Camila Casas Ramírez[1]
El ransomware es un tipo de software malicioso (malware) en el que se secuestran datos y se exige un pago para liberarlos. Esta modalidad usa diferentes formas de ataque, como son la ingeniería social y el control humano. En esta columna, revisaremos estadísticas de delitos informáticos en Colombia y examinaremos casos relevantes, como el ataque a la Rama Judicial en 2023. Abordaremos también la recolección de evidencia digital, en eventos de ransomware, y se resaltará la importancia de herramientas forenses como FTK y Encase® que garantizan la integridad de los datos durante la investigación. Además, analizaremos los retos legales y técnicos asociados con la obtención de pruebas almacenadas en servidores en la nube.
SUMARIO:
I. Introducción; II. Historia e influencia; III. Manejo de evidencia digital en casos de ransomware; IV. Los casos más relevantes y la evidencia digital; V. Toma de postura; VI. Reflexión final; VII. Bibliografía.
I. Introducción
En la era digital, las amenazas cibernéticas han alcanzado niveles de riesgo alarmantes, y esto afecta a las personas y a las empresas por igual en todo el mundo. Uno de los ataques más peligrosos y devastadores es el ransomware[2], un tipo de software malicioso que infecta un sistema, cifra los datos y luego exige un pago para restablecer el acceso a estos. Este fenómeno no solo ha evolucionado en su sofisticación, sino que ha dejado su huella en sectores clave de muchas naciones, entre ellas, Colombia. A través de diversas tácticas, los delincuentes logran penetrar los sistemas de las víctimas para generar desde terror hasta colapsos completos en operaciones personales y empresariales.
El virus es una amenaza homogénea. Existen múltiples modalidades de ataque, cada una más estructurada que la anterior. Desde estrategias simples como el phishing[3], donde los usuarios son engañados para que el ciberdelincuente pueda acceder a sus datos personales, hasta ataques más directos, y controlados por humanos, que evalúan la información más valiosa antes de ejecutar el secuestro digital. Estas técnicas demuestran que los ciberdelincuentes, además de buscar interrumpir los sistemas o servicios digitales, pretenden maximizar el impacto y el monto del rescate y por ello atacan los puntos más débiles de las infraestructuras digitales.
La lucha contra el ransomware no es solo un reto técnico, es también un reto jurídico y social. Con la creciente interdependencia de sistemas tecnológicos en el mundo entero, las legislaciones deben adaptarse para enfrentar una amenaza que no respeta fronteras. A medida que los ataques continúan aumentando, es fundamental que empresas, gobiernos y usuarios trabajen en conjunto para crear soluciones preventivas y de respuesta rápida, y lograr así que se minimicen los daños y se mantenga la integridad de los datos en el mundo digital.
En Colombia hemos sido testigos de ataques significativos que han afectado sectores cruciales. Un caso emblemático fue el ciberataque a la Rama Judicial en 2023([4]), donde una intrusión a la infraestructura de la nube del proveedor IFX Networks obligó a la suspensión de términos judiciales y alteró el funcionamiento del sistema judicial. Este tipo de incidentes pone en evidencia la vulnerabilidad de las instituciones frente a las amenazas digitales y la necesidad urgente de fortalecer nuestras defensas cibernéticas.
En esta columna analizaremos cómo se ha desarrollado el ransomware en la historia y qué repercusiones ha tenido en los sistemas informáticos actuales. Trataremos los casos más significativos en los cuales el manejo de evidencia digital fue clave para el esclarecimiento de los hechos, teniendo en cuenta lo establecido en manuales internos, como el manual de cadena de custodia, estudiando los procedimientos de cooperación internacional y finalizando con las apreciaciones de la INTERPOL en recolección de evidencia digital.
II. Historia e influencia
Es importante señalar que el virus es un medio utilizado por individuos o grupos conocidos como crackers[5]. El virus afecta un sistema operativo, que, a su vez, se traduce en la estratagema que usan los ciberdelincuentes para poder implantar el instrumento informático que se encargará de secuestrar la información.
El primer ataque de este malware surgió en la década de los ochenta en el Reino Unido con una ingeniosa técnica de distribución creada por Joseph L. Popp. Esta consistía en enviar un disquete, a través de correo postal, a los asistentes de la conferencia sobre el sida de la Organización Mundial de la Salud (OMS). A este se le denominó «AIDS Trojan», ya que decía contener información con relación a la evaluación de riesgo de la enfermedad del sida[6]. Una vez se introducía este disquete en el ordenador, de forma automática se encriptaban los archivos que tenía el usuario, y se exigía un pago que debía ser cancelado en dólares estadounidenses. Al pagar, el sistema proporcionaba una herramienta de reparación llamada «PC Cyborg» que incluía la clave de descifrado necesaria para rescatar los archivos[7].
Durante las dos décadas siguientes se dedicó más tiempo a estudiar el malware que a ejecutarlo, y se profundizó en su forma y sofisticación para que pudiera integrarse con el uso de las criptomonedas[8]. En diferentes artículos publicados, como «On Blind Signatures and Perfect Crimes» (escrito por Israelí David Naccache y Sebastiaan Von Solmsm), se sugería que las firmas digitales que se utilizaban en las transacciones con criptomonedas podrían dar lugar al crimen perfecto del ransomware.
Para 1995, los investigadores de la Universidad de Columbia, Adam L. Young y Moti Yung, en su libro Malicious Cryptography: Exposing Crytovirology, abordaron el fracaso del virus AIDS Trojan, pues argumentaban que la técnica de recolección del dinero no era óptima, ya que requería transferencias físicas y esto limitaba el éxito del ataque. Este fue un antecesor del ransomware moderno, que evolucionó sofisticadamente hacia el uso de rescates en criptomonedas de difícil rastreo como el bitcoin[9].
Como señalaba anteriormente, el ransomware es ese tipo de virus que entra al sistema operativo, secuestra todos los datos de la persona o la corporación y, para que estos sean liberados, exige un pago, que varía según la importancia o relevancia del sistema de datos. Indica Microsoft[10], en uno de sus blogs, que el atacante, una vez secuestra los datos, ingresa y percibe los documentos financieros más relevantes, lo que le servirá para determinar la cantidad de dinero que solicitará para el rescate.
El ramsomware suele iniciar con la etapa de ingeniería social[11], que consiste en comunicarse con el receptor para que proporcione información o acceso a los datos. Esta etapa, en la mayoría de las ocasiones, contiene un anuncio que suscita alarma y zozobra. En Colombia es muy típica la modalidad del phishing. En esta, por ejemplo, se envía un mensaje a la víctima donde se indica que (supuestamente) alguien ha intentado acceder a su cuenta bancaria. Sin saberlo, la persona ingresa y, creyendo que está protegiendo su cuenta, brinda información personal y permite así que los delincuentes cambien los datos de esta cuenta y roben su dinero. La víctima, inocente, ya ha caído en la trampa de estos ciberdelincuentes.
Esta no es la única forma, si se tiene en cuenta que el secuestro de información más usado por los delincuentes es el controlado por humanos, donde la permanente interacción del individuo con el sistema de datos hace que capte un mayor botín. Aquí es el autor quien ingresa a la red privada con un usuario robado y verifica personalmente, dentro de la estructura de la organización, cuáles son los datos más relevantes que generarían una pérdida grande a la empresa. De esta forma, instalan el ransomware únicamente en esos sistemas, y así, a primera vista, el usuario no se da cuenta del daño, sino hasta que intenta acceder al archivo secuestrado[12]. Es decir, el delincuente elige si bloquea todo el dispositivo y efectúa el secuestro, sin importar cuánta información haya, o si, por el contrario, se toma el trabajo de verificar la información y solo aplica un ransomware de cifrado a los archivos críticos de la organización (suponiendo que en ambos casos la víctima paga para que le sean devueltos sus datos en el menor tiempo posible).
Según cifras de FortiGuard Labs, el laboratorio de análisis e inteligencia de amenazas de Fortinet, solo en Colombia para el año 2023 se recibieron 12.000 millones de intentos de ciberataque[13]. Y en un reciente balance suministrado por la Policía Nacional de Colombia, a través de su CAI virtual, se constató que para el año 2023 se recibieron 59.033 denuncias por delitos informáticos, entre los cuales se encuentran la suplantación de sitios web[14], con 4.393 casos; el acceso abusivo a un sistema informático[15], con 10.883 denuncias, y el uso de software malicioso[16], con 418 denuncias[17].
En ese mismo año, el ataque de ransomware dirigido a la Rama Judicial[18] mostró cómo estos ataques pueden paralizar las instituciones con infraestructura crítica. De este se desprendió el acuerdo PCSJA23-12089, emitido por el Consejo Superior de la Judicatura[19], donde se esgrimió una suspensión de términos debido a lo que ellos consideraron un ataque cibernético a IFX NETWORKS Colombia (en adelante, IFXI NET), proveedor de soluciones de telecomunicaciones y encargado de prestar la infraestructura digital para el almacenamiento en la nube de las operaciones tecnológicas de la rama judicial[20].
IFX NET pudo detectar que a las 5:00 a. m. del 12 de septiembre de 2023 se empezaron a presentar fallas en los servicios tecnológicos de la nube privada. Esto hizo que su representante legal le informara a la dirección ejecutiva de administración judicial que existía un ataque del tipo ransomware en algunas de las máquinas virtuales en Colombia. También se informó que no era posible restablecer el servicio de manera inmediata. Por esto, y con el fin de garantizar el acceso a la administración de justicia, el ente decidió suspender los términos de todas las actuaciones, con excepción de los de las acciones de tutela, habeas corpus y la función de control de garantías[21].
El hecho de que Colombia esté experimentando una mayor frecuencia de ataques cibernéticos[22] está directamente relacionado con que los delincuentes hayan avanzado en sus técnicas y métodos[23] y ahora se dediquen más a los delitos cibernéticos. Los cibercriminales han establecido cadenas de suministro complejas e interrelacionadas para recopilar información pertinente y así llevar a cabo ataques masivos y penetrar en las defensas cibernéticas. También han explotado nuevas vulnerabilidades que han surgido con la creciente moda de trabajar desde casa y depender más de las soluciones digitales, factores que han contribuido a aumentar la superficie de ataque disponible[24].
Colombia se ha convertido por segundo año consecutivo en uno de los países más atacados de América Latina, con un 17 % de los incidentes en la región. Este incremento se atribuye principalmente a la explotación de credenciales de identidad, una táctica que los ciberdelincuentes consideran más fácil y efectiva que explotar vulnerabilidades técnicas o realizar campañas de phishing. Según el monitoreo de inteligencia de más de 150.000 eventos de seguridad por parte de Amenazas X-Force, la explotación de identidades representa el 71 % de los ataques en el mundo entero, lo que refleja un cambio significativo en las estrategias de ataque en la región[25].
En América Latina, los ataques cibernéticos han crecido en volumen y sofisticación, siendo Brasil el país más afectado, seguido por Colombia y Chile. Sectores como el comercio minorista, las finanzas y los seguros han sido los más golpeados, y comparten un 25 % de los incidentes. Aunque el ransomware ha disminuido en el mundo, en la región ha habido un aumento preocupante, pues representa el 31 % de los ciberataques. Además, las configuraciones de seguridad deficientes y las vulnerabilidades sin resolver continúan siendo un gran riesgo para las empresas, situación que subraya la necesidad urgente de fortalecer las defensas cibernéticas, especialmente en cuanto a la protección de identidad y la gestión de vulnerabilidades[26].
III. Manejo de evidencia digital en casos de ransomware
Esta amenaza ha emergido como uno de los cibercrímenes más disruptivos en el ámbito empresarial y gubernamental, y por ello la evidencia digital es hoy clave para la investigación y la persecución de estos ataques en Colombia. Sin embargo, la recolección, la preservación y la admisibilidad de esta evidencia presentan desafíos únicos y complejos para las autoridades judiciales y para las empresas afectadas por ciberataques. A medida que el ransomware se vuelve más sofisticado, los retos en la gestión de evidencia digital se han intensificado, y se hace evidente la necesidad de un enfoque más robusto y adaptado a las realidades digitales actuales.
En el procedimiento penal colombiano existen diversos requisitos para la recolección y embalaje de la evidencia, siguiendo la cadena de custodia[27], con el fin de que pueda ser usada en el juicio. De estos requisitos se desprende la preservación, que se refiere a la forma en la que se almacenan los datos legalmente obtenidos. No obstante, cuando hablamos de evidencia digital, nos surge la duda de cómo se recolecta algo que no es palpable. Por esto, ya se ha desarrollado, en algunos ámbitos, la implementación de tecnologías que harían este trabajo, como, por ejemplo, las imágenes forenses. Estas hacen referencia al proceso mediante el cual se realiza una copia exacta del dispositivo de almacenamiento donde reposa la información electrónicamente almacenada; no es más que tener una «fotografía» y pasarla de un celular al otro, sin cambiar ningún píxel[28].
La naturaleza volátil[29] de la evidencia digital es uno de los principales obstáculos en su recolección y preservación. A diferencia de la evidencia física, como documentos o huellas dactilares, la digital puede ser alterada o destruida fácilmente. Así, un simple reinicio de un dispositivo, la conexión a internet o incluso el paso del tiempo pueden comprometer la integridad de los datos. En el contexto de un ataque de ransomware, los registros de actividad del sistema (logs) son esenciales para rastrear la fuente del ataque, pero estos registros pueden ser modificados o borrados si no se preservan adecuadamente desde el inicio de la investigación. Además, la recuperación de datos cifrados requiere técnicas forenses avanzadas que, en muchos casos, no garantizan el acceso a la información original y dificultan la presentación de pruebas concluyentes ante las respectivas autoridades judiciales[30].
Una vez recolectada, la evidencia digital debe cumplir con estrictos requisitos de admisibilidad[31]. En Colombia, al igual que en muchos otros países, los jueces deben garantizar que la evidencia haya sido obtenida de manera legal y que su integridad no haya sido comprometida. Esto es especialmente desafiante en delitos cibernéticos, donde la obtención de evidencia puede implicar la interceptación de comunicaciones o el acceso a datos protegidos por derechos de privacidad. Asimismo, en muchos casos, la evidencia puede estar almacenada en servidores ubicados en otros países, lo que requiere cooperación internacional para su recolección[32].
Partiendo de lo anterior, la evidencia digital debe contar con una línea de tiempo[33] que pueda ser reconstruida a partir de los atributos de los archivos que hayan sido recolectados. Para esto existen herramientas como son las estampas de tiempo. Estas hacen referencia a la última fecha de modificación del archivo[34], a la fecha de acceso[35] —que no solo abarca la apertura del archivo, sino también el registro de impresión— y a la fecha de creación. Sobre esta última debemos tener en cuenta que se trata de la creación del documento, pero si este es trasladado a otro equipo esta fecha se renovará para ese equipo, aunque la fecha de modificación se mantenga.
La forma inicial de actuar frente a la vulneración de un sistema informático es «restringir el acceso a la zona donde se produjo el incidente para evitar cualquier tipo de alteración […] de la evidencia»[36]. Lo ideal es contactar a la autoridad competente para que ejecute el procedimiento a la mayor brevedad; sin embargo, de no ser posible hay que ceñirse a los siguientes pasos[37]:
- Tomar fotografías del equipo y del lugar del incidente.
- Establecer un perímetro de seguridad que restrinja el acceso de las personas.
- No apagar el dispositivo (si se encuentra encendido), y sellar con cinta todos los puertos de entrada y salida del equipo.
- Tomar fotografías y videos de la pantalla en las que se aprecie lo que está sucediendo.
- Asegurar el suministro de energía (si se trata de un equipo portátil). Mantener el equipo conectado al cargador hasta que sea entregado a un experto en informática forense.
- No forzar el encendido del equipo si este está apagado.
Todos los elementos mencionados deben registrarse siguiendo el protocolo de cadena de custodia, sustentado en el principio de identidad, con el objetivo de asegurar que la evidencia conserve su autenticidad e integridad. Para esto se usará una hoja en la que se describirá el elemento, las circunstancias de modo, tiempo y lugar, así como los datos de quienes interactúen con este. También se elaborarán rótulos y etiquetas que acompañen cada elemento en su embalaje[38].
La recolección de la evidencia en muchos casos puede suponer una mayor dificultad, debido a la complejidad del sistema operativo que use la herramienta. Un caso en concreto hace referencia a los dispositivos móviles[39] que cuentan con un código para proteger la información almacenada (puede ser un pin, una contraseña, el uso de reconocimiento facial o dactilar e incluso un patrón de desbloqueo). Si se introduce un código equivocado varias veces, el sistema borrará toda la información o bloqueará el acceso. A raíz de esto se han implementado programas forenses que al conectar el dispositivo a un computador introducen automáticamente una gran cantidad de códigos con diferentes combinaciones en un tiempo muy corto; no obstante, se tienen casos en los que la complejidad de la contraseña hizo que el procedimiento tardara hasta cinco años[40].
Existen, a su vez, almacenamientos que se encuentran en infraestructuras físicas que permiten la administración remota de los datos (como ocurre con la llamada «nube»). Esto, sin duda, facilita el acceso desde cualquier parte del mundo. En otras palabras, las imágenes que guardamos en aplicaciones como Google fotos o iCloud son almacenadas en un servidor en Estados Unidos[41], y su acceso requiere únicamente una conexión a internet. Aunque el verdadero reto surge a la hora de obtener la evidencia, pues la dificultad radica en saber a dónde se deben enviar las solicitudes para inspeccionar el servidor[42].
IV. Los casos más relevantes y la evidencia digital
En el ámbito de la comunidad científica, así como en otros sectores, existen herramientas modernas para la recolección de la evidencia digital. Entre estas se destaca FTK Forensic ToolKit, de la casa fabricante Access Data y Encase[43], usada mayoritariamente en los laboratorios nacionales de las entidades públicas. Este software garantiza que, al ser utilizado en un dispositivo de origen sospechoso, no se alterará la información del sistema, lo que elimina cualquier impedimento para su presentación como evidencia[44].
Para ejemplificar lo anterior, podemos remontarnos al 1 de marzo del año 2008, en las selvas colombianas, cuando la fuerza pública desplegó un operativo contra las Fuerzas Armadas Revolucionarias de Colombia (FARC). Allí fue abatido Luis Édgar Devia Silva (alias Raúl Reyes), y entre sus enseres «se hallaron computadores, discos duros y USB (6)»[45]. La recolección de este material le correspondió en su momento a la DIJIN, quienes a su vez, a través del Estado colombiano, solicitaron la cooperación internacional de la INTERPOL para la acreditación del almacenamiento de la evidencia. No obstante, una vez el órgano internacional finalizó la revisión señaló en su conclusión, de manera somera, que «el acceso a los datos contenidos en las citadas pruebas no se ajustó a los principios reconocidos internacionalmente para el tratamiento de pruebas electrónicas»[46].
En un caso tan relevante como este, la INTERPOL mencionó que los expertos forenses de la institución colombiana habían dejado rastros en los archivos del sistema al ingresar a los dispositivos, y esto revelaba errores en la recolección de la evidencia. Como resultado, el órgano judicial desestimó las pruebas. A pesar de esto, la INTERPOL señaló que, aunque no se siguió el proceso correspondiente, «los especialistas concluyeron que ninguno de los 48.055 archivos fue alterado»[47].
Esta falencia del año 2008([48]) llevó a que se estructurara mejor la cadena de custodia, que se estableció como un elemento esencial del cual se desprendían una serie de procedimientos guiados a salvaguardar la integridad y autenticidad de los elementos materiales probatorios. A partir de entonces, se dispuso, por parte de las autoridades judiciales, en el manual de cadena de custodia, cartillas, instructivo de evidencia digital y manual de policía judicial, que para que la evidencia fuera admitida debía contar con los siguientes presupuestos: la naturaleza del elemento recogido, el sitio exacto del hallazgo, el funcionario que la había recolectado y los cambios que había experimentado durante su manejo[49]. Este último aspecto se convierte en una pieza fundamental de la evidencia digital, ya que cualquier acceso al elemento material probatorio dejaría una huella. Por este motivo se generaron los métodos de autenticación de los mensajes de datos.
En nuestro ordenamiento jurídico[50], una vez se tiene el conocimiento de que los servidores se alojan en otros países debemos saber si este país tiene vigente algún acuerdo de cooperación con la nación solicitante, ya que, aunque un prestador de servicios extranjeros ofrezca su asistencia en un Estado, no significa que la legislación pueda exigirle que divulgue una prueba electrónica.
Uno de los casos más sonados fue el de Yahoo en el año 2011([51]), cuando la empresa proveedora de servicios se negó a suministrarle información a los tribunales en Bélgica, con la justificación de que sus operaciones estaban externalizadas y su presencia en el país se limitaba a una red de internet. Esto supuso un problema para todos los países, ya que muchos de ellos no tenían acuerdos de cooperación internacional. Por ello, el 23 de marzo de 2018 se emitió la Ley «CLOUD act»» en Estados Unidos[52]. Esta ley establecía la necesidad de que los proveedores tuvieran el control de los datos, ya sea que estuvieran fuera o dentro del país. Además, la ley reforzaba los principios del Convenio de Budapest[53] sobre la ciberdelincuencia y permitía que los países socios eliminaran los impedimentos legales para el cumplimiento de las órdenes judiciales.
V. Toma de postura
Colombia enfrenta grandes deficiencias en su lucha contra los delitos cibernéticos, especialmente en comparación con países como Estados Unidos. Una de las principales debilidades es la obsolescencia de su marco legal, la Ley 1273 de 2009([54]). Aunque en su momento esta ley fue un avance, hoy se ha quedado atrás frente a la evolución de amenazas recientes como el ransomware. Si bien es debatible si se deben tipificar nuevos delitos para abordar el crimen cibernético, lo cierto es que la nación no cuenta con la ayuda internacional necesaria para desarrollar las acciones investigativas en los países desde los cuales se perpetran los ciberdelitos. Mientras que en Estados Unidos se han implementado legislaciones modernas —como la ley CLOUD Act que permite tener una respuesta más eficiente y contar con la cooperación internacional—, en Colombia no existe una garantía que exija a los proveedores de servicios dentro del Estado suministrar toda la información requerida en las investigaciones. A diferencia de lo que muchas personas creerían, la adopción de este tipo de normas no daría al Estado acceso irrestricto a los datos privados de los ciudadanos a través de los proveedores de servicios.
El acceso a esa información debe estar claramente delimitado por los términos de una orden judicial, que es revisada de antemano por una autoridad competente. En ningún momento se está sugiriendo que el Estado pueda invadir la privacidad de los ciudadanos de forma indiscriminada, sino que la orden judicial tenga el mismo alcance en el país donde se alojan los datos en el servidor, con el único fin de que la recolección no se vea supeditada a la colaboración internacional. Esto también limitaría la información que las autoridades utilizarían para identificar, perseguir e imponer sanciones adecuadas a los delincuentes cibernéticos.
Otro punto crítico es la gestión de la evidencia digital. La volatilidad de los datos y la falta de aplicación rigurosa de estándares internacionales hacen que muchas veces la evidencia no sea preservada adecuadamente, lo que compromete su admisibilidad en el proceso penal. En delitos en los cuales es usado el ransomware, donde la evidencia digital es crucial para rastrear y ubicar al delincuente, cualquier alteración o mal manejo de la recolección de la prueba puede ser fatal para su sustentación.
El ransomware ha surgido como una de las amenazas cibernéticas más dañinas en el mundo, pues afecta empresas públicas y privadas. Las estadísticas recientes son alarmantes: en 2023, Colombia registró más de 59.000 denuncias por delitos informáticos[55], sin tener en cuenta que fueron reportados más de doce millones de casos[56], de los cuales una porción significativa está relacionada con el uso de virus del tipo ransomware.
En este sentido, el legislador y el Estado colombiano harían bien en incluir herramientas que contribuyan a contrarrestar las nuevas modalidades de daño informático. Por ejemplo, se puede contemplar adherirse a tratados internacionales en la lucha contra la cibercriminalidad y desarrollar disposiciones que obliguen a las organizaciones externas a reportar los eventos de seguridad cibernética. También podría promoverse la coordinación entre los diferentes sectores de la sociedad y el sector público para que a través del Estado se formalicen los procedimientos de cooperación internacional con los Estados miembros con los que Colombia tenga algún acuerdo y se gestionen las relaciones diplomáticas con aquellos con los que no tenga ninguna alianza, con el único fin de llevar la justicia hasta su punto máximo.
VI. Reflexión final
Con el avance de la tecnología, el cibercrimen ha dejado de ser una amenaza marginal para convertirse en un desafío central que afecta todas las dimensiones de la sociedad. Las entidades, independientemente de su tamaño o sector, están en la primera línea de este conflicto y enfrentan riesgos que comprometen su operatividad y su supervivencia a largo plazo. La adopción de un enfoque integral de adaptación en ciberseguridad, complementado con la aplicación de normas internacionales, es esencial para protegerse contra estas amenazas. Sin embargo, no basta con cumplir con las regulaciones, es necesario que el Estado adopte una cultura de ciberseguridad proactiva, donde cada institución entienda y asuma su rol en la protección de los activos digitales.
Además de la implementación de acuerdo de cooperación internacional, es crucial que las autoridades se mantengan al día con la evolución de la legislación en materia de ciberseguridad y protección de datos. Las leyes en esta área están en constante cambio, adaptándose a las nuevas amenazas y tecnologías. Por lo tanto, las empresas deben estar preparadas para cumplir con estos cambios legislativos, y esto incluye no solo la protección de datos, sino también la adecuada recolección, preservación y manejo de evidencia digital en caso de un incidente de ciberseguridad. La capacidad de demostrar que se ha seguido correctamente la cadena de custodia de la evidencia digital es fundamental para asegurar su admisibilidad en los estrados y para que los organismos puedan defenderse de forma eficaz en caso de enfrentar repercusiones legales.
Los ciberdelincuentes están en constante evolución, pues desarrollan permanentemente nuevas técnicas y herramientas para evadir las defensas tradicionales. Por lo tanto, los Estados deben ir más allá de la simple conformidad, buscar innovar en sus estrategias de seguridad y adoptar tecnologías emergentes como la inteligencia artificial para detectar y responder a amenazas en tiempo real. Esta innovación, aun así, debe estar respaldada por un compromiso continuo con la formación y capacitación de los ciudadanos, quienes son la primera línea de defensa contra el cibercrimen. Al mismo tiempo, es primordial que los gobiernos fortalezcan sus procedimientos de recolección de evidencia digital y preservación de la cadena de custodia para asegurar que cualquier dato relevante capturado durante o después de un ciberataque sea manejado de tal modo que no comprometa su integridad ni su valor probatorio en un juicio.
Asimismo, es imperativo que las empresas afectadas no vean el cumplimiento solo como un costo o una obligación legal, sino como una inversión estratégica que puede generar valor a largo plazo. Un programa de compliance bien implementado reduce el riesgo de sanciones y multas, fortalece la reputación de la empresa, crea sentido de propiedad, atrae y retiene talento tanto interno como externo, mejora la confianza de los clientes y socios comerciales y proporciona una ventaja competitiva en un mercado cada vez más consciente de la importancia de la seguridad de la información.
En un entorno donde la confianza digital es cada vez más valorada[57], las empresas que demuestren un compromiso sólido con la ciberseguridad y con el cumplimiento de las normativas legales estarán mejor posicionadas para prosperar. La capacidad de manejar de manera adecuada la evidencia digital, desde su recolección hasta su presentación ante las diferentes autoridades judiciales, es un aspecto crucial de esta estrategia, pues les permite a las empresas defenderse ante posibles litigios y colaborar efectivamente con las autoridades en la persecución de los ciberdelincuentes.
VII. Bibliografía
Carlosmario Mora Cerón. «¿Cómo la tecnología de blockchain puede ayudar al cumplimiento empresarial?». En: Reflexiones de Diálogos Punitivos. Bogotá: Ediciones Nueva Jurídica, 2022.
«Colombia sufrió 12,000 millones de intentos de ciberataques en 2023, según reporte de Fortinet». Cámara Colombiana de Informática y Telecomunicaciones —CCIT—, 16 de abril de 2024. https://www.ccit.org.co/blog/colombia-sufrio-12-000-millones-de-intentos-de-ciberataques-en-2023-segun-reporte-de-fortinet/.»
«Colombia sigue siendo el país con más ataques de ciberseguridad en Latinoamérica, según IBM». Forbes, 28 de febrero de 2024. https://forbes.co/2024/02/28/tecnologia/colombia-es-el-pais-con-mas-ataques-de-ciberseguridad-en-latinoamerica
«Convenio sobre la ciberdelincuencia», Consejo de Europa, Budapest, 23 de noviembre de 2001, disponible en https://rm.coe.int/1680081561 (consultado el 9 de diciembre de 2024).
Daniel Peña Valenzuela, «La Ley CLOUD y el acceso de las agencias de seguridad norteamericanas a los datos en el extranjero», Universidad Externado, Blog de Derecho de los Negocios. 30 de abril de 2018, https://dernegocios.uexternado.edu.co/comercio-electronico/la-ley-cloud-y-el-acceso-de-las-agencias-de-seguridad-norteamericanas-a-los-datos-en-el-extranjero/
García, Fredy; Álvaro José Mosquera, Andrés Meneses y Daniel Ríos. «Evidencia digital. Procedimientos técnicos», Rama Judicial del Poder Público, Consejo Superior de la Judicatura. https://escuelajudicial.ramajudicial.gov.co/sites/default/files/22_cartilla_evidencia_digital_-_procedimientos_teicnicos.pdf
García, Fredy; Álvaro José Mosquera, Andrés Meneses y Daniel Ríos. «Evidencia digital. Ámbito internacional», Rama Judicial del Poder Público, Consejo Superior de la Judicatura. https://escuelajudicial.ramajudicial.gov.co/sites/default/files/33_cartilla_evidencia_digital_-_ambito_internacional.pdf.
«Guía n.o 13: Evidencia Digital. Seguridad y privacidad de la información». Ministerio de Tecnologías de la Información y las Comunicaciones de Colombia, https://gobiernodigital.mintic.gov.co/692/articles-150505_G13_Evidencia_Digital.pdf:
«Informe forense de Interpol sobre los ordenadores y equipos informáticos de las farc decomisados por Colombia», Oipc-Interpol, mayo de 2008, http://static.eluniversal.com/2008/05/15/infointerpol.pdf
Miguel Orlando Alguero. «Alerta por ciberataques en Colombia: un llamado a la protección de datos para las empresas». El Colombiano, 15 de julio de 2024. https://www.elcolombiano.com/negocios/como-protegerse-de-un-ataque-cibernetico-empresas-colombia-PH25004847
«¿Qué es el ransomware?», Microsoft, última modificación 2024, acceso el 10 de septiembre de 2024, https://www.microsoft.com/es-co/security/business/security-101/what-is-ransomware
«¿Qué es la evidencia digital? Características y tipos», Universidad Europea, 23 febrero 2024, https://universidadeuropea.com/blog/evidencia-digital/.
«¿Qué nos enseña el ciberataque sobre seguridad digital?» Ámbito Jurídico, 20 de septiembre de 2023, https://www.ambitojuridico.com/noticias/informe/que-nos-ensena-el-ciberataque-sobre-seguridad-digital
Ramón José Paniagua Soza, «Anatomía del ransomware», tesis de maestría en Seguridad de las Tecnologías de la Información y de las Comunicaciones Hacking, Universitat Oberta de Catalunya, 2022, junio 2022, https://openaccess.uoc.edu/handle/10609/145831
«Recomendaciones al Consejo Superior de la Judicatura luego del incidente con IFX». Ámbito Jurídico. 24 de septiembre de 2024, https://www.ambitojuridico.com/noticias/tecnologia/administrativo-y-contratacion/recomendaciones-al-consejo-superior-de-la
Ricardo Posada Maya, Los cibercrímenes: un nuevo paradigma de criminalidad. Bogotá, Ibáñez, 2017.
«Yahoo! puede negarse a colaborar con la Justicia belga». El País. 12 de octubre de 2011, https://elpais.com/tecnologia/2011/10/12/actualidad/1318410067_850215.html
Colombia. Legislación y jurisprudencia
Acuerdo PCSJA23-12089/2023, CS Judicatura
Ley 1928 de 2018
Ley 599 de 2000
Ley 1273 de 2009
Ley 906 de 2004
[1] Abogada graduada con honores de la Universidad INCCA de Colombia. Actualmente cursa una especialización en Gestión del Derecho Digital. Tecnóloga en Criminalística y Ciencias Forenses de la Fundación de Educación Superior Alberto Merani, con énfasis en técnicas avanzadas de investigación criminal desde la perspectiva de la defensa. Se desempeña como Asistente Forense y fotógrafa en la Unidad de Búsqueda de Personas dadas por Desaparecidas (UBPD).
[2] Ricardo Posada Maya, Los cibercrímenes: un nuevo paradigma de criminalidad (Bogotá: Ibáñez, 2017), 345. Malware conocido como ransomware, que restringe la disponibilidad (acceso) y el uso de los datos y archivos utilizando métodos de cifrado (no en su modalidad de conocimiento abusivo de datos, que configuraría una violación de datos, como ya se dijo), a lo que se agrega la exigencia extorsiva de una determinada suma de dinero para su liberación o descifrado.
[3] Ibid., 155 Quizá el más famoso de los cibercrímenes contra la intimidad, la identidad digital y la protección de datos y códigos personales es el denominado en inglés como phishing o pesca de datos.
[4] Miguel Orlando Alguero. «Alerta por ciberataques en Colombia: un llamado a la protección de datos para las empresas». El Colombiano, 15 de julio de 2024, https://www.elcolombiano.com/negocios/como-protegerse-de-un-ataque-cibernetico-empresas-colombia-PH25004847; «¿Qué nos enseña el ciberataque sobre seguridad digital?» Ámbito Jurídico, 20 de septiembre de 2023, https://www.ambitojuridico.com/noticias/informe/que-nos-ensena-el-ciberataque-sobre-seguridad-digital
[5] En el contexto del derecho colombiano y la ciberseguridad, un cracker es definido como «un delincuente computacional que utiliza técnicas de ingeniería social para obtener información confidencial, acceso o privilegios en sistemas de información con el fin de realizar actos que perjudiquen o expongan a la persona o entidad a riesgos o abusos». «Plan de seguridad y privacidad de la información 2023 – 2026», Consejo Nacional Electoral, Bogotá, 17. Además, en el ámbito del derecho penal, se menciona que un cracker «es una persona que, con fines ilícitos, obtiene acceso a sistemas informáticos sin permiso y altera los programas y los datos». Carlos Castro Cuenca (coord.). Manual de Derecho penal Parte Especial – Tomo II (Bogotá: Temis, 2019), 373.
[6] Ramón José Paniagua Soza, «Anatomía del ransomware» (tesis de maestría en Seguridad de las Tecnologías de la Información y de las Comunicaciones Hacking, Universitat Oberta de Catalunya, 2022), 10.
http://hdl.handle.net/10609/145831
[7] Ibid., 12-15.
[8] «¿Qué es una criptomoneda y cómo funciona?». Kaspersky. https://latam.kaspersky.com/resource-center/definitions/what-is-cryptocurrency?srsltid=AfmBOoq8wLdpIEhRVlvZ6zgs_DDxE9p7iaqkIc87j0HYXxjHv8l4ZkQ8: «Una criptomoneda, a veces llamada criptodivisa o criptoactivo, es cualquier forma de moneda que existe de forma digital o virtual, y que utiliza criptografía para proteger las transacciones. Las criptomonedas no tienen una autoridad central normativa o de emisión; en cambio, utilizan un sistema descentralizado para registrar transacciones y emitir nuevas unidades.»
[9] Bitcoin, moneda digital que permite realizar transacciones entre individuos sin la necesidad de una entidad financiera central que la controle. Fue codificada por un desarrollador anónimo bajo el seudónimo de Satoshi Nakamoto y es considerada la primera generación de criptomonedas. Carlosmario Mora Cerón. «¿Cómo la tecnología de blockchain puede ayudar al cumplimiento empresarial?». En: Reflexiones de Diálogos Punitivos (Bogotá: Ediciones Nueva Jurídica, 2022), 397.
[10] «¿Qué es el ransomware?», Microsoft, última modificación 2024, acceso el 10 de septiembre de 2024, https://www.microsoft.com/es-co/security/business/security-101/what-is-ransomware
[11] Ibid. «Estos ataques usan phishing, una forma de engaño en la que el atacante se hace pasar por una empresa o sitio web legítimo, para engañar a la víctima y que haga clic en un enlace o abra datos adjuntos de un correo electrónico que instalarán ransomware en su dispositivo. Los ataques suelen usar mensajes alarmistas que llevan a la víctima a actuar por miedo. Por ejemplo, un ciberdelincuente puede hacerse pasar por un banco conocido y enviar un correo electrónico en el que se alerta a alguien de que su cuenta se ha congelado debido a actividad sospechosa y se le indica que haga clic en el vínculo del correo electrónico para solucionar ese problema. Cuando hagan clic en el vínculo, se instalará el ransomware».
[12] Ibid.
[13] «Colombia sufrió 12.000 millones de intentos de ciberataques en 2023, según reporte de Fortinet», Cámara Colombiana de Informática y Telecomunicaciones —CCIT—, 16 de abril de 2024, https://www.ccit.org.co/blog/colombia-sufrio-12-000-millones-de-intentos-de-ciberataques-en-2023-segun-reporte-de-fortinet/.
[14] Ley 599/2000, de 24 de julio de 2000, art. 269G «El que con objeto ilícito y sin estar facultado para ello, diseñe, desarrolle, trafique, venda, ejecute, programe o envíe páginas electrónicas, enlaces o ventanas emergentes, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes, siempre que la conducta no constituya delito sancionado con pena más grave. En la misma sanción incurrirá el que modifique el sistema de resolución de nombres de dominio, de tal manera que haga entrar al usuario a una IP diferente en la creencia de que acceda a su banco o a otro sitio personal o de confianza, siempre que la conducta no constituya delito sancionado con pena más grave. La pena señalada en los dos incisos anteriores se agravará de una tercera parte a la mitad, si para consumarlo el agente ha reclutado víctimas en la cadena del delito».
[15] Ibid, art. 269A, «El que, sin autorización o por fuera de lo acordado, acceda en todo o en parte a un sistema informático protegido o no con una medida de seguridad, o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes».
[16] Ibid., art. 269E, «El que, sin estar facultado para ello, produzca, trafique, adquiera, distribuya, venda, envíe, introduzca o extraiga del territorio nacional software malicioso u otros programas de computación de efectos dañinos, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes».
[17] «Balance de ciberseguridad 2023», Dirección de Investigación Criminal e Interpol. Centro Cibernético Policial. https://caivirtual.policia.gov.co/observatorio/analisis-cibercrimen.
[18] Alguero. «Alerta por ciberataques en…».
[19] Acuerdo PCSJA23-12089/2023, CS Judicatura.
[20] A la fecha de elaboración de esta columna, el incidente de seguridad informática relacionado con IFX Networks, de 12 de septiembre de 2023, se encontraba bajo investigación por parte de la Dirección de Investigaciones de Protección de Datos Personales de la Superintendencia de Industria y Comercio (SIC). Esto con el fin esclarecer lo ocurrido con el servidor de este proveedor de servicios, dado que el ataque afectó a más de 260 entidades públicas y privadas. En consecuencia, la SIC ha emitido recomendaciones dirigidas al Consejo Superior de la Judicatura, con el fin de mejorar la protección de los datos personales y la seguridad de la información en toda la infraestructura digital de la Rama Judicial. «Recomendaciones al Consejo Superior de la Judicatura luego del incidente con IFX». Ámbito Jurídico. 24 de septiembre de 2024, https://www.ambitojuridico.com/noticias/tecnologia/administrativo-y-contratacion/recomendaciones-al-consejo-superior-de-la
[21] Acuerdo PCSJA23-12089/2023, CS Judicatura.
[22] «Colombia sufrió 12.000 millones…», CCIT.
[23] Ibid.
[24] Ibid.
[25]«Colombia sigue siendo el país con más ataques de ciberseguridad en Latinoamérica, según IBM». Forbes, 28 de febrero de 2024. https://forbes.co/2024/02/28/tecnologia/colombia-es-el-pais-con-mas-ataques-de-ciberseguridad-en-latinoamerica
[26] Ibid.
[27] «Guía n.o 13: Evidencia Digital. Seguridad y privacidad de la información». Ministerio de Tecnologías de la Información y las Comunicaciones de Colombia, https://gobiernodigital.mintic.gov.co/692/articles-150505_G13_Evidencia_Digital.pdf: «Su objetivo principal es demostrar tres aspectos: El primero, que la información o evidencia está intacta al momento de presentarse, segundo, que la hora y fecha en la que se hace entrega al proveedor o las autoridades sea exacta y tercero, que no fue manipulada o alterada mientras se encontraba en custodia del proveedor».
[28] Ibid.
[29] Ibid., «Información volátil: Datos de un determinado sistema que se pierden una vez dicho sistema es reiniciado o apagado».».
[30] Ibid.
[31] Ley 906/2004, de 31 de agosto de 2004, art. 376, ««Toda prueba pertinente es admisible, salvo en alguno de los siguientes casos:
- a) Que exista peligro de causar grave perjuicio indebido;
- b) Probabilidad de que genere confusión en lugar de mayor claridad al asunto, o exhiba escaso valor probatorio, y
- c) Que sea injustamente dilatoria del procedimiento».
[32] «¿Qué es la evidencia digital? Características y tipos», Universidad Europea, 23 febrero 2024, https://universidadeuropea.com/blog/evidencia-digital/.
[33] «Evidencia digital. Procedimientos técnicos». Escuela Judicial Rodrigo Lara Bonilla. (Bogotá: Consejo Superior de la Judicatura, 2020), 35. https://escuelajudicial.ramajudicial.gov.co/sites/default/files/22_cartilla_evidencia_digital_-_procedimientos_teicnicos.pdf: «Se refiere a la realización de la reconstrucción de los hechos a partir de los atributos de tiempo de los archivos, lo que permite correlacionarlos enriqueciendo la evidencia.»
[34] Ibid., 35, «Indica la última vez que el archivo fue modificado de cualquier manera, así sea a través de otro programa»
[35] Ibid., 35, «Es la última vez que el archivo fue accedido (abierto, impreso o visto)».
[36] «Guía n.o 13: Evidencia Digital…», 14.
[37] Ibid.
[38] Ibid., 15.
[39] Fredy García et al. «Evidencia digital. Procedimientos técnicos», Rama Judicial del Poder Público, Consejo Superior de la Judicatura. https://escuelajudicial.ramajudicial.gov.co/sites/default/files/22_cartilla_evidencia_digital_-_procedimientos_teicnicos.pdf
[40] Ibid.
[41] Fredy García et al. «Evidencia digital. Ámbito internacional». Rama Judicial del Poder Público, Consejo Superior de la Judicatura. 2020, https://escuelajudicial.ramajudicial.gov.co/sites/default/files/33_cartilla_evidencia_digital_-_ambito_internacional.pdf.
[42] García et al. «Evidencia digital. Procedimientos técnicos».
[43] Según Mitchell Wayne, «FTK es la única herramienta que necesita para procesar y analizar TODAS sus pruebas digitales: datos móviles, datos informáticos y datos de aplicaciones en la nube. La velocidad del motor de procesamiento de FTK puede beneficiar tanto a los investigadores individuales como a los equipos de laboratorio forense, ya que les permite descubrir pruebas el doble de rápido» [Traducción propia]. En: «FTK Forensic Toolkit», Exterro, https://www.exterro.com/digital-forensics-software/forensic-toolkitúltima modificación 2024.
[44] García et al. «Evidencia digital. Procedimientos técnicos».
[45] Ibid.
[46]«Informe forense de Interpol sobre los ordenadores y equipos informáticos de las farc decomisados por Colombia», Oipc-Interpol, mayo de 2008, http://static.eluniversal.com/2008/05/15/infointerpol.pdf
[47] García et al. «Evidencia digital. Procedimientos técnicos».
[48] «Informe forense de Interpol…».
[49] García et al. «Evidencia digital. Procedimientos técnicos».
[50] Ibid
[51]«Yahoo! puede negarse a colaborar con la Justicia belga». El País, 12 de octubre de 2011, https://elpais.com/tecnologia/2011/10/12/actualidad/1318410067_850215.html
[52] Daniel Peña Valenzuela, «La Ley CLOUD y el acceso de las agencias de seguridad norteamericanas a los datos en el extranjero», Universidad Externado, Blog de Derecho de los Negocios. 30 de abril de 2018, https://dernegocios.uexternado.edu.co/comercio-electronico/la-ley-cloud-y-el-acceso-de-las-agencias-de-seguridad-norteamericanas-a-los-datos-en-el-extranjero/
[53] Ley 1928 de 2018, 24 de julio de 2018, «Por medio de la cual se aprueba el “Convenio sobre la Ciberdelincuencia”, adoptado el 23 de noviembre de 2001, en Budapest».
[54] Ley 1273 de 2009, 05 de enero de 2009, «Por medio de la cual se modifica el Código Penal, se crea un nuevo bien jurídico tutelado ——denominado “de la protección de la información y de los datos”—— y se preservan integralmente los sistemas que utilicen las tecnologías de la información y las comunicaciones, entre otras disposiciones».
[55] «Balance de ciberseguridad 2023».
[56]«Colombia sufrió 12.000 millones…», CCIT.
[57] Cada vez son más las empresas certificadas en la norma ISO27001, lo que hace referencia a la importancia en la seguridad digital en la actualidad. («¿(Cuáles son los países líderes en certificación ISO?». Daruma Software, 4 de noviembre de 2022, https://www.darumasoftware.com/centro-de-recursos/blog/cuales-son-los-paises-lideres-en-certificacion-iso ).