Plu­mas NCC | Delitos cometidos mediante tecnologías cibernéticas

Por: Rodolfo Guerrero Martínez (México).

En el marco del aviso la Red contra los Delitos Financieros (FinCEN) emitido el 30 de julio de 2020 expone una serie de puntos de alerta en el ámbito financiero sobre delitos cibernéticos y perpetrados mediante diversas tecnologías como consecuencia de la pandemia por el COVID-19.

Precisamente dicho documento tiene como finalidad apoyar a las instituciones financieras en la prevención, detección y notificación de actividades ilícitas, se basa en información del COVID-19 captada de las bases de datos facilitados por la Ley de Secreto Bancario (BSA), colaboradores de agencia de la ley e informes de dominio público.

Por otra parte, indica las principales señales de riesgos sobre delitos perpetrados mediante el uso inadecuado de las tecnológicas, es decir con la aplicación de programas maliciosos (malware), la extorsión y la suplantación de la identidad (phishing).

El objetivo del presente artículo (1) es hacer un breve recordatorio de lo establecido por FinCEN, así como realizar algunas recomendaciones sobre los procedimientos de ciberataque realizados por los cibercriminales.

Ataque y explotación de las plataformas y procesos remotos

Los cibercriminales y las amenazas estatales se aprovechan de las vulnerabilidades de las aplicaciones remotas y del entorno virtual para robar información confidencial, poner en peligro la actividad financiera e interrumpir las operaciones comerciales (2). En ese sentido, también se enfrentan diferentes riesgos en los procesos de identificación remota como:

1. Manipulación digital de documentos de identidad: Los criminales mediante el uso de documentos de identificación fraudulentos  pueden generar la manipulación de imágenes digitales de documentos de identidad legítimos emitidos por un gobierno para alterar la información o las fotos que contienen (3).
2. Aprovechamiento de credenciales comprometidas para acceso a cuentas: Los cibercriminales por medio de métodos como el credential stuffing se benefician de la debilidad de procesos de autenticación para intentar tomar el control de cuentas.

Suplantación de la identidad y ransomware

La Internal Revenue Service (ISR) advierte a los contribuyentes, profesionistas y empresas que estén alerta sobre el recibimiento de correos electrónicos falsos, sitios web, mensajes de texto y redes sociales que roban información personal, mayormente en el periodo de impuestos, la cual es una de las principales causas de robo de identidad de todo el año (4).

Por otra parte, los profesionales de impuestos han reportado recibir una presentación electrónica de impuestos del ISR mediante un correo fraudulento, ante esto el ISR advierte no abrir ningún archivo adjunto o presionar en ningún enlace y recortar la estafa al Inspector General del Tesoro para la Administración Tributaria (5).

Es importante recordar que los cibercriminales distribuyen programas malignos, incluyendo secuestro de datos o ransomware mediante el envío de correos, descargas y sitios web malignos. Adicionalmente, encontramos el caso de las inversiones en monedas virtuales convertibles (CVC, por sus siglas en inglés) o nombres de dominio que emulan nombres de organizaciones, como las que proporcionan u otorgan capacidades de teletrabajo.

El día 1 de noviembre del año 2022 el Departamento del Tesoro público un análisis sobre el 75 por ciento (793 incidentes reportados a FinCEN) de ciberataques (ransomware) en los Estados Unidos de Norteamérica fueron perpetrados por hacker rusos durante el año 2021 (6). Dicho documento señala que el software para la obtención de pagos fabricado por los piratas rusos se utilizó en tres cuartas partes de todos los ataques de ransomware dados a conocer en la segunda mitad del 2021 a la agencia de delitos financieros de Estados Unidos.

Ahora bien, el funcionamiento de dicho modo de operación, es decir, el ransomware o el software de rescate realiza el encriptamiento de los datos de las víctimas y en consecuencia los hackers brindan a los afectados una clave para recuperarlos mediante el pago en bitcoin o criptomoneda que puede comprender millones de dólares.

Ley Patriota y la Aplicación en el Ámbito de las Criptomonedas

El Comité de Servicios Financieros de la Cámara de Representantes sobre la «Supervisión de la Red de Control de Delitos Financieros», en la audiencia del jueves 28 de abril del año 2022 se presentó Him Das, director en funciones de la Red de Control de Delitos Financieros de los Estados Unidos (FinCEN) para externar una serie de preocupaciones a los legisladores para perseguir la información sobre las transacciones ilícitas de activos digitales (7).

En ese sentido, Andy Barr quien es representante de Kentucky, señaló que varias medidas especiales que la FinCEN estaba autorizado a utilizar según lo establece la Sección 311 de la Ley PATRIOTA, eran poco practicadas. Sin embargo, Him Das expresó que los activos digitales son un nuevo escenario para la ley destinada a la lucha contra el blanqueo de capitales (AML) y la lucha contra la financiación del terrorismo (CFT). De hecho, el artículo 311 se promulgó en un contexto diferente, donde las relaciones y transacciones financieras se realizaban a través del sistema bancario tradicional. Entonces la autoridad bajo la actual LEY PATRIOTA carecería de facultades para detener actores que participen en transacciones ilícitas para mercados de darknet  o ataques de ransomware.

Por lo que se ha explicado en los párrafos precedentes, la FinCEN también se involucrará en cómo manejar los requisitos de supervisión financiera para las empresas de criptomonedas que facilitan ciertas transacciones a las billeteras autocustodiadas, o no alojadas. Justamente el Departamento del Tesoro de los Estados Unidos ha expresado en su agenda semestral y plan regulatorio publicado en enero 2022 su pretensión de estudio sobre la regulación de este aspecto del espacio de las criptomonedas (8).

Conclusión general

Sin duda, los datos desempeñan un rol importante para la comisión de delitos cibernéticos y en las vulnerabilidades que le hagan frente. Esto en los distintos escenarios donde se desarrollan los usuarios, así como en sus hábitos de uso en las tecnologías de la información y la comunicación.

Específicamente, la recolección, almacenamiento, análisis y difusión de datos permiten que se cometan muchos delitos cibernéticos como la usurpación de la identidad y ciberataques como el ransomware, al igual que la gran recolección, almacenamiento, uso y distribución de datos sin el consentimiento informado de los usuarios ni las medidas legales y de protección necesarias.

En conclusión, es indispensable establecer ante el paralelismo natural y virtual en el que se vive, un mejor marco de protección de datos y la seguridad de los sistemas, redes y datos, precisamente con un diseño apropiado de la normativa y en la preparación e involucramiento de los sujetos y actores involucrados en los ámbitos públicos, financieros, y corporativos.

Notas

(1) El presente artículo escrito por su servidor intitulado “Delitos perpetrados mediante tecnologías cibernéticas” fue publicado en el Boletín Técnico del Colegio de Contadores Públicos de Guadalajara en el mes de febrero del año 2023, a continuación comparto las fuentes de consulta:

(2) The National Vulnerability Database del Instituto Nacional para estándares y tecnología (National Institute for Standards and Technology, NIST) del Departamento de Comercio de los EE. UU. https://nvd.nist.gov/

(3) Informe de la FinCEN, “Identity Theft: Trends, Patterns, and Typologies Reported in Suspicious Activity Reports” (octubre de 2010). Véase en: https://t.ly/KbA02

(4) FinCEN Analysis Reveals Ransomware Reporting in BSA Filings Increased Significantly During the Second Half of 2021. Véase en: https://t.ly/0-0Wz

(5) IRS, Summit partners issue urgent EFIN scam alert to tax professionals. Véase en: https://t.ly/azK0I

(6) El Servicio de Impuestos Internos prosigue con estafas tributarias denominado “Docena Sucia” a través de una advertencia a los contribuyentes para prestar atención a correos electrónicos, llamadas telefónicas, redes sociales y mensajes de texto inesperados.

(7) Statement of FinCEN Acting Director Himamauli Das before the House Committee on Financial Services. Véase en: https://t.ly/eh0oF

(8) Semiannual Agenda and Regulatory Plan. January, 2022. Véase en: https://t.ly/BWinP

 

***

Ro­dol­fo Gue­rre­ro es abo­ga­do por la Be­ne­mé­ri­ta Uni­ver­si­dad de Gua­da­la­ja­ra y maes­tro en de­re­cho con orien­ta­ción en ma­te­ria Cons­ti­tu­cio­nal y ad­mi­nis­tra­ti­vo por la mis­ma casa de es­tu­dios. Es So­cio Fun­da­dor y Re­pre­sen­tan­te Le­gal de la So­cie­dad Ci­vil Cof­fee Law “Dr. Jor­ge Fer­nán­dez Ruiz”. So­cio fun­da­dor de la Aca­de­mia Me­xi­ca­na de De­re­cho “Juan Ve­lás­quez” A.C. Ti­tu­lar de la Co­mi­sión de Le­gal­tech del Ilus­tre y Na­cio­nal Co­le­gio de Abo­ga­dos de Mé­xi­co A.C. Ca­pí­tu­lo Oc­ci­den­te. Vi­ce­pre­si­den­te de la Aca­de­mia Me­xi­ca­na de De­re­cho In­for­má­ti­co, Ca­pí­tu­lo Ja­lis­co.