Malware, DDoS e infraestructuras críticas

Sabotaje Digital en Marbella

Texto

Sabotaje digital, virus y daños a sistemas informáticos

Más allá de su aplicación al ransomware, que ya abordamos en nuestro contenido sobre estafas informáticas, los delitos de daños informáticos de los artículos 264 a 264 quater CP presentan una complejidad dogmática propia, reconocida por la propia doctrina especializada como una de las áreas de mayor dificultad interpretativa de todo el Derecho Penal informático español, en gran medida por la ausencia de una jurisprudencia consolidada del Tribunal Supremo que fije criterios uniformes. En RAKH ABOGADOS afrontamos esta materia con el respaldo de peritos informáticos forenses capaces de reconstruir con precisión técnica la naturaleza exacta del ataque, extremo del que depende, en la práctica totalidad de los casos, la propia viabilidad de la acusación.

La exigencia de "doble gravedad": un concepto sin definición legal

El artículo 264.1 CP castiga a quien, sin autorización y de manera grave, borre, dañe, deteriore, altere, suprima o haga inaccesibles datos informáticos, programas informáticos o documentos electrónicos ajenos, cuando el resultado producido fuera grave. La doctrina especializada ha identificado en esta redacción una exigencia de "doble gravedad" —de la conducta y del resultado— que el legislador no ha definido en ningún momento, dejando su concreción a la interpretación judicial caso por caso. Esta indeterminación genera, en la práctica, resoluciones dispares: mientras algunas Audiencias Provinciales han absuelto en supuestos de borrado de datos fácilmente recuperables por no alcanzar el umbral de gravedad del resultado, otras han condenado en circunstancias que, analizadas con rigor dogmático, plantean serias dudas sobre su encaje típico. Someter a contradicción la concurrencia de esta doble exigencia de gravedad —y no solo la mera constatación de que se produjo algún daño— constituye el primer y más eficaz frente de nuestra defensa en estos procedimientos.

Daños a datos (art. 264 CP) frente a obstaculización del sistema (art. 264 bis CP)

El Código distingue dos conductas que conviene no confundir. El artículo 264 CP protege la integridad de los datos, programas o documentos electrónicos en sí mismos considerados. El artículo 264 bis CP, en cambio, castiga a quien, sin autorización y de manera grave, obstaculice o interrumpa el funcionamiento de un sistema informático ajeno, introduciendo o transmitiendo datos, o destruyendo, dañando, inutilizando, eliminando o sustituyendo dicho sistema —el supuesto típico de los ataques de denegación de servicio o DDoS, que colapsan un servidor mediante un volumen masivo de peticiones simuladas—. La escasa jurisprudencia existente sobre esta figura ilustra su dificultad de aplicación: en el conocido "caso Anonymous", relativo a un ataque de denegación de servicio contra páginas institucionales, el Juzgado de lo Penal dictó una sentencia absolutoria, confirmada en apelación, por no quedar suficientemente acreditada la gravedad de la obstaculización causada. Determinar con precisión pericial si el ataque investigado alcanzó realmente ese umbral de gravedad resulta, en consecuencia, decisivo.

Los actos preparatorios punibles: la creación y distribución de malware (art. 264 ter CP)

El artículo 264 ter CP adelanta la barrera de punición a un momento anterior al propio ataque: castiga, con pena de prisión de seis meses a dos años o multa de tres a dieciocho meses, a quien, sin estar debidamente autorizado, produzca, adquiera para su uso, importe o facilite a terceros un programa informático concebido o adaptado principalmente para cometer los delitos de daños o de obstaculización de los artículos 264 y 264 bis CP, o una contraseña, código de acceso o dato similar que permita acceder a la totalidad o a una parte de un sistema informático. Se trata de un delito autónomo que no exige que el malware llegue a emplearse efectivamente: la mera creación, tenencia con fines de uso o distribución del programa dañino ya colma el tipo, lo que convierte el análisis de la finalidad para la que fue diseñado —y no solo del resultado que eventualmente produjo— en el elemento central de la defensa en estos supuestos.

Subtipos agravados: infraestructuras críticas y vínculo con el terrorismo

El artículo 264.2 CP eleva la pena a prisión de dos a cinco años cuando concurre alguna circunstancia cualificada: comisión en el marco de una organización criminal, daños de especial gravedad o afectación a un número elevado de sistemas informáticos, perjuicio grave al funcionamiento de servicios públicos esenciales o al suministro de bienes de primera necesidad, o afectación al sistema informático de una infraestructura crítica, con creación de una situación de peligro grave para la seguridad del Estado, de la Unión Europea o de un Estado miembro. El artículo 264.3 CP impone además la mitad superior de la pena en supuestos de especial gravedad ligados a estas mismas circunstancias. De forma singularmente relevante, el artículo 573.2 CP permite calificar estos mismos hechos como delito de terrorismo cuando concurra la finalidad específica que dicho precepto exige, con las consecuencias procesales y penológicas que ello comporta, incluida la competencia de la Audiencia Nacional. Analizar con rigor si concurre realmente esa finalidad terrorista, y no una motivación distinta —reivindicativa, lucrativa o meramente vandálica—, resulta esencial para evitar una calificación jurídica desproporcionada.

La responsabilidad penal de la empresa (art. 264 quater CP)

El artículo 264 quater CP extiende la responsabilidad penal a las personas jurídicas cuando los delitos de daños informáticos se cometen en su nombre o por su cuenta y en su beneficio directo o indirecto, con multas de hasta cinco años según la gravedad del hecho. La existencia de un programa de compliance penal específico en materia de ciberseguridad —protocolos de acceso, auditorías periódicas, formación del personal, canal de denuncias— constituye, igual que en el resto de delitos económicos, la principal herramienta preventiva y defensiva de la organización frente a esta responsabilidad, especialmente relevante cuando el ataque proviene de un empleado o de un tercero que actuó aprovechando accesos facilitados por deficiencias de control interno.

Nuestra estrategia defensiva

Impugnación de la doble gravedad: sometemos a contradicción, con pericial informática independiente, tanto la gravedad de la conducta como la del resultado, verificando la facilidad de restablecimiento de los datos o sistemas afectados.
Calificación correcta entre daños y obstaculización: determinamos si los hechos encajan en el artículo 264 o en el 264 bis CP, atendiendo a si el ataque afectó a los datos en sí mismos o al funcionamiento global del sistema.
Análisis de la finalidad del programa en el art. 264 ter: cuando se imputa la creación o posesión de software malicioso, analizamos su diseño y finalidad real, distinguiendo herramientas de seguridad informática legítimas de malware propiamente dicho.
Impugnación de la calificación terrorista o de infraestructura crítica: verificamos la concurrencia real de las circunstancias agravadas del artículo 264.2 y 264.3 CP, y de la finalidad específica exigida por el artículo 573.2 CP.

¿Ha sido investigado por un ataque informático, la creación o distribución de malware, o su empresa ha sufrido un sabotaje digital? La correcta calificación técnica y jurídica de estos hechos exige un análisis pericial riguroso. En RAKH ABOGADOS combinamos rigor jurídico y pericia informática forense para defender sus intereses en toda España.

Preguntas frecuentes

¿Qué diferencia hay entre dañar datos informáticos y colapsar un sistema con un ataque DDoS?

Ver respuesta en Preguntas Frecuentes →

¿Es delito crear o poseer un programa malicioso (malware) aunque no llegue a usarse?