Blog Derecho de Nuevas Tecnologías

Ataque de denegación de servicio

 

A raíz del ataque de denegación de servicio sufrido por la SGAE, y por ende, sobre que dicha conducta sea reprochable por la vía penal, he leído varios blogs en los que se indica que hasta la entrada en vigor de la reforma del Código Penal este tipo de conductas no constituyen delito.

La denegación de servicio es un ataque en el cual un usuario o una organización se ven privados de un recurso que normalmente podrían usar, como por ejemplo el acceso a la página web, el correo electrónico, o la pérdida temporal de toda la conectividad y todos los servicios de la red, que normalmente es realizado de forma intencionada y maliciosa, y si bien no suele conllevar robo de información, sí alteración o inutilización temporal, además de tiempo y recursos de la persona o entidad afectada.

En definitiva, se trata de un ataque consistente en el envío masivo de solicitudes de acceso a la página web, con el objetivo neto de paralizar el servicio por saturación de líneas y colapsar el servidor.

La ampliación de supuestos en el nuevo redactado del artículo 264 sin duda ayuda a interpretar qué conductas y resultados entrarían dentro de esta figura, y viene a solucionar un debate existente desde hace años entre los especialistas,  pero en mi opinión dos elementos son importantes para determinar la existencia del reproche penal con la actual redacción.

Por un lado el consabido dolo, es decir la existencia de una voluntad de causar un daño, y que en este caso, parece evidente tras la convocatoria lanzada y el anuncio de interrumpir el acceso a las páginas web de las entidades afectadas.

 Por otro lado el resultado conseguido, la inutilización del acceso a la página web.

Lo que se ha producido en este caso es la imposiblidad de utilizar y servir la información contenida en el página web, por lo que a mi entender, salvo mejor criterio del Juzgador, sí sería punible con la actual redacción del art. 264 del Código Penal que condena la destrucción, alteración o  inutilización de datos, programas o documentos electrónicos ajenos contenidos en redes, soportes o sistemas informáticos.

 

La responsabilidad penal de las personas jurídicas

La reciente reforma del Código Penal (BOE 23 de junio de 2010, Ley Orgánica 5/2010 y cuya entrada en vigor es el 23 de diciembre de este año), ha incorporado por primera vez al ordenamiento jurídico español, la responsabilidad penal de las personas jurídicas de los delitos cometidos en nombre o por cuenta de las mismas, y en su provecho, por sus representantes legales y administradores de hecho o de derecho.

Pero además, las personas jurídicas pueden ser también declaradas responsables de los delitos cometidos, en el ejercicio de actividades sociales y por cuenta y en provecho de las mismas, por quienes, estando sometidos a la autoridad de las personas físicas (sus representantes legales y administradores de hecho o de derecho) han podido realizar los hechos porque no se ha ejercido sobre ellos el debido control.

Operan como circunstancias atenuantes de la responsabilidad penal de las personas jurídicas, entre otras, haber establecido, antes del comienzo medias eficaces para prevenir y descubrir los delitos que en el futuro pudieran cometerse con los medios o bajo la cobertura de la persona jurídica.

Así por ejemplo, si analizamos el segundo supuesto de responsabilidad penal de la persona jurídica, frente a la posible comisión por parte de un empleado de un delito de los previstos en el artículo 197 que regula el descubrimiento o apoderamiento de mensajes de correo electrónico, interceptación de telecomunicaciones o las conductas de acceso inconsentido a los sistemas informáticos de un tercero conocidas como “Hacking”; la existencia de unas adecuadas Normas de Uso de los recursos informáticos que regulen qué actos están permitidos y cuáles están prohibidos, qué medidas de control se establecen para detectar la comisión de una infracción o un abuso, en qué supuesto puede realizarse una monitorización del uso de los recursos, qué medidas de seguridad se aplican a los ficheros que contienen datos de carácter personal, etc., puede ayudar a atenuar y suavizar la responsabilidad penal de la compañía.

Este sistema de prevención es aplicable a los restantes 22 delitos que la citada reforma prevé la aplicación de la responsabilidad penal de la persona jurídica, si se dan las circunstancias específicas previstas en cada tipo penal.

Por ello es aconsejable que las compañías se doten de sistemas de prevención, medidas de vigilancia y control que permitan de forma periódica evitar o detectar la posible comisión de ilícitos penales.

 Las penas aplicables a las personas jurídicas son:

• Multa por cuotas o proporcional
• Disolución de la persona jurídica
• Suspensión de sus actividades por un plazo que no podrá exceder de 5 años
• Clausura de sus locales
• Prohibición de realizar en el futuro las actividades en cuyo ejercicio se haya cometido, favorecido o encubierto el delito
• Inhabilitación para obtener subvenciones y ayudas públicas, para contratar con el sector público y para gozar de beneficios e incentivos fiscales o de la Seguridad Social
• Intervención judicial para salvaguardar los derechos de los trabajadores.

 

 Assumpta Zorraquino

 

El favorecimiento de las infracciones de derechos de propiedad intelectual no es delito

Nuestro Código Penal no tipifica como delito las actividades de favorecimiento de infracción de derechos de propiedad intelectual. Así lo recoge la Sentencia dictada por la Audiencia Provincial de Cantabria el pasado día 8 de junio.

Los hechos denunciados habían sido sobreseídos por el Juzgado de Instrucción y ahora la Audiencia Provincial, al resolver el recurso de apelación, ha confirmado la decisión.

Como en otros casos que hemos visto en este Blog, la página web denunciada no ofrecía directamente el visionado o las descargas de las obras cinematográficas, sino distintos enlaces externos a otras páginas web donde, en su caso, residían las obras.

Mientras que la recurrente sostiene que estamos ante un acto de comunicación  pública mediante el cual una pluralidad de personas puede tener acceso a la obra sin previa distribución de ejemplares a cada una de ellas, la resolución basa la desestimación del recurso en que la mera facilitación de enlaces externos para acceder a contenidos protegidos por la ley de propiedad intelectual no esta tipificado de forma expresa como delito en el artículo 270.

No obstante, la Sentencia establece razonamientos muy interesantes sobre la conducta realizada, y que ya han sido recogidos en otras resoluciones de nuestros Tribunales, entendiendo que las razones que llevan a no condenar son la falta de acogida en el Código Penal de la responsabilidad penal de los prestadores de servicios que establece la Ley de Servicios de la Sociedad de la Información y Comercio Electrónico LSSCI (34/2002).

Así, es importante destacar que la propia resolución establece:

·         Que con dicha conducta consistente en facilitar a los usuarios de Internet el acceso a páginas web que alojan contenidos supuestamente protegidos por la Ley de Propiedad Intelectual el denunciado obtiene un beneficio económico derivado de los ingresos por publicidad.

·         Que el hecho de que la propia denominación de la página que incluya el término gratis en su nombre de dominio, la convierte en un reclamo para los usuarios.

·         Que dicho acceso al visionado de forma gratuita a películas cinematográficas vulnera la legislación sobre propiedad intelectual.

·         Que el artículo 270 del Código Penal no tipifica como infracción de los derechos de autor el favorecimiento a sitios web o enlaces que ofrecen obras protegidas, pero dicha conducta atípica podría ser analizada bajo los preceptos de la Ley de Servicios de la Sociedad de la Información y Comercio Electrónico de 11 de julio de 2002 que prevé la posibilidad de exigir responsabilidad penal a los prestadores de servicios de alojamiento o almacenamiento de datos, pero “tal mandato de criminalización no ha sido atendido por el legislador penal”.

 

Assumpta Zorraquino

He olvidado mi contraseña !!

En el procedimiento de creación y alta de una cuenta de correo electrónico el proveedor de correo establece un mecanismo para que el usuario pueda recuperar su contraseña en caso de olvido. No obstante el citado mecanismo es más vulnerable que la contraseña en si misma.

 

Tras un análisis de los principales proveedores de cuentas de correo electrónico, observamos que en el proceso de registro de una cuenta de correo,  lo más habitual es que tras cumplimentar los campos relativos a identificación del usuario y nombre de la cuenta,  el proveedor pide como “pregunta de seguridad” para la recuperación de contraseñas, la elección de una de las preguntas que aparecen listadas (lugar de nacimiento de la madre, profesor favorito, mejor amigo de la infancia, nombre de la primera mascota, etc.) respecto de la cual deberá introducirse la respuesta correspondiente, sin opción a formular una pregunta distinta a la ofrecida por el proveedor.

 

Una vez concluido el proceso de registro y activada la cuenta, tan sólo mediante la introducción correcta respuesta a la pregunta seleccionada, podrá recuperarse la contraseña en caso de haberse olvidado la misma.

 

Al tratarse de preguntas poco sofisticadas y previamente listadas cualquier tercero que tenga una cierta proximidad y conocimiento de las circunstancias personales y/o familiares del titular de la cuenta le resultará sumamente fácil contestar a la pregunta preestablecida, pues sin duda conocerá o podrá conocer sin dificultad la solución a cuestiones tan obvias como, lugar de nacimiento de la madre, profesor favorito, mejor amigo de la infancia, nombre de la primera mascota, etc.

 

Cuando el titular de la cuenta es un personaje público, como sucedió con Sarah Pallin, ni siquiera será necesario ser de su entorno o círculo de amigos, pues las respuestas a las preguntas previamente listadas pudieron hallarse consultando en Wikipedia y en foros y artículos publicados en Internet.

 

Frente a la fragilidad del sistema habitual descrito pocos son los proveedores, permiten la posibilidad de redactar una pregunta propia, no dependiendo del listado ya existente lo cual, obviamente, dificulta el acceso no autorizado de terceros, puesto que además de conocer la respuesta, en este caso deberá también acertar la pregunta con la consecuente complicación dadas las infinitas posibilidades existentes.

Responsabilidad por contenidos

Esta semana se juzgaba en Italia a los responsables de Google por la publicación de un video en el que unos jóvenes  de Turín maltrataban a un muchacho con síndrome de Down. Los hechos que se les imputan son los de presuntos autores de los delitos de difamación y violación de la intimidad.

Dicha noticia nos obliga a analizar cuál es el papel de Google en la inserción y publicación de contenidos, y, en su caso, su responsabilidad. Respecto a la inserción, son los propios usuarios los que realizan la inserción de los contenidos, que se publican y son visibles seguidamente en Google mediante los sistemas de búsqueda y recopilación de datos o enlaces a otros sitios de Internet.

De acuerdo con la Directiva Europea de Comercio Electrónico, y la Ley 34/2002 de 11 de julio de Servicios de la Sociedad de la Información  y de Comercio Electrónico (LSSICE), en España los prestadores de servicios de la sociedad de la información, no son responsables de la información almacenada a petición del interesado, siempre que:

a) No tengan conocimiento efectivo de que la actividad o la información a la que remiten o recomiendan es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización, o

b) Si lo tienen, actúen con diligencia para suprimir o inutilizar  el enlace correspondiente.

Y añade que el prestador adquiere conocimiento efectivo cuando un órgano competente haya declarado la ilicitud de los datos, y hubiera ordenado, en ejercicio de las competencias que ordenado su retirada o que se imposibilite el acceso a los mismos, o se hubiera declarado la existencia de la lesión, y el prestador conociera la correspondiente resolución, sin perjuicio de los procedimientos de detección y retirada de contenidos que los prestadores apliquen en virtud de acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse.

Resulta por tanto excesivo a mi entender, que sin que existan pruebas que acrediten que Google conocía la existencia de esa grabación, así como pruebas de la inobservancia de los requerimientos que le hubiesen sido efectuados, se le considere responsable de la publicación de los mismos, máxime cuando si parece acreditado que en cuanto tuvo noticia de la existencia de los mismos los eliminó de su página y herramientas de búsqueda.

El uso judicial de Facebook

Facebook ya no sólo sirve para localizar viejos conocidos o mantener comunicaciones con tu red de amigos. Recientemente  un tribunal de Australia aprobó el uso de Facebook, para  realizar una notificación judicial a un particular  tras incurrir éste en el impago de la hipoteca.

Trasladándolo al sistema judicial español, cabría plantearse su efectividad atendiendo  a lo previsto en nuestra la Ley deEnjuiciamiento Civil, que en su art. 162 permite la posibilidad de realizar comunicaciones judiciales a través de medios electrónicos, informáticos y similares, siempre que:

• Los Juzgados y Tribunales y las partes dispusieren de dichos medios o semejantes, que permitan el envío y la recepción de escritos y documentos,

• Que tales medios garanticen la autenticidad de la comunicación y de su contenido

• Que quede constancia fehaciente de la remisión y recepción íntegras

• Que se disponga de acuse de recibo

• Que las partes y los profesionales que intervengan en el proceso hayan comunicado al Tribunal que disponen de esos medios y su dirección electrónica de envío.

Por ello, para que Facebook se considerase una dirección efectiva para la realización de comunicaciones, previamente el particular, debería haber comunicado al Juzgado la posibilidad de utilizar ese medio electrónico como forma de comunicación con el mismo.

Además debería garantizarse la autenticidad de las comunicaciones a través de Facebook, autentificación de las partes intervinientes, integridad del mensaje y time stamping.

Menos problemas plantearía acusar recibo de la entrega pues cuando se envia un mensaje a través de Facebook a una persona no agregada, el destinatario recibe un mensaje de @facebookmail.com de forma que dispondríamos de una forma para acreditar que  el mensaje ha sido entregado a su destinatario, que debería ser completada con la declaración testifical de Facebook y del ISP del destinatario.

 

EEUU juzgará al hacker que accedió al Pentágono

La justicia americana será competente para juzgar al británico acusado de acceder en el año 2002 a los sistemas informáticos militares de Estados Unidos y en los de la NASA.

El acusado, conocido como el “pirata del Pentágono” había solicitado que el procedimiento se tramitase ante los tribunales británicos, pero la semana pasada su recurso fue desestimado. No es de extrañar dicha resolución, ya que a pesar de que el acceso pudo haberse realizado desde otro país, lo cierto es que los sistemas vulnerados eran sistemas informáticos americanos, que se encontraban ubicados en los Estados Unidos, así como que los efectos del presunto delito se produjeron igualmente en dicho país.

Del mismo modo, nuestros tribunales entendieron en el año 2003, que era competente la jurisdicción española para enjuiciar un delito contra la propiedad intelectual que se realizaba desde España y por ciudadanos españoles, consistente en el suministro de programas de ordenador y herramientas de desprotección (conocidas como cracks) desde una página web que se encontraba alojada en un servidor ubicado en EEUU, puesto que los efectos del delito se producían en España.

(Auto dictado por el Juzgado de lo Penal 18 de Barcelona de 5 de mayo de 2003 que declaró la competencia Jurisdiccional de los Tribunales Españoles y la competencia territorial de los de Barcelona)

Control empresarial

El pasado día 14 participé como Ponente en un Desayuno de Trabajo cuyo objeto era analizar  los requisitos establecidos en la Sentencia de 26 de septiembre de 2007 dictada por el Tribunal Supremo para llevar a cabo el control del ordenador y el correo electrónico por parte de la empresa, entre los que se encuentra la obligación establecida a las compañías de disponer de unas normas de uso de los recursos informáticos que la empresa pone a disposición de sus empleados, y que éstas hayan sido previamente comunicadas a sus empleados.

La gran asistencia de público a la Jornada pone de manifiesto la preocupación reinante en las empresas por regular este aspecto sin vulnerar ningún derecho fundamental, y por conocer cuál debe ser el alcance y el contenido de las normas de uso, cómo deben ponerse en conocimiento de los empleados y cuál debe ser el procedimiento a seguir en el supuesto de que deba ser necesario realizar una intervención.

El sondeo realizado a los asistentes acerca de los usos permitidos en las normas de uso instauradas en su compañía, pone de relieve que un 70% de las empresas opta por permitir un uso tolerado de los recursos informáticos para uso personal, mientras que un 30 % no establece en sus normas ninguna limitación o prohibición. Por el contrario nadie puso de manifiesto la existencia en su compañía de unas normas con prohibición total de la utilización de los recursos informáticos para uso personal.

Otro tema de debate fue el determinar qué procedimiento se debe seguir cuando sea necesario por ejemplo, proceder a la intervención de un ordenador, o a examinar los archivos temporales de navegación, o incluso el correo electrónico del empleado, que en cada caso exigirán un examen de la situación y ponderación de las sospechas de uso ilícito existente, con el fin de diseñar cuál va a ser el procedimiento más adecuado que debe llevarse a cabo.

Conservación de los datos

El Proyecto de Ley de Conservación de Datos relativos a las Comunicaciones Electrónicas y a las Redes Públicas de Comunicaciones, sigue su curso de discusión en el Congreso y presentación de enmiendas.

Este proyecto de ley, tal y como establece el artículo 1 propuesto, tiene por objeto la regulación de la obligación de los operadores de conservar los datos generados o tratados en el marco de la prestación de servicios de comunicaciones electrónicas o de redes públicas de comunicación, así como el deber de cesión de dichos datos a los agentes facultados cuando les sean requeridos con fines de investigación, detección y enjuiciamiento de un delito contemplado en el Código Penal o en las leyes penales especiales.

Se aplicará a los datos de tráfico y de localización sobre personas físicas y jurídicas y a los datos relacionados necesarios para identificar al abonado o usuario registrado.

Se excluye del ámbito de aplicación de esta ley el contenido de las comunicaciones electrónicas, incluida la información consultada utilizando una red de comunicaciones electrónicas.

No cabe duda de la necesaria regulación del régimen y procedimiento que deben seguir los operadores, para la conservación de los datos de tráfico para la persecución y localización del autor en las infracciones y fraudes cometidos a través de Internet. En la mayoría de las ocasiones, el tiempo transcurrido entre la comisión del delito y la obtención del mandamiento judicial dirigido al operador, hace inviable la obtención de la información solicitada, obligando al sobreseimiento del procedimiento por imposibilidad de identificar al autor o autores de la infracción.

Denegación de servicio

El Juzgado de lo Penal 1 de Vigo, condenó ayer a un estudiante por un ataque de denegación de servicio, que provocó en su día la caída del sistema de la Universidad de Vigo ( realizó un envío masivo de datos desde 30 equipos a la red universitaria), por apropiación de las contraseñas del administrador del sistema, así como por la apropiación de contraseñas de banca electrónica y de cuentas de correo electrónico de profesores y alumnos de la Universidad. Los hechos han sido enjuiciados desde la óptica del apoderamiento de contraseñas y datos, pero no desde la óptica del delito de daños al sistema previsto en el 264 del Código Penal.