Los delitos informáticos se los define como cualquier actividad delictiva en la que se utilizan como herramienta los computadores o redes, o éstos son las víctimas de la misma, o bien el medio desde donde se efectúa dicha actividad delictiva; se refieren a los actos dirigidos contra la confidencialidad, integridad y la disponibilidad de los datos y sistemas informáticos.[1].

De acuerdo a publicación de Diario El Telégrafo del 6 de Enero del 2014, en la sección Justicia, se informa que la Fiscalía General del Ecuador recibió 3.129 denuncias por delitos informáticos en el año 2011, cifra que se incrementó comparadas con las recibidas en el 2010 (1.099) y en el 2009 (168). En el año 2012 el número de denuncias se redujo a 2682 y hasta agosto del 2013 se registraron 1089 denuncias.

Según Diario Expreso en su edición del 10 de septiembre del 2014, en los primeros cinco meses del año 2014 se han registrado 877 denuncias por delitos informáticos. Se menciona también que en el mundo se invierten US$ 32.000 millones anualmente en ciberdefensa y que en este año a escala mundial se detectaron cerca de 60’090.173 fraudes informáticos, según Kaspersky. Se indica además en la referida edición, que la ex Ministra de Defensa María Fernanda Espinosa afirmó que los funcionarios de Gobierno, incluido el Presidente de la República, han sido víctimas de ataques y hackeos en sus cuentas en las redes sociales. En este sentido en la agenda política de defensa de las FF.AA. se ha incluido un proyecto para constituir el Comando de Operaciones Cibernéticas que estará operativo el 2015 que requerirá una inversión inicial de US$ 8’000.000.

Durante el evento internacional LACNIC XVII realizado en Quito, el 9 de mayo del 2012,   se anunció la futura implementación del Centro de Respuesta a Incidentes Informáticos del Ecuador (CERT-Computer Emergency Response Team o CSIRT-Computer Security Incident Response Team), para permitir que los usuarios ecuatorianos sean protegidos en su navegación por Internet.

La idea de un Centro de Respuesta a Incidentes Informáticos debe ser detectar e identificar la amenaza, bloquearla, monitorizarla, reportar, guardar registros y evidencias de la amenaza, responderla, pedir información a los organismos o actores involucrados dentro de la respuesta a la amenaza de ser necesario, hacer uso de la infraestructura disponible y necesaria y comunicar a los demás equipos de apoyo o CSIRTs conectados, para así mitigar las posibles consecuencias que produce un incidente de seguridad informática. [2].

Las infracciones informáticas fueron tipificadas por primera vez en el Ecuador mediante reformas al Código Penal efectuadas a través del Título V, desde el artículo 57 al artículo 64, de la Ley de Comercio Electrónico, Firmas y Mensaje de Datos. En dicha ocasión se tipificaron los delitos contra la información protegida, la destrucción maliciosa de documentos, los daños informáticos, la apropiación ilícita, la estafa y la violación del derecho a la intimidad.

El Código Orgánico Integral Penal (COIP) publicado en el Suplemento del Registro Oficial No. 180 de 10 de febrero del 2014 y que entró en vigencia 180 días después, es decir el 10 de agosto del 2014, en su Disposición Derogatoria Novena derogó el Título V, desde el artículo 57 al artículo 64, de la Ley de Comercio Electrónico, Firmas y Mensaje de Datos, referidos anteriormente.

En su lugar el COIP incorpora otras figuras delictivas relacionadas con los sistemas informáticos y amplía el alcance de las infracciones informáticas contempladas en el anterior Código Penal. Se efectuará a continuación una revisión de todos aquellos artículos del COIP relacionados con la tipificación y penalización de los delitos informáticos.

El Artículo 178 amplía y grava la tipificación de la violación a la intimidad que el Código Penal derogado lo consideraba únicamente como una contravención de tercera clase. Este artículo señala que la persona que, sin contar con el consentimiento o la autorización legal, acceda, intercepte, examine, retenga, grabe, reproduzca, difunda o publique datos personales, mensajes de datos, voz, audio y vídeo, objetos postales, información contenida en soportes informáticos, comunicaciones privadas o reservadas de otra persona por cualquier medio, será sancionada con pena privativa de libertad de uno a tres años. La violación a la intimidad se puede considerar como un factor que afecta al avance del comercio electrónico en el país y su protección es un elemento positivo para el mismo.

Mediante el Artículo 186 se penaliza la estafa, sancionando con pena privativa de libertad de cinco a siete años a la persona que, para obtener un beneficio patrimonial para sí misma o para una tercera persona, mediante la simulación de hechos falsos o la deformación u ocultamiento de hechos verdaderos, induzca a error a otra, con el fin de que realice un acto que perjudique su patrimonio o el de una tercera, aplicando la pena máxima de 7 años a la persona que defraude mediante el uso de dispositivos electrónicos que alteren, modifiquen, clonen o dupliquen los dispositivos originales de un cajero automático para capturar, almacenar, copias o reproducir información de tarjetas de crédito, débito, pago o similares.

El Artículo 190 tipifica la figura de apropiación fraudulenta por medios electrónicos; en este sentido la persona que utilice fraudulentamente un sistema informático o redes electrónicas y de telecomunicaciones para facilitar la apropiación de un bien ajeno o que procure la transferencia no consentida de bienes, valores o derechos en perjuicio de esta o de una tercera, en beneficio suyo o de otra persona alterando, manipulando o modificando el funcionamiento de redes electrónicas, programas, sistemas informáticos, telemáticos y equipos terminales de telecomunicaciones, será sancionada con pena privativa de libertad de uno a tres años. Esta medida es favorable a estimular el comercio electrónico pues disminuiría la preocupación que los usuarios tienen de que al momento de realizar el pago de una transacción en la web, sus datos de las tarjetas de créditos puedan ser mal utilizados y ocasionarles serios perjuicios económicos.

Los Artículos 191 hasta el 195 tipifican los delitos cometidos mediante terminales móviles. Efectivamente, el Artículo 191 sanciona con pena privativa de la libertad penaliza de uno a tres años la reprogramación o modificación de información de identificación de equipos terminales móviles.

El Artículo 192 sanciona con pena privativa de la libertad de uno a tres años a la persona que intercambie, comercialice o compre bases de datos que contengan información de identificación de equipos terminales móviles. La misma sanción es impuesta por el Artículo 193 a la persona que reemplace las etiquetas de fabricación de los terminales móviles que contienen información de identificación de dichos equipos y coloque en su lugar otras etiquetas con información de identificación falsa o diferente a la original. Similar sanción dispone el Artículo 194 a la persona que comercialice terminales móviles, así como también a la persona que posea infraestructura, programas, equipos, bases de datos o etiquetas que permitan reprogramar, modificar o alterar la información de identificación de un equipo terminal móvil. Siendo los terminales móviles inteligentes una forma de acceso a Internet y por ende para realizar alguna actividad de comercio electrónico se considera que de alguna forma estas disposiciones de COIP pueden de desalentar su uso por personas descalificadas para cometer un delito informático.

De igual forma el Artículo 229 sanciona con pena privativa de libertad de uno a tres años a la persona que, en provecho propio o de un tercero, revele información registrada, contenida en ficheros, archivos, bases de datos o medios semejantes, a través o dirigidas a un sistema electrónico, informático, telemático o de telecomunicaciones; materializando voluntaria e intencionalmente la violación del secreto, la intimidad y la privacidad de las personas, será sancionada. Esta sanción se incrementa a prisión de tres a cinco años si esta conducta se comete por una o un servidor público, empleadas o empleados bancarios internos o de instituciones de la economía popular y solidaria que realicen intermediación financiera o contratistas. Esta medida favorece a mejorar el entorno de confianza en una operación de comercio electrónico pues es común que los usuarios en Ecuador teman que la información de sus cuentas bancarias o tarjetas de crédito suministradas durante una actividad de esta naturaleza pueda ser revelada a terceras personas y ser utilizadas para cometer un delito informático.

El Artículo 230 establece que serán sancionadas con pena privativa de libertad de tres a cinco años: la persona que sin orden judicial previa, en provecho propio o de un tercero, intercepte, escuche, desvíe, grabe u observe, en cualquier forma un dato informático en su origen, destino o en el interior de un sistema informático, una señal o una transmisión de datos o señales con la finalidad de obtener información registrada o disponible; la persona que diseñe, desarrolle, venda, ejecute, programe o envíe mensajes, certificados de seguridad o páginas electrónicas, enlaces o ventanas emergentes o modifique el sistema de resolución de nombres de dominio de un servicio financiero o pago electrónico u otro sitio personal o de confianza, de tal manera que induzca a una persona a ingresar a una dirección o sitio de internet diferente a la que quiere acceder; la persona que a través de cualquier medio copie, clone o comercialice información contenida en las bandas magnéticas, chips u otro dispositivo electrónico que esté soportada en las tarjetas de crédito, débito, pago o similares; y, la persona que produzca, fabrique, distribuya, posea o facilite materiales, dispositivos electrónicos o sistemas informáticos destinados a la comisión del delito descrito en el inciso anterior. Este artículo favorece la implementación en mayor escala del comercio electrónico en el país pues uno de los mayores temores de sus usuarios es que la información de sus cuentas bancarias o tarjetas de crédito suministradas durante el proceso de pago en línea sea interceptada por delincuentes informáticos. 

El Artículo 232 sancionan con pena privativa de libertad de tres a cinco años a quienes ataquen a la integridad de sistemas informáticos, esto es que dañen, borren, deterioren, altere, suspendan, traben, causen mal funcionamiento, comportamiento no deseado o supriman datos informáticos, mensajes de correo electrónico, de sistemas de tratamiento de información, telemático o de telecomunicaciones a todo o partes de sus componentes lógicos que lo rigen. Con igual pena será sancionada la persona que diseñe, desarrolle, programe, adquiera, envíe, introduzca, ejecute, venda o distribuya de cualquier manera, dispositivos o programas informáticos maliciosos o programas destinados a causar los efectos señalados en el primer inciso de este artículo; destruya o altere sin la autorización de su titular, la infraestructura tecnológica necesaria para la transmisión, recepción o procesamiento de información en general.

El Artículo 233 sanciona los delitos contra la información pública reservada legalmente, imponiendo pena privativa de la libertad de cinco a siete años  a la persona que destruya o inutilice información clasificada de conformidad con la Ley.

Todas estas disposiciones del COIP tienen un carácter correctivo. Como medida preventiva, es fundamental que las nuevas figuras de delitos informáticos incorporadas por el COIP con sus respectivas sanciones sean difundidas ampliamente en todo el territorio nacional, tanto en la prensa escrita, hablada y televisiva, a fin de que la ciudadanía ecuatoriana tenga pleno conocimiento de las penalizaciones para este tipo de delitos, generando un clima de confianza entre los usuarios de Internet, y también para  desalentar la práctica de los delitos informáticos por parte de personas descalificadas. Otra medida preventiva sería implementar inmediatamente el Centro de Respuesta a Incidentes Informáticos en el Ecuador y la ejecución del proyecto para constituir el Comando de Operaciones Cibernéticas.

Referencia:

[1]       Consejo de Europa – CdE. (2001). Convenio sobre la Ciberdelincuencia. Serie de Tratados Europeos No. 185. Budapest, Hungría: Publicación de la Secretaría del CdE

[2]         Superintendencia de Telecomunicaciones 2012, Revista SUPERTEL No. 14.