Tema desarrollado a nivel élite para preparar el examen de conocimientos de la Escala Básica (100 preguntas, 50 minutos). La información es orientativa y está verificada a fecha de actualización: el contenido evaluable lo fija el temario del anexo I de tu convocatoria. Es un tema del bloque de materias técnico-científicas con base jurídica; los artículos del Código Penal que se citan entrecomillados están transcritos literalmente del texto consolidado del BOE (Ley Orgánica 10/1995), y las fechas y referencias internacionales (el Convenio de Budapest de 2001) están verificadas.

Índice

• 0. Introducción: qué es la ciberdelincuencia
• 1. El malware: concepto y tipos
• 2. Ingeniería social y fraudes en línea
• 3. Ataques a sistemas y redes
• 4. Los agentes de la amenaza
• 5. La cadena de ataque: Cyber Kill Chain
• 6. Marco jurídico: los delitos informáticos en el Código Penal
• 7. La respuesta institucional (INCIBE, CCN-CERT, Policía, Europol)
• 8. Ideas fuerza para el test

0. Introducción: qué es la ciberdelincuencia

La ciberdelincuencia es el conjunto de conductas ilícitas que se cometen a través de las tecnologías de la información y la comunicación, ya sea utilizando los sistemas informáticos como instrumento del delito (por ejemplo, una estafa cometida mediante un correo fraudulento) o como objeto del mismo (por ejemplo, el sabotaje de una red o el robo de datos). Es hoy una de las principales amenazas para la seguridad de los Estados, las empresas y los ciudadanos, y una de las líneas de trabajo prioritarias de la Policía Nacional, que cuenta con unidades especializadas encuadradas en la Comisaría General de Policía Judicial.

Su rasgo distintivo es que no conoce fronteras: un ataque puede lanzarse desde un país, dirigirse contra víctimas de otro y apoyarse en servidores de un tercero, lo que obliga a una intensa cooperación policial y judicial internacional. A ello se suman el anonimato relativo que ofrece la red, la facilidad con que se cometen los hechos, su bajísimo coste y su enorme potencial de daño, factores que explican el crecimiento sostenido de esta delincuencia. Este tema recorre, primero, las principales técnicas y amenazas (el cómo): el malware, la ingeniería social y los ataques a sistemas y redes. En segundo lugar, describe a los agentes de la amenaza (el quién). Y, por último, presenta la cadena de ataque y el marco jurídico español e internacional que sanciona estas conductas.

Conviene fijar tres conceptos que se manejan a lo largo del tema y que el examen distingue: la amenaza (el peligro potencial: quién o qué puede causar el daño), la vulnerabilidad (la debilidad o el fallo que permite materializar ese daño) y el riesgo (la probabilidad de que una amenaza aproveche una vulnerabilidad, multiplicada por su impacto). Un ataque exitoso suele ser una amenaza que encuentra una vulnerabilidad sin corregir; de ahí la importancia de la gestión de vulnerabilidades y de las actualizaciones de seguridad.

1. El malware: concepto y tipos

El término malware (contracción del inglés malicious software, «software malicioso») designa cualquier programa o código diseñado para dañar un sistema, alterar su funcionamiento, sustraer información o tomar su control sin el conocimiento ni el consentimiento del usuario. Es un concepto genérico que engloba muchas categorías, y conviene precisar que las distintas familias no son excluyentes: un mismo ejemplar puede combinar varias funciones, de modo que un troyano puede a la vez instalar un programa espía, cifrar los archivos y sumar el equipo a una red de máquinas comprometidas.

El malware se introduce en los equipos por vías de infección muy variadas que el agente debe conocer para prevenir a la ciudadanía: los adjuntos y enlaces de correos fraudulentos, la descarga de programas piratas o de fuentes no oficiales, las memorias USB infectadas, las vulnerabilidades sin parchear del sistema o de las aplicaciones, las webs comprometidas que ejecutan código al visitarlas (las llamadas descargas «drive-by») y las actualizaciones falsas. De ahí que las recomendaciones básicas de higiene digital sean siempre las mismas: mantener el sistema y el antivirus actualizados, desconfiar de los correos no solicitados, descargar solo de fuentes oficiales, hacer copias de seguridad periódicas y no conectar dispositivos de origen desconocido.

El virus es el ejemplo clásico: un código que se inserta en un archivo o programa legítimo y que necesita la intervención del usuario (abrir el archivo, ejecutar el programa) para activarse y propagarse a otros ficheros, como un virus biológico infecta las células. El gusano (worm) se diferencia en que no precisa un archivo anfitrión ni la acción del usuario: se replica y se propaga por sí solo a través de la red, aprovechando vulnerabilidades, y puede saturar sistemas y comunicaciones. Ambos son malware autorreplicante, pero el virus depende de un huésped y de una acción humana, mientras que el gusano es autónomo.

El troyano o caballo de Troya (trojan) se presenta como legítimo o inofensivo —un juego, una utilidad, un supuesto documento— pero oculta en su interior una función maliciosa. A diferencia del virus y del gusano, el troyano no se replica por sí mismo; su eficacia reside en el engaño, en que la propia víctima lo instala. Una vez dentro, puede abrir una «puerta trasera» (backdoor) que permita al atacante controlar el equipo de forma remota, robar información o descargar más malware. Es uno de los vehículos más utilizados para introducir otras amenazas.

El spyware o programa espía recopila información del usuario sin su conocimiento y la transmite a un tercero: hábitos de navegación, datos personales, credenciales. Una variante especialmente peligrosa es el keylogger o registrador de pulsaciones, que captura todo lo que se teclea —incluidas contraseñas y números de tarjeta— y lo envía al atacante. El adware muestra publicidad no deseada de forma intrusiva; aunque suele ser más molesto que peligroso, puede espiar al usuario y se considera software no deseado.

El ransomware o «secuestro de datos» es una de las amenazas más graves y lucrativas de la actualidad. Una vez ejecutado, cifra los archivos del equipo o de la red —dejándolos inaccesibles— y exige el pago de un rescate (ransom), habitualmente en criptomonedas, a cambio de la clave de descifrado. Sus efectos pueden ser devastadores para empresas, hospitales o administraciones. Se ha extendido la técnica de la doble extorsión: antes de cifrar, los atacantes exfiltran (roban) una copia de los datos y amenazan con publicarlos si no se paga, de modo que la mera restauración desde una copia de seguridad ya no basta. La recomendación oficial es no pagar —el pago no garantiza la recuperación y financia a los delincuentes— y mantener copias de seguridad aisladas.

El cryptojacking consiste en el uso no autorizado de la capacidad de procesamiento de un dispositivo ajeno para minar criptomonedas en beneficio del atacante. A diferencia del ransomware, que es ruidoso, el cryptojacking pretende pasar inadvertido: sus síntomas son un rendimiento anormalmente lento, el sobrecalentamiento, un consumo eléctrico elevado y el desgaste del hardware. Otras categorías completan el panorama: el rootkit, conjunto de herramientas para ocultar la presencia de otros programas maliciosos obteniendo privilegios de administrador; el scareware, que asusta con falsas alertas de infección para inducir a comprar un supuesto antivirus; y el malware sin archivo (fileless), que opera en la memoria valiéndose de herramientas legítimas del sistema, lo que dificulta su detección.

Tipo	Se replica solo	Rasgo distintivo
Virus	Sí, con acción del usuario	Infecta un archivo anfitrión
Gusano	Sí, de forma autónoma	Se propaga solo por la red
Troyano	No	Se disfraza de programa legítimo
Spyware / keylogger	No	Espía y roba información / pulsaciones
Ransomware	No	Cifra los datos y pide rescate
Cryptojacking	No	Mina criptomonedas a escondidas

Dato de examen: el virus necesita un archivo anfitrión y la acción del usuario; el gusano se propaga solo por la red; el troyano se disfraza y no se replica. El ransomware cifra y pide rescate (doble extorsión: además roba y amenaza con publicar); el keylogger captura lo tecleado; el cryptojacking mina criptomonedas sin permiso.

2. Ingeniería social y fraudes en línea

La ingeniería social es el conjunto de técnicas de manipulación psicológica encaminadas a que la propia víctima realice una acción o revele información confidencial que la perjudica: entregar una contraseña, hacer una transferencia, abrir un archivo, pinchar en un enlace. Su premisa es que el ser humano es el eslabón más débil de la cadena de seguridad: es más fácil engañar a una persona que vulnerar un sistema bien protegido. El ingeniero social explota resortes emocionales universales —la confianza, el miedo, la urgencia, la curiosidad, la codicia, el respeto a la autoridad o el deseo de ayudar— para bajar las defensas de la víctima y empujarla a actuar sin reflexionar.

El phishing es la modalidad más extendida. Consiste en la suplantación de una entidad de confianza —un banco, una red social, una empresa de paquetería, la Administración— mediante un correo, un mensaje o una web falsos, para que la víctima facilite sus datos, credenciales o información bancaria, o descargue malware. Señales de alerta habituales son las direcciones de remitente sospechosas, los errores ortográficos, los saludos genéricos («Estimado cliente»), la sensación de urgencia o amenaza («su cuenta será bloqueada») y las peticiones de datos que una entidad seria nunca solicitaría por esos medios.

El phishing tiene variantes según el canal y el objetivo, que conviene distinguir con precisión:

• El smishing emplea mensajes SMS (el falso aviso de una entrega que reclama un pago de aduanas).
• El vishing utiliza llamadas de voz, en las que el estafador se hace pasar por el servicio técnico del banco o por un organismo oficial.
• El spear phishing («pesca con arpón») es un phishing dirigido: en lugar de un envío masivo, el atacante selecciona a una víctima concreta y personaliza el mensaje con datos reales sobre ella, lo que lo hace mucho más creíble.
• El whaling («caza de ballenas») es el spear phishing dirigido a un alto directivo o persona relevante.

La diferencia esencial es el grado de personalización: el phishing es «pesca de arrastre» masiva; el spear phishing es sastrería a medida. El Business E-mail Compromise (BEC) o «fraude del CEO» es un timo especialmente dañino para las empresas: el estafador suplanta a un alto directivo o a un proveedor de confianza, generalmente comprometiendo o falsificando una cuenta de correo, y ordena a un empleado del departamento financiero una transferencia urgente y confidencial a una cuenta controlada por él. Se apoya en la autoridad jerárquica, la urgencia y la petición de discreción. No requiere malware sofisticado: su fuerza está en la manipulación, y ha provocado pérdidas millonarias.

Las cartas nigerianas o «timo 419» (por el artículo del Código Penal de Nigeria que lo tipifica) son un fraude de pago por adelantado: la víctima recibe un mensaje que le promete una gran suma —una herencia, un premio, una fortuna bloqueada— a cambio de una pequeña colaboración; una vez que muerde el anzuelo, se le reclaman sucesivos pagos por conceptos ficticios que nunca acaban. El pharming es más sofisticado que el phishing porque no depende de que la víctima pinche en un enlace: redirige el tráfico de una web legítima hacia una web falsa manipulando la resolución de nombres de dominio (alterando el archivo hosts del equipo o «envenenando» los servidores DNS), de modo que, aunque el usuario teclee bien la dirección de su banco, acaba en una copia fraudulenta.

El spoofing o «suplantación» es un concepto amplio que designa las técnicas de falsificación de la identidad de origen: el email spoofing falsifica el remitente de un correo; el IP spoofing, la dirección IP de origen; el caller ID spoofing, el número de teléfono que aparece en la llamada; el web spoofing, una página web. El spoofing es a menudo el soporte técnico de otros fraudes (phishing, vishing, BEC). El skimming, por último, es un fraude con tarjetas: en su forma física, el delincuente instala un lector (skimmer) en un cajero o terminal para copiar los datos de la banda magnética, a menudo con una microcámara para captar el PIN; existe también una modalidad digital, el e-skimming, que inserta código malicioso en la pasarela de pago de una tienda en línea.

Dato de examen: el phishing suplanta a una entidad de confianza; por SMS es smishing, por voz vishing, dirigido a una persona concreta spear phishing y a un directivo whaling. El BEC / fraude del CEO ordena transferencias urgentes suplantando a un jefe. Las cartas nigerianas son el «timo 419» de pago adelantado. El pharming ataca el DNS y no necesita que la víctima pinche; el spoofing es suplantación de origen; el skimming, copia de tarjetas.

3. Ataques a sistemas y redes

Frente a los fraudes basados en el engaño de las personas, otro gran grupo de amenazas ataca directamente los sistemas, las aplicaciones y las redes, explotando sus vulnerabilidades técnicas.

El ataque de denegación de servicio (Denial of Service, DoS) busca dejar inoperativo un servicio, un servidor o una red saturándolos con una avalancha de peticiones que agota sus recursos, de modo que no puedan atender a los usuarios legítimos. Su variante potenciada es el ataque distribuido (Distributed Denial of Service, DDoS), en el que el ataque no procede de un único origen, sino de multitud de equipos coordinados —a menudo una botnet— que lanzan tráfico simultáneamente, lo que multiplica su potencia y dificulta el bloqueo. El objetivo no es normalmente robar información, sino provocar la indisponibilidad del servicio, con fines de sabotaje, extorsión o protesta.

Una botnet (contracción de robot network) es una red de equipos infectados y controlados de forma remota por un atacante —el botmaster— sin conocimiento de sus propietarios. Cada equipo comprometido es un «bot» o «zombi». El botmaster gobierna la red a través de una infraestructura de mando y control (C2) y puede emplear su potencia agregada para lanzar ataques DDoS, enviar spam y phishing, minar criptomonedas o distribuir malware. Es una de las infraestructuras criminales más valiosas, que incluso se alquila a terceros.

La inyección SQL (SQL injection) es una de las vulnerabilidades más conocidas de las aplicaciones web que trabajan con bases de datos. Consiste en introducir, a través de un campo de entrada (un formulario, un buscador), un fragmento de código en lenguaje SQL que la base de datos interpreta y ejecuta como si fuera una consulta legítima. Si la aplicación no valida correctamente los datos que recibe, el atacante puede eludir la autenticación, leer, modificar o borrar información e incluso tomar el control del servidor. El Cross-Site Scripting (XSS) es otra vulnerabilidad típica: inyecta código malicioso (normalmente JavaScript) en una web legítima pero vulnerable, de modo que se ejecute en el navegador de los demás usuarios que la visitan; a diferencia de la inyección SQL, que ataca al servidor, el XSS ataca a los usuarios del sitio (robo de cookies de sesión, redirecciones). En ambos casos la causa última es la falta de validación de las entradas.

Una vulnerabilidad de día cero (zero-day) es un fallo de seguridad desconocido para el fabricante y para el público, de modo que todavía no existe parche. El nombre alude a que los desarrolladores han tenido «cero días» para corregirlo. El ataque que la explota antes de que exista solución es extraordinariamente peligroso, porque las defensas convencionales, basadas en firmas de amenazas conocidas, no pueden detectarlo. Estas vulnerabilidades tienen un enorme valor y se comercian en mercados clandestinos, muy apreciadas por los atacantes más sofisticados. Otro ataque clásico contra las comunicaciones es el man in the middle (intermediario), en el que el atacante se sitúa entre dos partes para espiar o alterar la comunicación sin que estas lo adviertan.

Dato de examen: el DoS satura desde un origen; el DDoS, desde muchos (una botnet de «zombis» controlados por C2). La inyección SQL ataca la base de datos del servidor; el XSS ataca a los usuarios del sitio; ambos por falta de validación. El zero-day explota un fallo sin parche. Distingue amenaza, vulnerabilidad y riesgo.

4. Los agentes de la amenaza

Los agentes de la amenaza (threat actors) son los individuos o grupos que ejecutan las actividades maliciosas. No son un colectivo homogéneo: difieren en sus motivaciones (lucro, ideología, poder, venganza, notoriedad), en sus capacidades técnicas y en sus recursos. Comprender quién hay detrás de un ataque es esencial para valorar la amenaza y orientar la investigación.

En primer lugar están los cibercriminales en sentido estricto, movidos por el ánimo de lucro. Actúan de forma individual o, cada vez más, organizados en estructuras jerarquizadas y profesionalizadas que operan como auténticas empresas del crimen; a ellos se debe la mayor parte de la ciberdelincuencia común. El Crimen como Servicio (Crime as a Service, CaaS) es el fenómeno que mejor explica la profesionalización del cibercrimen: la comercialización de herramientas, infraestructuras y servicios delictivos en mercados clandestinos, de forma que quien quiera delinquir ya no necesita conocimientos técnicos avanzados, sino que puede alquilar o comprar lo que precise. Así existe el Ransomware as a Service (RaaS), en el que los desarrolladores ceden el malware a «afiliados» a cambio de un porcentaje del rescate; el alquiler de botnets, la venta de kits de phishing, de accesos a redes ya comprometidas o de datos robados. Este modelo ha rebajado enormemente la barrera de entrada al delito.

Los hacktivistas emplean las técnicas del hacking con una finalidad ideológica, política o social, y no de lucro (su nombre combina «hacker» y «activismo»). Buscan protestar, reivindicar o dañar la reputación de sus objetivos mediante ataques de denegación de servicio, sustitución del contenido de sus páginas (defacement) o filtración de documentos. La amenaza interna (insider threat) procede de personas de dentro de la organización —empleados, exempleados, contratistas— con acceso legítimo a sus sistemas; es de las más difíciles de detectar. Puede ser maliciosa (el insider actúa por resentimiento, lucro o venganza) o no intencionada (negligente: cae en un phishing, pierde un dispositivo o comparte datos por descuido). La concienciación del personal y el control de accesos según el principio de mínimo privilegio son las principales defensas.

Las amenazas persistentes avanzadas (Advanced Persistent Threats, APT) representan el extremo más sofisticado. Son ataques dirigidos, complejos y prolongados, ejecutados por grupos altamente cualificados y con grandes recursos, muy a menudo patrocinados o tolerados por Estados. Las tres notas del acrónimo definen su naturaleza: son avanzadas (técnicas sofisticadas, incluidas vulnerabilidades de día cero), persistentes (no buscan un golpe rápido, sino mantener el acceso oculto durante meses o años) y constituyen una amenaza gestionada por actores organizados. Sus finalidades típicas son el ciberespionaje (político, militar, industrial) y el sabotaje de infraestructuras críticas. Sus objetivos suelen ser gobiernos, industrias de defensa o grandes corporaciones, y constituyen una amenaza a la seguridad nacional.

Completan el mapa de agentes algunas figuras menores pero frecuentes en el examen. Los script kiddies son aprendices sin apenas conocimientos que emplean herramientas ya hechas por otros para causar daño o ganar notoriedad; su peligrosidad es limitada, pero su número es enorme. El ciberterrorismo designa el uso de las técnicas de ataque con una finalidad terrorista, para infundir terror o sabotear infraestructuras esenciales, y se sitúa en la frontera entre la ciberdelincuencia y las amenazas a la seguridad nacional. Y no debe olvidarse la vieja distinción, muy popularizada, entre el hacker de «sombrero negro» (el que actúa con fines maliciosos), el de «sombrero blanco» (el experto en seguridad que busca vulnerabilidades para corregirlas, con autorización) y el de «sombrero gris» (a caballo entre ambos). En rigor jurídico, lo determinante no es la etiqueta, sino si se ha vulnerado o no la ley: acceder sin autorización a un sistema ajeno es delito, con independencia del «color del sombrero».

Dato de examen: cibercriminales (lucro), hacktivistas (ideología), insiders (amenaza interna, maliciosa o negligente) y APT (sofisticadas, persistentes, a menudo estatales, para espionaje o sabotaje). El Crime as a Service (CaaS) y el RaaS permiten delinquir sin conocimientos técnicos, alquilando el crimen.

5. La cadena de ataque: Cyber Kill Chain

La Cyber Kill Chain («cadena de ataque») es un modelo, formulado por la empresa Lockheed Martin a partir de un concepto militar, que descompone un ciberataque en una secuencia de fases sucesivas. Su utilidad es doble: ayuda a comprender cómo se desarrolla un ataque dirigido y permite a los defensores detectar e interrumpir la agresión en cualquiera de sus eslabones, pues basta con romper uno para frustrar toda la cadena; cuanto antes se detecte, menor será el daño. El modelo se compone habitualmente de siete fases:

Nº	Fase	Qué hace el atacante
1	Reconocimiento	Recopila información del objetivo (a menudo por OSINT)
2	Preparación (armamento)	Crea el arma: exploit + carga dañina
3	Distribución (entrega)	Hace llegar el arma (correo, USB, web)
4	Explotación	Se dispara el exploit y se ejecuta el código
5	Instalación	Instala el malware y asegura la persistencia
6	Mando y control (C2)	Controla el equipo de forma remota
7	Acciones sobre los objetivos	Roba, cifra o destruye datos; se mueve por la red

La secuencia describe con claridad la lógica de un ataque dirigido: el atacante primero estudia a su víctima (empleados, tecnologías, direcciones de correo), después fabrica el arma combinando un exploit (el código que aprovecha la vulnerabilidad) con una carga dañina (payload), la entrega —típicamente mediante un correo de phishing con un adjunto infectado—, la ejecuta al abrir la víctima el archivo, se instala asegurando el acceso futuro con una puerta trasera, establece un canal de mando y control con su servidor y, finalmente, actúa: roba o cifra los datos, se mueve lateralmente hacia otros equipos o los destruye. Entender el ataque como este proceso escalonado es la base de una defensa proactiva, que sitúa controles de detección en cada eslabón.

Dato de examen: la Cyber Kill Chain (Lockheed Martin) tiene 7 fases: reconocimiento, preparación (armamento), distribución (entrega), explotación, instalación, mando y control (C2) y acciones sobre los objetivos. Romper un solo eslabón frustra el ataque; cuanto antes, mejor.

6. Marco jurídico: los delitos informáticos en el Código Penal

El Derecho penal español no contiene un título único de «delitos informáticos», sino que sanciona estas conductas a través de tipos repartidos por el Código Penal (Ley Orgánica 10/1995), muchos de ellos introducidos o reformados para trasponer normas internacionales, en especial el Convenio sobre la Ciberdelincuencia del Consejo de Europa, hecho en Budapest el 23 de noviembre de 2001 (en vigor internacional desde el 1 de julio de 2004), que es el gran instrumento de referencia y que España ratificó mediante instrumento publicado en el BOE de 17 de septiembre de 2010. El Convenio de Budapest armoniza las legislaciones nacionales y facilita la cooperación internacional en la investigación.

El primer grupo de figuras es el del descubrimiento y revelación de secretos (arts. 197 y siguientes), que protege la intimidad y los datos. El artículo 197.1 dispone, literalmente: «El que, para descubrir los secretos o vulnerar la intimidad de otro, sin su consentimiento, se apodere de sus papeles, cartas, mensajes de correo electrónico o cualesquiera otros documentos o efectos personales, intercepte sus telecomunicaciones o utilice artificios técnicos de escucha, transmisión, grabación o reproducción del sonido o de la imagen, o de cualquier otra señal de comunicación, será castigado con las penas de prisión de uno a cuatro años y multa de doce a veinticuatro meses». Su apartado 197.2 extiende las mismas penas a quien «sin estar autorizado, se apodere, utilice o modifique, en perjuicio de tercero, datos reservados de carácter personal o familiar de otro que se hallen registrados en ficheros o soportes informáticos, electrónicos o telemáticos», así como a quien acceda a ellos o los altere en perjuicio del titular.

El acceso ilícito a los sistemas de información (el llamado hacking o intrusismo informático) se tipifica en el artículo 197 bis. Su apartado 1 castiga: «El que por cualquier medio o procedimiento, vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado, acceda o facilite a otro el acceso al conjunto o una parte de un sistema de información o se mantenga en él en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, será castigado con pena de prisión de seis meses a dos años». El apartado 2 del mismo artículo sanciona la interceptación de «transmisiones no públicas de datos informáticos que se produzcan desde, hacia o dentro de un sistema de información». El artículo 197 ter castiga la fabricación o facilitación de los medios para cometer estos delitos —«un programa informático, concebido o adaptado principalmente para cometer dichos delitos» o «una contraseña de ordenador, un código de acceso o datos similares que permitan acceder a la totalidad o a una parte de un sistema de información»—, precepto que permite perseguir el ecosistema del Crime as a Service. El artículo 197 quater agrava las penas cuando los hechos se cometen «en el seno de una organización o grupo criminal», y el artículo 197 quinquies prevé la responsabilidad de la persona jurídica respecto de los delitos de los artículos 197, 197 bis y 197 ter.

El segundo gran grupo es el de los daños informáticos. El artículo 264.1 establece: «El que por cualquier medio, sin autorización y de manera grave borrase, dañase, deteriorase, alterase, suprimiese o hiciese inaccesibles datos informáticos, programas informáticos o documentos electrónicos ajenos, cuando el resultado producido fuera grave, será castigado con la pena de prisión de seis meses a tres años». Bajo este tipo se persiguen la difusión de malware o el ransomware. El artículo 264 bis castiga a quien «sin estar autorizado y de manera grave, obstaculizara o interrumpiera el funcionamiento de un sistema informático ajeno», precepto en el que encajan los ataques de denegación de servicio (DoS y DDoS). El artículo 264 ter sanciona la producción o facilitación de programas o contraseñas concebidos para cometer estos daños, y el artículo 264 quater regula la responsabilidad de la persona jurídica.

El tercer grupo relevante es la estafa informática. Tras la reforma operada por la Ley Orgánica 14/2022, esta figura —antes ubicada en el art. 248.2— se recoge hoy en el artículo 249.1.a), que considera también reos de estafa a «Los que, con ánimo de lucro, obstaculizando o interfiriendo indebidamente en el funcionamiento de un sistema de información o introduciendo, alterando, borrando, transmitiendo o suprimiendo indebidamente datos informáticos o valiéndose de cualquier otra manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro». Bajo este tipo encajan buena parte de los fraudes en línea, el phishing y el uso fraudulento de datos bancarios sustraídos; el mismo artículo 249, en su letra b), castiga el uso fraudulento de tarjetas y demás instrumentos de pago.

Fuera del ámbito estrictamente informático, la red es también el medio para otros muchos delitos —contra la libertad e indemnidad sexual (como el grooming a menores), contra el honor, de odio, de amenazas, de acoso o stalking, contra la propiedad intelectual, de blanqueo o de terrorismo—, en los que la tecnología actúa como instrumento. El carácter transnacional de la ciberdelincuencia y la volatilidad de la prueba electrónica (que puede desaparecer en segundos) plantean retos específicos: actuar con rapidez para preservar las evidencias, observar la cadena de custodia de la prueba digital y obtener datos que a menudo se hallan en servidores de otros países.

La prueba electrónica plantea exigencias propias que el agente debe interiorizar. Es frágil (puede alterarse o borrarse con un solo clic), volátil (la información en la memoria de un equipo desaparece al apagarlo) y fácilmente manipulable, por lo que su valor en juicio depende de que se acredite su integridad y su autenticidad. Para ello se emplean técnicas de copia forense (clonado exacto del soporte), funciones resumen o «hash» que garantizan que la copia no se ha modificado, y una documentación minuciosa de quién ha tenido acceso a la evidencia y cuándo. Un defecto en la recogida o en la cadena de custodia puede convertir en inservible una prueba por lo demás concluyente, de ahí que la formación en informática forense sea hoy una competencia estratégica de las unidades de investigación.

Dato de examen: el Convenio de Budapest (2001) es el gran tratado internacional (España lo ratificó, BOE de 2010). En el CP: descubrimiento y revelación de secretos (arts. 197 a 197 quinquies), con el acceso ilícito o hacking en el 197 bis; daños informáticos (arts. 264 a 264 quater), bajo los que caben el malware, el ransomware y los ataques DoS/DDoS (264 bis); y la estafa informática, hoy en el art. 249.1.a) (antes en el 248.2, reformada por la LO 14/2022).

7. La respuesta institucional (INCIBE, CCN-CERT, Policía, Europol)

La lucha contra la ciberdelincuencia no descansa solo en el Código Penal, sino en un entramado de organismos de prevención, respuesta e investigación. En España, el INCIBE (Instituto Nacional de Ciberseguridad, con sede en León) es la referencia en ciberseguridad para los ciudadanos y las empresas, con servicios de ayuda, concienciación y respuesta a incidentes. El CCN-CERT es la capacidad de respuesta ante incidentes del Centro Criptológico Nacional (CCN), adscrito al CNI, y se ocupa de la ciberseguridad del sector público y de los sistemas clasificados. En el ámbito de las infraestructuras críticas actúa asimismo la coordinación del Ministerio del Interior a través de sus organismos competentes.

La investigación penal de la ciberdelincuencia corresponde a las Fuerzas y Cuerpos de Seguridad. La Policía Nacional cuenta con unidades especializadas en la Comisaría General de Policía Judicial dedicadas a la ciberdelincuencia (fraudes en línea, ataques a sistemas, delitos contra menores), y la Guardia Civil dispone de sus propias unidades de investigación tecnológica. Dada la naturaleza transfronteriza del fenómeno, la cooperación internacional es imprescindible: la Europol, a través de su Centro Europeo de Ciberdelincuencia (EC3), coordina la respuesta de los Estados miembros de la Unión Europea, y la Interpol hace lo propio a escala mundial. A ello se añaden los instrumentos del propio Convenio de Budapest, como la red de puntos de contacto disponibles de forma permanente para preservar y obtener pruebas con rapidez.

La defensa frente a la ciberdelincuencia descansa, en última instancia, en un triple pilar: la tecnología (actualizaciones, copias de seguridad, cortafuegos y antivirus), los procesos (políticas de seguridad, control de accesos, gestión de incidentes) y, de manera muy destacada, las personas (la concienciación y la formación), pues, como se ha visto, el usuario es a la vez el eslabón más débil y la primera línea de defensa. Dominar el vocabulario y las categorías de este tema —distinguir un troyano de un gusano, un phishing de un pharming, una botnet de un ransomware, un hacktivista de una APT— no es un ejercicio terminológico: es la condición previa para comprender la amenaza, prevenirla, investigarla y perseguirla.

Dato de examen: INCIBE (León) atiende a ciudadanos y empresas; CCN-CERT (del CCN, adscrito al CNI) protege al sector público. La investigación penal la llevan la Policía Nacional (Comisaría General de Policía Judicial) y la Guardia Civil. La cooperación internacional se articula por Europol (EC3) e Interpol. Defensa = tecnología + procesos + personas.

8. Ideas fuerza para el test

• La ciberdelincuencia usa las TIC como instrumento u objeto del delito; es transnacional, barata y de gran potencial de daño. Distingue amenaza, vulnerabilidad y riesgo.
• Malware: el virus necesita anfitrión y acción del usuario; el gusano se propaga solo; el troyano se disfraza y no se replica. El ransomware cifra y pide rescate (doble extorsión); el keylogger captura pulsaciones; el cryptojacking mina criptomonedas; el rootkit se oculta.
• Ingeniería social (el humano es el eslabón débil): phishing (masivo), smishing (SMS), vishing (voz), spear phishing (dirigido) y whaling (a directivos). BEC / fraude del CEO, cartas nigerianas (timo 419), pharming (ataca el DNS), spoofing (suplantación de origen) y skimming (copia de tarjetas).
• Ataques a sistemas: DoS/DDoS (saturación; el DDoS con botnet de zombis), inyección SQL (a la base de datos), XSS (a los usuarios) y zero-day (fallo sin parche). Man in the middle: intermediario que espía o altera.
• Agentes: cibercriminales (lucro), hacktivistas (ideología), insiders (amenaza interna) y APT (avanzadas, persistentes, a menudo estatales). El CaaS/RaaS permite delinquir sin conocimientos técnicos.
• La Cyber Kill Chain (Lockheed Martin) tiene 7 fases (reconocimiento, armamento, entrega, explotación, instalación, C2, acciones). Romper un eslabón frustra el ataque.
• Marco jurídico: Convenio de Budapest (2001). En el CP: descubrimiento y revelación de secretos (arts. 197 a 197 quinquies; hacking en el 197 bis), daños informáticos (arts. 264 a 264 quater; DoS/DDoS en el 264 bis) y estafa informática (art. 249.1.a), antes 248.2, reformada por la LO 14/2022).
• Respuesta institucional: INCIBE (ciudadanos y empresas), CCN-CERT (sector público), Policía Nacional y Guardia Civil (investigación), Europol (EC3) e Interpol (cooperación). Defensa: tecnología, procesos y personas.