo autor es Edmundo B. Francés.

Muchos otros ataques se pueden generar a través del mundo telemático (a través de la propagación de virus, el robo de datos de las bases propiedad de otras personas y otras formas de espionaje industrial, la toma de control del ordenador ajeno, los ataques de denegación de servicio que dejan colgadas determinadas páginas web, la intrusión y cambio de contenidos de éstas, los SMS a móviles, la captura de los datos bancarios con distintos fines, los diversos usos
del correo electrónico, la desencriptación de contraseñas, la interceptación de comunicaciones a través del ordenador, etcétera). […]

Los de tercer nivel son frecuentes en otros países (por ejemplo, Argentina) y muy populares, aunque en España no han tenido demasiada demanda. Consisten en que como los de segundo nivel son muy estrictos en algunos países en cuanto a su asignación (necesidad de tener el dominio registrado como marca en el Registro de Patentes y Marcas, o ser signos identificativos de persona jurídica, etc.), se crean subdominios del tipo.com.es, o.org.es, con muchos menos requisitos para su asignación. (Tal vez sea de interés más investigación sobre el concepto). También están gestionados en España por Red.es. […] [S]i las conductas lesivas se producen a través de un.es no tendremos muchos problemas para la identificación de la persona que los protagoniza y el ejercicio de acciones judiciales contra
ella, como luego veremos. […]

También es posible tener alojada la página en el propio ordenador, pero para ello hay que
tener dirección IP fija (lo cual es bastante caro en relación a los sistemas de IP dinámica que ofrecen los planes de los proveedores de servicio de consumo común para el hogar y la empresa). […] [P]arece difícil, aunque no sea imposible, que el órgano u Organismo público defraudado registre todos los nombres de dominio que hagan referencia a su nombre y a las personas que ocupan sus cargos directivos y con todas las frases que se puedan construir en castellano con sus nombres, con todos los sufijos de primer, segundo y tercer nivel a los que antes me
he referido (examine más sobre estas cuestiones en la presente plataforma online de ciencias sociales y humanidades). Basta meterse en alguna de las páginas españolas de registro […] e intentar reservar algún dominio con un nombre correspondiente a alguna institución y veremos que la mayor parte de ellos estarán disponibles y se pueden comprar por un precio muy barato. […]

Anonimato

Los ‘paraísos informáticos’ son países que en sus dominios de segundo y tercer nivel,
gestionados por ellos mismos, tienen una legislación nacional absolutamente permisiva y opaca, con lo que no atienden a ningún requerimiento de información de Tribunales extranjeros.

El whois general, para los dominios de primer nivel, se encuentra en la dirección http://www.internic.net/whois.html, bajo la dependencia de la ICANN. Aquí podemos buscar quién es el registrador, el nombre de los servidores donde se aloja la página y, si el dominio se encuentra dentro de la gestión de la ICANN, directamente el nombre del titular. La base de datos es inmensa y su consulta arroja esperas tediosas y muchas veces fallos de búsqueda. Por eso, es más sencillo acudir a cualquier registrador, por ejemplo, los dos españoles indicados más arriba, tratar de registrar un dominio a nuestro nombre y cuando nos diga que está ocupado, pulsar sobre los datos del titular a cuyo nombre se encuentra registrado, normalmente indicado con una “i” minúscula. O también, después de consultar la base de datos de la ICANN acudir al whois del registrador concreto que resulte de esta primera búsqueda, donde encontraremos los datos ampliados del titular del dominio que estamos investigando.Entre las Líneas En el caso de dominios.es, el whois, gestionado por Red.Es, se encuentra en http://www.nic.es/buscador-dominios/article/1482

Datos estos que no tienen que ser comprobados por el registrador. Después veremos cómo acometer este problema, pero ya de antemano, diremos que el registro no suele ser gratis y que el pago debe hacerse forzosamente a través de transferencia bancaria, tarjeta de crédito o sistemas de pago especiales de Internet (como Paypal) que no permiten pagos anónimos.

Mutabilidad del contenido de las páginas

Con extraordinaria facilidad, el autor de la página puede variar sus contenidos, de modo que, después de puesta la demanda o la querella, los cambie, haciendo desaparecer el contenido ofensivo y dejarnos sin la prueba de los hechos que alegamos.

Es una opinión extendida, pero equivocada, que esto se soluciona con la obligación que tienen los prestadores del servicio de Internet (ISP, en inglés) de tener que retener durante un tiempo
los datos del tráfico, según disponía, en su redacción original, el artículo 12 de la Ley de Servicios de la Sociedad de la Información, 34/2002, de 11 de junio y en la actualidad la Ley 25/2007, de 18 de octubre, de conservación de datos relativos a las comunicaciones electrónicas y a las redes públicas de comunicaciones.Entre las Líneas En su artículo 3, con claridad se señala cuál es el ámbito de esta conservación de datos y por lo que se refiere a Internet, en su párrafo, 1.2º se señala que se conservarán “con respecto al acceso a Internet, correo electrónico
por Internet y telefonía por Internet: i) la identificación de usuario asignada; ii) la
identificación de usuario y el número de teléfono asignados a toda comunicación
que acceda a la red pública de telefonía; iii) el nombre y dirección del abonado o del usuario registrado al que se le ha asignado en el momento de la comunicación una dirección de Protocolo de Internet (IP), una identificación de usuario o un número de teléfono”. Estos datos nos servirán en algún caso para la identificación de la persona, oficiándose a las compañías prestadoras, obteniendo las IPs y su asignación a ordenadores concretos tales días, a tales horas, descubriéndose al autor, pero no sirven para la prueba de contenidos. A continuación el precepto citado detalla otros pormenores de esta obligación de conservación de datos, pero sigue sin referirse en ningún caso a los contenidos de páginas o correos electrónicos o conversaciones a través de VoIP (voice over IP, conversaciones habladas o videoconferencias mantenidas a través de diversos programas, entre ellos, los más populares Skype o Messenger). […]

Los medios de prueba […] más frecuentemente usado, es el acta notarial en el que el Abogado (o, en nuestro caso, el funcionario del Organismo interesado) comparece ante el Notario y le requiere para que desde su ordenador consulte determinada página, la imprima y certifique que en tal día y hora el contenido de la dirección web tecleada en su ordenador era exactamente ese.

Falta de sujeción de ciertos operadores informáticos a la soberanía del Juez nacional

El problema es el siguiente: el atacante, a todas luces español, registra con nombre supuesto una determinada página, ofensiva para alguna institución pública o, simplemente, lesiva de su mejor derecho a poseerla porque hace mención a su nombre como institución o como Administración (muy frecuente, en el caso de los Ayuntamientos, hasta que estos han empezado a reservar los nombres de dominio con el nombre del municipio). El contenido de la página está en castellano, se refiere a una institución o persona española, incluso trata algún tema de actualidad nacional, etcétera.

Sin embargo, como nombre del dueño del dominio aparece un ciudadano de un país remotísimo y una dirección postal, por ejemplo (es un caso real) en la décimotercera planta de un edificio de oficinas (que existe de verdad, lo comprobé por Internet) en Shangai.

Necesitamos, antes de ponerle una demanda civil o una querella criminal, conocer quién es esta persona, cuyo nombre no resulta del whois. Necesitamos, por tanto, requerir la información del pago bancario por la adquisición del dominio, el alojamiento de la página o, en su caso, el diseño, a las entidades mercantiles a las que me he referido más arriba, es decir, registrador del dominio, alojador de la página y… quizás, al diseñador de la web (que por vanidad o negocio suele dejar en lugar oculto de la página su seña de identidad). Y todas estas entidades privadas, que sabemos cuales son, a través del Whois, pongo por caso que tienen su domicilio en el extranjero. […]

Respecto a los europeos, no hay problema: los artículos 8 y siguientes de la Ley 34/2002 (en redacción dada por la Ley 56/2007, de 28 de diciembre, de Medidas de Impulso de la Sociedad de la Información) establecen el cauce e imponen la obligación de colaboración, incluso a nivel administrativo, sin necesidad de intervención judicial, según los casos, estableciendo la posibilidad de bloqueo de determinadas páginas en España (lo que constituye directamente la consabida e ingenua pretensión de “poner puertas al campo” porque cualquier español seguirá pudiendo ver el contenido de esa página para España sin más que conectarse a ella a través de un proxy anónimo o un servidor extranjero).

Respecto a los extraeuropeos, deberemos intentar en primer lugar acudir al Tratado General de Cooperación Judicial que pueda existir con este país en concreto donde tienen su residencia las entidades anteriormente citadas (teniendo en cuenta que la registradora y la alojadora suelen ser la misma, pues es frecuente la oferta de pack a buen precio de registro + hosting). El Tratado puede existir o no y, en caso de existir, puede que excluya el caso que nos ocupa (sobre todo si es un tema civil de competencia desleal, no constitutivo de delito) de la obligación internacional de cooperación.

Finalmente, el Tratado Internacional específico, de referencia en la materia es el Convenio de Budapest, suscrito en el seno del Consejo de Europa. […] Tampoco resuelve íntegramente el problema, dado que algunos Estados no lo han firmado y, además, su ámbito de aplicación solo se restringe a los supuestos de intrusiones y abuso de las redes informáticas y la comisión de algunos delitos muy relacionados con la propia informática, como la difusión de pornografía infantil o la violación de derechos de propiedad intelectual o industrial sobre obras artísticas o
científicas o programas de ordenador. […]

Pues bien, como después veremos, aunque nunca un ataque como el que analizamos será anónimo, si es posible que no podamos descubrir a su autor. Aún así, lo veremos después, hay algún remedio jurídico y solo un caso sin resolver a través de medios lícitos. Los ilícitos son evidentes: se inutiliza la página web destruyéndola del servidor, mediante una intrusión ilegal en él, franqueando sus sistemas de defensa (aunque el autor siempre podría volver a subirla), o se anula temporalmente mediante un ataque de denegación de servicio. Ambos medios (y otros) podrían ser constitutivos de delito, si se tiene la pericia suficiente para identificar al agresor. […]

Basado en la experiencia de varios autores, mis opiniones, perspectivas y recomendaciones se expresarán a continuación (o en otros lugares de esta plataforma, respecto a las características en 2026 o antes, y el futuro de esta cuestión):

Supuestos y Soluciones

Como las entidades registradoras que están autorizadas por la ICANN o por la autoridad nacional, tienen la obligación, en función de los protocolos que suscriben, de cumplir las sentencias que se dicten en instancias nacionales o internacionales, ni siquiera las entidades residentes en los paraísos informáticos, aunque se nieguen a suministrar información, se pueden resistir al cumplimiento de estas sentencias, en cuanto a la desaparición o transferencia coactiva del nombre de dominio, porque al final, dependen de la ICANN quien les puede revocar la autorización en la que basan su negocio mercantil. […] [E]l artículo 34.3 e) de la Ley 17/2001, de 17 de diciembre, de Marcas, atribuye el titular de
la marca el derecho exclusivo de uso de este nombre como dominio de Internet, para cual es muy conveniente que el Organismo u órgano tenga inscrito dicho nombre en la Oficina Española de Patentes y Marcas. […]

Muchas empresas en Internet dan el derecho a disfrutar de un nombre de dominio gratuitamente, que normalmente, en su propia denominación, suele llevar el nombre de la empresa.

Hacer desaparecer páginas como éstas es sencillísimo. Cuando el titular registra este dominio, debe aceptar unas “políticas de uso” de la página, las denominadas “policies”.Entre las Líneas En estas páginas
además hay apartados de “contacta” o “denuncia de abusos”. Vamos a él, ponemos un correo electrónico a esta empresa, normalmente, en inglés, donde nos presentamos como Abogados del Estado, indicando la referencia a nuestro nombramiento en el BOE con el link, describimos el problema, si se trata de empresa americana es sencillo encontrar por Internet el Código Penal del Estado norteamericano donde tiene su domicilio ésta y el delito que presuntamente se puede estar cometiendo (en el caso de las injurias y calumnias, el “crime of libel”, castigado durísimamente en la legislación norteamericana), describimos a la persona o institución como
parte del Estado español, haciendo hincapié en las importantes funciones que desarrolla al servicio del interés general, ponemos de manifiesto la infracción del apartado que sea de las policies, consultándolas y normalmente en 24 horas, la entidad desactiva la página que está
trayendo por la calle de la amargura a nuestra cliente, cargo público.

Podría pensarse que podemos hacer lo mismo si el registro de la web es de pago. Y no es así, puesto que el titular ha firmado un contrato con la empresa y esta contesta que no se hace responsable de los contenidos de la página web, sino solo de mantener el registro. Obviamente, lo digo por experiencia.

Por último, debe advertirse que aunque hayamos hecho desaparecer la página, es posible que una copia de ésta siga presente en la caché de Google, visible sin más que localizar la página
a través del buscador y hacer click en esa leyenda pequeña que pone “en caché” debajo del resultado de la búsqueda. Para su completa desaparición, hay que ponerse en contacto con Google, a través del mismo sistema que hemos descrito anteriormente, requiriéndoles
para que la borren de sus servidores.

▷ Esperamos que haya sido de utilidad. Si conoces a alguien que pueda estar interesado en este tema, por favor comparte con él/ella este contenido. Es la mejor forma de ayudar al Proyecto Lawi.