Ciberdelincuencia y agentes de la amenaza

Tema desarrollado para preparar el primer ejercicio de conocimientos de la Escala Ejecutiva (Inspector/a) de la Policía Nacional. La información es orientativa y está verificada a la fecha de actualización frente al BOE y a las fuentes oficiales; el contenido evaluable lo fija el temario del anexo II de tu convocatoria (Resolución de 31 de julio de 2025, BOE-A-2025-16611). Es un tema con presencia acreditada en convocatorias oficiales: han caído literalmente el órgano de colaboración público-privada del Sistema de Seguridad Nacional, la definición de botnet, el rogue o scareware, el doxing, el cryptojacking, la diferencia entre typosquatting y cybersquatting, y la familia de ataques a la que pertenece el spoofing. ⚠️ Dos avisos: la estafa informática dejó de estar en el artículo 248.2 del Código Penal y desde el 12 de enero de 2023 vive en el 249.1.a); y el grooming, desde el 7 de octubre de 2022, es el artículo 183, no el 183 ter.

Índice

• 1. La ciberdelincuencia
  • 1.1. Concepto y delito informático propio e impropio
  • 1.2. Qué la hace distinta
  • 1.3. El marco normativo
  • 1.4. La ciberseguridad en el Sistema de Seguridad Nacional
  • 1.5. Los CSIRT de referencia y la respuesta policial
• 2. Las cuatro familias de ciberataques
• 3. Ingeniería social
  • 3.1. El eslabón humano
  • 3.2. Phishing y su familia
  • 3.3. Business E-mail Compromise y fraude del CEO
  • 3.4. Cartas nigerianas y fraudes de anticipo
  • 3.5. Rogue, scareware y fraude del soporte técnico
  • 3.6. Las demás técnicas
• 4. Ataques a las conexiones
  • 4.1. Spoofing y sus modalidades
  • 4.2. Hombre en el medio, sniffing y secuestro de sesión
  • 4.3. Pharming
  • 4.4. Typosquatting y cybersquatting
  • 4.5. Denegación de servicio
• 5. Malware
  • 5.1. Concepto y familias
  • 5.2. Virus, gusano y troyano
  • 5.3. Spyware, keylogger y adware
  • 5.4. Ransomware
  • 5.5. Botnet
  • 5.6. Cryptojacking
  • 5.7. Rootkit, puerta trasera y malware sin fichero
• 6. Ataques a las aplicaciones web
  • 6.1. Inyección SQL
  • 6.2. Secuencias de comandos en sitios cruzados (XSS)
  • 6.3. Vulnerabilidad de día cero
• 7. Skimming y fraude de medios de pago
• 8. Los agentes de la amenaza
  • 8.1. Quién ataca y por qué
  • 8.2. Hacker y los sombreros
  • 8.3. Hacktivistas
  • 8.4. La amenaza interna
  • 8.5. Amenazas persistentes avanzadas
  • 8.6. Crime as a Service
• 9. La Cyber Kill Chain
• 10. Doxing, acoso y suplantación
• 11. Los delitos en el Código Penal
• 12. Diez claves para el examen

1. La ciberdelincuencia

1.1. Concepto y delito informático propio e impropio

Se entiende por ciberdelincuencia el conjunto de conductas delictivas cometidas mediante las tecnologías de la información y la comunicación o contra ellas. Esa doble preposición no es un adorno: separa las dos categorías con las que se ordena toda la materia.

• Delito informático propio o ciberdelito en sentido estricto: aquel en el que el sistema informático es el objeto del ataque y que no existiría sin la tecnología. Ejemplos: el acceso ilícito a un sistema, los daños informáticos, la interceptación de transmisiones, la denegación de servicio.
• Delito informático impropio o ciberdelito en sentido amplio: delitos de toda la vida en los que la tecnología es solo el medio. Ejemplos: la estafa, las amenazas, el descubrimiento de secretos, la pornografía infantil o el blanqueo. Existían antes de Internet; lo que cambia es la escala y el alcance.

La distinción tiene consecuencia práctica: en el delito propio la prueba está casi siempre dentro del sistema atacado —registros, trazas, artefactos—, mientras que en el impropio la investigación se parece más a la de su equivalente físico, con la tecnología aportando el rastro del autor.

1.2. Qué la hace distinta

Cinco rasgos explican por qué la ciberdelincuencia desborda los esquemas clásicos:

• Transnacionalidad: autor, víctima, infraestructura y datos suelen estar en países distintos, con lo que casi cualquier caso exige cooperación internacional.
• Distancia y anonimato: el autor no se expone físicamente y dispone de herramientas de ocultación —redes de anonimato, servidores intermedios, criptomonedas— que dificultan la atribución.
• Escalabilidad: el mismo esfuerzo que engaña a una víctima engaña a un millón. Es la diferencia esencial con la delincuencia tradicional y explica que sean rentables fraudes de importes ridículos.
• Asimetría: un atacante con recursos modestos puede causar un daño enorme, porque solo necesita acertar una vez mientras el defensor tiene que acertar siempre.
• Cifra negra: la mayor parte no se denuncia, por desconocimiento, por vergüenza —muy marcada en los fraudes sentimentales— o, en el caso de las empresas, por el daño reputacional que supondría reconocer la intrusión.

1.3. El marco normativo

El armazón jurídico se ordena en tres planos:

Internacional y europeo. El Convenio sobre la Ciberdelincuencia del Consejo de Europa, hecho en Budapest el 23 de noviembre de 2001 y ratificado por España —instrumento publicado en el BOE de 17 de septiembre de 2010—, es el primer tratado internacional de la materia: armoniza tipos penales, impone medidas procesales como la conservación rápida de datos y crea una red de puntos de contacto 24 horas los 7 días de la semana. Su Segundo Protocolo Adicional, abierto a la firma en Estrasburgo en mayo de 2022, refuerza la cooperación y el acceso a la prueba electrónica. En el plano de la Unión, el Reglamento (UE) 2023/1543 sobre órdenes europeas de producción y conservación —el paquete e-Evidence—, aplicable desde el 18 de agosto de 2026, permite dirigirse directamente al prestador establecido en otro Estado miembro.

Penal y procesal interno. El Código Penal no tiene un título propio de «ciberdelitos»: los reparte por los bienes jurídicos que protege, y el apartado 11 los recorre. La Ley de Enjuiciamiento Criminal, tras la Ley Orgánica 13/2015, contiene el catálogo de medidas de investigación tecnológica de los artículos 588 bis y siguientes.

De seguridad de las redes y sistemas. Aquí conviven varias normas y conviene no mezclarlas:

• La Ley 36/2015, de 28 de septiembre, de Seguridad Nacional, que configura la ciberseguridad como uno de los ámbitos de especial interés de la Seguridad Nacional.
• La Ley 8/2011, de 28 de abril, de protección de las infraestructuras críticas, y su reglamento, que crean el catálogo de infraestructuras estratégicas y el sistema de planes de protección.
• El Real Decreto-ley 12/2018, de 7 de septiembre, de seguridad de las redes y sistemas de información, que transpuso la Directiva NIS (UE) 2016/1148, desarrollado por el Real Decreto 43/2021, de 26 de enero. Obliga a los operadores de servicios esenciales y a los proveedores de servicios digitales a gestionar riesgos y a notificar incidentes.
• El Real Decreto 311/2022, de 3 de mayo, que regula el Esquema Nacional de Seguridad (ENS) para los sistemas de las administraciones públicas.

⚠️ Y una advertencia importante para no dar por hecho lo que todavía no lo es: la Directiva NIS2 (UE) 2022/2555, que sustituye a la NIS y amplía enormemente los sectores obligados y las sanciones, tenía como plazo de transposición el 17 de octubre de 2024, y España no lo cumplió. A la fecha de este apunte su transposición sigue en tramitación parlamentaria mediante el anteproyecto de Ley de Coordinación y Gobernanza de la Ciberseguridad, y la Comisión Europea ha abierto expediente de infracción. Hasta que esa ley se publique en el BOE, lo vigente en España sigue siendo el Real Decreto-ley 12/2018. Decir lo contrario es el error que más se repite en el material de estudio de estos años.

1.4. La ciberseguridad en el Sistema de Seguridad Nacional

La Estrategia Nacional de Ciberseguridad 2019 —aprobada por el Consejo de Seguridad Nacional el 12 de abril de 2019 y publicada por la Orden PCI/487/2019, de 26 de abril— es el documento que ordena la materia y sigue vigente. Define cinco objetivos y siete líneas de acción, y sobre todo fija la estructura orgánica, que es lo que se pregunta:

• El Consejo de Seguridad Nacional, Comisión Delegada del Gobierno para la Seguridad Nacional, presidido por el Presidente del Gobierno. Es el órgano superior.
• El Consejo Nacional de Ciberseguridad, comité especializado que apoya al Consejo de Seguridad Nacional y asiste al Presidente del Gobierno en la dirección y coordinación de la política de Seguridad Nacional en el ámbito de la ciberseguridad, y que refuerza las relaciones de coordinación entre las administraciones.
• El Comité de Situación, que da respuesta a las situaciones de crisis.
• La Comisión Permanente de Ciberseguridad, que facilita la coordinación interministerial en el nivel operacional y asiste al Consejo Nacional de Ciberseguridad en la valoración técnica y operativa de los riesgos y amenazas.
• 🚨 El Foro Nacional de Ciberseguridad, creado en 2020 al amparo de la línea de acción 4 de la Estrategia, que es el elemento de colaboración público-privada: el que actúa en la potenciación y creación de sinergias entre el sector público y el privado y en la generación de conocimiento sobre las oportunidades, los desafíos y las amenazas del ciberespacio. Esa es, palabra por palabra, la respuesta que dio por buena el tribunal.

La regla para no confundirlos: el Consejo Nacional de Ciberseguridad dirige y coordina en el plano político-estratégico; la Comisión Permanente coordina en el plano operativo e interministerial, y ambos son públicos; el Foro es el único que abre la mesa al sector privado, la academia y la sociedad civil.

1.5. Los CSIRT de referencia y la respuesta policial

Un CSIRT (Computer Security Incident Response Team) es un equipo de respuesta a incidentes de seguridad informática. El artículo 11 del Real Decreto-ley 12/2018 designa tres de referencia y les asigna una comunidad distinta, que es exactamente lo que se pregunta:

CSIRT	De quién depende	A quién atiende
CCN-CERT	Centro Criptológico Nacional	Las entidades del sector público, es decir, las incluidas en el ámbito de la Ley 40/2015
INCIBE-CERT	Instituto Nacional de Ciberseguridad	Las entidades no incluidas en la Ley 40/2015, y además ciudadanos y entidades privadas
ESPDEF-CERT	Ministerio de Defensa	Coopera con los anteriores y actúa en lo que incida en la Defensa Nacional

Dos matices que suelen preguntarse: el INCIBE-CERT se opera conjuntamente con el CNPIC —el Centro Nacional de Protección de Infraestructuras y Ciberseguridad, de la Secretaría de Estado de Seguridad— en todo lo relativo a incidentes que afecten a operadores críticos; y en los supuestos de especial gravedad, la coordinación nacional de la respuesta técnica la ejerce el CCN-CERT.

En el plano policial, la Policía Nacional actúa a través de la Unidad Central de Ciberdelincuencia (UCC), integrada en la Comisaría General de Policía Judicial por la Orden INT/859/2023, de 21 de julio, con la Brigada Central de Seguridad Informática, la de Investigación Tecnológica y la de Fraudes Informáticos; la Guardia Civil, a través de su Departamento de Delitos Telemáticos; y en el ámbito europeo, Europol y su centro EC3.

2. Las cuatro familias de ciberataques

Para ordenar el catálogo del epígrafe conviene usar la clasificación que maneja el INCIBE, porque es la que ha empleado el tribunal. Agrupa los ataques en cuatro familias según cuál sea la vía por la que entran:

Familia	Qué ataca	Ejemplos
Ataques a contraseñas	Las credenciales de acceso	Fuerza bruta, ataque de diccionario, relleno de credenciales
Ataques por ingeniería social	A la persona, no a la máquina	Phishing, vishing, smishing, baiting, fraude del CEO, cartas nigerianas
Ataques a las conexiones	La comunicación entre equipos	🚨 Spoofing, redes trampa, hombre en el medio, sniffing, secuestro de sesión, ataques a cookies, inyección SQL, denegación de servicio
Ataques por malware	El equipo, mediante código dañino	Virus, gusano, troyano, spyware, ransomware, botnet, cryptojacking, rootkit

🚨 De ahí sale una pregunta que ha caído literalmente: el spoofing se clasifica dentro de los ataques a las conexiones. No es un ataque por malware —no hay código dañino que infecte el equipo— ni un ataque a contraseñas —no persigue adivinar una credencial—: lo que hace es suplantar la identidad de un elemento de la comunicación para colarse en ella. La regla mnemotécnica: si el ataque se mete en medio del canal, es de conexiones; si engaña a la persona, es de ingeniería social; si instala código, es de malware; y si prueba claves, es de contraseñas.

⚠️ Dos advertencias sobre esta clasificación. La primera: no es una taxonomía legal, sino una ordenación divulgativa, y hay ataques que encajan en varias familias —un correo de phishing que entrega un troyano es ingeniería social y malware—. La segunda: cuando el enunciado pregunte «según los tipos de ciberataques», está pidiendo esta clasificación, así que la respuesta hay que buscarla entre estas cuatro etiquetas y no entre las categorías penales.

3. Ingeniería social

3.1. El eslabón humano

La ingeniería social es el conjunto de técnicas de manipulación psicológica dirigidas a que sea la propia víctima quien entregue información, credenciales o dinero, o quien ejecute la acción que el atacante necesita. No ataca a la máquina: ataca a la persona, y por eso ninguna medida técnica la neutraliza del todo.

Se apoya en resortes psicológicos muy estudiados que conviene saber nombrar, porque son los que explican por qué funciona con gente perfectamente competente:

• Autoridad: el mensaje parece venir del banco, de la policía, de Hacienda o del director general.
• Urgencia y miedo: «su cuenta será bloqueada en 24 horas», «hay una orden de detención contra usted». La prisa impide comprobar.
• Confianza y familiaridad: se imita la imagen de una marca conocida o se escribe desde la cuenta de un compañero ya comprometida.
• Codicia y curiosidad: un premio, una herencia, una factura inesperada que hay que abrir.
• Reciprocidad y prueba social: se hace un pequeño favor previo o se sugiere que «todos los demás ya lo han hecho».

Su antesala es el reconocimiento: cuanto más sabe el atacante de la víctima —cargo, jerarquía, viajes, proveedores, aficiones—, más creíble es el engaño. De ahí que las redes sociales corporativas y personales sean la primera fuente de un ataque dirigido.

3.2. Phishing y su familia

El phishing es el envío masivo de mensajes que suplantan a una entidad legítima para que la víctima entregue credenciales o datos bancarios, normalmente llevándola a una página falsa que imita a la real. El nombre juega con fishing, «pescar»: se lanza la red y se espera a que pique una fracción.

La familia se distingue por el canal y por el grado de personalización, y esa doble clave es la que resuelve las preguntas:

Término	Canal	Objetivo
Phishing	Correo electrónico	Masivo e indiscriminado
Spear phishing	Correo electrónico	Dirigido a una persona u organización concreta, con datos que la hacen creíble
Whaling	Correo electrónico	Dirigido a un alto directivo: la «ballena»
Vishing	Voz: llamada telefónica	Suele suplantar al banco o al servicio técnico
Smishing	SMS o mensajería	Enlace a página falsa o a descarga de aplicación
Quishing	Código QR	El QR lleva a la página falsa, esquivando los filtros de enlaces

La diferencia entre phishing y spear phishing es la que más se pregunta: el primero es una red de arrastre, el segundo un arpón. El spear phishing exige trabajo previo de reconocimiento, tiene tasas de éxito mucho más altas y es el vector de entrada habitual de los ataques dirigidos y de las amenazas persistentes avanzadas.

3.3. Business E-mail Compromise y fraude del CEO

El Business E-mail Compromise (BEC), o compromiso del correo corporativo, es el fraude que suplanta —o toma el control de— una cuenta de correo de una empresa para conseguir que alguien con capacidad de pago realice una transferencia a una cuenta controlada por el atacante, o que revele información sensible.

Sus modalidades características:

• Fraude del CEO: el empleado de administración recibe un correo aparentemente del máximo directivo pidiéndole con urgencia y confidencialidad una transferencia para una operación reservada. La urgencia y el respeto jerárquico impiden que se verifique.
• Fraude del proveedor o estafa de la factura: se intercepta la relación con un proveedor real y se envía una factura legítima con el número de cuenta cambiado. Es el más difícil de detectar, porque todo lo demás encaja.
• Suplantación de abogado o de un tercero de confianza en una operación en curso.

El BEC es, en pérdidas económicas, uno de los fraudes más dañinos que existen, precisamente porque no necesita malware: no hay nada que un antivirus pueda detectar. Su defensa es de procedimiento, no técnica: doble verificación por un canal distinto —una llamada al número que ya se tenía, nunca al que figura en el correo— antes de cambiar un número de cuenta o de ejecutar un pago fuera de lo ordinario.

3.4. Cartas nigerianas y fraudes de anticipo

Las cartas nigerianas —conocidas también como estafa 419, por el artículo del Código Penal de Nigeria que las castiga— son el fraude de pago por adelantado por excelencia: un mensaje promete a la víctima una suma enorme —una herencia, unos fondos bloqueados, una comisión por ayudar a sacar un capital de un país— a cambio de que adelante cantidades relativamente pequeñas para gastos, tasas o sobornos. Los adelantos se encadenan y el premio nunca llega.

Su rasgo más contraintuitivo es que los mensajes suelen estar mal redactados a propósito: el burdo filtrado descarta a quien desconfía y deja solo a las víctimas más susceptibles, que son las que compensan el esfuerzo posterior. La familia incluye variantes que se preguntan por separado: la estafa de la lotería, la estafa del amor o romance scam —una relación sentimental construida durante meses que acaba en peticiones de dinero—, la estafa de la falsa oferta de empleo y las falsas inversiones en criptomonedas.

⚠️ Un matiz de interés policial: en muchos de estos fraudes la víctima acaba, sin saberlo, actuando como mula de dinero —recibiendo transferencias y reenviándolas—, lo que puede acarrearle responsabilidad por blanqueo. Explicar esa consecuencia es parte del trabajo preventivo.

3.5. Rogue, scareware y fraude del soporte técnico

🚨 Se denomina rogue o scareware a los sitios web o programas que simulan ser una aplicación de seguridad —normalmente gratuita— pero que en realidad instalan otros programas dañinos. Esa es la definición que dio por buena el tribunal, y conviene retener sus dos piezas: se disfrazan de antivirus o de herramienta de limpieza, y lo que instalan es malware.

Su mecánica típica es una ventana emergente alarmista —«su equipo está infectado con 37 virus»— que ofrece la solución milagrosa. De ahí el nombre scareware: software que asusta. Puede quedarse en el fraude del pago por una licencia inútil o servir de puerta de entrada a un troyano.

Muy próximo está el fraude del soporte técnico: una llamada o una ventana que dice venir del fabricante del sistema operativo y pide instalar un programa de asistencia remota. Concedido el control, el atacante roba datos, instala malware o accede a la banca en línea de la víctima. Es una de las vías de estafa más habituales contra personas mayores.

⚠️ No confundir el rogue con el ransomware, que no simula ser un antivirus sino que cifra los ficheros y pide un rescate, ni con la botnet, que es una red de equipos infectados. Los tres se han ofrecido juntos como opciones en el mismo examen.

3.6. Las demás técnicas

• Pretexting: el atacante construye un pretexto elaborado —una identidad y una historia verosímiles— y sostiene la conversación para ir extrayendo información. Es la técnica base del vishing y del fraude del soporte técnico.
• Baiting o cebo: se deja al alcance de la víctima algo atractivo —clásicamente una memoria USB abandonada en un aparcamiento— para que sea ella quien lo conecte.
• Quid pro quo: se ofrece un servicio o un beneficio a cambio de la información o del acceso.
• Tailgating o piggybacking: colarse en una zona restringida detrás de alguien autorizado, aprovechando la cortesía de que le sostengan la puerta.
• Shoulder surfing: mirar por encima del hombro mientras la víctima teclea una clave.
• Dumpster diving: rebuscar en la basura documentación, notas o soportes desechados sin destruir.

4. Ataques a las conexiones

4.1. Spoofing y sus modalidades

El spoofing o suplantación consiste en falsificar la identidad de un elemento de la comunicación —una dirección, un remitente, un sitio— para hacerse pasar por él y engañar al sistema o al usuario. Pertenece, como se ha dicho, a los ataques a las conexiones. Sus modalidades:

• Spoofing de IP: se falsea la dirección de origen de los paquetes. Sirve para ocultar el origen, para saltarse filtros basados en dirección y, sobre todo, para los ataques de amplificación, en los que la respuesta se dirige a la víctima.
• Spoofing de ARP: se envían respuestas ARP falsas en la red local para que las víctimas asocien la dirección física del atacante con la IP de la puerta de enlace. Es la vía clásica para colocarse en medio del tráfico de una red conmutada.
• Spoofing de DNS o envenenamiento de caché: se manipula la resolución de nombres para que un dominio legítimo apunte al servidor del atacante.
• Spoofing de correo: se falsifica el remitente de un mensaje. Es trivial porque el protocolo original no autentica al emisor, y por eso existen SPF, DKIM y DMARC.
• Spoofing web: se clona un sitio legítimo para capturar lo que en él se teclee.
• Spoofing telefónico o caller ID spoofing: se manipula el número que aparece en la pantalla de la víctima, técnica habitual en el vishing y en las estafas que aparentan venir del banco.
• Spoofing de GPS: se emiten señales falsas de posicionamiento para desviar a un receptor.

4.2. Hombre en el medio, sniffing y secuestro de sesión

• Ataque de intermediario u hombre en el medio (man in the middle): el atacante se sitúa entre los dos extremos de una comunicación y puede leerla y alterarla sin que ninguno lo advierta. Se llega a esa posición mediante spoofing de ARP o de DNS, una red trampa o un proxy malicioso.
• Sniffing o esnifado: captura pasiva del tráfico que circula por la red. En sí mismo no altera nada, y de ahí que sea difícil de detectar; su eficacia depende de que el tráfico vaya sin cifrar.
• Secuestro de sesión (hijacking): robo del identificador de sesión —típicamente una cookie— para continuar la sesión ya autenticada de la víctima sin necesidad de su contraseña. Por eso una segunda credencial no protege si la sesión ya está abierta y la cookie se roba.
• Red trampa o gemelo malvado: un punto de acceso inalámbrico que copia el nombre de uno legítimo para que las víctimas se conecten a él.

4.3. Pharming

El pharming desvía a la víctima a un sitio web falso aunque haya escrito correctamente la dirección. No hay error de tecleo ni enlace engañoso: lo que se ha manipulado es el mecanismo de resolución de nombres, bien en el propio equipo —alterando el fichero de hosts mediante un troyano—, bien en el servidor DNS o en el encaminador doméstico.

🚨 Ahí está la diferencia que conviene tener grabada, porque los tres se confunden:

• En el phishing, la víctima hace clic en un enlace del mensaje que la lleva a la página falsa.
• En el pharming, la víctima escribe bien la dirección y aun así acaba en la página falsa, porque la resolución del nombre está envenenada.
• En el typosquatting, la víctima escribe mal la dirección y aterriza en un dominio parecido registrado por el atacante.

4.4. Typosquatting y cybersquatting

🚨 Es una distinción que ha caído literalmente. Los dos consisten en registrar dominios ajenos a su titular legítimo, pero con finalidad distinta:

• Typosquatting —o secuestro de erratas—: se registran dominios parecidos a los legítimos jugando con los errores de tecleo más frecuentes —una letra cambiada, una duplicada, la extensión equivocada—, de modo que el usuario que teclea mal por error la dirección en su navegador acaba en una página que no es la que buscaba. Esa es exactamente la definición del examen. Se usa para phishing, para distribuir malware o para vender publicidad.
• Cybersquatting —o ciberocupación—: se registra el dominio que corresponde a una marca o al nombre de una persona, sin derecho sobre él y de mala fe, normalmente para revendérselo caro a su legítimo titular o para aprovechar su reputación. Aquí no hay error de tecleo: el dominio es el bueno, y quien lo tiene no debería.

La regla para no fallar: typo viene de typo, la errata; si el enunciado habla de teclear mal, es typosquatting. Si habla de quedarse con la marca para revenderla, es cybersquatting. Y el tercer distractor de aquella pregunta, el pretexting, no tiene nada que ver: es una técnica de ingeniería social.

4.5. Denegación de servicio

Un ataque de denegación de servicio (DoS, Denial of Service) busca que un servicio deje de estar disponible para sus usuarios legítimos, saturándolo con peticiones o explotando un fallo que lo tumbe. No persigue robar información: persigue que no funcione, atacando así la disponibilidad, que es uno de los tres pilares de la seguridad de la información junto a la confidencialidad y la integridad.

Sus formas:

• DoS: el ataque procede de un único origen. Es fácil de bloquear una vez identificado.
• DDoS (distribuido): el ataque procede simultáneamente de miles de equipos, normalmente los de una botnet. Al venir de direcciones legítimas y dispersas, filtrar sin cortar también a los usuarios reales es mucho más difícil.
• Ataques de amplificación o reflexión: se falsea la dirección de origen y se envía una petición pequeña a servidores mal configurados —DNS, NTP, memcached— cuya respuesta, mucho mayor, cae sobre la víctima. Con poco ancho de banda se genera muchísimo.
• Ataques a la capa de aplicación: en vez de saturar el ancho de banda, agotan los recursos del servidor con peticiones costosas y aparentemente legítimas.
• Inundación SYN: se abren miles de conexiones a medias sin completar el saludo de TCP, agotando la tabla de conexiones del servidor.

Hoy el DDoS se contrata como servicio bajo el eufemismo de «prueba de estrés» (booter o stresser), por precios ridículos, lo que lo convierte en un instrumento habitual de extorsión y de hacktivismo. En España encaja en los daños informáticos del artículo 264 bis del Código Penal, que castiga obstaculizar o interrumpir gravemente el funcionamiento de un sistema informático ajeno.

5. Malware

5.1. Concepto y familias

Malware —contracción de malicious software— es todo programa diseñado para causar daño a un sistema, a sus datos o a su usuario, o para obtener un provecho ilegítimo. Es el término paraguas: virus, gusanos, troyanos, spyware, ransomware y todo lo demás son especies dentro de él, y el error más frecuente del examen es tratar «virus» como sinónimo de malware, cuando el virus es solo una de sus familias.

Se clasifica por dos criterios distintos que conviene no mezclar: por cómo se propaga —virus, gusano, troyano— y por qué hace una vez dentro —espiar, cifrar, minar, controlar—. Un mismo ejemplar suele combinar ambos: un troyano que instala un minador es troyano por su propagación y cryptojacking por su finalidad.

5.2. Virus, gusano y troyano

	Cómo se propaga	¿Necesita anfitrión?	¿Necesita al usuario?
Virus	Se inserta dentro de otro fichero o programa legítimo y se activa al ejecutarlo	Sí: vive dentro de un anfitrión	Sí: alguien tiene que ejecutar el fichero
Gusano	Se replica solo por la red, aprovechando vulnerabilidades	No: es autónomo	No: se propaga sin intervención
Troyano	Se disfraza de programa legítimo y lo instala la víctima	No	Sí: la víctima lo instala creyendo que es otra cosa

Las tres claves que resuelven casi cualquier pregunta: el virus necesita un fichero anfitrión; el gusano se replica por sí solo sin que nadie haga nada, y por eso es el que provoca las grandes epidemias en horas; y el troyano no se replica, se instala porque la víctima lo instala. La palabra viene del caballo de Troya, y esa imagen —el regalo que esconde al enemigo— es literalmente su definición.

El troyano es hoy la puerta de entrada más común. Sus variedades por finalidad: troyano bancario, que roba credenciales de banca en línea; RAT (Remote Access Trojan), que da al atacante control remoto completo del equipo; dropper o downloader, cuya única misión es descargar e instalar la carga real; y troyano de acceso para vender esa entrada a otro delincuente.

5.3. Spyware, keylogger y adware

• Spyware o programa espía: recopila información del equipo y de la actividad del usuario —documentos, contraseñas, hábitos de navegación, ubicación— y la envía a un tercero sin consentimiento. Su rasgo es que observa en silencio: no cifra, no bloquea, no pide dinero; cuanto más tiempo pase inadvertido, mejor cumple su función.
• Keylogger o registrador de pulsaciones: modalidad de spyware que captura todo lo que se teclea. Los hay por software y también por hardware —un pequeño dispositivo intercalado entre el teclado y el equipo—, que ningún antivirus detecta.
• Stalkerware: spyware comercializado para vigilar a la pareja o a un familiar. Su instalación exige acceso físico al terminal y su uso constituye delito; tiene especial relevancia en los casos de violencia de género.
• Adware: muestra publicidad no deseada. Es el menos dañino de la lista, pero cuando se instala sin consentimiento y se oculta para impedir su desinstalación deja de ser un simple incordio y entra en el terreno del malware.

5.4. Ransomware

El ransomware es el software malicioso que impide al usuario acceder a su sistema o a sus ficheros —normalmente cifrándolos— y exige el pago de un rescate para devolver el acceso, casi siempre en criptomonedas. Es, por impacto económico, la amenaza dominante contra empresas y administraciones.

Su evolución explica por qué las copias de seguridad ya no bastan:

• Extorsión simple: se cifran los datos y se pide rescate por la clave. Con copias de seguridad válidas, la víctima restaura y no paga.
• Doble extorsión: antes de cifrar, el atacante exfiltra los datos y amenaza con publicarlos. Ahora la copia de seguridad no salva del chantaje, porque el daño reputacional y la sanción por brecha de datos siguen ahí.
• Triple extorsión: se añade la presión a clientes o afectados cuyos datos figuran en el volcado, o un DDoS simultáneo.

La recomendación oficial es no pagar: no garantiza la recuperación, financia a la organización criminal y marca a la víctima como pagadora para futuros ataques. La defensa real son las copias de seguridad desconectadas o inmutables —una copia en línea se cifra junto con todo lo demás—, la segmentación de la red, el parcheado y el mínimo privilegio.

Penalmente, su encaje seguro son los daños informáticos del artículo 264 del Código Penal —y, cuando ha habido exfiltración, el descubrimiento y revelación de secretos del 197—. ⚠️ Conviene ser preciso con la extorsión del artículo 243: ese tipo exige obligar a otro con violencia o intimidación a realizar un acto o negocio jurídico, y si esa intimidación alcanza al chantaje puramente informático es cuestión discutida. Dar por hecho el concurso con el 243 es ir más lejos de lo que la ley dice.

5.5. Botnet

🚨 Una botnet o red de bots es un conjunto de ordenadores infectados con un tipo de malware que son controlados remotamente por un atacante y que pueden utilizarse de manera conjunta para realizar actividades maliciosas. Esa es, literalmente, la definición que dio por buena el tribunal.

Sus piezas: los equipos infectados se llaman bots o zombis; quien los gobierna es el pastor de bots (botmaster); y las órdenes viajan por la infraestructura de mando y control (C2), que puede ser un servidor central, una red entre iguales o canales encubiertos en servicios legítimos. Para dificultar el desmantelamiento se usan técnicas como el fast flux —cambiar cada pocos minutos la dirección asociada al dominio— o los algoritmos de generación de dominios, que fabrican miles de nombres candidatos al día.

Para qué se usan: ataques DDoS, envío masivo de spam y phishing, minado de criptomonedas, robo de credenciales, fraude publicitario y alquiler a terceros. El propietario del equipo rara vez lo advierte: el interés del atacante es que siga encendido y disponible. Y una modalidad en auge son las botnets de dispositivos del Internet de las cosas —cámaras, grabadores, enrutadores— que nadie actualiza y que conservan la contraseña de fábrica.

⚠️ No confundir la botnet con el troyano ni con el spyware, que fueron los distractores del examen: el troyano es cómo se infecta cada equipo, el spyware es una finalidad de espionaje, y la botnet es la red resultante puesta bajo control único.

5.6. Cryptojacking

🚨 El cryptojacking o criptosecuestro consiste en el uso no autorizado de los recursos de un dispositivo para minar criptomonedas mediante la ejecución de código dañino, sin necesidad de interacción por parte del usuario víctima. Otra definición que ha caído literalmente.

Sus dos modalidades: el minado en el navegador, en el que un guion incrustado en una web mina mientras la página está abierta y cesa al cerrarla; y el minado persistente, mediante malware instalado que sigue funcionando siempre.

Lo que lo distingue del resto del malware es que no roba datos ni bloquea nada: roba capacidad de cálculo y electricidad. Sus síntomas son el rendimiento degradado, el ventilador siempre en marcha, el sobrecalentamiento, la batería que se agota y la factura eléctrica disparada. Precisamente por ser silencioso puede pasar meses inadvertido, y su atractivo para el delincuente es que convierte directamente el recurso robado en dinero, sin necesidad de víctima que pague ni de blanquear un cobro.

⚠️ No confundirlo con el ransomware —que cifra y pide rescate en criptomonedas: la criptomoneda ahí es el medio de pago, no el objeto— ni con las estafas de inversión en criptoactivos, que son ingeniería social. Los tres se ofrecieron juntos como opciones en el mismo examen, y la palabra «criptomoneda» aparecía en las tres.

5.7. Rootkit, puerta trasera y malware sin fichero

• Rootkit: conjunto de herramientas que se instala en lo más profundo del sistema —a menudo en el núcleo— para ocultar la presencia del atacante y de su malware, falseando lo que el propio sistema operativo informa sobre ficheros, procesos y conexiones. Es lo que hace que un equipo comprometido parezca limpio, y la razón de que el análisis forense fiable no se haga desde la máquina encendida.
• Puerta trasera (backdoor): acceso oculto que permite entrar de nuevo saltándose la autenticación. Puede ser instalada por el atacante o venir de fábrica por descuido del fabricante.
• Malware sin fichero (fileless): opera únicamente en memoria, valiéndose de herramientas legítimas del propio sistema —intérpretes de órdenes, utilidades de administración—. Como no deja un ejecutable en el disco, esquiva a los antivirus basados en firmas; es la técnica conocida como vivir de la tierra.
• Wiper: malware cuya finalidad es destruir los datos, no secuestrarlos. Se disfraza a veces de ransomware —con petición de rescate incluida— aunque no exista clave que devolver, y es característico de los ataques con motivación política o bélica.

Las vías de infección más frecuentes, que conviene saber enumerar: el correo electrónico con adjunto o enlace; la descarga de software pirata o de repositorios no oficiales; la explotación de vulnerabilidades sin parchear, incluida la infección por la mera visita a un sitio comprometido; los dispositivos extraíbles; y la cadena de suministro, es decir, comprometer a un proveedor de software legítimo para que el malware llegue firmado y por el canal de actualización.

6. Ataques a las aplicaciones web

6.1. Inyección SQL

La inyección SQL consiste en introducir instrucciones del lenguaje de consulta de bases de datos en un campo de entrada de una aplicación web —un formulario de acceso, un buscador, un parámetro de la dirección— de modo que el servidor las ejecute como si fueran parte de la consulta prevista. Sucede cuando la aplicación concatena directamente lo que teclea el usuario dentro de la consulta, sin validarlo ni separarlo.

Lo que permite es demoledor: saltarse la autenticación sin conocer la contraseña, extraer bases de datos completas, modificar o borrar registros y, en configuraciones débiles, ejecutar órdenes en el servidor. Buena parte de las grandes filtraciones de credenciales de la última década empezaron así.

Su defensa es conocida y sencilla: consultas parametrizadas —que separan la instrucción de los datos—, validación estricta de la entrada, principio de mínimo privilegio en la cuenta con la que la aplicación accede a la base de datos, y un cortafuegos de aplicación web como capa adicional. Que siga siendo tan frecuente pese a ello es el mejor argumento del apartado.

6.2. Secuencias de comandos en sitios cruzados (XSS)

El XSS (Cross-Site Scripting) consiste en inyectar código —típicamente JavaScript— en una página web legítima para que se ejecute en el navegador de otros usuarios que la visiten. La diferencia esencial con la inyección SQL está en la víctima: la inyección SQL ataca al servidor y a su base de datos; el XSS ataca al usuario a través de un sitio en el que este confía.

Sus tres modalidades:

• Almacenado o persistente: el código queda guardado en el servidor —en un comentario, en un perfil, en un mensaje— y se sirve a todo el que vea esa página. Es el más grave.
• Reflejado: el código viaja en la propia petición —en un enlace manipulado— y el servidor lo devuelve en la respuesta. Requiere que la víctima pulse el enlace.
• Basado en DOM: la manipulación ocurre enteramente en el navegador, sin que el código llegue a pasar por el servidor.

Con XSS se roban cookies de sesión —y con ellas se secuestra la sesión sin saber la contraseña—, se registran pulsaciones, se redirige a sitios falsos o se modifica lo que la víctima ve. Se previene escapando toda salida, validando la entrada y aplicando una política de seguridad de contenidos.

6.3. Vulnerabilidad de día cero

Una vulnerabilidad de día cero (zero-day) es un fallo de seguridad desconocido para el fabricante y para el que, por tanto, no existe parche. El nombre alude a que el fabricante ha tenido cero días para corregirlo desde que se empezó a explotar.

Conviene distinguir tres cosas que se nombran igual: la vulnerabilidad de día cero es el fallo; el exploit de día cero es el programa que lo aprovecha; y el ataque de día cero es su uso efectivo contra una víctima. Su peligrosidad reside en que ninguna defensa basada en firmas lo reconoce y en que el usuario diligente, con todo actualizado, tampoco está protegido: no hay nada que actualizar. Solo mitigan la detección por comportamiento anómalo, la segmentación y el mínimo privilegio.

Tienen además una dimensión de mercado: un día cero de un sistema muy extendido se cotiza en cientos de miles de euros, y ese mercado lo alimentan tanto empresas de seguridad ofensiva como servicios de inteligencia. Por eso son el arma característica de las amenazas persistentes avanzadas. Frente a ellos, la práctica legítima es la divulgación responsable: comunicar el fallo al fabricante y conceder un plazo antes de hacerlo público.

7. Skimming y fraude de medios de pago

El skimming es la copia fraudulenta de los datos de una tarjeta mediante un dispositivo que se instala en un cajero automático, en un terminal de punto de venta o en un surtidor. El aparato lee la banda magnética y se acompaña de una microcámara o de un teclado superpuesto para capturar el PIN. Con ambos datos se fabrica una tarjeta clonada.

Sus variantes y su contexto:

• Shimming: la evolución del skimming frente al chip. Un lector finísimo insertado en la ranura intercepta el diálogo con el chip. Es más difícil de detectar a simple vista porque queda dentro del terminal.
• Skimming digital o web skimming: se inyecta código en la pasarela de pago de una tienda en línea para capturar los datos según se teclean.
• Carding: el comercio y uso de datos de tarjetas robadas, con foros y mercados especializados; y el carding de prueba, que valida tarjetas con microcompras antes de venderlas.

La generalización del chip EMV y del pago sin contacto ha reducido mucho el skimming clásico, porque el chip no puede clonarse como la banda; de ahí que el fraude se haya desplazado a las operaciones sin presencia física de la tarjeta, donde solo hacen falta los números. Frente a ello, la autenticación reforzada que impone la normativa europea de servicios de pago exige combinar dos factores para las operaciones en línea.

🚨 Penalmente, y este es un punto donde casi todo el material antiguo se equivoca: la estafa informática ya no está en el artículo 248.2 del Código Penal. Desde la reforma de la Ley Orgánica 14/2022, en vigor el 12 de enero de 2023, el artículo 249.1.a) castiga a quienes, con ánimo de lucro y valiéndose de una manipulación informática o artificio semejante, consigan una transferencia no consentida de un activo patrimonial en perjuicio de otro; y el 249.1.b) castiga el uso fraudulento de tarjetas u otros instrumentos de pago distintos del efectivo. El propio 249.2 castiga fabricar, obtener o facilitar los dispositivos y programas destinados a cometer esas estafas, y el 249.3, la mera tenencia o distribución de tarjetas obtenidas ilícitamente para su uso fraudulento. La pena de los dos primeros apartados es de prisión de seis meses a tres años.

8. Los agentes de la amenaza

8.1. Quién ataca y por qué

Un agente de la amenaza es el sujeto —individuo, grupo u organización— que tiene la capacidad y la intención de causar un daño en el ciberespacio. Clasificarlos por su motivación y por su capacidad es lo que permite anticipar contra qué se defiende cada organización:

Agente	Motivación	Capacidad	Rasgo característico
Ciberdelincuente	Económica	Media o alta, muy profesionalizada	Busca rentabilidad: ataca a quien pague, no a quien odie
Hacktivista	Ideológica o política	Baja o media	Busca visibilidad; el daño reputacional le vale más que el técnico
Estado o actor patrocinado	Espionaje, sabotaje, influencia	Muy alta, con recursos casi ilimitados	Persistencia y sigilo: quiere quedarse, no hacer ruido
Amenaza interna	Venganza, dinero, descuido	Variable, pero con acceso legítimo	Ya está dentro: no necesita romper nada
Ciberterrorista	Terror y coacción política	Media	Busca el efecto psicológico y el daño físico derivado
Aficionado o script kiddie	Reto, notoriedad	Baja: usa herramientas ajenas	Ruidoso e indiscriminado; el volumen lo hace relevante
Ciberinvestigador o auditor	Mejorar la seguridad	Alta	Actúa con autorización; sin ella, comete delito

La regla operativa que se deduce de la tabla: la motivación determina el objetivo y el ruido. Quien busca dinero ataca a muchos y acepta ser detectado; quien busca información ataca a pocos y su éxito consiste en que nadie se entere.

8.2. Hacker y los sombreros

El término hacker designa en su origen a la persona con conocimiento profundo de los sistemas y afán por explorarlos y llevarlos más allá de lo previsto; no implica por sí mismo ilicitud. El uso periodístico lo ha convertido en sinónimo de delincuente informático, y para deshacer el equívoco se emplea la clasificación por sombreros:

• Sombrero blanco: actúa con autorización del titular, en auditorías y pruebas de intrusión, y reporta lo que encuentra. Su cobertura jurídica es precisamente esa autorización.
• Sombrero negro o cracker: actúa sin autorización y con finalidad ilícita.
• Sombrero gris: actúa sin autorización pero sin ánimo dañino —normalmente para señalar un fallo—. Que la intención sea buena no elimina el delito: si vulneró medidas de seguridad para entrar, encaja en el artículo 197 bis del Código Penal.

Se completa con los sombreros azules (invitados puntualmente a probar un producto antes de su lanzamiento) y los sombreros rojos (que persiguen activamente a los atacantes). Y la distinción realmente útil en el trabajo policial no es el color del sombrero, sino una pregunta simple: ¿había autorización del titular del sistema?

8.3. Hacktivistas

El hacktivismo —contracción de hacker y activismo— es el uso de técnicas de intrusión y sabotaje digital como forma de protesta o reivindicación política, social o ideológica. No busca lucro: busca mensaje y repercusión.

Sus acciones características: el defacement o desfiguración de sitios web, sustituyendo la portada por un manifiesto; los ataques DDoS como «sentada virtual» contra la web de una institución; la filtración de documentos internos; y la difusión coordinada en redes. Los colectivos son deliberadamente difusos y sin jerarquía, lo que dificulta atribuir la acción a una organización y facilita que cualquiera reivindique en su nombre.

⚠️ Dos matices que importan. El primero, jurídico: la finalidad reivindicativa no despenaliza la conducta —un DDoS sigue siendo daño informático del artículo 264 bis y una intrusión sigue siendo acceso ilícito—, sin perjuicio de que el móvil se valore. El segundo, operativo: en los últimos años la frontera entre hacktivismo y operación estatal encubierta se ha vuelto porosa, y grupos que se presentan como espontáneos actúan en realidad como tapadera de un Estado, lo que complica enormemente la atribución.

8.4. La amenaza interna

La amenaza interna (insider threat) es la que procede de quien tiene o ha tenido acceso legítimo a los sistemas de la organización: empleados, antiguos empleados, personal externo, proveedores o contratistas. Su peligro es evidente: no tiene que romper el perímetro, porque ya está dentro, conoce dónde está lo valioso y sus accesos no levantan alarma.

Se distinguen tres perfiles, y confundirlos es el error del apartado:

• Interno malicioso: actúa de forma deliberada, por venganza, por dinero o por convicción. Es el menos frecuente y el más dañino.
• Interno negligente: no tiene intención de dañar; pica en un phishing, se lleva datos en una memoria sin cifrar o se salta un procedimiento por comodidad. Es con mucha diferencia el más numeroso.
• Interno comprometido: sus credenciales han sido robadas y es un tercero quien actúa en su nombre. Formalmente el ataque viene de fuera, pero se comporta como interno.

Los indicadores que se vigilan: descargas masivas anómalas, accesos fuera de horario o a información ajena a su función, uso de dispositivos extraíbles, intentos de eludir controles y cambios bruscos de conducta o conflictos laborales abiertos. Y las medidas: mínimo privilegio y revisión periódica de permisos, segregación de funciones, registro y auditoría de accesos, prevención de fuga de información, y un procedimiento de baja que revoque los accesos el mismo día —la credencial olvidada de un empleado que ya no está es una de las puertas más usadas—.

8.5. Amenazas persistentes avanzadas

Una APT (Advanced Persistent Threat, amenaza persistente avanzada) es un actor —no un programa— con capacidad técnica elevada y recursos sostenidos, habitualmente vinculado a un Estado, que se propone entrar en un objetivo concreto y permanecer dentro el mayor tiempo posible sin ser detectado. Su nombre desglosa su definición:

• Avanzada: emplea técnicas sofisticadas y, cuando hace falta, vulnerabilidades de día cero y herramientas hechas a medida.
• Persistente: no es un golpe puntual. Se mide en meses o años de acceso mantenido, con mecanismos de reentrada por si se cierra una puerta.
• Amenaza: detrás hay una organización con objetivos y financiación, no un programa automático.

Sus objetivos son el espionaje —político, militar, industrial y tecnológico—, el prepositioning en infraestructuras críticas para poder sabotearlas si llega el caso, y la influencia. Sus víctimas, administraciones, industria de defensa, energía, telecomunicaciones y centros de investigación. Y su modo de operar es el contrario del ciberdelincuente común: bajo ruido, mucha paciencia, uso de herramientas legítimas del propio sistema para no llamar la atención y exfiltración lenta y disimulada dentro de tráfico normal. Se identifican con nombres y códigos asignados por las empresas de seguridad, y su atribución a un Estado es un juicio de probabilidad basado en indicios técnicos, lingüísticos y de horario, casi nunca una certeza.

8.6. Crime as a Service

El Crime as a Service (CaaS), o crimen como servicio, es el modelo de negocio que ha transformado la ciberdelincuencia: la especialización y externalización de cada pieza del ataque, que se alquila o se compra en mercados clandestinos. Su consecuencia es la que importa: ya no hace falta saber programar para delinquir; basta con pagar. Eso multiplica el número de atacantes potenciales y disuelve la relación entre capacidad técnica y daño causado.

Sus servicios característicos:

• Ransomware as a Service (RaaS): unos desarrollan el programa y gestionan la infraestructura y el cobro; otros —los afiliados— entran en las víctimas y ejecutan el ataque, repartiéndose el rescate.
• Malware y exploits a la carta, con soporte técnico y actualizaciones incluidos.
• Phishing as a Service: plantillas, páginas clonadas y paneles listos para usar.
• DDoS de alquiler, camuflado como servicio de «prueba de estrés».
• Corredores de acceso inicial (initial access brokers): venden accesos ya conseguidos a redes corporativas concretas.
• Alojamiento a prueba de balas (bulletproof hosting): servidores en jurisdicciones que ignoran los requerimientos.
• Blanqueo: redes de mulas de dinero, mezcladores de criptomonedas y casas de cambio complacientes.
• Datos robados: credenciales, tarjetas y bases de datos, vendidos al por mayor.

Para la investigación, este modelo tiene una consecuencia metodológica de primer orden: detener a quien ejecutó el ataque no desarticula la estructura. La respuesta eficaz persigue la infraestructura compartida —los paneles, los servidores de mando y control, los servicios de blanqueo— porque es la que sostiene a decenas de grupos a la vez.

9. La Cyber Kill Chain

La Cyber Kill Chain o cadena de ciberataque es el modelo formulado en 2011 por tres analistas de Lockheed Martin —Eric Hutchins, Michael Cloppert y Rohan Amin, en el trabajo Intelligence-Driven Computer Network Defense Informed by Analysis of Adversary Campaigns and Intrusion Kill Chains— tomando el término de la doctrina militar de objetivos, y que descompone una intrusión en siete fases sucesivas. Su utilidad no es descriptiva sino defensiva: si el atacante ha de completar todas las fases para tener éxito, al defensor le basta con romper una.

Nº	Fase	Qué hace el atacante
1	Reconocimiento	Recopila información del objetivo: personas, correos, tecnologías, proveedores. Aquí entra el OSINT
2	Preparación o armamentización	Fabrica el artefacto: acopla el exploit a una carga útil, típicamente en un documento
3	Distribución o entrega	Hace llegar el artefacto: correo, web comprometida, memoria USB, proveedor
4	Explotación	Se dispara la vulnerabilidad y se ejecuta el código en el equipo de la víctima
5	Instalación	Se implanta una puerta trasera para conservar el acceso aunque se reinicie
6	Mando y control (C2)	El equipo comprometido «llama a casa» y queda a las órdenes del atacante
7	Acciones sobre los objetivos	Lo que vino a hacer: exfiltrar, cifrar, sabotear, moverse lateralmente

Las tres ideas que se preguntan: son siete fases y su orden importa; la última es la de acciones sobre los objetivos, no la de mando y control; y cuanto antes se corte la cadena, menor es el daño y menor el coste de la respuesta. Detectar en la fase 3 significa un correo bloqueado; detectar en la fase 7 significa que los datos ya están fuera.

El modelo tiene críticas conocidas y conviene conocerlas: describe bien el ataque que entra desde fuera con malware, pero encaja mal con la amenaza interna —que empieza directamente en la fase 7— y con los ataques que usan solo credenciales robadas y herramientas legítimas, sin artefacto que entregar. Por eso se complementa con dos marcos:

• MITRE ATT&CK: una base de conocimiento pública que ordena las tácticas —el para qué— y las técnicas —el cómo— realmente observadas en ataques reales. Es hoy el lenguaje común para describir el comportamiento de un adversario y para medir la cobertura defensiva.
• El modelo del diamante, que analiza cada suceso a partir de cuatro vértices: adversario, capacidad, infraestructura y víctima.

10. Doxing, acoso y suplantación

🚨 El doxing —de docs, documentos— consiste en buscar y publicar en internet información privada o que identifique a un individuo —nombre real, domicilio, centro de trabajo, teléfono, matrícula, datos de sus familiares— generalmente con intenciones maliciosas como intimidar, humillar o amenazar. Esa es la definición que dio por buena el tribunal, y conviene retener sus dos elementos: recopilar y publicar datos personales, y hacerlo con ánimo hostil.

Su rasgo característico —y lo que lo hace difícil de perseguir— es que la información utilizada suele ser, pieza a pieza, pública y accesible: el delito nace de la agregación y de la difusión con propósito de daño, no de haber accedido ilícitamente a nada. Su consecuencia habitual es el acoso colectivo de terceros que se suman al escarnio, y su uso característico es contra periodistas, activistas, funcionarios y víctimas de campañas de odio. En España se persigue por la vía del descubrimiento y revelación de secretos, las amenazas, las coacciones, el acoso del artículo 172 ter o los delitos de odio del artículo 510, según el caso.

⚠️ En el examen, el doxing se ofreció frente a dos distractores que conviene descartar de un vistazo: no es un tipo de malware publicitario que se oculta para no ser desinstalado —eso es el adware— ni se refiere al acoso sexual por internet —eso apunta al grooming o a la sextorsión—.

Las conductas próximas, cada una con su nombre exacto:

• Ciberacoso (cyberbullying): hostigamiento reiterado entre iguales, típicamente menores, por medios digitales. Su diferencia con el acoso presencial es que no cesa al salir del centro y que el público es ilimitado.
• Grooming o ciberembaucamiento: el adulto que contacta con un menor de dieciséis años a través de internet, del teléfono o de cualquier otra tecnología y propone concertar un encuentro para cometer delitos sexuales, acompañando la propuesta de actos materiales de acercamiento. 🚨 Está en el artículo 183.1 del Código Penal —prisión de uno a tres años o multa de doce a veinticuatro meses—, y las penas se imponen en su mitad superior si el acercamiento se obtiene mediante coacción, intimidación o engaño. El apartado 183.2 castiga con seis meses a dos años al que embauque al menor para que le facilite material pornográfico. ⚠️ Ojo con los manuales antiguos: hasta la Ley Orgánica 10/2022 este delito era el 183 ter; desde el 7 de octubre de 2022 es el 183, y el 183 bis pasó a ser otra cosa —la exclusión de responsabilidad por el consentimiento libre del menor cuando el autor es persona próxima en edad y madurez—.
• Sexting: el envío voluntario de contenido íntimo propio. No es delito en sí; lo es difundirlo sin consentimiento, conducta del artículo 197.7, castigada con prisión de tres meses a un año o multa de seis a doce meses. Y desde la reforma de 2022 se castiga también, con multa de uno a tres meses, a quien habiendo recibido esas imágenes las reenvía sin consentimiento de la persona afectada: el reenvío de la cadena también es delito.
• Sextorsión: chantaje con material íntimo, real o supuesto, para obtener dinero o más material. Su variante masiva es el correo que afirma haber grabado a la víctima con su cámara sin tener nada.
• Ciberacecho (stalking): vigilancia y contacto insistente y reiterado que altera gravemente el desarrollo de la vida cotidiana de la víctima. Artículo 172 ter, prisión de tres meses a dos años o multa de seis a veinticuatro meses.
• Suplantación de identidad: crear perfiles a nombre de otro. Si se limita a usar el nombre puede quedar en el ámbito civil; si se hace pasar por la persona en el tráfico jurídico entra en la usurpación del estado civil del artículo 401.

11. Los delitos en el Código Penal

El Código Penal no agrupa los ciberdelitos: los sitúa junto al bien jurídico que protegen. Este es el mapa que hay que llevar aprendido.

Contra la intimidad y los datos (Título X).

• Art. 197.1: apoderarse de papeles, cartas o mensajes de correo electrónico, interceptar telecomunicaciones o usar artificios de escucha o grabación, para descubrir secretos o vulnerar la intimidad. Prisión de uno a cuatro años y multa de doce a veinticuatro meses.
• Art. 197.2: apoderarse, utilizar o modificar datos reservados de carácter personal registrados en ficheros o soportes informáticos, o acceder a ellos sin autorización. Mismas penas.
• Art. 197.7: difusión no consentida de imágenes íntimas obtenidas con anuencia. Tres meses a un año o multa; y multa de uno a tres meses para quien las reenvía.
• 🚨 Art. 197 bis.1: acceso ilícito —acceder o mantenerse en un sistema de información vulnerando las medidas de seguridad y sin autorización—. Prisión de seis meses a dos años. Retén el requisito: si no hubo que vencer ninguna barrera, no hay tipo.
• Art. 197 bis.2: interceptación de transmisiones no públicas de datos informáticos, incluidas las emisiones electromagnéticas. Prisión de tres meses a dos años o multa.
• Art. 197 ter: producir, adquirir, importar o facilitar a terceros programas informáticos concebidos para cometer esos delitos, o contraseñas y códigos de acceso. Prisión de seis meses a dos años o multa de tres a dieciocho meses.
• Art. 197 quater: si los hechos se cometen en el seno de una organización o grupo criminal, penas superiores en grado.
• Art. 197 quinquies: responsabilidad de la persona jurídica, con multa de seis meses a dos años.

Contra el patrimonio: daños informáticos y estafa (Título XIII).

• Art. 264: daños informáticos. Borrar, dañar, deteriorar, alterar, suprimir o hacer inaccesibles datos, programas o documentos electrónicos ajenos, sin autorización, de manera grave y con resultado grave. Prisión de seis meses a tres años, y de dos a cinco años con multa en el tipo agravado —organización criminal, daños de especial gravedad o perjuicio a servicios públicos esenciales—. Es el tipo del ransomware y del borrado malicioso.
• Art. 264 bis: obstaculizar o interrumpir gravemente el funcionamiento de un sistema informático ajeno. Prisión de seis meses a tres años. Es el tipo de la denegación de servicio.
• Art. 264 ter: producir o facilitar los programas o contraseñas destinados a cometer los dos anteriores. Seis meses a dos años o multa.
• Art. 264 quater: responsabilidad de la persona jurídica.
• Art. 248: estafa común, con engaño bastante que produce error y acto de disposición. Prisión de seis meses a tres años; si lo defraudado no excede de 400 euros, multa de uno a tres meses, salvo que concurra alguna circunstancia del art. 250. ⚠️ La Ley Orgánica 1/2026, de 8 de abril, en materia de multirreincidencia, añadió que se impondrá la pena de prisión aunque no se superen los 400 euros cuando el culpable haya sido condenado ejecutoriamente al menos por tres delitos de la misma naturaleza del mismo capítulo, siendo al menos uno de ellos leve. Es la respuesta a los fraudes menores repetidos, que castigan sobre todo a personas mayores.
• 🚨 Art. 249.1.a): la estafa informática. Conseguir, con ánimo de lucro, una transferencia no consentida de un activo patrimonial obstaculizando o interfiriendo en un sistema de información, manipulando datos o valiéndose de cualquier otra manipulación informática. Prisión de seis meses a tres años. Desde el 12 de enero de 2023 está aquí y no en el antiguo 248.2.
• Art. 249.1.b): uso fraudulento de tarjetas o instrumentos de pago distintos del efectivo; 249.2, fabricar o facilitar los dispositivos y programas para cometerlas; 249.3, poseer o distribuir tarjetas obtenidas ilícitamente para su uso fraudulento.

Otros títulos que se cruzan con la materia: la usurpación del estado civil (art. 401); las amenazas y coacciones (arts. 169 y siguientes); el acoso (art. 172 ter); el grooming (art. 183) y la pornografía infantil (art. 189); los delitos contra la propiedad intelectual (art. 270); los delitos de odio (art. 510); el blanqueo (art. 301); y la organización y el grupo criminal (arts. 570 bis y 570 ter), que es como se persigue la estructura del Crime as a Service.

12. Diez claves para el examen

• 🚨 Estructura de la ciberseguridad: el Consejo Nacional de Ciberseguridad dirige y coordina en lo político-estratégico; la Comisión Permanente coordina en lo operativo e interministerial; y el FORO Nacional de Ciberseguridad es el de la colaboración público-privada y la generación de conocimiento. El Foro es el único que abre la mesa al sector privado. Estrategia Nacional de Ciberseguridad de 2019, aún vigente.
• CSIRT de referencia (art. 11 del RD-ley 12/2018): CCN-CERT para el sector público, INCIBE-CERT para lo privado y los ciudadanos, ESPDEF-CERT para la Defensa. En incidentes de especial gravedad, la coordinación técnica nacional la ejerce el CCN-CERT. ⚠️ Y la NIS2 sigue SIN transponer en España: lo vigente es el RD-ley 12/2018.
• 🚨 Cuatro familias de ciberataques: a contraseñas, por ingeniería social, a las conexiones y por malware. El spoofing es de los ataques a las conexiones. Regla: si se mete en el canal, conexiones; si engaña a la persona, ingeniería social; si instala código, malware; si prueba claves, contraseñas.
• 🚨 Los tres que se confunden: en el phishing la víctima pincha un enlace; en el pharming escribe bien la dirección y aun así acaba en la web falsa, porque está envenenada la resolución de nombres; en el typosquatting escribe mal la dirección. Y el cybersquatting es quedarse con el dominio de una marca para revenderlo: ahí no hay errata.
• Phishing es masivo; spear phishing, dirigido; whaling, contra un alto directivo; vishing, por voz; smishing, por SMS. El BEC o fraude del CEO busca una transferencia y no usa malware: por eso el antivirus no lo ve y la defensa es verificar por otro canal.
• 🚨 Rogue o scareware: sitios o programas que simulan ser una aplicación de seguridad, normalmente gratuita, pero que instalan otros programas dañinos. No es ransomware —que cifra y pide rescate— ni botnet —que es la red de equipos infectados—.
• 🚨 Botnet: conjunto de ordenadores infectados y controlados remotamente por un atacante, usados de manera conjunta para actividades maliciosas. Y cryptojacking: uso no autorizado de los recursos de un dispositivo para minar criptomonedas mediante código dañino, sin interacción del usuario.
• Malware, por propagación: el virus necesita un fichero anfitrión; el gusano se replica solo por la red sin intervención; el troyano se disfraza y lo instala la víctima, y no se replica. Inyección SQL ataca al servidor y su base de datos; XSS ataca al usuario desde un sitio en el que confía; día cero es el fallo sin parche porque el fabricante aún no lo conoce.
• Agentes: el hacktivista busca visibilidad y actúa por ideología; el insider ya está dentro y su perfil más común es el negligente, no el malicioso; la APT es un actor —no un programa— con capacidad alta y permanencia de meses o años, normalmente estatal; y el Crime as a Service permite delinquir sin saber programar. 🚨 Doxing: buscar y publicar información privada o identificativa de alguien con ánimo de intimidar, humillar o amenazar.
• Cyber Kill Chain, siete fases: reconocimiento, preparación, distribución, explotación, instalación, mando y control, y acciones sobre los objetivos, que es la última. Cuanto antes se rompa la cadena, menor el daño.
• 🚨 Código Penal: 197 bis.1 acceso ilícito —exige vulnerar medidas de seguridad—, seis meses a dos años; 264 daños informáticos, seis meses a tres años; 264 bis para la denegación de servicio. Y la estafa informática es hoy el art. 249.1.a), no el 248.2, desde el 12 de enero de 2023; el grooming es el art. 183, no el 183 ter, desde el 7 de octubre de 2022.