Estructura organizacional del ciberdelito/Organizational structure of cybercrime

Acaba de aparecer un informe sumamente interesante de la empresa de seguridad informática Finjan que describe las estructuras organizacionales y parte importante del modus operandi de las bandas dedicadas a varios tipos dominantes actualmente de delito cibernético, como el phishing.

El informe describe en texto claro y con buenos diagramas las estructuras operativas que se ponen en marcha para estos delitos: estructuras de múltiples capas, algunas de ellas con muchos participantes, con funciones especializadas (creación de virus y troyanos, distribución de ese malware, depósito de la información capturada (datos de tarjetas de crédito, en muchos de sus ejemplos), y uso de esta información para convertirla en dinero líquido o realizar transacciones. En cada capa los actores están poco acoplados, y las capas están también sólo ligeramente acopladas entre sí. Eso da una gran flexibilidad a la operación y provee un principio de robustez apreciable, pues en cada capa pueden ser capturados o interrumpidos numerosos componentes sin afectar gravemente la operación de las otras capas ni exhibir a muchos de sus participantes.

Este principio organizacional es bien conocido; yo reconozco algunas características de la guerrilla, y el artículo hace una analogía mucho más detallada con las organizaciones tradicionales del delito organizado como la Mafia.

El estudio se basa en la participación de un investigador de Finjan en los foros de "carding" (captura y uso de datos de tarjetas de crédito y de débito) y es un esfuerzo realizado totalmente en el sector privado y la comunidad técnica, sin intervención de actores gubernamentales. Un punto de reflexión importante cuando analizamos los esfuerzos de organizaciones como la Unión Internacional de Telecomunicaciones (UIT o ITU) para gubernamentalizar la seguridad informática.

Destaco un último punto: el artículo también refiere los precios actuales de los datos de las tarjetas de crédito que permiten su utilización por los delincuentes para desfalcar a los tarjetahabientes, y estos precios van de los 15 dólares para tarjetas básicas en Estados Unidos a 70 dólares para las tarjetas de alto límite de crédito en Europa.

Se trata pues de un documento que paga sobradamente una lectura cuidadosa, tanto para expertos como para legos en la materia.

Ley de delito informático en Argentina

Argentina está emitiendo una nueva ley contra los delitos informáticos. La nota de prensa, y los avisos al respecto de la comunidad Alfa-Redi, atraen la atención sobre algunos puntos interesantes:

1. el trabajo para construir la iniciativa de ley comenzó hace unos dos años, cuando algunos periodistas reaccionaron contra el espionaje de que fueron víctimas sus correos electrónicos; por ello, la ley - o las noticias al respecto - hacen énfasis en la protección de la privacidad de las comunicaciones;

2. la nota de referencia hace énfasis también en el combate a la pornografía infantil y delitos relacionados. Una idea interesante es que, conforme se cierran los espacios para estos delitos en otros países (véase por ejemplo Australia, donde "la de 8" es la captura de decenas de presuntos miembros de una red de pornografía infantil que incluye a maestros, o Inglaterra), se trasladarán a América Latina. Esta idea requiere algo de detalle; el delito no se traslada así como así. Lo que se verá será el uso de infraestructura por parte de delincuentes de otras regiones, la complicidad de ellos con delincuentes en nuestra región, y el uso por éstos del nicho y estímulos que se espera emerjan al limitarse a los delincuentes de otras latitudes.

3. toda ley que defina delitos informáticos debe ser inspeccionada por los informáticos desde un punto de vista crítico para la profesión: el que conductas "normales", frecuentes en el trabajo, no sean interpretadas como delitos. Esto sucedía con la ley de delitos informáticos en México hace algunos años: era fácil tipificar como delictivas las remociones de archivos, alteraciones en el funcionamiento de los sistemas, etc., que son parte inevitable del trabajo de desarrollo e implantación de sistemas. Así que amigos informáticos y abogados, a leer, a leer, con lupa.

Quienes me conocen o han escuchado saben que no creo que hacer nuevas leyes sea lo primero ni la principal tarea para combatir el "delito cibernético" pero esta iniciativa en Argentina es de innegable interés. Entretanto, en México, creo que no debemos dejar de impulsar iniciativas como la que construimos con Juan Carlos Guel, Alfredo Reyes Krafft, Kiyoshi Tsuru, y otros distinguidos colegas, y que Alfredo acaba de presentar más ampliamente; se trata del grupo e-Crime (recurro a una nota de prensa venezolana porque explica las medidas no legislativas que urge impulsar).