Cibercrimen modulo nro 1

| El cibercrimen como servicio (Cybercrime as service o CaaS)

Muchos años atrás, para realizar conductas delictivas mediante el uso de la tecnología, se requerían múltiples
conocimientos avanzados. En los últimos años, este panorama cambió y ya no se requieren conocimientos de nivel
experto para poder cometer ciberdelitos.

Esto es porque se comercializan, como servicio, diversas herramientas que facilitan la comisión de ciberdelitos. Estas
pueden encontrarse en distintos foros especializados, en mercados negros de compra y venta, en la red profunda. Por
mencionar un ejemplo, si un ciberdelincuente realizare un ataque constituyendo una Botnet, debido al cibercrimen,
como servicio, no sería necesario que intente infectar la cantidad de equipos que precise, explote sus vulnerabilidades,
logre el control, los administre de manera remota y realice los ataques, todo ello con conocimientos técnicos avanzados
y específicos; por el contrario, podría alquilar una Botnet en la red profunda, por cierta cantidad de equipos, de tiempo,
de capacidades, a bajo costo, y lista para usarse.

Botnet
—

Una Botnet o red de equipos zombies, es un conjunto de dispositivos que están

bajo el control de un atacante, generalmente sin conocimiento por parte de sus
legítimos usuarios, con el fin de usarlos para cometer delitos, distribuir códigos
maliciosos, realizar campañas de phishing, ataques de denegación de servicio,
almacenamiento de archivos indebidos, etc.

Esta “simplicidad” en la manera de cometer ciberdelitos genera diversos desafíos, tanto por la gran oferta de este tipo
de herramientas como por la facilidad de uso y de accesibilidad por parte de quienes las requieren.

La siguiente captura ejemplifica ventas de sitios de phishing “listos para usar” por unos pocos dólares en la web oscura.
| Motivaciones: el dinero como guía

Con el correr de los años, las motivaciones de quienes cometen ciberdelitos han virado hacia la persecución de
beneficios económicos de alta rentabilidad, tanto es así que el cibercrimen se ha convertido en una de las actividades
criminales más rentables de los últimos tiempos, cuyos ingresos anuales, durante el último periodo, ascienden
aproximadamente al billón y medio de dólares americanos.

La presencia de estructuras de criminalidad compleja en el cibercrimen genera que los Estados deban prestar cada vez
más atención a esta cuestión, dado que muchos delitos tradicionales están siendo virados a escenarios cibernéticos.

Estas estructuras criminales han mutado a lo largo del tiempo en busca de nuevos horizontes que permitan desarrollar
sus actividades e Internet se ha convertido en el principal facilitador.

Los crímenes convencionales han migrado al ciberespacio fruto de una sociedad cada vez más informatizada y
sustentados por los avances de la tecnología que generaron nuevas amenazas.

Como conjugación de los factores señalados, podría decirse que un nuevo paradigma delincuencial se encuentra en
pleno desarrollo y evolución, marcado por grupos cuyos integrantes poseen alto grado de profesionalidad, que no
necesariamente se encuentran en el mismo espacio o lugar físico, lo que les permite operar en diferentes jurisdicciones.

No resulta factible definir el fenómeno de las organizaciones criminales debido a su complejidad.

No obstante, resulta posible señalar algunas características que las identifican:

 Poseen una estructura jerárquica claramente establecida, con alto grado de adaptabilidad, lo que les permite
mantenerse en el tiempo.

 Seleccionan rigurosamente a sus miembros, los cuales deben poseer gran capacidad técnica y nivel profesional.

 Se destacan por el grado de profesionalismo con el que realizan sus actividades, incluso llegan a captar
especialistas para determinadas tareas.

 Sus actividades criminales revisten un grado de complejidad elevado y son desarrolladas a nivel internacional.

El desarrollo de mercados negros específicos para todo tipo de compra-venta de productos ilegales demuestra que los
ciberdelincuentes ven a Internet como una herramienta potente para cometer delitos y canalizadora para mejorar la
rentabilidad.

En esta trama de rentabilidad es común encontrar dos tipos de potenciales víctimas de delitos: los ataques generales,
donde todos tienen algo valioso como información, datos bancarios, redes sociales a transgredir, información personal a
obtener, etc., y ataques dirigidos. Estos últimos son muy complejos, específicamente diseñados para atacar a objetos
determinados por las motivaciones de un ciberdelincuente: un político, un actor, un futbolista, un periodista, un músico,
un empresario, un famoso, etc., bien delimitado. La selección de estas víctimas suele venir determinada por esta
motivación criminal basada en el dinero.

Como comentario adicional, lo reseñado refiere a la criminalidad compleja que ve en la ciberdelincuencia una veta de
actuación para cometer delitos. No obstante, no es lo único a lo que se le debe prestar atención. Debido a que Internet
es una herramienta facilitadora, como ya se mencionó, hoy casi cualquier delincuente podría cometer un ciberdelito.

| La cuestión de la territorialidad

Además de las cuestiones reseñadas, la lucha contra el ciberdelito presenta otro desafío relacionado con la
transnacionalidad: la reconfiguración del principio de territorialidad. Tradicionalmente, el Estado ejerce su jurisdicción
(“poder jurisdiccional”) sobre los límites territoriales dispuestos por sus fronteras, sumado a los principios de atribución
de jurisdicción que correspondan, como las reglas mencionadas en el art. 1 del Código Penal de la Nación.

Conforme establece el art. 1 del Código Penal, éste se aplicará por lo siguiente:
 1. Por delitos cometidos o cuyos efectos deban producirse en el territorio de la Nación Argentina, o en los lugares
sometidos a su jurisdicción.

2. Por delitos cometidos en el extranjero por agentes o empleados de autoridades argentinas en desempeño de su
cargo.

3. Por el delito previsto en el artículo 258 bis, cometido en el extranjero, por ciudadanos argentinos o personas
jurídicas con domicilio en la República Argentina, ya sea aquel fijado en sus estatutos o el correspondiente a los
establecimientos o sucursales que posea en el territorio argentino.

La multiplicidad de actores, jurisdicciones intervinientes, y países en los que puede estar alojada la evidencia digital y la
tendencia de que todos los usuarios almacenen datos en la “nube” generan un constante desafío a los investigadores
que precisan obtener datos informáticos (Salt, 2017: p. 518). El principio de territorialidad se basa en el derecho penal
derivado de la soberanía nacional, pero está diseñado para un mundo de fronteras físicas, que no previó las realidades
que plantea Internet, en las que no existen ni son delimitables este tipo de límites físicos.

A este desafío, se le suma la cuestión de la colaboración de los proveedores de servicio de Internet que alojan, custodian
o procesan datos informáticos eventualmente relevantes para una investigación penal: ¿la ley de qué país se les aplica a
los proveedores al momento de solicitarles colaboración?, dado que incluso pueden suceder casos técnicos en los que
no sea posible determinar con exactitud dónde se encuentra almacenado el dato informático.

Por ejemplo, algunos servicios de almacenamiento de datos dividen y almacenan

la información en múltiples servidores ubicados en diferentes países.

Cuando el usuario solicita acceder a sus datos, el servicio "llama" y reúne los
fragmentos almacenados en distintos servidores, presentándoselos al usuario de
forma unificada.

| ¿Qué es un ciberdelito?

Los ciberdelitos parten de la base inicial de que estamos frente a un delito. Esto es, de manera simple, toda acción
prohibida e individualizada con una pena en el código penal. De manera técnica, es toda acción típica (que encuadra en
un tipo penal), antijurídica (contrario al derecho y sin causas de justificación como, por ejemplo, una legítima defensa o
estado de necesidad) y culpable (que sea reprochable al autor). Como ejemplo del tipo penal, "se aplicará reclusión o
prisión de ocho a veinticinco años, al que matare a otro siempre que en este código no se estableciere otra pena", la
conducta prohibida es “matar a otro” y la pena asociada es de ocho a veinticinco años.

El hecho de que haya un tipo penal que individualice la acción prohibida y una pena establecida es clave y central. De
acuerdo al principio de legalidad penal introducido por el art. 18 de la Constitución Nacional, no se cumple la
configuración de un delito sino existe una ley anterior al hecho que lo tipifique. Además, una derivación de este principio
es que no se puede interpretar por analogía un tipo penal.

Un ejemplo ficticio para dimensionar este aspecto puede ser el siguiente: si un tipo penal castigara beber agua de un
vaso rojo y, luego, se bebe agua de un vaso azul, por más que se “beba agua” y se “utilice un vaso” la conducta es atípica
(no es delito), porque se castiga únicamente beber agua de un vaso rojo y no de uno azul.

Respecto a los ciberdelitos, estos son todos aquellos delitos relacionados de manera directa o indirecta con la
tecnología. En otras palabras, son heterogéneos (de diversos tipos y fenómenos), relacionados por su medio (utilizan la
tecnología como un medio de comisión de la conducta), por su fin (atacan la confidencialidad, integridad o
disponibilidad de la información o tecnología), o por la ilicitud de su contenido respecto de la tecnología, estudiada
desde el derecho penal, procesal penal y cooperación internacional, y abarcando lesiones a diversos bienes jurídicos.
Éstos son intereses vitales para el desarrollo de las personas que el Estado decide "proteger" a través del derecho penal,
sancionando conductas que atenten contra ellos. La vida, el patrimonio, la libertad, la privacidad, la integridad sexual,
son ejemplos de bienes jurídicos.

A los fines de este curso, y para mayor comprensión de todos, se entenderá por
ciberdelito cualquier delito relacionado con la tecnología en el sentido amplio de
la conducta ilícita ya que la actividad criminal se valdrá de las tecnologías de
información para lograr su cometido. Asimismo, cabe mencionar que también
existen los delitos ciberasistidos, dado que, sin la tecnología de por medio, estas
conductas no podrían concretarse o se cometerían únicamente en el mundo físico.

De hecho, los ciberdelitos se relacionan con aquellos delitos denominados “tradicionales”. Sin embargo, a partir del
avance tecnológico, fue necesario modificar el Código Penal con el fin de abarcar las conductas por los tipos penales,
dado que, por el principio de legalidad y la derivación de la prohibición de analogía vista, no se podían castigar. Por
ejemplo, antes de la sanción de la Ley de delitos informáticos 26.388, era delito el daño sobre las cosas muebles e
inmuebles, pero no había mención en el tipo penal respecto del daño sobre los datos, documentos, programas o
sistemas informáticos. Es decir que, si una persona dañaba un sistema informático en momentos previos a la sanción de
dicha ley, la conducta quedaría atípica, puesto que, interpretar que un dato informático era una “cosa mueble” violaba el
principio de legalidad. Por ello, con la sanción de la ley, se actualizó la configuración de éste delito con el fin de abarcar
los datos, documentos, programas o sistemas informáticos.

Otros delitos tradicionales adaptados al entorno digital fueron los delitos relacionados con material de abuso sexual
infantil (que previo a la reforma hablaba de material en papel, imágenes u objetos obscenos), violación de
comunicaciones electrónicas (previo a la reforma refería a violación de correspondencia), acceso indebido,
defraudación informática. Mientras que, por ejemplo, el Grooming, fue una conducta que se introdujo en el año 2013
(por lo que no hubo conductas similares castigadas hasta ese momento).

En doctrina también es común diferenciar entre delitos informáticos y cibercrimen. Sin ser necesario a los fines de este
curso profundizar esta cuestión, cabe destacar que el profesor español José Agustina explica que los delitos informáticos
serían en sentido amplio, mientras que los cibercriminales serían los delitos informáticos en sentido estricto, con una
relación directa con la tecnología.[1] Asimismo, distingue entre cibercrímenes réplica, que serían aquellos delitos
tradicionales adaptados a lo tecnológico, y cibercrímenes puros, que serían los delitos cibernéticos en sentido estricto.

Estas clasificaciones tienen como efecto práctico determinar políticas legislativas de redacción según bienes jurídicos, en
el caso de que sea necesario modificar aspectos de la teoría del delito y discusiones dogmáticas.

Respecto al término cibercrimen, este puede referir también a conductas más graves, como las llevadas a cabo por el
crimen complejo y/o organizado, donde además existen acciones voluntarias de causar un mayor daño en la sociedad u
organizaciones e, incluso, puede atentar contra la vida de las personas.[2]

[Link]

Ciberterrorismo

Diferencias con

El terrorismo atenta, lisa y llanamente, contra el orden institucional y público; genera un clima de terror e inseguridad y
tiene como finalidad intimidar a la sociedad. Los códigos penales de muchos países suelen incluir agravantes específicos
y/o delitos relacionados con terrorismo y ciberterrorismo.

A partir de esta premisa, los ciberterroristas utilizan las tecnologías de la información para propagar no solo su ideología,
sino también mensajes intimidatorios.

Por otro lado, resulta de suma importancia mencionar que con el desarrollo y adopción de los criptoactivos, estos
también se han convertido en una fuente de financiación del terrorismo al que los estados deben prestarle cada vez más
atención.
Ciberseguridad

La ciberseguridad se refiere al conjunto de actividades (en el sentido más amplio del término: abarca

políticas, programas, capacitaciones, acciones técnicas, configuraciones, entre otros) dirigidas a proteger el ciberespacio
a fin de defender su infraestructura tecnológica, los servicios que se prestan y la información que se maneja.

La seguridad de la información, por su parte, tiene como fin la protección de ésta en cualquier soporte, como activo
fundamental, resguardar su confidencialidad, integridad y disponibilidad.

De acuerdo con lo visto hasta aquí, los ciberdelitos se configuran una vez que se transgrede un delito del tipo penal.

Marco legal internacional

A nivel internacional, en materia de ciberdelincuencia, se cuenta con los siguientes

instrumentos:

• “Convenio sobre la Ciberdelincuencia de Budapest”.

• “Segundo Protocolo Adicional al Convenio sobre la Ciberdelincuencia sobre
cooperación reforzada y divulgación de pruebas electrónicas”.
• “Convención Internacional Integral sobre la Lucha contra la Utilización de las
Tecnologías de la Información y las Comunicaciones con Fines Delictivos”.

⟩ Convenio de Budapest

El “Convenio sobre la Ciberdelincuencia de Budapest”, si bien fue redactado en el año 2001, en el seno del Consejo de
Europa, desde su origen fue pensado para ser extendido a países no miembros de la Unión Europea con el objetivo de
crear un marco común entre los países en la lucha contra el ciberdelito.

Este instrumento internacional de cooperación en materia penal prevé figuras penales de delitos informáticos que los
países se comprometen a sancionar en sus derechos internos para lograr una armonización de la legislación penal que
contribuya a mejorar la cooperación internacional en la lucha contra los ciberdelitos. Estos delitos son: acceso indebido a
sistemas informáticos, interceptación ilícita de comunicaciones electrónicas, daño informático, obstaculización de
sistemas informáticos, abuso de dispositivos, falsificación y fraude informático, delitos de material de abuso sexual
infantil y delitos contra la propiedad intelectual.

Asimismo, establece un conjunto de medidas procesales especialmente diseñadas, tomando en consideración las
características típicas de la evidencia digital y que resultan necesarias para la persecución eficiente de cualquier
delito. Cabe señalar que estas medidas se aplican a cualquier delito (informático o no) que posea evidencia digital. Como
ya se señaló, todos los delitos (sean del tipo que sean) poseen, en algún momento, evidencia digital. Las medidas
previstas son: conservación rápida de datos informáticos, revelación parcial rápida de datos de tráfico, orden de
presentación de datos informáticos, registro y secuestro de datos informáticos, intervención en tiempo real de datos de
tráfico y de contenido (estas nociones serán abordadas en el módulo 3).

Por último, regula mecanismos de cooperación internacional y asistencia mutua en relación con todos los delitos que
posean evidencia digital, a fin de agilizar las investigaciones por los efectos transfronterizos del ciberdelito y la volatilidad
de la evidencia digital. Estas normas de cooperación replican, a nivel internacional, las medidas procesales del capítulo
anterior, de forma tal de agilizar con mecanismos procesales especiales la obtención de pruebas digitales que pueden
estar alojadas en servidores ubicados físicamente en otra jurisdicción. Con esta finalidad, la Convención prevé, entre
otras cosas, una red de asistencia entre los países miembros que funciona como unidad 24/7. Argentina es parte del
Convenio desde el año 2017, mediante la sanción de la Ley 27.411.

Actualmente, los países miembros del Convenio son:

⟩ Segundo Protocolo Adicional al Convenio sobre la Ciberdelincuencia

sobre cooperación reforzada y divulgación de pruebas electrónicas

El “Convenio de Budapest” posee dos protocolos adicionales. En lo que aquí respecta, cabe resaltar el segundo. Fue
redactado entre 2020 y 2022, y hace especial foco en reforzar la cooperación internacional y actualizar sus disposiciones.

Incorpora medidas para garantizar la cooperación asimétrica (colaboración directa entre un país “A” y un proveedor de
servicios ubicado en un país “B”), cooperación simétrica (colaboración entre país “A” y país “B”), cooperación de
emergencia (cuando hay un riesgo inminente a la vida o seguridad de una persona física), equipos conjuntos de
investigación y medidas de protección de datos personales.

Argentina firmó este protocolo en 2023, pero aun no fue ratificado legislativamente.

⟩ Convención Internacional Integral sobre la Lucha contra la Utilización

de las Tecnologías de la Información y las Comunicaciones con Fines Delictivos

Otro instrumento internacional es éste. Un Convenio redactado desde el Comité Ad Hoc, establecido por la Asamblea
General en su Resolución 74/247, de la ONU, cuya estructura se caracteriza por delitos, medidas procesales, cooperación
internacional, medidas preventivas y de cooperación técnica entre países. Se terminó de redactar en 2024 y resta su
aprobación. Luego, deberá ser ratificado por las legislaturas de los respectivos países.

Marco legal nacional

En la República Argentina, el 4 de junio de 2008, se sancionó la Ley 26.388 que modificó el Código Penal e incorporó un
catálogo de figuras delictivas relacionadas con la informática, como el acceso indebido a comunicaciones electrónicas,
acceso ilegítimo a sistemas informáticos, estafa informática, daño informático, material de abuso sexual infantil,
interrupción de comunicaciones, entre otras figuras. La sanción de esta ley fue clave para poder castigar los ciberdelitos,
ya que, como se mencionó en el apartado “¿Qué es un ciberdelito?”, el principio de legalidad exige tener un tipo penal
configurado para poder castigar una conducta.

Asimismo, en noviembre del 2013, se sancionó la Ley 26.904 que introdujo al Código Penal el delito de Grooming, y, en
abril de 2018, se sancionó la Ley 27.436, que modificó el art. 128 del Código Penal, y que incluyó la penalización de la
tenencia de material de abuso sexual infantil, así como el aumento general de penas y un agravamiento especial de
todas las escalas penales, cuando la víctima sea menor de 13 años.

Otras jurisdicciones, como la Ciudad Autónoma de Buenos Aires, han sancionado contravenciones, tales como difusión
no consentida de material íntimo, ciberhostigamiento, suplantación de identidad digital, etc.

A continuación, se describen, de manera general, los ciberdelitos tipificados en el Código Penal.

 Otras conductas

Además de los delitos vistos, hay otras conductas cuyo encuadre en un tipo penal dependerá del caso concreto y/o de
otros tipos penales.

→ Ransomware

Estos códigos maliciosos tienen como finalidad infectar dispositivos informáticos, cifrar los archivos del usuario y exigir el
pago de un rescate que, por lo general, se cotiza en criptoactivos. Actualmente, se suma una problemática adicional: la
difusión de toda la información cifrada, si no se paga el rescate exigido. Esto supone gravísimas consecuencias para la
víctima y los terceros vinculados, cuyos datos son expuestos también en dicha filtración para el cumplimiento normativo,
dado que se incumplen exigencias legales sobre confidencialidad, secretos bancarios, fiscales o de otro tipo, marca,
según la naturaleza de la información difundida.

Si bien, en sus orígenes, este tipo de malware afectaba a usuarios comunes, hoy sus objetivos principales son las
grandes organizaciones o entidades de servicios, tales como empresas y gobiernos. Su encuadre legal podrá variar entre
extorsión, daño informático u otra figura delictiva, según las particularidades de cada caso concreto.

→ Robo de datos

Los datos personales, sobre todo aquellos con alto grado de sensibilidad, se han vuelto un objetivo de los
cibercriminales, quienes se apoderan de los mismos y los venden en el mercado negro o en subastas privadas en línea.

Además de cualquier persona particular, los principales objetivos son entes gubernamentales, grandes corporaciones e,
incluso, entidades que administran grandes bases de datos con información fiscal.

Dado que no se encuentra un tipo penal que castigue la mera obtención indebida de datos personales, su encuadre legal
dependerá, en cada caso concreto, de cómo se haya realizado la conducta. Por ejemplo, si con esos datos se realizó una
defraudación, será castigable ese delito, por considerarlo más grave.

→ Fraudes con medios de pago

Aún cuando las medidas de seguridad en torno a los medios de pago se robustecieron durante los últimos años, los
ataques contra las tarjetas de crédito y débito continúan.

Un claro ejemplo es la técnica denominada skimming, que logra hacerse de la información almacenada en la banda
magnética de las tarjetas, permitiendo su posterior clonación.

Por otro lado, técnicas más avanzadas como el jackpotting, lograron vulnerar los sistemas instalados en los cajeros
automáticos mediante malware que se aprovecha de diferentes vulnerabilidades, ya sea de hardware como de software.

El encuadre penal variará también según el caso concreto. En caso de que se utilicen de manera indebida, los datos de
tarjetas de crédito o débito robados podrá encuadrarse en el art. 173. inc. 15, que castiga al que defraudare mediante el
uso de una tarjeta de compra, crédito o débito, cuando la misma hubiere sido falsificada, adulterada, hurtada, robada,
perdida u obtenida del legítimo emisor mediante ardid o engaño, o mediante el uso no autorizado de sus datos, aunque
lo hiciere por medio de una operación automática.

→ Ingeniería social, phishing y vishing

La “ingeniería social” consiste en manipular a una persona o un grupo de personas para obtener un resultado
determinado. Esto se logra explotando las habilidades sociales de los seres humanos y generando emociones como
miedo, alerta, empatía, felicidad, entre otras, con el fin de que la víctima realice alguna acción determinada.

El phishing utiliza técnicas de suplantación de identidad e ingeniería social, ejemplos de estas conductas son los correos
electrónicos que supuestamente vienen en nombre de un banco, empresa o gobierno, y solicitan datos de tarjetas de
crédito, descargar alguna aplicación, entregar todo tipo de información, etc.

El vishing, por otro lado, es un tipo de ingeniería social de modalidad telefónica en la que, a través de una llamada, se
suplanta la identidad de una empresa, persona o gobierno, con el fin de obtener información personal y sensible de la
víctima. Un ejemplo de esto, en el marco de las campañas de vacunación Covid-19, es la modalidad de suplantación de
identidad de los ministerios de salud de diversas ciudades, mediante llamados por teléfono y/o aplicaciones de
mensajería instantánea, que ofrecen supuestos turnos de vacunación, pero que su objetivo real es robar cuentas de
aplicaciones de este tipo. Para ello, y siempre mediante engaño, afirman que, para otorgar y confirmar el turno, la
víctima debe comunicar al ciberdelincuente el código que enviaron de 6 dígitos al teléfono, que es el de registro de la
aplicación de mensajería que brinda acceso a la cuenta.

Estas técnicas son empleadas habitualmente para efectuar fraudes como la realización de operatorias bancarias
fraudulentas. También, se presentan otras maniobras más complejas como compromisos de cuentas de correo
corporativos, siendo estos ataques dirigidos, personalizados y mediante técnicas más avanzadas como la suplantación de
identidad de remitente o spoofing de remitente.

Respecto a su encuadre legal, la primera parte de la conducta realizada por phishing/vishing (obtención indebida de
datos personales) no posee un tipo penal específico. Cuando esa conducta forme parte de un delito más grave como una
defraudación (se usan los datos robados para vaciar cuentas, realizar compras, entre otros), se aplicarán los tipos
penales de estafas y defraudaciones. Respecto a la suplantación de identidad digital, no hay un tipo penal específico. En
algunas jurisdicciones, tales como la Ciudad Autónoma de Buenos Aires, es una contravención.

→ Botnets

Existen grandes redes conformadas por equipos informáticos infectados, situación (por lo general) desconocida por el
propietario.

Dichas infraestructuras obedecen a un centro de comando y control que, ante una orden determinada, podría ser capaz
de realizar una denegación de servicio a un servidor web e interrumpir su operatividad, si se detectara que se encarga de
alojar códigos maliciosos, distribuir material de abuso sexual infantil, minería de criptoactivos, defraudaciones, entre
otras conductas.

Por lo general, este tipo de servicios puede ser rentado por una determinada cantidad de tiempo o volumen de datos.
El encuadre penal de quien controla estas redes (no de los usuarios de los equipos que, generalmente, desconocen la
situación, por tratarse de acciones que el equipo realiza en segundo plano de manera no transparente al usuario)
dependerá del caso concreto. Por ejemplo, si, para conformar la red de equipos el ciberdelincuente realizó accesos
indebidos, se aplicará ese tipo penal. Posteriormente, se añadirá la aplicación de los tipos penales referidos a los delitos
que haya cometido mediante el uso de la botnet.

→ Difusión no consentida de material íntimo

De manera general, esta cuestión se da cuando se rompe una relación de confianza entre dos personas que
intercambiaron material de carácter íntimo y uno de ellos difunde sin consentimiento el mencionado material,
generando innumerables perjuicios a la intimidad. En algunas jurisdicciones, como en la Ciudad Autónoma de Buenos
Aires, esto constituye una contravención.

Ransomware: Códigos maliciosos que infectan dispositivos, cifran archivos y exigen rescate, generalmente en
criptoactivos. Encuadre legal Puede variar entre extorsión, daño informático u otras figuras delictivas según el caso

Robo de datos: Robo de datos personales, especialmente los de alta sensibilidad para su venta en el mercado negro o
subastas privadas en línea. Encuadre legal Depende de cómo se realizó la conducta, como defraudación, si se usan los
datos para ello.

Fraudes con medios de pago: Las técnicas más comunes son skimming (clonación de tarjetas)
y jackpotting (vulneración de cajeros automáticos). Encuadre legal Varía según el caso, como el uso indebido de datos
de tarjetas de crédito o débito robados.

Ingeniería social, phishing y vishing: Ingeniería social: Manipulación para obtener un resultado deseado, explotando
emociones humanas.

Phishing: Suplantación de identidad para obtener datos personales, como correos falsos de bancos.

Vishing: Suplantación de identidad por teléfono, como llamadas falsas de ministerios de salud. Encuadre legal

No hay tipo penal específico para la obtención indebida de datos, pero se aplican tipos penales de estafas y
defraudaciones si se usan los datos para ello.

Botnets: Redes de equipos infectados, controlados por un centro de comando. Encuadre legal Depende del caso, como
accesos indebidos para conformar la red y los delitos cometidos mediante la botnet.

Difusión no consentida de material íntimo: Difusión de material íntimo sin consentimiento, generalmente tras romper
una relación de confianza. Encuadre legal En algunas jurisdicciones, como la Ciudad Autónoma de Buenos Aires,
constituye una contravención.

Cierre de módulo

En el presente módulo, se establecieron las características generales del ciberdelito y la manera en la que encuentra en
Internet una gran veta de actuación. Asimismo, se analizó la diferencia que presenta este ámbito con otros tales como el
ciberterrorismo, la ciberseguridad, etc.

También, se analizó el marco legal de nuestro país y el marco legal internacional del que Argentina es parte. Para ello, se
identificaron los delitos que están castigados, así como otras conductas específicas para las que se analizó un eventual
castigo penal.
Estas bases le permitirán al cursante entender, en el siguiente módulo, cómo funciona Internet y cuáles son los aspectos
más importantes respecto de la dirección IP, elemento central de casi todas las investigaciones de ciberdelitos.

[Link]

MODULO 2

¿Qué es internet?

Internet es la tecnología que catapultó a la sociedad actual, desde la era industrial a la de la información y,
posteriormente, del conocimiento. Esta red interconectada opera, inclusive, sin necesidad de medios físicos; permite al
usuario interactuar en todo momento y lugar; de diferentes maneras y libre de cualquier límite espacial.

El primer antepasado de Internet fue la red Arpanet, desarrollada en el año 1969, aunque no estuvo disponible de
manera universal y global para los usuarios particulares hasta la década de 1990. A partir de allí, se propagó por el
mundo a una velocidad extraordinaria.

Hoy podemos decir, sin temor a equivocarnos, que casi la totalidad de la población mundial se encuentra conectada (a
pesar de la brecha digital que persiste en algunas regiones). Se contabilizan alrededor de 15 mil millones de dispositivos
conectados a Internet (Statista).

Internet es el centro de las comunicaciones, se alimenta diariamente de millones de datos que crecen
exponencialmente, al punto de que (en algún momento) toda la información del mundo podría encontrarse digitalizada
y disponible online.

Para tener una idea clara del concepto de Internet, resulta fundamental tener una
noción básica sobre la red de computadoras más extensa que existe hoy en
día. Internet se trata de una red de computadoras interconectadas que, por medio
de normas y estándares, permite la comunicación e intercambio de información
entre todos los dispositivos conectados.

La arquitectura sobre la cual se basa Internet se denomina cliente/servidor: la información se almacena en

computadoras determinadas o se brinda algún servicio (servidores) que ofrece acceso a otros dispositivos (clientes).

Relacionado con lo que se viene trabajando en el curso, los ciberdelitos tienen como punto en común que la mayoría
transcurre, en algún momento de sus fases (o iter criminis), en Internet, y ésta basa su fundamento principal en el
Protocolo TCP/IP.

Protocolo de Control de Transmisión

TCP/IP
—

El Protocolo de Control de Transmisión (TCP) fragmenta la información en

paquetes de datos que se transmiten por medio de la red.
El IP es el protocolo más básico y la mínima expresión de conectividad en Internet,
tiene como finalidad proveer los servicios necesarios para la transmisión de datos.
▶ Direccionamiento: las cabeceras IP almacenan las direcciones de las máquinas de origen y destino, las que serán
utilizadas para resolver el circuito de la red por la que circularán.

▶ Fragmentación: cuando la información a transmitir supera las capacidades permitidas, esta podrá ser dividida en
cualquier cantidad de paquetes de tamaño más pequeño, posteriormente reconstruidos al llegar a destino.

▶ Tiempo de vida de paquetes: cada paquete enviado posee un valor determinado e identificado como tiempo de vida
(TTL) que decrece hasta llegar al valor de cero, instante en el cual el paquete deja de ser reenviado.

▶ Tipo de servicio: a pesar de ser un valor no definido, permite indicar, por ejemplo, si un paquete de datos posee
determinada prioridad.

▶ Otras opciones: son valores sin contenido definido que pueden utilizarse para que el dispositivo de origen indique la
ruta que debe seguir un paquete determinado, permita a cada enrutador agregar su propia dirección o señale opciones
de seguridad.

La dirección IP es un código numérico que identifica a los dispositivos conectados a una red, que pueden ser de
computadoras, teléfonos celulares, tablets, servidores web, modems, routers, etc. Como ya se adelantó, "IP" proviene de
las siglas de Internet Protocol y se refiere a las redes que utilizan este protocolo.

Si quisiéramos hacer una analogía con el mundo que nos rodea, una IP es el
equivalente informático a la dirección catastral de un domicilio determinado. De
esta manera, los envíos postales son direccionados y resulta factible recibir
correspondencia. La IP de un dispositivo hace que la red lo distinga
inequívocamente de los otros equipos conectados y posibilita el envío o recepción
de datos. Del mismo modo, resulta factible catalogar las direcciones IP, ya sea
según la red a la que pertenecen, el modo en que son asignadas o su tipo de
tecnología.

En una investigación con evidencia digital, muy probablemente se cuente con una dirección IP pública como dato de
análisis. Por ello, es importante entender cómo funcionan y a quién identifican las direcciones IP públicas y qué
diferencias poseen con las IP privadas:

Cuando un dispositivo se conecta a Internet “sale” con una dirección IP pública. Imaginemos la red hogareña de nuestra
casa:

→ El proveedor de servicios de Internet, al contratar nos brinda un router que, al mismo tiempo, es punto de acceso
WiFi.
→ Entonces conectamos todos nuestros dispositivos a dicha red WiFi o por cable Ethernet (TV,
celulares, notebooks, tablets, cámaras de seguridad, consolas de videojuego, etc.).
→ El proveedor otorga también a dicho router una dirección IP pública dinámica. Por ejemplo: [Link].
→ Todos los dispositivos que se conecten a Internet a través de nuestro router (por ej. porque están conectados a
nuestro WiFi), saldrán a Internet a través de esa misma IP.
→ Dentro de la red, cada dispositivo conectado tendrá una dirección IP privada que identifica a cada uno de ellos dentro
la mencionada red local hogareña. Por ejemplo, el televisor puede ser [Link], la cámara de vigilancia
[Link] y el celular [Link]. Cuando los tres dispositivos se conecten a Internet, los tres saldrán con la IP
[Link].
→ Si todos los dispositivos dentro de la red salen con la misma IP, ¿cómo sabe el router qué dispositivo navega cada
cosa para poder devolverle las respuestas de Internet? Gracias al protocolo DHCP de los routers, que se encargan de
asignar las direcciones IP privadas y de saber qué dispositivo realiza cada consulta.

| ¿A quién identifica una dirección IP en el marco de una investigación penal?

En una investigación penal, si contamos con una IP, identificará entonces la conexión a la que se le asignó la IP pública. Es
el titular del abonado del servicio, pero no necesariamente quien realizó la acción delictiva.

Veamos un ejemplo
—

Juan Pérez es el titular de abonado que tiene asignado el router y la IP pública. Comparte su
clave WiFi con un vecino llamado Esteban, quien se ofrece a pagarle la mitad del abono de
Internet todos los meses para abaratar costos, dado que recién se mudó a la ciudad para
estudiar.

Esteban, entonces, conecta su computadora portátil a la red de Juan. En el gráfico, el círculo rojo representa la computado

de Esteban:

Esteban un día comete un delito con la computadora. A usted, como investigador, le llega un reporte que contiene la IP
desde la cual se cometió el delito, siendo [Link]. Como puede verse, al estar conectado a la red de Juan, la IP
con la que saldrá a Internet es la de Juan. ¿Fue Juan quien cometió el delito por ser titular de abonado de dicha dirección
IP? La respuesta es negativa, lo que vuelve necesarias más averiguaciones.

| Direcciones IP dinámicas y estáticas

Habiendo comprendido la diferencia entre ambas direcciones IP, es necesario entender que las direcciones IP públicas
pueden ser dinámicas o estáticas. La mayoría de las IP actualmente son dinámicas, es decir, que cambian con cierta
frecuencia. En otras palabras, la IP [Link] hoy la puede tener Juan Pérez, pero la semana que viene, mañana o
el mes próximo, puede tenerla Sergio, otro cliente de la empresa. Esto sucede porque las direcciones en su protocolo v4
son limitadas. Entonces se reasignan continuamente, conforme el uso y disponibilidad.

¿Qué consecuencias tiene esto? Que si, como investigadores, le preguntamos al proveedor de servicios de Internet
quién tenía asignada la IP [Link], sin mayores especificaciones de tiempo, podría darnos una lista de muchos
clientes. Entonces, es necesario precisar fecha, hora y huso horario de la conexión que estamos investigando (ej: 23 de
septiembre, 14:35 gmt -3, que es la zona horaria de Argentina).

Un punto a tener en cuenta es que, si bien estamos acostumbrados a visualizar las fechas como DÍA/MES/AÑO, algunos
proveedores extranjeros informan estos datos como MES/DÍA/AÑO.

En el siguiente ejemplo de reporte de una red social, se observa que la fecha, que a simple vista puede leerse como 5 de
junio de 2019, en realidad es 6 de mayo de 2019.

Las IP estáticas, por el contrario, son asignadas de forma fija a un equipo o dispositivo, ya sea dentro de una red
doméstica (IP privada) o salida a Internet (IP pública). Tienen un costo extra y muchas empresas y gobiernos precisan de
este tipo de direcciones IP que no varíen, por ejemplo, para poder poner en Internet un servidor web al que todos
puedan acceder.

Antes, se mencionó IP protocolo v4. Hay dos tipos de versiones de direcciones IP, v4 y v6:

IPv4: es el estándar, utilizado por la mayoría de dispositivos de Internet y redes

privadas. Se escriben como un grupo de cuatro números decimales (32 bits), separados
por puntos, que varían entre 0 y 255 cada uno. En el ejemplo que venimos analizando,
[Link] es una IP v4, nótese que está ubicada entre [Link] y [Link].

IPv6: es la alternativa surgida a partir de la poca disponibilidad de direcciones IPv4 en

función del incremento de dispositivos que requieren estar conectados a Internet. Se
escriben como un grupo de ocho números hexadecimales (0000-ffff), separados por
dos puntos (:) y poseen 128 bits. Un ejemplo es
2001:0db8:85a3:0000:0000:8a2e:0370:7334.

| Tengo una dirección IP ¿y ahora qué hago?

En primer lugar, habrá que determinar qué proveedor posee ese rango de direcciones IP. Una vez determinado eso,
podrá solicitarse al proveedor que informe, en la hora y fecha de la conexión bajo análisis, quién es el abonado de
servicio que la tenía asignada. Este dato, si bien no es una prueba automática de quién realizó la navegación prohibida,
será un dato importante a partir del cual seguir investigando.

ICANN es el consorcio civil internacional que asigna los rangos de direcciones IP a consorcios en cada continente que, a
su vez, asignan a cada proveedor rangos de IP para que éstos los entreguen a sus clientes.
Si realizamos una consulta who is ([Link]) de la IP [Link], vemos que pertenece a la región latinoamericana y el
Caribe, dado que ese rango la posee LACNIC:

La imagen también muestra que todas las IP contenidas en el rango [Link] y [Link] pertenecen a LACNIC.
La IP del ejemplo se encuentra dentro de ese rango.

A continuación, se podrán analizar en el servicio de Whois de LACNIC ([Link]/) qué proveedor tiene
esa IP:
Esto significa que, para saber el titular de abonado de dicha dirección IP, en determinada fecha, hora y huso horario, se
deberá oficiar a ese proveedor.

En síntesis
—

Cuando un dispositivo se conecta a Internet, los proveedores de servicios de Internet registran la dirección IP pública,
junto a datos de abonado y fecha/hora de asignación de dicha IP. Por ende, los proveedores de servicios de Internet
suelen tener un registro con la información de cuál dirección IP, cuándo y a quién se la asigna.

Por lo tanto, si se cruzan datos de proveedores de accesos o de servicios de Internet podemos empezar a obtener
información útil en las investigaciones penales sobre quién es el titular de abono de Internet al que se le asignó la IP
pública que estamos investigando. Como ya se mencionó, esto no significa que dicho titular de abono sea quién haya
realizado la navegación concreta, pero es un indicio para construir la teoría del caso.

Una excepción la constituyen algunos proveedores que asignan estas IP públicas dinámicas y no guardan ningún tipo de
información. Esta es una respuesta típica de estos proveedores:

| El proveedor contestó que la IP estaba NATeada ¿qué significa?

En el marco de una investigación, se le consulta a un proveedor de servicios de Internet, a quién se le asignó una
dirección IP pública, en determinada fecha y hora, pero éste contesta que la IP fue NATeada y que, por ende, no puede
identificar a su titular: ¿qué significa?

NAT
—
 Es un protocolo denominado Traslación de Direcciones de Red (según sus siglas
en inglés Network Address Translation) que tiene diversos usos, como traducir
direcciones IP privadas en direcciones IP públicas.

Debido a que las IP en v4 son limitadas, NAT permite que redes de dispositivos utilicen un rango de direcciones
especiales (IPs privadas) y se conecten a Internet usando una única dirección IP (IP pública). Gracias a esto, un proveedor
utiliza una misma IP pública para varios clientes.

En cuanto a rangos de direcciones IP pública refiere, los grandes proveedores tendrán más disponibilidad de asignación
(y quizás por ende no sea necesario recurrir a este mecanismo) que proveedores más pequeños o cooperativas. Estos
proveedores probablemente sí utilicen NAT. Lo mismo sucede en telefonía móvil, incluso con mayor frecuencia.

Por ejemplo, un proveedor podría tener 50 direcciones IP públicas para asignar a

700 usuarios. Entonces, mediante protocolo NAT podría asignar una IP pública a 6
manzanas de clientes (representando 25 clientes y cientos de dispositivos, si
contabilizamos todos los equipos que se conectan a la red WiFi o cableada de cada
cliente). En estos casos, sería muy difícil poder identificar el titular de abonado de
una IP que haya realizado alguna conexión investigada.

En la siguiente captura se observa un proveedor que, en el marco de una investigación, informó no contar con registros
de quién era el titular de abonado de una IP pública desde la cual se cometió un delito, dado que el proveedor aplicaba
NAT.

En este sentido, algunos proveedores ofrecen, en el marco de una colaboración con la justicia, modificar parámetros de
la red que permitan achicar la cantidad de clientes que se conectan mediante NAT y esperar que el investigado vuelva a
realizar el delito dentro de ese rango, lo que es dificultoso y no garantiza éxito en la investigación. A continuación, se
transcribe un ejemplo:
 ⟩ VPN - DNS

| DNS (Virtual Private Network)

Puede suceder, en el marco de una investigación, que se detecte una dirección IP que cometió un delito, pero que
pertenece a una VPN. Es necesario entender qué son.

VPN
—

Las redes privadas virtuales, o VPN por su sigla en inglés, permiten extender la
conexión de la red local hacia una red pública como Internet. Por ejemplo, si
mediante VPN nos conectamos al trabajo, es como si estuviésemos físicamente
dentro de la red local del trabajo, pero de manera remota. Se podrían utilizar
impresoras, servicios y dispositivos que sólo serían accesibles de lo contrario
desde la propia instalación física.

A nivel usuarios, las VPN permiten establecer un túnel cifrado entre la conexión, el servidor VPN y el destino. La IP que
figurará en destino será la del servidor VPN y no la propia.

Los usuarios las utilizan, en gran medida, para proteger su privacidad todo el tiempo o cuando utilizan redes públicas
como las de aeropuertos, cafeterías, plazas, instituciones médicas o educativas, etc., dado que cifran la conexión,
ofuscan la dirección IP, entre otras cosas. No obstante, un ciberdelincuente podría usarlas para cometer un delito.

Hay muchos servicios de VPN gratuitos y de pago. Dependiendo del proveedor, se podrá obtener más o menos
información. Si quien cometió un delito utiliza una VPN que tiene política de 0 registro (zero log policy), dicho proveedor
además de cifrar la conexión, no habrá guardado ningún tipo de registro de a quién le asignó esa IP del servidor VPN, lo
que complejizará mucho la investigación.

| DNS (Domain Name System)

Continuando con el funcionamiento de Internet, es importante comprender qué son los sistemas de nombres de
dominio (DNS). Como se mencionó al principio, todos los dispositivos (incluyendo servidores web que alojan sitios)
tienen que tener una dirección IP para poder funcionar.

Entonces, cuando queremos entrar a “[Link]”, detrás del sitio hay indefectiblemente una dirección IP (en
el caso de Google [Link]).

Como seres humanos, nos es imposible recordar cada IP para poder entrar a un sitio. Si tuviésemos que recordar la IP
del sitio del banco, redes sociales, plataformas de comercio, universidades, diarios, clínicas médicas, etc., sería imposible
navegar. Los seres humanos tienen más facilidad, por el contrario, para recordar palabras.

DNS
—

Los DNS permiten localizar una dirección en Internet mediante texto. Fue creado
para facilitar la navegación y es la forma amigable en la que el ser humano puede
recordar un sitio web, en lugar de reconocer la dirección IP correspondiente.

Los DNS son tablas que tienen ese registro entre dirección IP y sitio web. Por ejemplo:

Estas tablas las brinda directamente el proveedor, pero también pueden conseguirse por otras fuentes, tales
como: Google, Cloudflare u otros similares, por lo que cada usuario puede cambiar su proveedor DNS.
 Programas P2P

Continuando con el funcionamiento de Internet, es importante referenciar los programas P2P o peer to peer.
Tradicionalmente, cuando se descarga algo de Internet, se hace desde un servidor central (cliente/servidor como se
comentó al inicio de este módulo).

No obstante, también existen los programas P2P que facilitan el acceso y descarga
de archivos, convirtiendo a uno mismo en un nodo más de la red. Supongamos
que Ana desea descargar un archivo: al hacerlo, lo descargará de Pedro y ella
misma se puede convertir también en nodo. Cuando Juan quiera descargar ese
mismo archivo, lo hará de Ana y de Pedro. Cuando Joaquín quiera descargarlo, lo
hará de Pedro, Ana y Juan, y así sucesivamente.

El siguiente gráfico ilustra de manera muy simple la diferencia entre un esquema de cliente servidor (izquierda) y
un esquema P2P (derecha):

El uso de estas redes es muy común en el intercambio de archivos cuyo contenido es ilícito: material de abuso sexual
infantil y material que infringe derechos de autor.

Navegar desde la superficie hacia las profundidades:

de la web superficial a la deep web

A continuación, se analizarán los tipos de redes web con las que se pueden encontrar: web superficial, web profunda y
web oscura.

→ Web superficial

La web superficial es la que los usuarios de Internet ya estamos acostumbrados a navegar. Es todo lo que los motores de
búsqueda indexan de manera continua y permanente, así como la mayoría de los sitios web que visitamos a diario. Su
accesibilidad es total, mediante cualquier navegador web. Aunque parezca que no, la web superficial es una porción
pequeña de todo lo que está disponible en Internet, representando según cálculos de expertos, un 5% del total de
Internet.
→ Web profunda

La web profunda se refiere a todo el contenido que no es indexado mediante buscadores o que requiere otro tipo de
validación. Por ejemplo, si se escribe en cualquier buscador “saldo de la cuenta bancaria de Juan Pérez”, no va a figurar
el saldo, o con correos electrónicos lo mismo. Esto es porque requiere de un usuario y contraseña. No se requiere
tecnología ni navegadores específicos, sino que solamente se precisan esos validadores adicionales para acceder a la
información. Otros ejemplos serían impresoras locales, la necesidad de completar verificaciones de “no soy un robot” y
las redes corporativas e intranets. Representaría un 90% de la disponibilidad de Internet.

→ Web oscura - El caso de TOR

Dentro de la red profunda, existe una porción denominada web oscura que no es accesible con los navegadores
tradicionales. Requiere el uso de tecnología y/o navegadores específicos para acceder. El más conocido, quizás, es TOR.
Sus páginas no se indexan en los buscadores tradicionales. De hecho, las URL[3] son caracteres alfanuméricos y terminan
en .onion. Además, dichos sitios son inaccesibles desde el navegador tradicional.

Si bien la web oscura se asocia con actividad ilícita, esto no es así en todos los casos, dado que se la suele usar también
para evitar censuras, recurrir a foros especializados de opinión, encontrar artículos académicos, contar con mayor
privacidad, etc.

Objetivo
—

Desarrollado a finales de la década de 1990, por el Laboratorio de Investigación Naval de los Estados Unidos y,
actualmente, por The Onion Router, el objetivo de TOR es contar con más privacidad al momento de navegar. Tal es
así que, al ingresar a su sitio web, se lee que la misión es la siguiente:

Promover los derechos humanos y las libertades mediante la creación y despliegue de tecnologías de anonimato y
privacidad libres y de código abierto, el apoyo a su disponibilidad y utilización sin restricciones y el fomento de su
comprensión científica y popular.

TOR brinda una serie de características como bloqueo de rastreadores y publicidad, enruta al menos tres veces la
dirección IP, agregando capas de cifrado, entre otras características.

La cuestión radica en que los ciberdelincuentes, al igual que con las VPN, lo utilizan para cometer delitos u ocultar sus
rastros. Respecto del funcionamiento de TOR, el siguiente gráfico ejemplifica cómo se enruta el tráfico:

Como puede verse, se realizan al menos tres saltos y cifrado, así como cambios de dirección IP. El nodo anterior no sabe
desde qué IP viene la conexión, por lo que la IP real del usuario no se expone. Este circuito se renueva continuamente.
Respecto de los sitios .onion mencionados, estos se denominan también servicios ocultos o hidden services o
servicios Onion. Refiere a los servicios web que sólo son accesibles a través de la red Tor. Estos brindan ocultación de
ubicación, autenticación de extremo a extremo, cifrado final y NAT.

En lo que refiere a su uso, una vez descargado e instalado TOR, como cualquier otro programa, es muy simple, dado que
es un navegador web basado en Firefox. Al abrirlo, sólo habrá que presionar el botón “Conectar a TOR” como se ve en la
siguiente pantalla:

Dado que, mediante TOR, además de los servicios ocultos, se puede acceder a la web superficial, se ejemplifica con dos
capturas la navegación por sitios web de ambos tipos.

→ Si se ingresa a [Link], se muestra en alemán porque el último nodo pertenece a Alemania.

→ Si se ingresa a un servicio oculto como Torch, uno de los buscadores más conocidos de TOR, se podrá observar que es
un .onion.

En lo que respecta a la investigación penal, si tenemos una IP que pertenece a TOR, es muy difícil identificar la IP real del
usuario. No obstante, se podrían intentar otras técnicas de investigación tales como la contaminación cruzada. Esta
consiste en encontrar referencias del perfil digital de una persona de la web superficial en la web profunda y viceversa.
Por mencionar un ejemplo, si una persona que utiliza un nickname o alias en un foro de autos en la web superficial,
luego comete un delito de distribución de material de abuso sexual infantil en la web oscura y utiliza, en el foro ilegal, el
mismo nickname o alias, podría ser indicador de que es la misma persona (siempre que no sea un alias genérico como
juan perez o cosas de ese estilo). Otro ejemplo puede ser, si utilizó como registro o mail de contacto en algún sitio de
TOR ilegal, un correo electrónico de un proveedor conocido: se podría pedir a ese proveedor los datos de abonado del
usuario.

| Rastro digital

Para finalizar, es necesario concluir a partir de todo lo visto, que todas las acciones que realizamos en Internet y con la
tecnología en general, dejan un rastro digital. Este rastro, formado por datos, metadatos, registros de tráfico,
geolocalización y otros tipos de información, acompañará a cada persona a lo largo de su vida.

Desde el punto de vista de la investigación, este rastro aportará información valiosa. Desde la óptica de la privacidad,
cuidar nuestra huella o rastro digital es fundamental.

Estas dos fotos ejemplifican el rastro digital que comentamos. La primera foto fue tomada durante el Ángelus del Papa en
Plaza San Pedro año 2005 y la segunda fue tomada en el mismo escenario, durante la entronización del Papa Francisco en
2013.

Esta utilización masiva de dispositivos móviles es una mera ejemplificación de la relevancia del rastro digital.

En el presente módulo, se trabajó el funcionamiento básico de Internet y del protocolo más importante: el TCP/IP. En
base a estos aspectos, se analizaron los pasos a seguir una vez que el personal policial posee una dirección IP. Asimismo,
se estudiaron los desafíos que pueden presentarse debido a técnicas de ofuscación del tráfico de Internet y los “tipos de
web” que existen.

Estas acciones le permitirán al cursante comprender, en el siguiente módulo, cuáles son las herramientas procesales de
investigación que pueden utilizarse y la importancia de resguardar la evidencia digital

[Link]
[Link]

<<

Habiendo analizado de manera general cómo funciona Internet, así como algunos aspectos técnicos sobre direcciones IP,
VPN, DNS, tipos de redes, entre otros conceptos, es necesario comprender de manera básica algunas nociones de la
evidencia digital y la cadena de custodia, así como las diferencias que presenta con la evidencia física y cuáles son las
herramientas procesales que prevé la normativa para las investigaciones penales.

Nociones básicas de evidencia digital

| Evidencia digital

En los últimos años, la evidencia digital tomó una creciente relevancia. Tal es así que, como ya se mencionó, a veces,
resulta hasta más preponderante que las evidencias de índole física, dado que aún en los delitos más materiales y
tradicionales es probable que la evidencia digital aporte más información dirimente sobre caso. Además, la evidencia
digital no es exclusiva de los delitos relacionados con ciberdelitos, sino que está presente en cualquier delito de
cualquier tipo (Salt, 2017). En este sentido, es necesario comprender sus características básicas, así como la necesidad
de adoptar medidas de cuidado y resguardo específicas

La evidencia digital puede definirse como aquella información o datos que han sido creados,
almacenados o transmitidos a través de dispositivos electrónicos y tiene relevancia para un
procedimiento judicial

(Salt, 2017)

También puede ser definida como cualquier información que, sujeta a una intervención humana u otra semejante, ha
sido extraída de un medio informático (Di Iorio, 2018). La Norma IRAM ISO/IEC 27037:2022 (2016) de técnicas de
directrices para la identificación, recolección, adquisición y preservación de evidencias electrónicas, la define como
información o datos, almacenados o transmitidos en forma binaria en los que se puede confiar como prueba).

Respecto a dónde está presente la evidencia digital, esta se encuentra disponible en múltiples soportes como medios de
almacenamiento tanto internos como externos, dispositivos informáticos de cualquier tipo, soportes de información
digital, y cualquier otro elemento susceptible de contener evidencia digital. Los soportes en donde ésta se encuentra
almacenada se llaman contenedores o fuentes de evidencia digital (Delbono, 2018).
| Diferencias entre la evidencia física y la evidencia digital

La evidencia digital presenta una serie de diferencias con respecto a la evidencia física, tanto en lo que se refiere a su
obtención como a su tratamiento, resguardo y presentación en el proceso penal (Kerr, 2005).

1. Mecanismos de almacenaje y límites materiales

Evidencia física

La evidencia física puede ser almacenada donde físicamente quepa. En otras palabras, en un allanamiento, se buscará
evidencia física donde esta pueda ser hallada, lo que significa que, si estamos registrando un domicilio en busca de un
auto robado no podríamos buscarlo dentro de cajones porque no entra materialmente. Esto parece simple, pero en el
marco de un planteo de nulidad por hallazgos casuales de evidencia física, los límites materiales serán dirimentes. Por
mencionar un ejemplo, si, en la orden de allanamiento, debo registrar para encontrar estupefacientes y, al ingresar al
domicilio me encuentro con tres autos robados, este hallazgo será casual e inadvertido, siempre y cuando se notifique
inmediatamente al juez o Ministerio Público Fiscal.

→ Código Procesal Penal de la Nación

Así lo dispone el Código Procesal Penal de la Nación, en el último párrafo del art. 224 que dice: “Si en estricto cumplimiento
de la orden de allanamiento, se encontrare objetos que evidencien la comisión de un delito distinto al que motivó la orden,
se procederá a su secuestro y se le comunicará al juez o fiscal interviniente”.

→ Código Procesal Penal Federal

Por su parte, el Código Procesal Penal Federal en implementación establece, en el art. 146 que: “si en estricto cumplimiento
de la orden de allanamiento se encontraren objetos que evidenciaren la comisión de un delito distinto al que motivó la
orden, se pondrá en conocimiento del juez o representante del MINISTERIO PÚBLICO FISCAL interviniente quien, en caso de
estimarlo adecuado, ordenará su secuestro”.

Este panorama cambia radicalmente si la orden de registro y secuestro es sobre un domicilio para encontrar autos
robados y el personal policial abre cajones sin estar autorizado en la orden judicial y encuentra estupefacientes. Ese
hallazgo ya no sería casual y, por ende, podría estar sujeto a un pedido de nulidad. Esto porque, según los límites
materiales de la evidencia, un auto no cabe dentro de un cajón y, al no estar expresamente autorizado, hubo un exceso
en dicho registro.

Evidencia digital

Ahora, pensémoslo en el marco de la evidencia digital. Al desdibujarse los límites materiales, ya no podemos usar estos
para analizar casos de hallazgos casuales. El perito estaba ejecutando una orden de registro y secuestro por amenazas y
“de repente” (nótense las comillas) encuentra material de abuso sexual infantil (que la orden judicial no mencionaba).
Juzgar este hallazgo como casual o no, ya no depende de los límites físicos y se deberá recurrir a otro tipo de análisis
técnico y conocimientos especiales. En este sentido, no será lo mismo haber utilizado un software para buscar
constancias de amenazas, pero que automáticamente clasifique el material audiovisual por tipo de contenido
(identificando material prohibido), a que se halle ese material por otras razones.

Los hallazgos calificados como “casuales” e “inadvertidos” se reconfiguran por completo. En línea con estas
diferencias, los límites materiales también se desdibujan al permitir almacenar, en un dispositivo pequeño, Gigas o
incluso Teras de información.
2. Procesos de recuperación de evidencia borrada

En los ámbitos físicos, esto no es posible, mientras que, en lo digital, sí. Analicemos otro ejemplo: si en un registro y
secuestro físico, un día antes de que lleguen las fuerzas de seguridad, el investigado destruye evidencia física, puede ser
difícil darse cuenta de que esos elementos existieron alguna vez. En cambio, en lo digital, si el investigado borra algo, es
posible darse cuenta y recuperar, de manera forense, lo borrado. Esto es porque, cuando el usuario vacía la papelera, de
manera general, lo que sucede es que le indica al sistema operativo que ya puede disponer de ese “espacio” en el disco
que ocupa la información a borrar, pero, hasta que no se necesite dicho espacio, los datos no serán sobrescritos y, por
ende, podrían recuperarse. Distinto será el caso, si el imputado realiza un borrado seguro, sobrescribiendo con varias
pasadas de escritura dichos espacios, lo que haría más difícil su recuperación mediante técnicas antiforenses.

3. Proceso de copia

La evidencia digital, de manera general, puede copiarse de manera exacta (copia forense bit a bit), lo que facilita la
interacción y análisis con las copias idénticas al original, dejando a resguardo la fuente de evidencia original. Esto en lo
físico no sucede.

4. Control de la defensa

Los registros y secuestros físicos permiten ser controlados por el imputado de manera sencilla, quien junto a los testigos
puede percibir, por medio de sus sentidos, las diferentes actividades que realizan las fuerzas de seguridad. Éstas
ingresan, suben escaleras, abren puertas, revisan contenidos, etc. En lo digital, las acciones son complejas, dependiendo
del delito investigado, la herramienta usada, el conocimiento técnico de las defensas, entre otras cosas, por lo que el
control defensivo es diferente.

Como puede verse, esto genera que el tratamiento de la evidencia digital sea un
mundo contingente en que hay que prestar atención a muchas variables que antes
no se presentaban con la evidencia física. Esto se ve acompañado por las
características que presenta la evidencia digital y que se resumirán a continuación.

| Características de la evidencia digital

La evidencia digital tiene una serie de características intrínsecas que refuerzan las diferencias expuestas en el punto
anterior, en lo que respecta al tratamiento, registro y secuestro de evidencias en espacios físicos y digitales. Entre las
características a destacar, y a los fines del presente curso, podríamos señalar que la evidencia digital
es intangible, volátil, duplicable, y alterable.

La volatilidad e intangibilidad de la evidencia digital vienen de la mano, dado que, al ser registros inmateriales, estos
pueden desaparecer o ser modificados en un abrir y cerrar de ojos, si no se adoptan las medidas de manejo, resguardo y
cuidado adecuadas. Esto va alineado con la siguiente característica: la alterabilidad. Es fácilmente modificable, incluso
con acciones que pueden parecer razonables o inocuas.[4] De hecho, es probable que, ante una misma evidencia digital,
pero en escenarios diferentes, las acciones a tomar para tratar la evidencia digital pueden llegar a ser también diferentes
(Dupuy; Kiefer, 2018).
Además, como ya se mencionó en el punto anterior, la evidencia es duplicable, pudiendo generar múltiples copias
forenses a partir de un ejemplar original y ser tratadas como tal, para entregarse a las partes y que cada una practique
sus análisis sobre la copia, preservando el original (Salt, 2017).

Otra característica es la necesidad de contar con conocimientos especializados para su tratamiento. Esto porque, a
diferencia de la evidencia física, la digital requiere adoptar cuidados específicos, no sólo para su resguardo, sino también
para todas las acciones realizadas durante su tratamiento. La naturaleza misma de la evidencia digital hace que el
personal encargado de su manejo y gestión deba tener una formación específica y conocer el elemento a manipular ya
que, incluso dentro del universo de evidencia digital, puede haber muchos elementos disímiles entre sí y tipos de
tecnologías específicas, que ameriten una formación especial. Por ejemplo, no es lo mismo adquirir evidencia de un
pendrive que de una computadora, de un automóvil o de un smart tv.

Esto aplica también a las defensas. A través de la cadena de custodia y/o presenciando actos de extracciones forenses
podrá controlar el correcto tratamiento de la evidencia digital. Como es lógico, esto requiere conocimientos y/o la
asesoría de consultores técnicos.

En resumen
—

Las características vistas de la evidencia digital producen la necesidad de adoptar

medidas de cuidado para su tratamiento. Estas, en gran parte, se evidenciarán a
través de la cadena de custodia.

⟩ Cadena de custodia
Módulo 3. Herramientas procesales

La cadena de custodia en el entorno digital es fundamental durante todas las fases de tratamiento (adquisición,
preservación, análisis y presentación), así como durante todas las acciones desplegadas en la escena del hecho,
tendientes a identificar los elementos, preservarlos y dar origen a los pasos de adquisición de la evidencia. La aplicación
de la cadena de custodia sobre las fuentes es también muy importante, porque un tratamiento indebido de éstas puede
derivar en una pérdida o alteración de la evidencia digital en ellas contenida.

Escena del hecho

—

De acuerdo con el “Protocolo de actuación para la investigación científica en el

lugar del hecho”, elaborado por el Ministerio de Seguridad Nacional, aprobado por
Resolución 528/2021, se entiende por escena del hecho al espacio físico en el
que se produjo un acontecimiento susceptible de investigación penal, integrado
por las estructuras y los objetos situados en el mismo.

De manera general, la cadena de custodia es la herramienta que permitirá demostrar, de manera objetiva, que la
evidencia en cuestión se ha mantenido inalterada durante todo su tratamiento. Esto quiere decir que la evidencia fue
tratada con todos los cuidados necesarios para evitar su alteración, desde el mismo momento de su aseguramiento,
recolección y/o adquisición, su incorporación formal al proceso, y posterior dictado de la sentencia, analizando, a través
del registro, cada una de estas acciones realizadas sobre la misma. En otras palabras, la cadena de custodia es una
herramienta que permitirá garantizar que las actuaciones de los equipos auxiliares de justicia tales como policías
judiciales, peritos, personal interviniente, así como personal de fiscalías y juzgados, realizaron acciones durante el
tratamiento de la evidencia, conducentes a su resguardo y cuidado, sin alterar la misma.

Dicha trazabilidad, se manifiesta mediante diversos elementos que pueden ser, desde formularios estandarizados para
registrar todas las acciones realizadas sobre la evidencia, hasta filmaciones, presencia de testigos, logs de registros de
programas o cualquier otra herramienta o documento que ayude a individualizar inequívocamente este aspecto objetivo
que debe tener la cadena de custodia (Norma IRAM ISO/IEC 27037:2022).

La norma IRAM ISO/IEC 27037:2022 de técnicas de directrices para la identificación, relevamiento, adquisición y
preservación de evidencias electrónicas, establece que:

El registro de la cadena de custodia es un documento que identifica la cronología del

movimiento y el manejo de las posibles evidencias digitales. Debe instituirse a partir del
proceso de recogida o adquisición. Por lo general, esto se logrará rastreando el historial del
elemento desde el momento en que fue identificado, recogido o adquirido por el equipo de
investigación hasta el estado y la ubicación actuales

→ ¿Por qué es importante la cadena de custodia?

La importancia de la cadena de custodia es fundamental porque permitirá auditar y controlar cada acción realizada
sobre la evidencia por parte de las personas intervinientes durante el proceso penal, y realizar las acciones judiciales
necesarias para señalar tratamientos indebidos realizados sobre la evidencia como, por ejemplo, mediante un pedido de
nulidad.

En este sentido, por ejemplo, el “Protocolo de Cadena de Custodia”, aprobado por

la Resolución 889/15 de la Procuración General de la Provincia de Buenos Aires,
expresa que la cadena de custodia es la “realidad misma de la confianza que debe
ofrecer toda evidencia o indicio de prueba”. Esta idea de cadena de custodia como
confianza en los elementos probatorios pone sobre la mesa la importancia que
tiene este instituto, y que será un elemento que las diversas defensas analizarán y
observarán.

La cadena de custodia les permitirá a todas las personas que intervienen durante dicho proceso hacer constar que sus
acciones han sido realizadas de manera adecuada para no alterar la evidencia de manera indebida.

Una cadena de custodia bien documentada, de acuerdo con estándares en la materia, traerá seguridad jurídica para
todas las partes de un proceso penal, ya que demostrará que la prueba no fue alterada y que, por ende, se puede
recurrir a ella sin dudas sobre su integridad y legalidad.

⟩ La importancia del valor hash

Módulo 3. Herramientas procesales

A los fines de este curso es importante comprender la noción del valor hash en materia de evidencia digital. De manera
práctica, el hash es un digesto matemático que consiste en aplicar un algoritmo criptográfico (SHA-1, SHA-2, SHA-3,
MD5, etc.) sobre una entrada (texto, imágenes, videos, archivos de cualquier tipo, imágenes forenses, etc),
obteniéndose, como resultado, un identificador conformado por una serie de caracteres alfanuméricos de longitud fija.

El objetivo es demostrar la integridad del mensaje, toda vez que, calculado su valor, si se cambia algo del mensaje, por
más minúsculo que sea, el hash cambiará por completo.
Calcular el valor hash de una evidencia digital es una buena práctica que contribuye a demostrar su integridad. Además,
dos mensajes diferentes no podrían tener el mismo valor hash, caso contrario habría colisión del algoritmo de hash.

Por ejemplo, si tomamos un archivo Word que solo dice “Hola” y le calculamos el valor hash, el resultado da de la
siguiente manera:

Si a ese archivo le cambiamos una mayúscula (en lugar de “Hola” que diga “hola”) y le volvemos a calcular el valor hash,
nótese cómo cambia por completo su valor.

En lo que respecta a las buenas prácticas forenses, se exige el cálculo del valor hash sobre cualquier copia forense o
registro informático, lo que permite verificar su integridad y que no hayan podido ser alterados con posterioridad a su
obtención, circunstancia que es fundamental para garantizar la cadena de custodia de una prueba.

Entonces, el código hash es un elemento fundamental para la construcción de la cadena de custodia que permitirá,
luego, auditar que la evidencia digital analizada en juicio es la misma que se extrajo, otorgando credibilidad y
verificabilidad, en la medida en que aquella tiene la función de corroborar la identidad del archivo y asegurar que la
información no fue alterada por personas no autorizadas u otros medios desconocidos.

| Tipos de datos informáticos

Habiendo reseñado las características que posee la evidencia digital, la importancia de la cadena de custodia y del
valor hash, es necesario comprender los tipos de datos informáticos con los que nos podemos encontrar cuando
hablamos de investigaciones de ciberdelitos y tratamiento de evidencia digital.

Imaginemos un ejemplo: en el marco de la investigación de un delito de distribución de material de abuso sexual infantil,
contamos con una dirección IP desde la cual se habría distribuido este material en determinada fecha, hora y plataforma
(denominado reporte NCMEC, el cual será analizado en el módulo 4). En el marco mencionado, es necesario identificar al
titular de la conexión, el historial de direcciones IP de la cuenta, eventuales datos de geolocalización almacenados, y
datos de contenido. ¿Qué tipo de dato corresponde a cada uno de ellos? Estos se denominan datos de abonado, tráfico,
geolocalización y contenido.

Los datos de abonados refieren, según el “Convenio de Budapest”, a todos los datos informáticos que permitan
identificar al titular de abonado del servicio (ya sea del abono de Internet y/o de la cuenta en la plataforma) tales como
su identidad, dirección, teléfonos, facturación, pago, tipo de servicio y abono, domicilios de instalación de equipos, etc.

Los datos de tráfico refieren a todos los datos asociados a procesos comunicativos generados por ésta, en tanto se
corresponden con elementos de la cadena de comunicación tales como origen, destino, ruta, hora, fecha, tamaño y
duración de la comunicación. Estos datos de contexto de la comunicación (metadatos), deben ser solicitados mediante
orden judicial, dado que anudan a su contenido, tal como emana del fallo Halabi de la Corte Suprema de Justicia de la
Nación.

Por su parte, los datos de contenido refieren a los datos, registros o información propia de dicha comunicación, tales
como texto, voz, vídeos, imágenes y sonidos. Estos datos son los que tienen el mayor estándar de protección para su
acceso, dado que están protegidos por la garantía constitucional de la inviolabilidad de las comunicaciones, requiriendo
orden judicial para su obtención.

⟩ Tipos de medidas procesales en materia de tratamiento

Módulo 3. Herramientas procesales

e incorporación de evidencia digital al proceso penal

Una vez analizados los tipos de datos informáticos, es necesario comprender las medidas que prevé el “Convenio para la
Ciberdelincuencia de Budapest”.

Cabe señalar que las medidas previstas en el “Convenio de Budapest” referidas a evidencia digital se aplican, como ya lo
hemos dicho, a todos los delitos, sean del tipo que sean, que posean evidencia digital. A continuación, se describe, de
manera general, en qué consiste cada una de
ellas.
| ¿Por qué es importante solicitar la conservación rápida de datos informáticos?

Imaginemos el siguiente ejemplo: una persona publica en un market place la

venta de productos con el fin de estafar a diversas personas. Acto seguido, la
víctima realiza la denuncia, el mismo día del hecho, y la fiscalía solicita a la
plataforma 30 días después, mediante control judicial, que entregue la
información del usuario. Ésta contesta que la información fue borrada.

¿Qué debería haber hecho el fiscal? Debería haber solicitado la conservación rápida de datos a la plataforma el mismo
día de la denuncia y, luego, solicitar la orden de entrega de los datos con la tranquilidad de que estos están asegurados.

Dado que los proveedores de servicios de Internet no poseen una obligación legal directa de retener datos informáticos
de todos los usuarios (retención general de datos), es vital solicitar caso por caso, que se conserven los datos
informáticos, hasta tanto se ordene su entrega, mediante la orden de presentación.

La retención general de datos, también denominada conservación general e indiscriminada de datos informáticos, es
una medida legislativa (ley), mediante la cual, los países ordenan a los proveedores de servicios de Internet y de
comunicaciones electrónicas que retengan y conserven por un plazo determinado (meses o años) todos los datos
informáticos de todos sus usuarios, para su eventual y posterior cesión a las autoridades competentes en el marco de
una investigación penal.

Generalmente, se suelen incluir en las regulaciones datos de abonado y datos de tráfico.

Como puede verse, es una medida general, previa a toda eventual sospecha y que no se enmarca en una causa penal
concreta o una investigación particular. Será en el marco específico de una investigación penal, que se solicitará, luego, el
acceso a dichos datos. Por ende, las legislaciones de los países suelen regular, de manera diferenciada, ambos
momentos: primero la retención general e indiscriminada por parte de los proveedores de datos informáticos de todos
sus usuarios, y, luego, el acceso a los mismos por parte de la autoridad competente.

Aquí radica una de las mayores diferencias entre la medida de retención general e indiscriminada de datos informáticos
y la medida de conservación rápida de datos informáticos, regulada en el art. 16 del “Convenio para la Ciberdelincuencia
de Budapest”.

Esta última es una medida de naturaleza cautelar que tiene como fin ordenar, ya en el marco de un proceso penal o
investigación específico, que un proveedor conserve determinados datos del usuario (no su entrega) por un plazo
determinado, generalmente de 90 días, hasta tanto se produzca la orden de presentación. ¿Por qué ordenar la
conservación hasta tanto se obtenga la orden de presentación? Para evitar que, en ese lapso de tiempo, se eliminen o se
alteren.

Volviendo a la medida de retención general de datos, por ejemplo, en Argentina la Ley 25.873 incluía datos de abonado y
de tráfico, estableciendo un plazo desproporcionado de 10 años. Esta ley fue declarada inconstitucional por la Corte
Suprema de Justicia de la Nación, mediante el fallo Halabi, por su desproporcionalidad, vaguedad, riesgo de que los
datos retenidos sean usados para otros fines que los previstos, violar el derecho a la intimidad, secreto de las
comunicaciones, entre otras cuestiones que excederían con creces el propósito de este curso. Lo mismo sucedió en la
Unión Europea con la declaración de invalidez de la Directiva Europea 2006/24.

Entonces, dado que los proveedores no poseen una obligación de retener datos de sus clientes o usuarios, es que es
necesario en cada caso penal concreto, solicitar la conservación de datos para evitar su alteración.
 ⟩ Técnicas especiales de investigación
Módulo 3. Herramientas procesales

De manera muy general, es preciso señalar que, en la actualidad, cobran mucha

relevancia las nuevas técnicas de investigación en entornos digitales, pensadas en
mayor medida para ser aplicadas en la persecución de delitos de criminalidad
compleja. Entre ellas, vamos a señalar dos: el agente encubierto digital y
el allanamiento remoto.

▶ Agente encubierto digital

El agente encubierto tradicional puede definirse, según la Ley 27.319, de investigación, prevención y lucha de los delitos
complejos, como aquel funcionario de las fuerzas de seguridad autorizado, altamente calificado, que presta su
consentimiento y, ocultando su identidad, se infiltra o introduce en las organizaciones criminales o asociaciones
delictivas, con el fin de identificar o detener a los autores, partícipes o encubridores, de impedir la consumación de un
delito, o para reunir información y elementos de prueba necesarios para la investigación, con autorización judicial.

En la criminalidad compleja, estas herramientas son fundamentales porque permiten obtener pruebas que, de otra
manera sería imposible conseguir.

En este escenario, surge la figura del agente encubierto digital, una herramienta de investigación crucial para combatir
estos delitos. El agente encubierto digital es un profesional de las fuerzas de seguridad que, a través de medios
electrónicos, oculta su identidad para obtener información útil en el avance de investigaciones. Su objetivo principal es
identificar o detener a los autores, partícipes o encubridores, impedir la consumación de un delito, o reunir elementos
de prueba útiles para la investigación. Así lo regula el Código Procesal Penal de la Provincia de Salta, en el art. 309
quinquies. En otros países, por ejemplo en España, se incorporó en el art. 282 bis de la Ley de Enjuiciamiento Criminal.

La figura del agente encubierto digital se ha convertido en una herramienta esencial para enfrentar los desafíos del
entorno digital.
▶ Allanamiento remoto

Otra herramienta de investigación muy valiosa, que, sin embargo, presenta múltiples desafíos, es el allanamiento
remoto.

Supongamos el siguiente ejemplo: estamos investigando a quien sería el jefe de

una asociación ilícita por un delito complejo. Por tareas de inteligencia policial,
sabemos que esta persona adopta las máximas medidas de cuidado digital y tiene
todos sus dispositivos cifrados. En otras palabras, no sería a priori la medida más
idónea, el registro y secuestro domiciliario para incautar los dispositivos, dado que,
al momento de realizar las extracciones forenses respectivas, estos presentarán
múltiples capas de cifrado, dificultando el acceso a su información.

Entonces, sería apropiada la aplicación de un allanamiento remoto donde, de manera subrepticia y sin que el imputado
lo sepa (al menos no en ese momento), se pueda acceder a sus dispositivos para registrar la información y/o intervenir
sus comunicaciones. Esta medida no está regulada en Argentina a nivel federal, aunque sí, por ejemplo, en la provincia
de Salta (art. 309 sexies). Otros países lo tienen regulado también, como es el caso de España (art. 282 bis).

El allanamiento remoto puede definirse como:

La medida de investigación en el marco de un proceso penal tendiente a “registrar” y, de ser

necesario “secuestrar” (o copiar) datos informáticos alojados en cualquier tipo de sistema
informático mediante la utilización de programas informáticos que actúan de manera
subrepticia, sin necesidad de obtener o acceder ´físicamente´ al dispositivo de almacenamiento
de datos que es objeto de investigación

(Salt, 2018)

Es decir, el allanamiento remoto es la acción de ingresar de manera remota a dispositivos electrónicos, permitiendo
secuestrar datos de una computadora, un celular o cualquier dispositivo electrónico, sin que las autoridades tengan
estos dispositivos en su poder, con el fin de obtener evidencia relevante para una investigación penal.

La medida tiene complejidad a nivel técnico y jurídico. No es sencillo ejecutarla, dado que requiere saber qué
vulnerabilidades tiene la otra persona y/o dispositivo para lograr acceso, lo que lleva asociado un costo de dinero y
tiempo de ejecución. A nivel jurídico, es una medida que debe legislarse de manera puntillosa para evitar eventuales
lesiones a garantías constitucionales.

A través de la implementación del allanamiento remoto, se logran obtener elementos probatorios que revelan la
utilización de distintos softwares maliciosos que se instalan de forma subrepticia en el dispositivo sujeto a investigación.
Otras veces, requiere cierto engaño al titular del dispositivo para que éste realice alguna acción.

⟩ Cierre de módulo
Módulo 3. Herramientas procesales

En el presente módulo hemos aprendido en qué consiste y qué características posee la evidencia digital, junto a la
importancia de adoptar medidas para su resguardo. Asimismo, hemos recorrido cada una de las medidas del set básico
procesal del “Convenio sobre Ciberdelincuencia de Budapest” y técnicas especiales de investigación.

Estos aspectos son útiles para comprender la importancia de recurrir a la asistencia y cooperación de otros países y del
sector privado, que será analizado en el siguiente módulo.
 Foro de consultas
—

Recuerden que pueden acceder desde aquí al espacio de consultas.

NICIAMOS LA CLASE 4:

COOPERACIÓN NACIONAL E INTERNACIONAL

Curso: Capacitación en ciberdelitos

Esperamos se encuentren muy bien

Ya está activada la clase 4: Cooperación nacional e internacional. En esta clase se espera que entiendan la importancia
de los mecanismos de colaboración internacional, su eficacia en la lucha contra el ciberdelito y aprendan las medidas
que prevé la normativa. Además, les permitirá conocer el rol de las redes 24/7 de asistencia internacional rápida y
normativa internacional en la materia.

Una vez que finalicen la lectura de la clase 4 y la actividad correspondiente, se comenzará a habilitar de modo
automático y correlativo la actividad de integración, la evaluación final y, por último, la encuesta del curso.

En la actividad final les proponemos recuperar e integrar conceptos y prácticas de las distintas clases, y revisar lo
aprendido. Para este ejercicio se les presentará un caso y deberán responder 10 preguntas de opción múltiple. Les
sugerimos leer la presentación del caso con detenimiento antes de comenzar a completarla.

En la siguiente hoja de ruta podrán ver el recorrido propuesto del curso:

La intención es que le puedan dedicar una semana a la clase 4 y la semana siguiente realicen las últimas actividades,
dado que la fecha de finalización del curso es el miércoles 2 de julio.

Esperamos que las últimas actividades les permitan profundizar en el recorrido realizado, analizar conceptos centrales
abordados y relacionar e integrar los contenidos de las distintas clases.

Quienes tengan pendiente actividades de las clases, les sugerimos que las completen en estos días para poder finalizar
el curso.

Seguimos en contacto y recuerden que pueden escribirnos a través del correo del aula ante cualquier duda y consulta.
Equipo Ciberdelitos.-

⟩ Importancia de la colaboración
Módulo 4. Cooperación nacional e internacional

Como ya debe haber quedado claro a esta altura del curso, la lucha contra el ciberdelito requiere de la colaboración de
diversos actores, tanto nacionales como internacionales. A nivel internacional, la colaboración cobra aún mayor
relevancia, dado que la transnacionalidad del ciberdelito y evidencia digital, junto con la desmaterialización del principio
de territorialidad, comentadas anteriormente, generan la necesidad de requerir asistencia de otros países y actores para
obtener pruebas, investigar, disponer resguardo de evidencias, etc. Por otro lado, aún en los casos en los que el delito
sea local, es muy probable que la evidencia digital tenga carácter transnacional.

Estos actores, a los que se les solicitará colaboración, pueden ser tanto países como integrantes del sector privado. Los
proveedores de servicios de Internet y de servicios electrónicos son los que tomaron mayor protagonismo, al ser quienes
poseen evidencia digital relevante para las investigaciones penales.

A su vez, la colaboración nacional e internacional con los proveedores tiene aún mayor importancia si se tiene en cuenta
que en Argentina no existe una ley de retención general e indiscriminada de datos informáticos, por lo que es necesario
requerir, de manera rápida, la conservación de datos informáticos. Es importante mencionar que más allá de diversos
instrumentos internacionales, a los que suscriben los países, en lo general, la cooperación es voluntaria y depende de las
políticas técnicas y jurídicas de las compañías y su predisposición.

Si sumamos, a este contexto, las características de la evidencia digital, tales como la volatilidad y la alterabilidad, se
genera la necesidad de arbitrar mecanismos de cooperación nacional e internacional rápidos y eficientes. La tecnología
amplía y sirve de canal para que los autores cometan conductas criminales (García Hernández, 2013) valiéndose de
herramientas trasnacionales como redes P2P, Internet profunda, mediante el acceso a TOR, canales encriptados,
mensajería instantánea, foros, redes sociales, herramientas de anonimato, entre muchas otras opciones, para llevar
adelante sus conductas (Soldino, Guardiola García, 2017). Basta un click para que una conducta atraviese todo el
planeta.

Los mecanismos tradicionales de cooperación internacional, tales como la asistencia mutua o el exhorto, demostraron
no ser suficientes frente a la realidad de la evidencia digital, por lo que se volvió imperioso actualizar estos mecanismos
dotándolos de rapidez y eficacia.

El “Convenio de Budapest” tenía como fin lograr una política penal común que
permita la armonización de legislaciones en la lucha contra el ciberdelito. Esto fue
fortalecido mediante el dictado del “Segundo Protocolo adicional al Convenio
sobre la Ciberdelincuencia”, relativo a la cooperación reforzada y la divulgación de
pruebas electrónicas que tuvo como fin directo y específico mejorar los
mecanismos de cooperación internacional.

| Cooperación simétrica y asimétrica

Es posible reconocer dos tipos de cooperación internacional: cooperación simétrica y cooperación asimétrica.

→ Cooperación simétrica

La cooperación simétrica es la que sucede entre Estados. Por ejemplo, un Estado “A” le solicita a un Estado “B” que brinde
cierta información o evidencia.
→ Cooperación asimétrica

Por otro lado, la cooperación asimétrica es la que sucede entre un Estado “A” y un proveedor de servicios ubicado en un
Estado “B” de forma directa, sin solicitar asistencia o autorización del Estado donde se encuentra ese proveedor. Esta
cooperación es la que más se da en la práctica.

Anterior

⟩ Medidas de cooperación dispuestas por el “Convenio de Budapest”

Módulo 4. Cooperación nacional e internacional

Como regla general el “Convenio de Budapest” dispone en el art. 23 el Principio de máxima cooperación entre países.

Art. 23
—

Las Partes cooperarán entre sí en la mayor medida posible, de conformidad con las
disposiciones del presente capítulo, en aplicación de los instrumentos
internacionales aplicables a la cooperación internacional en materia penal, de
acuerdos basados en legislación uniforme o recíproca y de su derecho interno (…)

A continuación, se describen las medidas dispuestas por el “Convenio de Budapest” en materia de cooperación
internacional. Muchas de estas medidas están reguladas de la misma manera que las ya vistas sobre evidencia digital
aplicables en el ámbito local.
Como ya se comentó, la práctica demostró la necesidad de que un Estado pueda solicitar, de manera directa, la
colaboración a proveedores de servicios ubicados en otro Estado. De hecho, muchos proveedores ya poseen, en su
propia política de law enforcement, mecanismos de colaboración rápidos y portales específicos para que las solicitudes
de cooperación se realicen online, siempre bajo requerimiento de organismos de aplicación de la ley.

Entre otros motivos, con el fin de formalizar estos mecanismos que venían sucediendo en la práctica, es que se redactó
el “Segundo Protocolo adicional Convenio de Budapest”. Este contiene medidas que fortalecen la colaboración
internacional. Argentina lo firmó en 2023 y se encuentra pendiente su ratificación legislativa.

Anterior

Siguiente

[Link]
 ⟩ Medidas de cooperación dispuestas por el “Segundo Protocolo adicional al Convenio sobre la Ciberdelincuencia de
Módulo 4. Cooperación nacional e internacional

Budapest”
relativo a la cooperación reforzada y la divulgación de pruebas electrónicas

Como regla general, el “Segundo Protocolo adicional al Convenio de Budapest” dispone en el art. 5.1 el “Principio de
máxima cooperación entre países”.

A continuación, se describen las medidas más importantes estipuladas en este. Cabe señalar que “autoridad competente
solicitante” refiere a cualquier autoridad judicial, administrativa u otra autoridad encargada de hacer cumplir la ley que
esté facultada por el derecho interno, para ordenar, autorizar o llevar a cabo la ejecución de medidas.

Por “emergencia” se entiende toda situación en la que exista un riesgo significativo e inminente para la vida o la
seguridad de cualquier persona física.

[Link]

⟩ Redes 24/7 de asistencia internacional rápida

Módulo 4. Cooperación nacional e internacional

Para finalizar, es necesario comprender el concepto de red 24/7. El “Convenio de Budapest” así como muchos otros
convenios internacionales lo contempla, y surge ante la necesidad de contar con canales de colaboración rápidos.

Conforme el art. 35 del Convenio, se debe designar un punto de contacto localizable las 24 horas del día, los 7 días a la
semana (por eso 24/7), con el fin de garantizar una asistencia inmediata en las investigaciones de delitos vinculados a
sistemas y datos informáticos, buscando obtener pruebas en formato electrónico de un delito, con el fin de lograr la
máxima eficacia posible de dichas investigaciones. Esta idea no está circunscripta únicamente para ciberdelitos,
sino para cualquier delito que posea evidencia digital. El Convenio prevé que el punto de contacto debe estar
capacitado y ser accesible de manera urgente, rápida, ágil y electrónica. Asimismo, cada Estado debe garantizar la
formación y capacitación al personal necesario para su ejecución. El Convenio no exige que el punto de contacto esté
ubicado en un organismo concreto.

Esta asistencia, de acuerdo con el Convenio, comprenderá, si lo permite el derecho y la práctica interna, la facilitación de
la aplicación directa de medidas, el aporte de consejos técnicos, conservación de datos, recolección de pruebas, aporte
de información de carácter jurídico y localización de sospechosos.

Respecto del funcionamiento concreto, es posible graficarlo de la siguiente manera:

→ Imaginemos que un fiscal de la Provincia de Formosa investiga un delito de amenazas de muerte de los art. 149 bis y
149 ter del Código Penal. Dichas amenazas provienen de un perfil falso de una red social muy conocida.

→ El fiscal decide solicitar la preservación (orden de conservación) de la información del perfil del investigado, mediante
el portal para fuerzas de la ley, que ofrece la propia plataforma, y solicitar, mediante orden judicial, que le informen la
dirección de IP con la que fue registrada la cuenta.
→ Una vez obtenida la información (entre otros datos, la dirección IP desde la cual se creó la cuenta investigada) se
detecta que el proveedor es de Inglaterra y que no posee portales web de colaboración para solicitarle información.

→ Acto seguido, se puede solicitar al punto de contacto argentino de la Red 24/7, un requerimiento de cooperación
internacional rápida, pidiendo que se comunique con su par de la unidad 24/7 del “Convenio de Budapest” de
Inglaterra, a fin de solicitarle la revelación de datos al proveedor de servicios.

→ Cuando el proveedor conteste, lo hará a la inversa: el punto de contacto de Inglaterra se contactará con el punto de
contacto de Argentina y éste con la autoridad de la Provincia de Formosa. Todo vía electrónica y de manera ágil.

Más allá del “Convenio de Budapest”, otro ejemplo de red 24/7 son los mecanismos que posee NCMEC (National Center
for Missing & Exploited Children): CyberTipline. Esta red permite informar, a las fiscalías adherentes de todo el mundo,
las noticias criminales en material de abuso sexual infantil con elfin de investigarlas.

Los reportes a NCMEC, de tráfico de material de abuso sexual infantil son realizados primordialmente mediante los
proveedores de servicios de Estados Unidos. Estos están obligados, por ley de ese país, a realizar los reportes pertinentes
(18 U.S. Code § 2258ª). También hay un canal web habilitado para que particulares denuncien este tipo de material al
NCMEC.

Cuando NCMEC recibe los reportes de ISP, sobre tráfico de este material ilícito, es decir que algún contenido relacionado
con abuso sexual infantil fue compartido, subido, creado, distribuido, ofertado o facilitado, deriva ese reporte a la fiscalía
del país y provincia al que pertenece esa IP. NCMEC recibe los reportes y los clasifica según niveles de riesgo y urgencia
(Del Carril, 2018).

⟩ Cierre de módulo
dulo 4. Cooperación nacional e internacional

En el presente módulo hemos aprendido la importancia de la colaboración internacional, dando cuenta de los diversos
tipos existentes y haciendo especial hincapié en las redes 24/7 de asistencia rápida. Por último, se describió el
nuevo “Segundo Protocolo adicional al Convenio sobre la Ciberdelincuencia de Budapest”, relativo a la cooperación
reforzada y la divulgación de pruebas electrónicas.

Foro de consultas
—

Recuerden que pueden acceder desde aquí al espacio de consultas.

Anterior

Siguiente