Danic Maldonado.
¿Cómo observa la evolución de cibercrimen?
En términos globales, la actividad criminal ha aumentado considerablemente a partir del desarrollo de Internet. La búsqueda de rédito económico es quizás lo que más se observa en los delitos informáticos. Por otra parte, también existen personas que realizan un tipo de acción en el ámbito cibernético con el fin de causar daño en la imagen o la honra de las personas. Otro aspecto relevante, son aquellas acciones ligadas a la producción, distribución, almacenamiento o venta de material pornográfico infantil que, sin duda, forman parte de nuestra preocupación permanente, justamente con la finalidad de evitar la explotación sexual de menores a través de Internet.
¿En la búsqueda de un fin económico el blanco son principalmente las empresas?
Podríamos pensar que mayoritariamente se orientan a las empresas, y el ransomware Wanna Cry así lo hizo; pero en general las denuncias que recibimos son más bien de índole personal. El phishing o pharming apuntan principalmente a las personas, porque quizás es más fácil obtener los recursos usando esencialmente técnicas de Ingeniería Social, haciéndole creer al usuario, por ejemplo, que está operando en su banco, donde finalmente le roban las credenciales válidas de acceso a sus cuentas bancarias. En las empresas, en cambio, hay más control. Ahora, si es un ransomware, la compañía se ve atada de manos y obligada a pagar el rescate.
¿Cuáles son las amenazas o mecanismos más usados?
En general se utilizan diferentes mecanismos, pero en Chile lo más común es hacer una página web muy similar en términos de diseño para engañar al usuario, y usar una interfaz de correo muy parecida, donde se indica, por ejemplo, que el remitente es del área de soporte del proveedor de e-mail, y que necesita que la persona actualice su contraseña porque se están haciendo adecuaciones de seguridad. De esta forma se roban esos datos, para posteriormente hackear la cuenta y comunicarse con los contactos del usuario para pedir dinero a su nombre. También es común ver e-mail que simulan ser de organismos públicos, e incluyen una citación para llevar al usuario a hacer click en el archivo adjunto, y sin percatarse descargar algún código malicioso. También vemos comúnmente la usurpación de nombres en las redes sociales, muchos perfiles falsos, los cuales poseen fines variados. En las empresas, se observan además delitos ligados a algún trabajador del área TI que, por desavenencia con su empleador, termina cambiando contraseñas, modifica una aplicación para un mal uso de la misma, o roba la base de datos y la vende.
¿Qué pasa con el ransomware? ¿Es común en Chile y se denuncia?
En el caso de Wanna Cry, se generaron ocho denuncias formales en la Policía de Investigaciones de Chile, de empresas medianas afectadas por este virus. Actualmente, no existe la obligación legal de informar un delito de esta naturaleza, entonces tenemos allí una cifra escondida, que no permite dimensionar de manera adecuada el fenómeno. Hay empresas que prefieren no denunciar para no mostrar que fueron vulneradas. De lo que sí hay que tener certeza es de que, desde el punto de vista técnico, el ransomware es una realidad, y este acontecimiento sirvió para visibilizar su impacto.
¿Cómo se persigue un delito cuando no hay fronteras?
Una de las características del delito informático es precisamente que es transfronterizo, y eso también supone una complicación a la hora de la persecución penal del mismo, puesto que las leyes en general operan únicamente dentro del territorio nacional; por lo tanto, si nuestro atacante está a 10 mil kilómetros o al otro lado del mundo, la posibilidad legal para que esa persona se presente ante nuestro tribunal es nula.
Sin embargo, un aspecto fundamental en el caso chileno es que recientemente se publicó la Política Nacional de Ciberseguridad, y dentro de esta se consideró la adhesión al Convenio de Budapest.
¿Qué implica esta adhesión?
Al ser de origen internacional, este convenio permitirá homologar toda nuestra legislación interna en materia de persecución de delitos informáticos en línea con la legislación internacional. Hoy Chile se rige por la Ley 19.223 sobre delitos informáticos, que se ha vuelto obsoleta porque responde a cuando recién Internet comenzaba a desarrollarse. Actualmente existen nuevas necesidades que esta no contempla adecuadamente y requiere una actualización, lo que estará dado justamente por esta adhesión al Convenio Budapest, que abre una puerta importante para mejorar la persecución de los delitos a través de Internet.
Uno de los elementos que se requieren para perseguir este tipo de delito es preservar evidencia electrónica que puede estar al otro lado del mundo. Para obtenerla, deben existir canales formales técnicos y legales que permitan llevar a cabo esa solicitud, de lo contrario quedamos en una suerte de indefensión, porque si hay un país que no tiene regulado un delito en particular, difícilmente le podremos pedir algún tipo de datos o información. Incluso hay países en los cuales los ISP no están obligados a llevar registro de la navegación, entonces si les pedimos una dirección IP probablemente dirán que no tienen ese registro. Como Brigada Investigadora del Cibercrimen, buscamos mejorar la colaboración internacional en la persecución de delitos y los estándares de capacitación de nuestro personal.
¿El factor humano es un elemento gravitante en la seguridad?
A veces hablamos mucho de tecnología y de los sistemas que nos van a “salvarguardar de esta inseguridad del mundo cibernético”, pero olvidamos al ser humano, cuando la tecnología es un medio solamente. Desde esa perspectiva, el factor humano juega un rol clave en la seguridad de la información. Finalmente son las personas las que están frente al teclado y que forman parte de este ecosistema.
Hay empresas que tienen importantes sistemas pero siguen siendo vulnerables desde el punto de vista del factor humano. Por lo mismo, deben existir políticas internas que permitan educar tecnológicamente al usuario final, de manera que cuando reciba una cadena o correo falso y deba dar click a un archivo adjunto, tenga conciencia del riesgo y cómo puede afectar a la red. Wanna Cry operaba así, y fue efectivo. Sin duda, el ser humano es el eslabón más débil y requiere de educación. Desarrollar en forma global, desde el Estado hacia abajo, políticas en esa línea, es esencial.
¿Qué tendencias se proyectan en materia de cibercrimen?
Seguirá la búsqueda de rédito económico, las estafas, y el sabotaje informático en todas sus formas, desde que se roban una casilla de correo, hackean un sistema transaccional o logran acceder a una base de datos o información almacenada en la nube. Esto seguirá creciendo y podrían aparecer elementos mucho más complicados, por ejemplo, herramientas o amenazas avanzadas, como los bots.
Lo esencial es que los usuarios tomen conciencia de que el mundo virtual también tiene riesgos, y tal como se protegen en el mundo físico, no pueden bajar la guardia, para lo cual siempre será fundamental seguir educando.
