Source: http://docplayer.es/1510296-La-respuesta-penal-al-ciberfraude.html
Timestamp: 2017-08-21 00:59:46+00:00

Document:
LA RESPUESTA PENAL AL CIBERFRAUDE - PDF
LA RESPUESTA PENAL AL CIBERFRAUDE
Download "LA RESPUESTA PENAL AL CIBERFRAUDE"
Pascual Nicolás Henríquez Luna
1 Revista Electrónica de Ciencia Penal y Criminología ARTÍCULOS ISSN RECPC (2013) LA RESPUESTA PENAL AL CIBERFRAUDE Especial atención a la responsabilidad de los muleros del phishing Fernando Miró Llinares Profesor Titular de Derecho Penal. Universidad Miguel Hernández de Elche MIRÓ LLINARES, Fernando. La respuesta penal al ciberfraude. Especial atención a la responsabilidad de los muleros del phishing. Revista Electrónica de Ciencia Penal y Criminología (en línea). 2013, núm , p. 12:1-12:56. Disponible en internet: ISSN [RECPC (2013), 17 sep] RESUMEN: El ciberfraude sigue siendo el crimen prevalente en el ciberespacio, especialmente si tenemos en cuenta que otros ciberataques como el hacking, el envío de spam, o las infecciones de malware suelen realizarse instrumentalmente para la posterior defraudación. El trabajo aborda el análisis de la respuesta penal a las diversas formas de fraude en Internet, entre ellas el fraude de subastas o el tipo scam. Se centra, por la prevalencia de esta modalidad, en el análisis de la punición del phishing y, aún más en concreto, en la responsabilidad penal de los muleros, cuestión controvertida que ha dado lugar a una prolija y a la vez confusa jurisprudencia de audiencias provinciales que el Tribunal Supremo no ha llegado a resolver. La posible aplicación de los tipos penales del blanqueo de capitales, en su nueva redacción tras la reforma de 2010, y de la propia estafa informática considerando cooperador necesario al mulero, obligan al intérprete a plantear temáticas de parte general tan interesantes y complejas como la del contenido del dolo de participación o el auténtico sentido de la doctrina de la ignorancia deliberada. PALABRAS CLAVE: Cibercrimen, cibercrímenes económicos, ciberfraude, hacking, phishing, pharming, spoofing, scam, responsabilidad del mulero, ignorancia deliberada, dolo de participación, teoría de la integración en el injusto. Fecha de publicación: 17 septiembre 2013 SUMARIO: 1. Introducción El ciberfraude: Moby Dick de la ciberdelincuencia económica Tipologías de ciberfraude. Análisis particular de los fraudes de spam: scam y phishing. 2. La respuesta penal al ciberfraude La regulación de la estafa informática en el Ordenamiento Jurídico español y la respuesta penal a los ciberfraudes Ciberfraude y delito de estafa informática Respuesta penal a ciberfraudes tipo scam y fraudes de compras Sobre la posible punición de algunos actos previos al ciberfraude como tentativa de estafa Tratamiento penal del phishing La punibilidad del spoofing y otras conductas preparatorias del phishing La calificación jurídica del phishing. 3. La responsabilidad penal de los muleros del phishing Entre la receptación, RECPC (2013) ISSN
2 12: 2 Fernando Miró el blanqueo y la estafa: el debate jurisprudencial sobre la calificación jurídica de los actos de los muleros del phishing Toma de postura: diversidad de conocimientos imputados, diversidad de soluciones jurídicas Conocimiento imputado y responsabilidad del mulero como partícipe doloso en la estafa informática Cuestión previa I: Qué queda de la voluntad del mulero? Conocimiento (imputado) necesario para la responsabilidad del mulero como cooperador del delito de estafa Conocimiento imputado y responsabilidad del mulero como autor de blanqueo de capitales. BIBLIOGRAFÍA. 1. Introducción 1.1. El ciberfraude: Moby Dick de la ciberdelincuencia económica El constructo doctrinal delitos informáticos surgió hace más de tres décadas para referirse a todo un conjunto de infracciones penales tales como el fraude informático, el sabotaje o daños informáticos, el hacking o acceso ilícito a sistemas informáticos, la sustracción de servicios informáticos, el espionaje informático, o la piratería informática de obras del ingenio 1, que trataban de responder a una fenomenología de comportamientos unidos por la utilización de sistemas informáticos o NOTA: El presente artículo ha sido realizado en el marco del Proyecto de Investigación financiado por el Ministerio de Ciencia e Innovación, DER , titulado Cibercriminalidad: detección de déficits en su prevención jurídica y determinación de los riesgos de victimización para una mejor prevención situacional criminológica. 1 Conforme a la clasificación que popularizó SIEBER, U.: Computerkriminalität und Strafrecht, Carl Heymanns, Köln/Berlin/Bonn/München, 1980 (2ª edición), pp. 39 y ss., y que, tal y como recuerda ROMEO CASABONA, C. M.: Poder informático y seguridad jurídica. La función tutelar del Derecho penal ante las nuevas tecnologías de la información, Fundesco, Madrid, 1988, p. 45, había sido utilizada anteriormente por LAMPE. Sistematización similar es la de TIEDEMANN, al diferenciar entre manipulaciones, hurto de tiempo, hurto de software y espionaje y sabotaje, TIEDEMANN, K.: Poder económico y delito, Barcelona, Ariel, 1985, pp. 122 y ss. También GUTIÉRREZ FRANCÉS, M. L.: Delincuencia económica e informática en el nuevo Código penal, en CDJ, núm. 11, 1996, pp. 252 y ss., distingue entre infracciones patrimoniales por medios informáticos (incluye la estafa informática y la utilización ilícita de tarjetas electromagnéticas a los efectos del delito de robo con fuerza) y atentados contra la información como bien de contenido económico, entre los que incluye el espionaje informático, el sabotaje informático y el intrusismo informático, y los delitos relativos a la propiedad intelectual, si bien no entra en su estudio porque, a su parecer, estos delitos no sufren modificaciones de interés en el nuevo Código. ROMEO CASABONA, aceptando las bases de la clasificación de SIEBER, distingue en su estudio entre el fraude informático, las manipulaciones en cajeros automáticos mediante tarjetas provistas de banda magnética, y las agresiones a los sistemas o elementos informáticos, dentro de las cuales incluye el sabotaje informático y las agresiones al soporte material, y la sustracción o copia de bases de datos o de programas, cuyos principales tipos son el espionaje informático y la piratería de programas. ROMEO CASABONA, C. M.: Poder informático y seguridad..., ob. cit., pp. 46 y ss., y CORCOY BIDASOLO, M. /JOSHI, U.: Delitos contra el patrimonio cometidos por medios informáticos, en RJC, núm. 3, Barcelona, 1988, pp. 133 y ss., incluyen entre la delincuencia económica patrimonial la falsificación de datos, las estafas por computador, el descubrimiento y revelación de secretos, el hurto de software, la destrucción de datos y la utilización de sistemas informáticos sin costo. Véanse también enumeraciones similares de ALONSO ROYANO, F.: Estado de Derecho o derecho del Estado? El delito informático, en RGD, núm. 498, marzo, 1986, pp. 602 y ss., y GONZÁLEZ RUS, J. J.: Tratamiento penal de los ilícitos patrimoniales relacionados con medios o procedimientos informáticos, en PJ, Número especial IX, 1989, p. 40. Sobre las clasificaciones de delitos informáticos llevadas a cabo por los principales autores del ámbito anglosajón y continental, nos remitimos al completo estudio de ROMEO CASABONA, C. M.: Poder informático y seguridad..., ob. cit., pp. 43 y ss. Revista Electrónica de Ciencia Penal y Criminología. 2013, núm , p. 12:1-12:56 ISSN
3 Respuesta penal al ciberfraude. Responsabilidad de muleros del phishing 12: 3 por realizarse sobre los mismos. La preocupación jurídico penal de incardinar tales conductas en los tipos penales tradicionales, de reformar los mismos o de crear tipos nuevos para proteger mejor los intereses dignos de tutela, se centraba en conductas cuyo nexo de unión era el sistema informático, como medio u objeto, y todo lo que venía unido a él: su valor económico, en relación con la intimidad, etc. Podría decirse que ésta fue una primera generación de la delincuencia relacionada con el uso de las TIC en la que lo característico era la utilización de ordenadores para la comisión de delitos, y a ella le ha precedido una segunda época, ya enmarcada más claramente en el concepto cibercriminalidad, en la que la característica central es que el delito se comete a través de Internet 2. Lo relevante hoy no es tanto el sistema como el hecho de que el mismo permita la interconexión entre millones de ellos en el ciberespacio, de modo tal que sean múltiples los potenciales agresores que puedan utilizar este nuevo ámbito para seleccionar objetivos potenciales sobre los que atacar 3. La tercera generación también ha comenzado ya, y se relaciona con el desarrollo de la web 2.0 y la aparición a su albor de las redes sociales, sistemas de mensajería instantánea y demás instrumentos, que permiten la construcción de una vida social paralela en el ciberespacio a la existente en el espacio físico y que conllevan que los crímenes en Internet ya no afecten esencialmente a lo patrimonial sino que pueden hacerlo también sobre otros intereses más personales como la libertad sexual, el honor, o la propia dignidad personal 4. Pese a esta evolución que hace que hoy no pueda, ni deba, identificarse completamente la cibercriminalidad con una delincuencia patrimonial o económica, une a todas las épocas analizadas de evolución de la delincuencia relacionada con el uso de las TIC el protagonismo absoluto, en términos de prevalencia, del fraude, no tanto en cuanto a delito consumado pero sí en lo relativo a la finalidad última de las infracciones. Así sucedía con las primeras formas de delincuencia informática, en las que junto a las formas propias de estafa informática aparecían comportamientos como los de hacking que generalmente buscaban acceder a información sensible para poder realizar posteriores fraudes. Y así sigue sucediendo en la actualidad, incluso pese a la irrupción de las redes sociales y la consiguiente aparición de otras formas de cibercriminalidad no económica. Esto es hasta tal punto así que podría decirse, y de ahí la titulación del presente apartado, que el ciberfraude es la ballena blanca de la mayor parte de los cibercrímenes. El cibercriminal económico utiliza la Red, los sistemas conectados a ella, la información en ellos contenida, los servicios y cualquier otro elemento de las TIC 2 WALL, D.: Cybercrime: the transformation of crime in the information age, Polity Press, Cambridge, 2007, pp. 44 y ss. 3 MIRÓ LLINARES, F.: La oportunidad criminal en el ciberespacio. Aplicación y desarrollo de la teoría de las actividades cotidianas para la prevención del cibercrimen, en RECPC, núm , También El cibercrimen, Marcial Pons, Madrid/Barcelona/Buenos Aires/ São Paulo, CLOUGH, J.: Principles of Cybercrime, Cambridge University Press, Cambridge, 2010, p. 4. RECPC (2013) -
4 12: 4 Fernando Miró como medio u objeto para el lucro económico ilícito realizado en perjuicio de tercero. Puede hablarse, incluso, de una simbiosis entre gran parte de los comportamientos ilícitos realizados en el ciberespacio: unos y otros no sólo se entremezclan, sino que generalmente forman parte de una misma dinámica comisiva cuyo objetivo final es la obtención de lucro por parte de las organizaciones cibercriminales. El envío de correos spam, por ejemplo, como forma de ataque a innumerables terminales informáticas, es en muchos casos, el primer paso para la posterior infección con malware, bien con intención destructiva de información de usuarios o de empresas (a veces con propósito de extorsión), bien con intención de incorporar una backdoor que permita el acceso ilícito al sistema para el apoderamiento de información privada o para convertir el sistema informático en un bot que permita, posteriormente, su uso como botnet para un ataque de denegación de servicios a otra web o para el envío de cantidades ingentes de spam con la consiguiente vuelta a empezar de la cadena de ataque, o, en la mayoría de casos, para el envío de publicidad falsa tras la cual existe un ataque de phishing, cuyo propósito puede ser, de nuevo, la infección con malware para la consecución del fraude, o el engaño directo para que sea el usuario el que envíe la información privada bancaria. Y en tal cadena se pueden integrar otros cibercrímenes relacionados con la distribución ilícita de contenidos, como ocurre con la descarga de material protegido por derechos de autor, que puede esconder en muchos casos virus troyanos o infecciones de botnet, y también con la distribución de material pornográfico ilícito 5, e incluso detrás de la lícita distribución de pornografía lícita 6. Los resultados del primer estudio nacional de cibervictimización 7 muestran esta 5 En el caso de la distribución de material pornográfico ilícito, usualmente de menores, los cibercriminales muchas veces controlan las propias redes de difusión del citado contenido, y aprovechan la vulnerabilidad del sujeto que trata de descargarse el mismo y el hecho de que la víctima del ataque final difícilmente denunciará unos hechos que le convertirían a él mismo en autor de un delito, para incluir entre los objetos descargados algún tipo de malware que permita posteriormente el acceso a las cuentas corrientes de la víctima o para utilizar su sistema informático como parte de una botnet que realice posteriores ataques de spam o de Denegación de Servicios. Véase sobre todo ello, MIRÓ LLINARES, F.: El cibercrimen, ob. cit. p Como señala Maniyara, en estos casos e aprovecha el enorme potencial de difusión de este contenido para atraer a los usuarios con ofertas de gratuidad. De nuevo la cadena comienza con un ataque de spam, en el que el correo electrónico reenvía a una página de phishing que contiene material pornográfico y en la que al registrarse el usuario con la promesa de material pornográfico gratuito de mayor impacto (contactos con otros usuarios, videochats pornográficos, etc.), el usuario se descarga involuntariamente un malware con el propósito de la posterior obtención de datos privados bancarios. MANIYARA, M.: Post del blog Security Response de Symantec, 3 de febrero de En Internet, en Citado el 3 de abril de 2013, p MIRÓ LLINARES, F. /GARCÍA GUILABERT, N.: Encuesta Nacional de victimización en el ciberespacio, en el marco del Proyecto de Investigación financiado por el Ministerio de Ciencia e Innovación, DER , titulado Cibercriminalidad: detección de déficits en su prevención jurídica y determinación de los riesgos de victimización para una mejor prevención situacional criminológica, presentada en la conferencia La victimización en el ciberespacio, impartida en el IX Congreso Español de Criminología, Girona, Revista Electrónica de Ciencia Penal y Criminología. 2013, núm , p. 12:1-12:56 ISSN
5 Respuesta penal al ciberfraude. Responsabilidad de muleros del phishing 12: 5 prevalencia de los cibercrímenes cuyo objetivo final es el ciberfraude. Concretamente más del 45% de la población española reconoce haber recibido correos proponiéndoles algún tipo de favor o negocio económico sospechoso de ser engañoso y un 43,6% ha recibido algún correo cuya identidad de quien lo enviaba era falsa. En cuanto a infecciones de malware, las cuales en la actualidad son admitidas unánimemente por la literatura como ataques de troyanos y backdoors destinados a obtener información sensible para un posterior fraude o para conformar una cadena de spam, el 72,8% de la población reconoce haberlas sufrido. Y a todo ello hay que sumar el significativo dato de que un 24,4% de la población española reconoce haber sufrido efectivamente una pérdida patrimonial víctima de un ciberfraude Tipologías de ciberfraude. Análisis particular de los fraudes de spam: scam y phishing Desde una perspectiva criminológica, sin entrar todavía en una calificación jurídica de algún tipo de conducta en particular, hablamos de ciberfraude para denominar a toda una variedad de conductas en las cuales las redes telemáticas se convierten en instrumento esencial mediante el cual lograr un beneficio patrimonial ilícito derivado de un perjuicio patrimonial a una víctima. Son muchas las formas en las que se puede lograr acceder al patrimonio de terceros, utilizando las múltiples formas de relación comercial existentes en el ciberespacio, así como las propias debilidades de seguridad de los sistemas informáticos que dan directamente acceso al patrimonio o indirectamente a él, al contener las claves o datos bancarios de los usuarios. Así, algunas de las más conocidas son los distintos fraudes de tarjetas de crédito, los fraudes de cheques 8, las estafas de inversión 9, las estafas piramidales realizadas a través de Internet 10, las conocidas estafas de la lotería 11, las ventas online defraudatorias en las que no se envía el producto comprado (o se envía con otras características, como en el auction fraud) o no se paga el recibido o se cobran servicios no establecidos previamente, las estafas de inversión en las que se cobran gastos no previstos o no se explican pérdidas inesperadas 12, así como los ataques de 8 Especialmente el fraude denominado en inglés, the counteerfeit cashier's check scheme, o esquema de falsificación de cheques de caja, destinado a defraudar a personas que venden mercancías por medio de los anuncios clasificados en Internet. Véase la explicación del procedimiento por el IC3 en Internet en 9 O invest fraud, por medio de la cual se ofrecen productos financieros, préstamos o similares, que resultan ser falsos. 10 También denominadas ponzi frauds y que son en última instancia fraudes de inversión en los que a los inversores se les prometen beneficios anormales que, en realidad, no son (cuando se cobran) más que las inversiones, falsas en realidad, de otros sujetos idénticamente engañados. 11 Aunque las hay de muchos tipos, el esquema del fraude de loterías suele caracterizarse por el envío de spam con s en los que se informa a quien lo recibe de que ha ganado una lotería internacional por una cantidad altísima de dinero y que para retirarla, se solicita sin embargo, el ingreso de un dinero que es el objeto de la defraudación. 12 De hecho, uno de los más comunes y que se mantiene como usual en los últimos años es el denomi- RECPC (2013) -
6 12: 6 Fernando Miró scam en los que se prometen cantidades importantes de dinero a cambio de pequeñas transferencias relacionadas con ofertas de trabajo, loterías, premios u otros 13, entre una variedad de fraudes que van transformándose constantemente 14. De todas estas modalidades las más populares, por la total generalización del uso del correo electrónico, son las que podríamos denominar spam-frauds o frauds, y son todos aquellos fraudes en los que la comunicación inicial se realiza por medio de un correo electrónico que, generalmente, ha sido enviado a miles de usuarios al mismo tiempo. Entre ellas conviene diferenciar dos tipos generales, el de los fraudes scam y el de los fraudes tipo phishing. Los ciberfraudes burdos o scam no son más que las tradicionales estafas en las que, en este caso, la forma de comunicación entre las personas para la realización del engaño bastante es Internet, bien el correo electrónico o bien el uso de las redes sociales 15. Es ésta más bien una nado auction fraud, o fraude en las subastas, consistente en la tergiversación de un producto o su no entrega conforme a lo pactado en los sistemas de subasta online tipo ebay. En general, la actividad relacionada con las subastas en Internet comprende una serie de acciones que requieren de la participación de los usuarios, así es necesario el registro de una cuenta, la búsqueda de productos, la puja, ganar la puja, la transacción y finalmente informar sobre la reputación de los vendedores, cada una de las cuales puede ser objeto de fraude CHIU, C./KU, Y./LIE, T./CHEN, Y.: Internet Auction Fraud Detection Using Social Network Analysis and Classification Tree Approaches, en IJEC, vol. 15, núm. 3, 2011, p ASÍ, CHUA, C.E.H./WAREHAM, J.: Fighting Internet Auction Fraud: An Assessment and Proposal Computer, en IEEE Computer, núm. 10, 2004, p. 32, han tratado de pormenorizar y categorizar las distintas formas de fraude de subastas refiriéndose a las siguientes modalidades: Shilling (los vendedores participan en la puja subastando sus propios artículos intentando subir el precio de la puja compitiendo con otros compradores, quienes por lo tanto, deben pujar con cantidades más altas para adquirir los productos); Bid shielding (dos personas se confabulan para pujar en la misma subasta, una de ellas realiza pujas bajas mientras que la otra hace pujas muy altas para disuadir a otros compradores. Después, el comprador que ha ganado la puja renuncia al artículo, por lo que la otra persona puede adquirir el producto); Tergiversación (los vendedores proporcionan descripciones falsas de sus productos; Ampliar la factura (los vendedores ocultan costes extra, como gastos post-subasta por preparación del artículo); Envío suspendido (los vendedores no envían los artículos adquiridos por los compradores); Pago suspendido (los compradores no pagan después de adquirir un producto); Reproducción y falsificación (los vendedores envían productos de imitación de otros auténticos); Triangulación/custodia (los vendedores venden productos robados); Comprar y cambiar (los compradores reciben los productos, sin embargo, rechazan la transacción y devuelven a los vendedores otros productos similares o de inferior calidad); Reclamación de pérdida o daños (los compradores reclaman falsos daños en los productos y piden el reembolso al vendedor); Auto-subasta (los vendedores organizan falsas subastas con la intención de obtener nombres de compradores e información de tarjetas de crédito). 13 Entre otros muchos citados por STADLER, W. A.: "Internet Fraud", en FISHER, B. S./LAB, S. P.: Encyclopedia of Victimology and Crime Prevention, vol. 1, Sage Publications, California/London, 2010, pp. 492 y Así, y tomando como referencia la página web del IC3, que hace una importante labor de recogida de denuncias para la sistematización de los diferentes ciberfraudes existentes, deberían tomarse en cuenta además de los citados, otros como el debt elimination fraud, o fraude en los planes de eliminación de deudas, llevado a cabo por falsas empresas que solicitan el ingreso de un dinero al cliente para refinanciar sus deudas hipotecarias y de tarjetas de crédito pero que nunca devuelven; el scrow services fraud, o estafa por servicios de custodia en la que se persuade a quien participa en subastas por Internet para que contrate un servicio de custodia que asegure el éxito de la llegada de la mercancía de modo tal que el comprador acaba pagando el dinero y perdiendo el envío. 15 Véase, extensamente, YAR, M.: Cybercrime and society, London, Sage, 2006, pp. 81 y ss. En la actualidad, este tipo de ataques también se conocen en el mundo anglosajón como cons, abreviatura del término general confidence trick, también denominado bunko. Consiste en el comportamiento de tratar de Revista Electrónica de Ciencia Penal y Criminología. 2013, núm , p. 12:1-12:56 ISSN
7 Respuesta penal al ciberfraude. Responsabilidad de muleros del phishing 12: 7 categoría genérica que podría englobar a casi todos los fraudes, si bien se suele utilizar como referencia de los más burdos de ellos, aquellos en los que el engaño es poco elaborado y en los que el error de la víctima puede ir más allá de lo común. En este caso podríamos integrar el conocido caso de las cartas nigerianas, estafa clásica semejante al famoso timo de la estampita en el que el engaño se logra explotando el ánimo de lucro de la víctima, así como muchas otras que han surgido posteriormente como la de la lotería, la del trabajo desde casa, etc., siempre caracterizadas por tratar de interesar a la víctima o ganarse su confianza para que sea él quien finalmente realice el acto de disposición patrimonial que le perjudica. Por su parte el phishing 16, o pesca de incautos, ha sido definido como el mecanismo criminal que emplea tanto ingeniería social, como subterfugios técnicos para robar los datos de identidad personales de los consumidores y los de sus tarjetas de crédito o cuentas bancarias 17. El uso de la ingeniería social se produce cuando se utiliza la identidad personal de otro (spoofing) mediante la falsificación de sitios web, para conducir a los consumidores a que confíen en la veracidad del mensaje y divulguen los datos objetivos. Cuando se utilizan otros artificios técnicos, como por ejemplo, se redirecciona un nombre de dominio de una página web verdadera situada en la memoria caché del sujeto o de otro modo, a una página web falsa, o se monitoriza la intervención del sujeto en la verdadera, se utiliza el término de pharming. Aunque en las primeras manifestaciones de este tipo de ciberfraude apenas se diferenciaba el mismo de los scam dado que los ataques consistían en el intento de obtención de las claves o contraseñas del propio usuario por medio de un engaño realizado a través del correo electrónico, con el paso de los años ha ido incrementando el refinamiento tanto del engaño, como de la calidad técnica de los ataques 18. defraudar a una persona a partir de ganarse previamente su confianza. En el fondo, no existe apenas diferencia entre los ataques de scam y los cons. 16 La palabra phishing es una evolución de fishing, en alusión al intento de hacer que las potenciales víctimas muerdan el anzuelo. Los hackers frecuentemente reemplazan la letra f con las letras ph, como raíz de la antigua forma de hacking telefónico conocida como phreaking por lo que lo más probable es que éste sea el motivo por el que se escribe de este modo. No obstante, el término también se ha atribuido a la contracción de password harversting fishing, es decir, cosecha y pesca de contraseñas. El origen de esta denominación puede verse más extensamente en JAKOBSSON, M.: Phishing and Countermesasures: Understanding the Increasing Problem of Electronic Identity Theft, John Willey & Sons, FLOR define el phishing como una metodología de ingeniería social dirigida a obtener informaciones personales, costumbres o estilos de vida de otras personas, con el fin de acceder a servicios financieros o bancarios on line, asumiendo virtualmente la identidad del titular de los datos de identificación" y añade posteriormente que a través del mismo puede realizarse un hurto de datos, un abuso de información personal o un fraude de identidad ; FLOR, R.: Phishing y delitos relacionados con el fraude de identidad: un World Wide Problem en el World Wide, en V.V.A.A.: Robo de identidad y protección de datos, Aranzadi, Pamplona, 2010, pp. 83 y Véase JAISHANKAR, K.: "Identity related Crime in the Cyberspace: Examining Phishing and its impact", en IJCC, vol. 2, enero-junio, 2008, p El número y sofisticación de los ataques de phishing se ha incrementado a pesar de los ingentes esfuerzos en desarrollar contramedidas. El número de webs que informaron ser objetivo de phishing registró un incremento de a en diez meses en el período comprendido entre junio de 2006 y abril de RECPC (2013) -
8 12: 8 Fernando Miró Así por ejemplo, en el año 2000 se comenzaron a utilizar los key loggers, esto es, un tipo de software que registra y memoriza en un fichero las pulsaciones que se realizan en un teclado; en 2001 los phishers iniciaron el uso de URL ofuscadas; en 2003 llevaron a cabo las primeras grabaciones de contenidos en pantalla o screen loggers; en 2004 utilizaron por primera vez una web falsa y desde 2006 es habitual el phishing por VoIP 19. En la actualidad no hay un único phishing, sino múltiples modalidades de este tipo de fraude 20. Del mismo modo que no hay un único tipo de hackers que realizan phishing, sino que en esta actividad delictiva participan sujetos con actividades encomendadas de muy distinta naturaleza 21. Sin embargo, es posible identificar tanto los componentes intrínsecos esenciales del phishing como las modalidades más habituales hoy existentes. En cuanto a lo primero, el phishing suele estar formado por tres componentes, el mensaje, la interacción y el robo. En la mayoría de las ocasiones se trata de un correo electrónico remitido por el delincuente, pero también puede ser un SMS, VoIP, mensaje en una red social e incluso en videojuegos con múltiples participantes 22. Este señuelo no suele ser muy sofisticado desde el punto de vista técnico, sino que a través de la ingeniería social aprovecha las debilidades de las potenciales víctimas 23. Poniendo en práctica diferentes estrategias de engaño, se consigue que Véase DONG, X. /CLARK, J.A./JACOB, J.L.: Defending the weakest link: phishing websites detection by analysing user behaviours, en Telecommun Syst, núm. 45, 2010, p Por su parte, el Anti-Phishing Working Group (APWG) informó que durante la primera mitad de 2011 una media de webs fueron objeto de phishing, véase Phishing Activity Trends Report 1st Half/2011 consultado en línea el 3 de abril de 2013 en 19 OLLMAN, G.: The Phishing Guide: Understanding and Preventing Phishing Attacks. Informe Técnico, NGSS, 2009, p Véase con más profundidad MIRÓ LLINARES, F.: El cibercrimen, ob. cit., pp. 72 y ss. 21 Se ha producido una especialización en los delincuentes que realizan este tipo de estafas, así, no es extraño encontrar grupos de ciberdelincuentes que se organizan diferenciando entre mensajeros, recolectores y cajeros MYERS, S.: Introduction to Phishing en JAKOBSSON, M. /MYERS, S.: Phishing and Countermeasures: Understanding the Increasing Problem of Electronic Identity Theft, John Wiley and Sons, 2006, p. 3 Los primeros, bien sean spammers o hackers, remiten un gran número de correos, generalmente a través de bot-nets, es decir, redes de ordenadores comprometidos y controlados por el mensajero. El segundo grupo, el de los recolectores, son hackers que construyen o alteran las webs a las que se dirigen los usuarios víctimas de spam y de las que se obtiene información confidencial como nombres de usuario, contraseñas o tarjetas de crédito. Un tercer grupo es el de los cajeros, los cuales obtienen información confidencial de los recolectores y hacen uso de ella, creando tarjetas de crédito para obtener dinero en cajeros, comprar productos en línea, hacer transferencias y en definitiva, cualquier actividad que permita el lucro esperado. 22 HONG, J.: The State of Phishing Attacks, en Communications of the ACM, vol. 55, núm. 1, 2012, p. 74. En relación con los juegos masivos online, HILVEN y WOODWARD señalan que el valor de una cuenta robada de War of Warcraft es superior al de una tarjeta de crédito, lo que puede ayudar a comprender las complejas consecuencias de esta modalidad de fraude. 23 Algunos ejemplos de la aplicación de estos principios, son los mensajes en los que se requieren actualizaciones de seguridad, se insta a completar información de cuentas para su mantenimiento, incentivos financieros o falsas actualizaciones. Así, podemos encontrar mensajes del supuesto administrador de un sistema advirtiendo sobre un ataque, que debe evitarse instalando urgentemente un parche, o la notificación de problemas con la autenticación de usuario, cuya solución consiste en la remisión de una nueva contraseña. En otros casos, el mensaje contiene una proposición relacionada con futuras ganancias o benefi- Revista Electrónica de Ciencia Penal y Criminología. 2013, núm , p. 12:1-12:56 ISSN
9 Respuesta penal al ciberfraude. Responsabilidad de muleros del phishing 12: 9 el usuario aporte el segundo componente, la interacción; es decir, que la víctima siga un enlace a una URL inserta en un correo electrónico, proporcione determinada información sensible respondiendo a un correo o instale malware. Lo más usual es que se requiera a la propia víctima a que acuda a la web que se ha construido de manera idéntica a la de una organización de confianza, como un banco o una popular web de subastas, que instale el malware o que remita la información sensible. Para conseguir su objetivo, los phishers registran nombres de dominio parecidos a los de la entidad elegida, de este modo, podemos encontrar ebay-login.com en lugar de ebay, también es posible encontrar imitaciones más burdas tales como ebay.com.phishsite.com. Por supuesto utilizan logos e imágenes de las empresas u organismos a los que suplantan, generando una falsa seguridad en la víctima 24. El tercer y último elemento es la utilización efectiva de la información robada. En algunos casos el delincuente usa directamente los datos de la víctima suplantando su identidad, no obstante, normalmente el phisher no explota por sí mismo la información obtenida, sino que la vende a terceros. Tal es el caso visto de las cuentas de usuario para juegos masivos online o la venta de números de tarjetas de crédito, de este modo, se ha generado un mercado negro de compraventa de información robada. Aunque hay tantas variaciones de phishing como formas posibles en las que pueden aparecer los componentes comentados, algunas son más conocidas. La más popular de ellas sería el phishing en sentido estricto o phishing tradicional, en el que se utiliza la imagen corporativa de una entidad bancaria o de una institución, para solicitar a la víctima por medio de correo electrónico que envíe a una dirección de correo que simula ser de tal entidad, los datos bancarios requeridos. Esta forma de phishing ha comenzado a ser sustituida por otras más elaboradas como el spear phishing o pesca con arpón, en la que en lugar de dirigirse a objetivos indiscriminados, se buscan clientes de entidades bancarias u otro tipo de organizaciones concretas. Una variante de este tipo de phishing es el business services phishing, en el que el objetivo ya no es si quiera un cliente de un banco, sino los empleados de entidades que utilizan servicios como Google AdWords o Yahoo! De manera similar en la modalidad conocida como whaling, se ataca a los empleados de alto nivel de grandes empresas o gobiernos. En un ataque de whaling el phisher se centra en un pequeño grupo de personas de alto nivel de una organización concreta e intenta robar sus credenciales, preferiblemente a través de la instalación de malware que proporciona funcionalidades de puerta atrás y keylogging. En estos cios, que finalmente busca aprovechar el ánimo de lucro de la víctima para provocar ingresos de dinero en cuentas. Las ofertas, premios, promociones o regalos constituyen otro de los reclamos utilizados, junto con la solicitud de ayuda humanitaria para víctimas de desastres o situaciones desesperadas. 24 Para completar el engaño, emplean todo tipo de subterfugios técnicos, como la ofuscación de URL o la utilización de supuestas webs seguras de terceras partes o autoridades de validación, las cuales disponen de medidas de seguridad suplementaria como URL https, o certificados SSL; estas entidades utilizan gráficos e imágenes que son igualmente replicadas por los diseñadores de las falsas webs. RECPC (2013) -
10 12: 10 Fernando Miró casos, los señuelos no se limitan a la remisión de mensajes, puesto que lo que tratan es de infectar con malware el equipo informático, por lo tanto, utilizan todo tipo de medios como CD que contienen software de evaluación o instalan hardware del tipo keylogger que permite el registro de teclados y ratones. Otra de las formas de phishing más común en la práctica es el basado en malware, es decir, cualquier tipo de phishing en el que se hace uso de software malicioso en el ordenador del usuario 25. El ejemplo más común de este tipo de phishing es la ejecución de archivos adjuntos a mensajes de correo electrónico, o la descarga de software desde una web relacionada con pornografía o cotilleos sobre famosos. Este malware puede presentarse de diferentes formas, que por lo general explotan vulnerabilidades de los sistemas informáticos. De este modo podemos encontrar keyloggers o screenlogers, es decir, programas diseñados para monitorizar el teclado y el ratón o las entradas en pantalla. En estos casos el sujeto ni siquiera será conocedor de que está enviando las claves, ya que el correo electrónico enviado lleva un archivo que utiliza o bien spyware 26, del estilo de los programas keylogger o sniffer, para localizar los datos bancarios, o bien malware para lograr un acceso ilícito y descubrir los datos queridos; similar a éstas, los hosts file poisoning o alteración de los archivos de DNS, son defraudaciones que entran dentro de la denominación de pharming. Se trata de una táctica fraudulenta que consiste en cambiar los contenidos del DNS (Domain Name Server -Servidor de Nombres de Dominio-) ya sea a través de la configuración del protocolo TCP/IP o del archivo imhost (que actúa como una caché local de nombres de servidores), para que el usuario, cuando teclea la dirección web de su entidad bancaria en su navegador entre, en realidad, a una web falsa muy parecida o igual a la original, en la que acaba desvelando sus datos bancarios. Además, en caso de que el usuario afectado por el pharming navegue a través de un proxy para garantizar su anonimato, la resolución de nombres del DNS del proxy puede verse afectada de forma que todos los usuarios que lo utilicen sean conducidos al servidor falso en lugar del legítimo; igualmente los session hijackers o secuestro de sesiones, lo que permiten es el acceso a los archivos del equipo o a los servicios del sistema; los troyanos web o programas maliciosos que mediante ventanas emergentes recogen claves; y en general cualquier otra técnica que, utilizando software, permite perfeccionar el engaño haciendo creer a la víctima que está fuera de peligro. También son frecuentes aquellos otros fraudes en los que el correo electrónico 25 Para conocer una descripción de gran variedad de malware véase EMIGH, A.: Online Identity Theft: Phishing Technology, Clokepoints and Countermeasures. ITTC Report on Online Identity Theft Technology and Countermeasures, 2005,pp Que es definido por FERNÁNDEZ TERUELO, como aplicaciones que se consiguen introducir en el PC de la víctima, y cuyo objetivo es el envío, a un lugar exterior (habitualmente al ordenador del defraudador), de datos del sistema donde están instalados (normalmente claves de acceso a determinados sistemas), sin el conocimiento del usuario ; FERNÁNDEZ TERUELO, J.G.: Derecho penal e Internet. Especial consideración de los delitos que afectan a jóvenes y adolescentes, Lex Nova, Valladolid, 2011, p. 36 Revista Electrónica de Ciencia Penal y Criminología. 2013, núm , p. 12:1-12:56 ISSN
11 Respuesta penal al ciberfraude. Responsabilidad de muleros del phishing 12: 11 de la supuesta entidad bancaria incluye un link que redirige al sujeto, aparentemente, a una página web de la entidad que en realidad no es tal y que permite al atacante conocer los datos bancarios de su víctima, ya que el sujeto piensa que está tecleando las claves en su entidad bancaria. Esto se consigue accediendo a un servidor cuya seguridad se ha visto comprometida y sustituyendo el contenido legítimo por otro malicioso o aprovechando vulnerabilidades de las bases de datos SQL que permiten ejecutar scripts. 2. La respuesta penal al ciberfraude 2.1. La regulación de la estafa informática en el Ordenamiento Jurídico español y la respuesta penal a los ciberfraudes Ciberfraude y delito de estafa informática La preocupación por la mejor respuesta jurídico-penal posible a los ciberfraudes es, coherentemente, tan antigua como las primeras noticias de los mismos. Y pese a que, como se verá, no siempre concuerdan todas las modalidades en el constructo dogmático tradicional de la estafa, fue en el mismo en el que se intentaron encauzar desde un primer momento, especialmente por excluirse más claramente otras modalidades penales de protección patrimonial. En efecto, frente a este tipo de comportamientos en el ciberespacio los delitos tradicionales de apoderamiento, no parecen ser adecuados, dado que en ellos el elemento tomar o apoderarse siempre se ha interpretado en un sentido físico o material que no se da en la mayor parte de estas conductas en las que, además, hay muchos casos en los que es la propia víctima la que realiza el acto de disposición patrimonial que le perjudica. Tampoco la apropiación indebida concuerda en absoluto con estas tipologías de infracción al patrimonio. Los tipos defraudatorios como la estafa podían corresponder mucho mejor a la dinámica de uso de las TIC para engañar a un tercero en que consistían, y consisten, muchas infracciones. El problema que planteaba la estafa, por su parte, era la exigencia de engaño del sujeto activo, que dejaría fuera del ámbito típico todo un conjunto de conductas en las que la transferencia patrimonial se logra por medio de la manipulación de alguno de los procesos informáticos existentes en la actualidad. Con esta intención de dar cobertura de protección penal a aquellas defraudaciones realizadas usando medios informáticos se incluyó en el CP de 1995 el delito de estafa informática del artículo CP que sanciona a los que con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante consigan la transferencia no consentida de cualquier activo patrimonial en perjuicio de tercero 27. En este delito, también denominado de fraude informático, se sustituye la 27 Aunque, como recuerda FERNÁNDEZ TERUELO, el tipo de la estafa informática no nació, en absoluto, con objeto de resolver situaciones fraudulentas ejecutadas a través de Internet, pues recuérdese que la RECPC (2013) -
12 12: 12 Fernando Miró exigencia de engaño personal, por la conducta de manipulación informática, la cual ha sido definida en varias sentencias por el TS como aquella que está presente cuando la máquina, informática o mecánica, actúe a impulsos de una actuación ilegítima que bien puede consistir en la alteración de los elementos físicos, de aquellos que permite su programación, o por la introducción de datos falsos 28. Sin entrar aquí en la profunda y compleja discusión sobre el alcance del concepto de manipulación informática 29, en lo que existe acuerdo doctrinal es acerca de que la descripción de la conducta típica se realizó, intencionadamente, de forma muy amplia, para englobar prácticamente cualquier modalidad de comportamiento que utilizase 30 las tecnologías de la información para conseguir el resultado de una transferencia patrimonial en perjuicio de un sujeto pasivo 31. Este es, en realidad, el objetivo del legislador, el proteger el patrimonio frente al uso de sistemas informáticos, que es lo que en realidad se tipifica como comportamiento típico. No entiendo, pues, frente a un sector de la doctrina, que sea necesaria una equiparación de la manipulación informática al engaño de la estafa, sino que más bien la manipulación informática o el artificio semejante, se convierten en una fórmula amplia que permite integrar en el ámbito típico de la estafa informática, cualquier transferencia patrimonial que se haya obtenido mediante la utilización de técnicas o sistemas informáticos. Hay que tener en cuenta, sin embargo, que no es la de la sustitución del engaño personal por la manipulación informática 32, la única diferencia de la estafa informátiintroducción del tipo en el Código penal se produce en un momento (mediados de los años 90 del siglo pasado) en el que aún no se había producido un desarrollo significativo del uso de la Red en nuestro país. Realmente, el principal objetivo perseguido con su tipificación era el de sancionar situaciones fraudulentas planteadas en entidades bancarias o terminales de pago (TPV) en las que algún empleado o tercero operando sobre ellas, realizaba transferencias a su favor o a favor de tercero ; FERNÁNDEZ TERUELO, J.G.: Derecho penal e Internet. Especial consideración de los delitos que afectan a jóvenes y adolescentes, Lex Nova, Valladolid, 2011, p Entre otras, la STS núm. 2175/2001, de 20 de noviembre de 2001 y la STS núm. 692/2006, de 26 de junio de 2006, que confirma la SAP de Madrid núm. 92/2005 de 28 de febrero de Véase, entre otros, MATA Y MARTÍN, R. M.: Delincuencia informática y Derecho penal, Madrid, Edisofer, 2001, pp. 45 y ss.; HERRERA MORENO, M.: El fraude informático en Derecho penal español, en AP, núm. 39, 2001, p También sobre la discusión y alcance del concepto de manipulación informática GALÁN MUÑOZ, A.: El robo de identidad: aproximación a una nueva y difusa conducta, en V.V.A.A.: Robo de identidad y protección de datos, Aranzadi, Pamplona, 2010, p. 176, donde se adscribe a una concepción amplia de este concepto. 30 Precisamente, GALÁN MUÑOZ propone reformar el vigente CP reemplazando el término manipulación por el menos problemático y general de utilización, ya que ello permitiría excluir cualquier posible interpretación limitadora de este delito que tratase de fundamentarse en su supuesta ( ) cercanía con el delito de estafa tradicional, delito del que, además, también debería diferenciarse en términos punitivos, GALÁN MUÑOZ, A.: El robo de identidad: aproximación, ob. cit., pp. 177 y Lo cual, sin embargo, ha sido criticado por algún autor por falta de taxatividad. Así, CHOCLÁN MONTALVO, J. A.: "Fraude informático y estafa por computación, en CDJ, núm. 10, 2001, p Precisamente por ello, el autor aporta una definición restrictiva de manipulación informática, entendiendo por ella "toda acción que suponga intervenir en el sistema informático alterando, modificando u ocultando los datos que deban ser tratados automáticamente o modificando las instrucciones del programa, con el fin de alterar el resultado debido de un tratamiento informático y con el ánimo de obtener una ventaja patrimonial". 32 En el mismo sentido, FERNÁNDEZ TERUELO propone como elemento diferenciador entre la estafa in- Revista Electrónica de Ciencia Penal y Criminología. 2013, núm , p. 12:1-12:56 ISSN
13 Respuesta penal al ciberfraude. Responsabilidad de muleros del phishing 12: 13 ca con la estafa tradicional y el único elemento clave definitorio del ámbito de injusto de la primera de ellas 33. Otra diferencia importante es que en la estafa informática no se exige que sea el propio sujeto pasivo el que realice el acto de disposición patrimonial sino que, más bien a la inversa, debe ser el propio sujeto activo el que transfiera dinero a su cuenta. De este modo, al igual que para que haya estafa es necesario que sea el propio sujeto engañado el que realice el acto de disposición patrimonial, para que haya estafa informática es necesario que eso no ocurra, esto es, que haya una transferencia no autorizada, siendo irrelevante si la transferencia la realiza el propio sujeto activo o un tercero. Y esa diferencia va a ser determinante, como hemos dicho, a la hora de concretar el régimen punitivo del delito en relación con los ataques al patrimonio que se realizan a través de Internet, pues dejará fuera del mismo a aquellos comportamientos defraudatorios que logren que sea el propio usuario el que autorice la transferencia, aunque no sepa que es en su propio perjuicio. En esos casos, y siempre que pueda probarse, además, que ha existido engaño por parte del sujeto y que ha sido éste el que ha llevado al error que, a su vez, produce el acto de disposición patrimonial en perjuicio de la víctima, habrá delito de estafa. Parece, pues, que el legislador ha diseñado un régimen que supone una amplia tutela de la protección del patrimonio frente a las diferentes tipologías de cibercriminaliad que hemos analizado: casi cualquiera de las conductas de los cibercriminales por medio de las cuales obtienen un beneficio patrimonial directamente derivado y proporcional al perjuicio que causan a otro, puede ser sancionada penalmente. Pero hemos visto como no siempre es el delito de fraude informático el que servirá para dar respuesta penal a estas conductas, sino que las mismas deberán ser reconducidas en muchos casos al delito de estafa. Y es el momento de analizar, aunque sea someramente, la posible incardinación de las principales tipologías de fraude en Internet en los tipos penales existentes. Pues bien, en primer lugar son sancionables penalmente, concretamente por medio del delito de estafa informática, el denominado tampering o data diddling, esto es, la modificación no autorizada de los datos o del software que los trata (que no del procesamiento), incluyendo el borrado de archivos o la modificación de éstos, y consiguiendo, de ese modo, la transferencia patrimonial. Éstas son las que se han denominado por la doctrina alteraciones del INPUT 34, y sobre las que existe formática y la estafa común la ausencia de engaño y error en la estafa informática, y por tanto la existencia en la estafa común de una relación/interlocución entre, al menos, dos personas: la que engaña y el engañado. Si faltara ésta normalmente habrá de acudirse a la estafa informática. ; FERNÁNDEZ TERUELO, J.G.: Derecho penal e Internet, ob. cit. pp. 45 y 50. En el mismo sentido, FARALDO CABANA, P.: Las nuevas tecnologías en los delitos contra el patrimonio y el orden socioeconómico, Tirant lo Blanch, Valencia, 2009, p Sobre ellas, véase especialmente, el completo análisis de GALÁN MUÑOZ, A.: El fraude y la estafa mediante sistemas informáticos. Análisis del artículo CP, Tirant lo Blanch, Valencia, 2005, pp. 765 y ss. 34 Véase al respecto de la distinción entre alteraciones del INPUT y del OUTPUT, GALÁN MUÑOZ, A.: El fraude y la estafa, ob. cit., pp. 560 y ss. RECPC (2013) -
14 12: 14 Fernando Miró acuerdo doctrinal acerca de su incriminación por vía del artículo También entrarán aquellas otras transferencias logradas gracias a un uso de los tratamientos informáticos o a una modificación en los resultados del procesamiento automatizado de datos, o alteraciones de OUTPUT 36. En realidad, y como se ha dicho, al utilizarse un concepto amplio de manipulación, bastará con que el sujeto que consiga la transferencia patrimonial lo haga utilizando sistemas informáticos para que haya fraude del 248.2, con lo que ya estoy adelantando mi respuesta respecto a los últimos casos que vamos analizar Respuesta penal a ciberfraudes tipo scam y fraudes de compras Nos queda por estudiar la posible incardinación dentro de los delitos patrimoniales de los que, por otra parte, son los más frecuentes casos de defraudación en el ciberespacio, los ataques scam, y los ataques patrimoniales realizados tras haber obtenido del propio usuario o mediante el uso de spyware o malware las claves y datos bancarios necesarios para ello. En cuanto a los primeros, los denominados scam, comienzan con el envío de spam o correo electrónico no deseado, en el que se trata de engañar al sujeto, generalmente prometiéndole la obtención de un beneficio patrimonial de forma sencilla, siempre que, previamente, el sujeto realice algún tipo de ingreso en la cuenta corriente para poder comenzar las transacciones comerciales 37. Este comportamiento, cuyo principal exponente es el de las denominadas cartas nigerianas en las que se prometía compartir una sustanciosa fortuna de un príncipe africano a cambio de ingresar un dinero en una cuente corriente que permitiría sacar el dinero del país de procedencia, no encaja en absoluto en el delito de estafa informática del artículo 248.2, dado que en el mismo, hay una transferencia autorizada, aunque sea debida a un engaño. Por el contrario, donde encaja este comportamiento es en el delito de estafa tradicional, dado que se utiliza el correo electrónico para engañar a un sujeto llevándole al error por el que realiza posteriormente un acto de disposición patrimonial en perjuicio propio o de terceros. Así pues, se reafirma la idea de que es el elemento de la transferencia autorizada (estafa), o no autorizada (estafa informática) el que va a ser determinante para la calificación jurídica de los ciberfraudes, de forma que cuando sea el sujeto pasivo el que 35 Así, por todos, ROVIRA DEL CANTO, E.: Delincuencia informática y fraudes informáticos, Comares, Granada, 2002, pp. 265 y ss. Acerca de lo que ya no existe tanto acuerdo es, en cambio, si es asimilable a las acciones relativas a la fase INPUT, la introducción de datos que no son falsos, pero por parte de un sujeto no autorizado, CHOCLÁN MONTALVO, J. A.: "Fraude informático, ob. cit., p Sobre ello, volveremos más adelante cuando analicemos el caso del phishing, aunque se puede adelantar nuestra opinión favorable a considerar que aquí hay manipulación informática. 36 Así, GALÁN MUÑOZ, A.: El fraude y la estafa, ob. cit., p En sentido contrario, CORCOY BIDASOLO, M./JOSHI, U.: Delitos contra el patrimonio, ob. cit., p FLORES PRADA describe el scam como una modalidad de estafa informática compleja y estructurada en varias etapas, FLORES PRADA, I.: Criminalidad informática. Aspectos sustantivos y procesales, Tirant lo Blanch, Valencia, 2012, p También refiriéndose a las diversas etapas del scam, la SAP de Zaragoza, de 2 de noviembre de Revista Electrónica de Ciencia Penal y Criminología. 2013, núm , p. 12:1-12:56 ISSN
15 Respuesta penal al ciberfraude. Responsabilidad de muleros del phishing 12: 15 realice la transferencia patrimonial, el hecho no podrá ser nunca calificado de estafa informática. 38 Resta tan sólo, pues, la calificación de las conductas consistentes en la obtención, por medio de engaño, spyware, hacking o cualquier otra forma, de las claves y datos informáticos y su posterior utilización para obtener un lucro patrimonial en perjuicio de tercero. Pues bien, hay que distinguir en primer lugar, dentro de esta modalidad de fraude que es la que se ha acabado generalizando en Internet, entre aquella en la que se utilizan las claves para realizar una compra telefónica o electrónica, y el ya analizado phishing. El otro tipo de fraude es menos común, pues pese a generalizarse los sistemas de compra de bienes por medio de Internet y por vía telefónica, también los bancos están comenzando a utilizar sistemas para avisar, antes de que se produzca el envío del producto por parte del vendedor, de la venta (por ejemplo, por medio de sms). En todo caso, hay que valorar si la misma tiene incardinación en alguno de los tipos penales que protegía el patrimonio en su regulación anterior a la reforma. En la doctrina hay quien ha considerado que el hecho es susceptible de ser sancionado como estafa común 39, y quien ha considerado que el hecho podría reputarse como estafa informática 40. En cuanto a la consideración del hecho como una estafa común, resulta más que discutible que pueda hablarse de engaño en la conducta de obtener el número de tarjeta de crédito y demás datos necesarios (fecha de caducidad) para obtener el beneficio patrimonial 41, pero lo que desde luego no plantea ninguna duda es que no es manipulación informática, pues en este tipo de comportamientos no hay un acto de disposición patrimonial por parte del sujeto que ha sido objeto del engaño. Más bien es el propio sujeto activo el que realiza el acto que le procura a él el beneficio y a la víctima el perjuicio patrimonial 42. Esto podría hacer pensar que entra entonces el comportamiento dentro 38 En este mismo sentido, también menciona FERNÁNDEZ TERUELO como diferencia con la estafa común el hecho de que la transferencia de activos patrimoniales no es realizada por la víctima del engaño, sino por el propio autor o un tercero a través del sistema, aproximándose a lo por mí apuntado; FERNÁNDEZ TERUELO, J. G.: Derecho penal e Internet, ob. cit., p. 50. En esta misma dirección explica FARALDO CABANA que el acto de disposición patrimonial, la transferencia de activos patrimoniales, no es realizado por la víctima del engaño, como en la estafa común, pues aquí no suele haber contacto humano, sino por el propio autor a través del sistema. Consecuentemente, se exige que se trate ce una transferencia no consentida, elemento que no está presente en la estafa común porque allí el acto de disposición lo realiza el sujeto pasivo del delito en perjuicio propio, por consentimiento viciado por el error, o el sujeto pasivo de la acción en perjuicio de tercero, siendo irrelevante que el tercero haya consentido o no ; FARALDO CABANA, P.: Las nuevas tecnologías, ob. cit., p MATA Y MARTÍN, R. M.: Delincuencia informática, ob. cit., p FARALDO CABANA, P.: Las nuevas tecnologías, ob. cit., pp. 91 y ss. 41 Así lo advierte FARALDO CABANA, P.: Las nuevas tecnologías, ob. cit., pp. 90 y 91, quien dice que ni se engaña a una persona física ni la transferencia del activo patrimonial es realizada por la víctima o un tercero a consecuencia del error ocasionado por el engaño, sino por el propio autor. 42 Al fin y al cabo, el acto de disposición patrimonial no es la venta de la cosa, como luego se verá, sino el dinero que es utilizado por el sujeto activo para comprarla en perjuicio del titular de la tarjeta de crédito; por lo que no puede decirse que hay un acto de disposición patrimonial, ni del perjudicado (que no RECPC (2013) -
16 12: 16 Fernando Miró de los parámetros de la estafa informática. Hay que distinguir, sin embargo, dos tipos de casos. Por una parte, podríamos situar aquellos supuestos en los que el pago se realiza a través de la propia Red, utilizando algunos de los sistemas existentes en los que basta con saber el número de tarjeta, la fecha de caducidad y algún otro número de identificación que también debe haber sido espiado. Aquí, y como ha señalado Faraldo Cabana, sí hay manipulación informática pues aunque el sistema informático funciona correctamente y los datos introducidos son reales, se utilizan sin consentimiento del titular o, en otras palabras, simplemente porque se ha utilizado un sistema informático. Más complejo parece, por el contrario, entender que en estos casos ha habido una transferencia no autorizada. Tal consideración dependerá de cuál entendamos que es el activo patrimonial transferido: el dinero de la compra, o el objeto que se vende, lo cual a su vez dependerá de que entendamos que la compra ha sido válida y perfeccionada o de que no lo ha sido. Si entendemos que no ha habido compra legal y que, por tanto, la entidad vendedora debe devolver el dinero que ha recibido electrónicamente, estaríamos ante un hecho atípico, pues en ese supuesto la transferencia del activo patrimonial consistente en el bien que se vende, habría sido autorizada. Por el contrario, si se entiende que sí ha habido venta y que, por tanto, el que debe cargar con la pérdida es el comprador, entonces sí podríamos hablar de una transferencia no autorizada de un activo patrimonial realizada utilizando medios informáticos y, por tanto, de una estafa informática del artículo Evidentemente, estamos ante este último caso: la compra ya ha existido y, por tanto, el activo patrimonial que ha sido transferido es el dinero y no la cosa, y dado que no ha habido autorización por parte del titular, estaríamos ante una estafa informática punible. Por otra, estarían aquellos en los que las claves se han obtenido utilizando sistemas informáticos pero, una vez obtenidas éstas, el pago que produce el perjuicio patrimonial, se realiza vía telefónica. En ese caso, es cierto que no puede afirmarse que la transferencia patrimonial se haya llevado a cabo gracias a una manipulación informática realizada por el sujeto, lo que nos llevaría aparentemente a la impunidad. Puede utilizarse, en cambio, la figura de la autoría mediata si entendemos que la operadora telefónica, cuando (generalmente) utiliza un sistema informático para realizar la venta, es la que está llevando a cabo la manipulación (en el sentido que le hemos dado de uso del sistema) bajo error inducido por el sujeto que se está haciendo pasar por el titular de la tarjeta de crédito. Conforme a eso, el hecho podría ser considerado punible por medio de la estafa informática, siguiendo la argumentación anterior. Puede decirse, pues, que no hay laguna de punibilidad alguna ante este tipo de supuestos de compras llevadas a cabo utilizando los datos de la tarjeta de interviene), ni del que realiza la venta. Revista Electrónica de Ciencia Penal y Criminología. 2013, núm , p. 12:1-12:56 ISSN
17 Respuesta penal al ciberfraude. Responsabilidad de muleros del phishing 12: 17 crédito de otro sujeto, que siempre podrán ser sancionados como estafas informáticas Sobre la posible punición de algunos actos previos al ciberfraude como tentativa de estafa Se ha señalado anteriormente que el objetivo final de la gran mayoría de los ataques en la Red es la defraudación del patrimonio de un sujeto individual que opera en el mismo y que, realice o no actividades económicas a través de Internet, utiliza servicios como el correo electrónico o la propia WWW a través de un ordenador personal o de empresa, lo cual es ya suficiente para que su patrimonio pueda verse potencialmente afectado. Los ataques de spam, el envío de malware consistente en troyanos, backdoors, etc., la infección por medio de spyware, o el uso de programas sniffer o keylogger son generalmente pasos previos destinados a localizar datos bancarios o a que sea la propia víctima quien los entregue o a que realice directamente aquello que le va a producir el perjuicio patrimonial y el beneficio patrimonial del cibercriminal. Corresponde, pues, dentro del análisis de la protección penal del patrimonio frente a las distintas modalidades de ciberfraude y su posible incardinación en la estafa común o la estafa informática, comprobar si algunos de los comportamientos preparatorios del fraude final, tales como el envío de spam de phishing, la infección de spyware y malware, y otros, que suelen servir como pasos previos para el posterior ataque patrimonial, pueden sancionarse como tentativa de estafa informática. Es éste un delito de resultado que se consuma con el perjuicio patrimonial producido por la transferencia no autorizada de activos patrimoniales, y en el que es posible, por tanto, la tentativa de quien, conociendo que su conducta puede causar la lesión del bien jurídico, la lleva a cabo sin afectarlo definitivamente, pero poniéndolo en riesgo. No creo, conforme a ello, que el mero envío de spam que contenga mensajes de phishing, ni tampoco la infección de malware o spywares, por sí mismas, puedan reputarse tentativa del delito, excepto en aquellos casos en los que la conducta realizada ya tenga la capacidad potencial para producir el resultado, el cual no acabe por producirse por causas externas al sujeto activo 43. Así, podremos considerar que hay tentativa de delito, por ejemplo, en los casos en los que el sujeto pasivo comienza a meter los datos en la página web falsa, pero no cuando simplemente se mandan los mensajes engañosos o se infecta con software espía el sistema informático ajeno. Quizás la duda estriba en si podrían considerarse ya tentativa, aquellos 43 En similar sentido, se expresa MATA Y MARTÍN cuando afirma que la creación de falsas páginas webs donde se invite a los usuarios a reproducir sus datos (pharming) o el envío de correos electrónicos para lograr que los propios usuarios faciliten sus datos mediante justificaciones falsas (phishing) no constituyen, por sí mismos, el engaño o manipulación informática requeridas como elementos típicos de estos delitos, refiriéndose a la estafa en su modalidad convencional (art ) y a la estafa informática (art ); MATA Y MARTÍN, R.: El robo de identidad: una figura necesaria?, en V.V.A.A.: Robo de identidad y protección de datos, Aranzadi, Pamplona, 2010, p RECPC (2013) -
18 12: 18 Fernando Miró supuestos en los que el sujeto activo obtiene las claves bancarias que necesita, pero no ha llegado a utilizarlas en la entidad bancaria para realizar la transferencia. Como apoyo interpretativo podríamos tener en cuenta la doctrina jurisprudencial referida a los casos de sustracción de las claves de una tarjeta para posteriormente ser utilizadas en un cajero o comercio, en las que se considera que todavía no hay inicio de la tentativa ni el hecho es reconducible a ningún tipo patrimonial 44. Aun así, esta cuestión merecería un análisis profundo que tuviera en cuenta que la tenencia de las claves de la banca electrónica, cuando con las mismas se puede realizar directamente una transferencia bancaria, es un acto con una peligrosidad idónea para la realización de tal transferencia en perjuicio de la víctima. En todo caso, y frente a lo que se señala para las claves de las tarjetas de crédito, algunos de los comportamientos preparatorios del phishing y de otras formas de fraude informático, pueden ser susceptibles de ser sancionados por otros tipos penales distintos. Este es el análisis que, centrado en el phishing, se realizará a continuación Tratamiento penal del phishing La punibilidad del spoofing y otras conductas preparatorias del phishing Como se ha visto, la obtención de la clave y la defraudación final en el phishing, no es más que la punta del iceberg de un proceso complejo y variable en el que puede haber actos de suplantación de la personalidad de personas jurídicas, infección con malware o spyware, accesos ilícitos informáticos, búsqueda de claves en sistemas informáticos y actos de apoderamiento patrimonial. Antes, pues, de realizar un análisis sobre la posible calificación jurídica del phishing en el que ya existe el perjuicio patrimonial efectivo a la víctima, resulta de interés analizar si alguna de estas conductas que lo conforman y que se ejecutan antes del fraude propiamente dicho, puede ser sancionada penalmente. Pues bien, el primer comportamiento ilícito cuya posible responsabilidad penal debiera analizarse, es el spoofing o robo o suplantación de la personalidad de una persona física o, más usualmente, jurídica, con intención maliciosa. El spoofing no se da únicamente en las conductas de phishing, sino que suele ser una técnica habitualmente utilizada por los cibercriminales, y para la realización de infracciones de muy diverso tipo 45. En el phishing, el spoofing es esencial, y suele ser el 44 SAP de Sevilla de 10 de marzo de 2004 (JUR 2004\12683), citada por FERNÁNDEZ TERUELO, J. G.: Respuesta penal frente a fraudes cometidos en Internet: estafa, estafa informática y los nudos de red, en RDPC, núm. 19, 2007, p No obstante, como indica FLOR, todos los informes e investigaciones realizadas por organismos nacionales e internacionales sobre el hurto de identidad han incluido los phishing attacks entre las principales técnicas empleadas para realizar el fraude de identidad en la sociedad de la información; FLOR, R.: Phishing y delitos relacionados, ob. cit., p. 82. Revista Electrónica de Ciencia Penal y Criminología. 2013, núm , p. 12:1-12:56 ISSN
19 Respuesta penal al ciberfraude. Responsabilidad de muleros del phishing 12: 19 primer paso de la dinámica comisiva en unión con el spam: en el correo que se envía a la potencial víctima, el cibercriminal suele suplantar la personalidad de, en este caso, la empresa, entidad bancaria o ente público por el que se hace pasar el sujeto activo, con la intención de que el sujeto pasivo entregue directamente las claves, o entre en una página web ficticia en la que, o bien el sujeto es infectado de un malware o bien es obligado por la falsa entidad bancaria a revelar sus datos. Tal suplantación de personalidad es, sin duda, un hecho ilícito que, sin embargo, tiene difícil acomodo en los tipos penales existentes. En primer lugar, si se consigue identificar a un sujeto que ha enviado correos de phishing y se prueba la capacidad o peligrosidad ex ante de su comportamiento para llevar a otro a engaño y su intención de hacerlo, podría ser posible imputarle responsabilidad por la tentativa del ilícito principal. Aunque sobre esto ya se ha adelantado algo anteriormente, vale la pena volver a argumentar que está demasiado lejano el envío del correo electrónico al peligro para el bien jurídico, como para configurar una tentativa que, sin embargo, sí puede entenderse existente cuando la víctima da por cierta la suplantación de personalidad y envía o pone involuntariamente a disposición las claves bancarias que, después, y por el motivo que sea, no dan lugar a la transferencia patrimonial o al perjuicio. Si el spoofing por sí mismo no puede reputarse tentativa de estafa, hay que plantearse si puede sancionarse el mismo como delito de usurpación del estado civil. El mismo se regula en el artículo 401 que sanciona con la pena de prisión de seis meses a tres años al que usurpare el estado civil de otro. La práctica judicial suele rechazar esta posibilidad, al entenderse implícitamente que tal usurpación exige cierta continuidad en la suplantación de personalidad. Cuestión diferente es que la suplantación lo sea de la personalidad de una institución pública (por ejemplo, la Agencia Tributaria, en el conocido spam en el que se insta a un sujeto a poner determinados datos, generalmente de información bancaria, en una web falsa que aparenta ser de Hacienda). En ese caso podría haber un delito de usurpación de funciones públicas si el sujeto, además de atribuirse carácter oficial, ejerce actos propios de una autoridad o funcionario público, según reza el artículo 402 CP, lo que no será habitual. Hay autores que han considerado que tal comportamiento por sí mismo puede constituir un delito de falsedades en documento mercantil 46. Lo cierto es que tal interpretación no me parece defendible para la gran mayoría de los casos 47, especialmente para aquellos en los que lo que se falsea es una carta de 46 Así lo entiende VELASCO NÚÑEZ, E.: "Fraudes informáticos en Red: del phishing al pharming", en LL, núm. 37, año IV, abril 2007, p. 61, quien dice que no existiendo en España el delito de suplantación informática de la personalidad, es necesario castigar por este tipo conductas que atacan al bien jurídico de ese delito: "la confianza en las transacciones mercantiles, en este caso, a través de la llamada banca, venta o pago on-line". 47 Podrían excepcionarse aquellos casos en los que lo que se falsee, sí pueda considerarse lo que tradicionalmente ha entendido la jurisprudencia como un documento mercantil. Según expresan la STS núm. 35/2010, de 4 de febrero de 2010, en su fundamento quinto, la STS núm. 788/2006, de 22 de junio de 2006, RECPC (2013) -
20 12: 20 Fernando Miró publicidad del supuesto banco, pues supondría convertir prácticamente cualquier cosa en documento mercantil (flyers, etc.). Otra cosa es que se pueda considerar una falsificación en documento privado del artículo 395, que castiga al que para perjudicar a otro cometiere en documento privado alguna falsedad tal como, por ejemplo, la simulación de un documento en todo o en parte, de manera que induzca a error sobre su autenticidad. La clave estriba en determinar si podríamos considerar documento a tal tipo de soporte. El CP define documento en el artículo 26 como todo soporte material que exprese o incorpore datos, hechos o narraciones con eficacia probatoria o cualquier otro tipo de relevancia jurídica. Creo que una carta de información personal, o una página web no tiene relevancia jurídica ninguna, por lo que creo que, de nuevo, tales comportamientos serían reputados atípicos por cualquier tribunal sobre la base de este único precepto 48. Del mismo modo, y aunque en gran parte de los comportamientos de phishing hay una utilización de marcas y signos distintivos de entidades bancarias, tampoco creo que sea posible la condena de tales conductas por y la STS núm. 764/2008, de 20 de noviembre de 2008, en su fundamento segundo, basándose a su vez en otras resoluciones como la STS núm. 625/1997, de 8 de mayo de 1997, y la STS núm. 1148/2004, de 18 de octubre de 2004, el concepto jurídico-penal de documento mercantil es "un concepto amplio, equivalente a todo documento que sea expresión de una operación comercial, plasmado en la creación, alteración o extinción de obligaciones de naturaleza mercantil, ya sirva para cancelarlas, ya para acreditar derechos u obligaciones de tal carácter, siendo tales no solo los expresamente regulados en el Código de Comercio o en las Leyes mercantiles, sino también todos aquellos que recojan una operación de comercio o tengan validez o eficacia para hacer constar derechos u obligaciones de tal carácter o sirvan para demostrarlas, criterio éste acompañado, además por un concepto extensivo de lo que sea aquella particular actividad. Como documentos expresamente citados en estas leyes figuran las letras de cambio, pagarés, cheques, órdenes de crédito, cartas de porte, conocimientos de embarque, resguardos de deposito y otros muchos: también son documentos mercantiles todas aquellas representaciones gráficas del pensamiento creadas con fines de preconstitución probatoria, destinadas a surtir efectos en el tráfico jurídico y que se refieran a contratos u obligaciones de naturaleza comercial, finalmente, se incluye otro tipo de representaciones gráficas del pensamiento, las destinadas a acreditar la ejecución de dichos contratos tales como facturas, albaranes de entrega u otros semejantes". Añade, sin embargo, la STS 788/2006 de 22 de junio de 2006, en su fundamento primero, que a pesar de esta consolidada jurisprudencia la moderna jurisprudencia no se ha mostrado insensible al sentido restrictivo del concepto que impera en la praxis mercantilista, habiéndose declarado que el hoy artículo 392 del Código Penal se refiere sólo a aquellos documentos mercantiles merecedores de una especial protección, porque su materialidad incorpora una presunción de veracidad y autenticidad equivalente a un documento público, lo que es la «ratio legis» de la asimilación, de modo que «no es suficiente con que se trate de un documento utilizado en el tráfico mercantil, sino que se requiere una especial fuerza probatoria, como ocurre con las letras de cambio, que sin una protección especial difícilmente podrían ser transmisibles por endoso en la forma habitual». De este modo, pues, y frente a la falsificación de documentos privados tipificada con carácter residual en el artículo 395 del CP, al que se llega por exclusión de los restantes tipos de documentos (es decir, aquéllos que, reuniendo los requisitos del artículo 26 del CP, no sean públicos, oficiales y mercantiles) y que también recoge el artículo 324 de la LECiv, no cualquier documento, ni siquiera aunque se refiera a publicidad de una empresa, debiera reputarse documento mercantil, sino sólo aquél que pueda ofrecer una especial fuerza probatoria. Creo que generalmente no será el caso en los supuestos de web spoofing y de phishing. 48 En sentido contrario, MATA Y MARTÍN, que considera que La naturaleza electrónica de la página web no introduce dificultades para su calificación como documento pero lo que puede generar más incertidumbre sobre su carácter son las funciones múltiples de las mismas o si es la página web la que directamente constituye un documento o en realidad lo son aquellos que se generen como consecuencia de alguna operación realizada con ella." MATA Y MARTÍN, R.: El robo de identidad, ob. cit., p Revista Electrónica de Ciencia Penal y Criminología. 2013, núm , p. 12:1-12:56 ISSN
FRAUDES EN INTERNET Y ESTAFA INFORMÁTICA
MÁSTER UNIVERSITARIO EN ABOGACÍA CURSO 2013/2014 TRABAJO FIN DE MÁSTER FRAUDES EN INTERNET Y ESTAFA INFORMÁTICA Alumno: MARCOS GONZÁLEZ SUÁREZ Tutor: JAVIER G. FERNÁNDEZ TERUELO MAYO 2014 INDICE 1.-Introducción:...
RESPONSABILIDAD PENAL DE LOS MULEROS DEL PHISHING
FACULTAD DE CIENCIAS SOCIALES Y JURÍDICAS DE ELCHE GRADO EN DERECHO ÁREA DE DERECHO PENAL RESPONSABILIDAD PENAL DE LOS MULEROS DEL PHISHING TRABAJO DE FIN DE GRADO UNIVERSIDAD MIGUEL HERNÁNDEZ DE ELCHE

References: resolución 
 artículo 248
 artículo 401
 artículo 402
 artículo 395
 artículo 26
 artículo 392
 artículo 395
 artículo 26
 artículo 324