LA INVESTIGACIÓN DE LOS DELITOS INFORMÁTICOS EN LA GUARDIA CIVIL

Presentación del tema: "LA INVESTIGACIÓN DE LOS DELITOS INFORMÁTICOS EN LA GUARDIA CIVIL"— Transcripción de la presentación:

1 LA INVESTIGACIÓN DE LOS DELITOS INFORMÁTICOS EN LA GUARDIA CIVIL
Juan Salom Clotet Comandante de la Guardia Civil Jefe del Grupo de Delitos Telemáticos Miércoles 18 de mayo de 2005

2 Índice SOCIEDAD DE LA INFORMACIÓN Y DELITO INFORMÁTICO
Revolución cultural y social. Características y consecuencias ¿Delito informático?. Convenio Ciberdelincuencia del Consejo de Europa. Respuesta de la Guardia Civil a la delincuencia informática. El GDT IDENTIFICACIÓN DEL PROBLEMA. Incidencia real. Indicadores de evolución. INVESTIGACIÓN DELINCUENCIA INFORMÁTICA Metodología de investigación. Casuística (Hacking, Fraudes, Contenidos). Ciberterrorismo. PROBLEMÁTICA DE LA INVESTIGACIÓN Conservación de datos de tráfico. Imposibilidad de identificación de usuario. Virtualidad de la prueba informática. Determinación espacial de la Ley penal. Mundo digital desconocido. Judicatura. CONCLUSIONES

3 DELINCUENCIA INFORMÁTICA
SOCIEDAD DE LA INFORMACIÓN TECNOLOGÍAS DE LA INFORMACIÓN Y LAS TELECOMUNICACIONES (TIC) Internet Diseño carente de seguridad Complejidad técnica Desconocimiento generalizado Ciberespacio con deficiencias normativas Espacio de interrelaciones humanas y de activos patrimoniales Aparente anonimato NUEVO ESPACIO PARA LA DELINCUENCIA DELINCUENCIA INFORMÁTICA

4 INSTRUMENTO DE COMISIÓN DEL DELITO ACCIÓN DEL DELITO
¿DELITO INFORMÁTICO? DELITO INFORMÁTICO OTROS DELITOS DELITO TECNOLÓGICO CIBERDELITO DELITO INFORMÁTICO CIBERCRIMEN DELITO TELEMÁTICO INSTRUMENTO DE COMISIÓN DEL DELITO (MEDIO DE PUBLICIDAD) ACCIÓN DEL DELITO DATOS Y SISTEMAS INFORMÁTICOS

5 Medidas de derecho procesal que deberán adoptarse a nivel nacional
¿DELITO INFORMÁTICO? CONVENIO SOBRE CIBERDELINCUENCIA CONSEJO DE EUROPA (Copia oficial en castellano en 3½ años 25 borradores Mandato: 1997 Creación Comité de expertos Formación: 45 países + EEUU + Canadá + Sudáfrica + Japón Firmado en Budapest el 23 de noviembre de 2001. Ratificación: Albania ( ), Croacia ( ), Estonia ( ), Hungría ( ), Lituania ( ) y Rumania ( ) Medidas de derecho penal sustantivo que deberán adoptarse a nivel nacional Medidas de derecho procesal que deberán adoptarse a nivel nacional

6 DELITOS RELACIONADOS CON EL CONTENIDO “falsificación y fraudes”
¿DELITO INFORMÁTICO? Medidas de derecho penal sustantivo que deberán adoptarse a nivel nacional “Prop Intelec” DELITOS RELACIONADOS CON INFRACIONES DE LA PROPIEDAD INTELECTUAL Y DE LOS DERECHOS AFINES “pedofilia” DELITOS RELACIONADOS CON EL CONTENIDO “falsificación y fraudes” “hacking” DELITOS CONTRA LA CONFIDENCIALIDAD, INTEGRIDAD Y DISPONIBILIDAD DE DATOS Y SISTEMAS INFORMÁTICOS DELITOS INFORMÁTICOS Difusión de pornografía infantil (189) Provocación sexual y prostitución (186 y 187) Amenazas (169), injurias (208) y calumnias (205) Apología terrrorismo y xenofobia Falsedad documental Estafa informática (248) Defraudación en fluido telecomunicaciones (255 y 256) Descubrimiento y revelación de secreto y acceso ilegal (197) Apoderamiento de secreto de empresa (278) Daños en datos y sistema informático (264) Abuso de los dispositivos (270)

7 RESPUESTA DE LA GUARDIA FRENTE A LOS DELITOS TECNOLÓGICOS (1)
Año 1996: Creación Grupo Delitos Informáticos Año 1999: Grupo de Delitos Alta Tecnología Año 2000: Departamento Delitos Telemáticos Año 2003: Grupo de Delitos Telemáticos Departamento de Informática y electrónica Inicio del proceso de descentralización El Departamento de Delitos Telemáticos se halla estructurado en una Sección de Investigación y una Sección de Análisis. La Sección de Investigación se ha articulado en cuatro grupos respondiendo a la definición y clasificación de los delitos informáticos que hace el Convenio de Ciberdelincuencia del Consejo de Europa, firmado el pasado 23 de noviembre en Budapest. Estos grupos son: Pedofilia; Fraudes en la Red; Delitos contra la Integridad, Confidencialidad y Disponibilidad de los datos y Sistemas Informáticos, que nosotros resumimos en delitos de Hacking, y Delitos contra los derechos de propiedad intelectual y análogos. La Sección de análisis realiza las funciones básicas de mecanización de información y estadística, no pudiendo abarcar más por escasez de personal. También hay un pequeño grupo de 2 hombres dedicados a Investigación y desarrollo, cuyo cometido principal es identificar las vulnerabilidades que van apareciendo y los instrumentos de software necesarios.

8 JEFATURA DE INFORMACIÓN Y POLICÍA JUDICIAL
RESPUESTA DE LA GUARDIA FRENTE A LOS DELITOS TECNOLÓGICOS. JEFATURA DE INFORMACIÓN Y POLICÍA JUDICIAL SERVICIO DE INFORMACIÓN LABORATORIO CRIMINALÍSTICA UNIDAD DE ANÁLISIS UNIDAD CENTRAL OPERATIVA SECCIÓN DELINCUENCIA ESPECIALIZADA DROGAS GRUPO DE CIBERTERRORISMO DEPARTAMENTO DE ELECTRÓNICA E INFORMÁTICA DELINCUENCIA ORGANIZADA DELINCUENCIA ECONÓMICA U,s TERRRITORIALES U.O.P.J. (Eq. Inves. Tecno.) GRUPO DELITOS TELEMÁTICOS Las funciones de la Guardia Civil, como policía estatal son muchas, realizándose por especialidades. Además de la función básica de policía administrativa (vigilancia, patrullaje, sanciones administrativas, etc), tenemos, entre otros, la especialidad de la vigilancia del tráfico por carretera, el Servicio Marítimo que vigila las aguas costeras, el Servicio de Información que desarrolla la lucha antiterrorista, y el servicio de Policía Judicial que realiza las investigaciones bajo la supervisión de los jueces y fiscales. El Servicio de información tiene una unidad de ciberterrorismo. El Servicio de Policía Judicial, al que pertenezco se estructura en una Jefatura de la que dependen una unidad de Análisis de información, que desarrolla el ciclo de inteligencia, un Centro de Criminalística o Laboratorio de policía científica, una Unidad Central Operativa que actúa en toda el territorio nacional, y pequeñas unidades territoriales distribuidas por cada una de las provincias de España. El laboratorio de Criminalística cuenta, entre otros, con un Departamento de Electrónica e Informática, para la realización de los informes forenses que soliciten las Autoridades judiciales. La Unidad Central Operativa esta estructurada genéricamente en un Grupo de apoyo operativo, expertos en técnicas operativas de vigilancia y control de objetivos; un Grupo para la lucha contra el narcotráfico; otro para la lucha contra la delincuencia organizada; otro para la delincuencia económica; y finalmente, otro para el Cibercrimen o delito telemático. Tengo el honor de dirigir este último. GRUPO APOYO

9 FUNCIONES DEL GDT Desarrollo de investigaciones relacionadas con la delincuencia informática. Apoyo a aspectos técnicos del resto de investigaciones de la UCO. Formación del personal de los equipos de investigación tecnológica de las distintas Comandancias. Dirección técnica de los Equipos de investigación tecnológica. Representar y promover la participación de la Guardia Civil en foros y encuentros internacionales sobre cibercrimen. Punto de contacto de cooperación internacional en el ámbito de cibercrimen

10 SECCIÓN DE INVESTIGACIÓN EQUIPO DE PROPIEDAD INTELECTUAL
ESTRUCTURA DEL GDT GRUPO DE DELITOS TELEMÁTICOS PLM SECCIÓN DE INVESTIGACIÓN SECCIÓN DE ANÁLISIS EQUIPO PEDOFILIA ANÁLISIS EQUIPO FRAUDES I + D EQUIPO DE HACKING EQUIPO DE PROPIEDAD INTELECTUAL

11 Conocimientos de informática Conocimientos técnica procesal penal
UNIDAD DE POLICÍA JUDICIAL GDT UNIDAD CENTRAL GUARDIA CIVIL Conocimientos de informática Conocimientos técnica procesal penal Experiencia investigadora Relaciones internacionales Prestigio y confiabilidad en la judicatura Proyección temporal en la investigación Discreción Destacar el apoyo en Instituciones, organismos, empresas y expertos informáticos para suplir nuestras carencias técnicas. (Universidades, departamentos de serguridad de empresas u organismos, y hackers)

12 ELEVADO INDICE DE DELITO OCULTO
INCIDENCIA REAL “DATOS PARCIALES Y SECTORIALES” 9º Estudio anual sobre seguridad y delincuencia informática. “..sorprendentemente, los últimos años muestran un notable retroceso en el porcentaje de organizaciones que denuncian las intrusiones informáticas a las unidades policiales de investigación informatica… El índice de denuncias se sitúa en un 20%” Computer Security Institute /FBI (Junio 2004) ELEVADO INDICE DE DELITO OCULTO “Mas de 6 de cada 10 compañías españolas han sufrido en lo que va de año algún tipo de ataque informátrico –el 59% de forma esporádica y el 4% habitualmente- y 9 de cada 10 cree que en el futuro puede encontrar problemas en este ámbito. …solo 1 de cada 10 empresas encuestadas tiene desarrollado un plan de contingencia detallado y documentado” Informe: “Seguridad Informática en la Empresa española 2003” AUSENCIA DE CULTURA DE SEGURIDAD

13 “DATOS PARCIALES Y SECTORIALES” Indicadores de evolución
INCIDENCIA REAL “DATOS PARCIALES Y SECTORIALES” Indicadores de evolución Potenciación del uso de las nuevas tecnologías Crecimiento de la banda ancha ¿más delincuente, más víctimas? Tarifa plana = más tiempo potencialmente víctimas “Posibilidad de autodidactas” (modalidades delictivas) Hackers, cracker, lammers, ... SISTEMAS CADA VEZ MÁS ABIERTOS Intranets, Portátiles, PDAS, Pockets PC, Sticks, Wireless (WarDriving-WarChalking), Bluetooth, Móviles, etc. SISTEMAS VULNERABLES. Arpanet y diseño de aplicaciones NO EXISTE CULTURA DE SEGURIDAD

14 “Identificar y localizar delincuente”
INVESTIGACIÓN DEL DELITO OBJETIVO INVESTIGACIÓN “Identificar y localizar delincuente” “Asegurar y presentar las pruebas del delito”

15 Investigación tecnológica + clásica
OPERADORA PRESTADOR DE SERVICIOS PROVEEDOR DE ACCESO ACCESO COMUNICACIÓN EQUIPO Web Chat Foros Telefonía Mail Comercio electrónico Consultoría ... USUARIO “DATOS DE TRÁFICO” Núm. IP ( ) FECHA Y HORA

16 METODOLOGÍA DE INVESTIGACIÓN POLICIAL (1)
¿cómo? IDENTIFICACIÓN OBTENCIÓN DE PRUEBAS FASE DE INCRIMINACIÓN. Asegurar y presentar la prueba FASE DE INVESTIGACIÓN. ¿cómo y quién lo ha hecho? FASE PREVIA. ¿qué ha pasado? PROVEEDOR DE ACCESO PRESTADOR DE SERVICIOS ACCESO COMUNICACIÓN 1 2 3

17 METODOLOGÍA DE INVESTIGACIÓN POLICIAL (2)
FASE PREVIA. ¿qué ha pasado? Denuncia – Conocimiento delito público Recogida de evidencias del delito (~inspección ocular) Recuperación de logs, mensajes, backups, imágenes (volcado), … Penalidad añadida a la víctima. Auxilio administradores de sistemas afectados. Acreditar el delito.

18 METODOLOGÍA DE INVESTIGACIÓN POLICIAL (3)
FASE PREVIA. ¿qué ha pasado? FASE DE INVESTIGACIÓN. ¿cómo y quién lo ha hecho? Análisis de evidencias y búsqueda de indicios de autoría Búsqueda de información (ayudas externas) y referencias identificativas (vanidad) Resolución de “datos de tráfico” de indicios y referencias identificativas (ISP,s) Identificación y localización (teléfono) Vigilancia Interceptación de telecomunicaciones (teléfono, , sniffers, ADSL)

19 METODOLOGÍA DE INVESTIGACIÓN POLICIAL (4)
FASE PREVIA. ¿qué ha pasado? FASE DE INVESTIGACIÓN. ¿cómo y quién lo ha hecho? + prueba Conexión delitiva = Dato de tráfico indicio Conexión colateral ?

20 METODOLOGÍA DE INVESTIGACIÓN POLICIAL (5)
¿PRUEBA INFORMÁTICA? PRUEBA DE INDICIOS (STS 202/98 y 437/98) PLURALES ACREDITADOS COHERENTES ENTRE SI ENLACE PRECISO Y DIRECTO entre indicio y hecho determinante de la responsabilidad según las reglas de la lógica y la experiencia. ¿? Datos de tráfico de las conexiones de autoría o relacionadas Sistema informático intervenido Activos patrimoniales defraudados Objetos vinculados al delito

21 METODOLOGÍA DE INVESTIGACIÓN POLICIAL (6)
FASE PREVIA. ¿qué ha pasado? FASE DE INVESTIGACIÓN. ¿cómo y quién lo ha hecho? FASE DE INCRIMINACIÓN. Asegurar y presentar la prueba Registro e incautación (protocolo validación de la prueba) Análisis forense de sistema y soportes intervenidos Informe policial incriminatorio

22 REGISTRO E INCAUTACIÓN DE LA PRUEBA OBJETIVO DEL REGISTRO DOMICILIARIO
Intervención de dispositivos informáticos susceptibles de contener indicios de criminalidad. Obtención de indicios que vinculen equipo y usuario (ubicación, titularidad, declaración, …) Intervención de sistemas para decomiso de los efectos del delito.

23 ANALISIS FORENSES DE MATERIAL INTERVENIDO
PRÁCTICA DEL ANÁLISIS DEL MATEIAL INFORMÁTICO Volcado de dispositivos de almacenamiento de información (imagen o copia bit a bit) (principio de contradicción y mínima injerencia en la prueba) (backup, copia de ficheros) Equipos informáticos intervenidos Dispositivos intervenidos de almacenamiento de información digital removible. Estudio TÉCNICO POLICIAL “TP”, sobre todo el material intervenido Equipos informáticos intervenidos (volcados u originales protegidos ) Backups o copias de ficheros de información Dispositivos de almacenamiento de información digital intervenidos Documentación intervenida

24 ANALISIS DE MATERIAL INTERVENIDO (3)
PROBLEMÁTICA DEL PROCESO DE ANÁLISIS Desconocimiento generalizado en el estamento judicial. Ausencia de protocolo de volcado y análisis homologados. Sistemas hardware, software, no homologados. Sistemas propietarios, no open source Sistemas lentos con elevadas incidencias. (Firma digital, Timestamping). Sistemas caros (HD). Se mantiene la identidad digital. Limitaciones por cifrado. Posibilidad de falsificación de indicios (coartadas).

25 Operación Tesoro QUICKBASIC Descubrimiento y revelación de secreto
Daños en sistema informático Operación Tesoro REDES DE CHAT QUICKBASIC fenómeno que rodea al mundo de la delincuencia informática, el mundo underground, es el afán de comunicarse y de contarlo todo y de presumir. Es parecido a aquello tan propio del carácter español o latino "no basta con ligarse a la más guapa de la fiesta si no lo cuentas no tiene mérito. El delincuente suele contar o firmar el delito Sistemas informáticos poco seguros

26 Operación TASIN Virus lesivo tipo gusano
Se infecta al visualizar fichero adjunto de nombre variable y contenido atrayente. Propagación a través del correo electróncio a la libreta de direcciones. Escrito en castellano Eliminaba numerosos ficheros personales. Efectúa conexiones a Firmado:“worm by cUk-:-name Paula”

27 Paula Écija cUk A.R.B. (20 años)

28 Estafa en el comercio electrónico (C2B)
“e-comerce” NOTABLE DESCENSO Sistema de comprobación de compras fraudulentas lento. Ausencia de protocolo de autenticación. No verificación de entregas por empresas de transportes.

29 Estafa en el comercio electrónico (B2C y C2C)
NOTABLE INCREMENTO “e-comerce” Muy frecuente en los portales de subasta o intercambios. INCREMENTO. Creación de empresas falsas intermedias entre C&C (transportes, scroll) Fraude de los “honorarios adelantados” Fraudes en los portales de apuestas

30 Exportación del timo a la Red
Timos de la red Exportación del timo a la Red Tocomocho Nigerianos (Fortunas sin herederos) Premios de Loterías internacionales Solidaridad humana, filantropía (Tsunami, Muerte del Papa) Incitación al uso de Servicios de Valor Añadido (tarificación adicional) @ SCAM SPAM BANCO TAX COMISIONES

31 Estafas bancarias Phishing Troyano-keylogger BANCO
@ SCAM BANCO USUARIO CONTRASEÑA BANCO USURPACIÓN DE IDENTIDAD

32 Paraísos informáticos
Estructura del Phishing Grupo hackers Scam/phishing Pharming Troyanos/keylogger 50% OBTENCIÓN DE IDENTIDADES (datos personales) Grupo recaudadores 50% Paraísos informáticos BOTNETS ICQ Web dinero fácil .com TRANSFERENCIAS NO CONSENTIDAS € CC. “conscientes” 5-10% CC. “inconscientes”

33 EVOLUCIÓN DEL PHISHING:
Por metodología: SCAM Troyano-keylogger Pharming Por autoría: Hackers autónomos Delincuencia organizada (Países del Este) Popularización (hackers, nigerianos, …)

34 Evolución de la Pornografía Infantil
De aislamiento social a conciencia de grupo. Proceso evolutivo hasta el abuso de menores (turismo sexual, chaperos) De producción organizada a producción doméstica (no lucro) Búsqueda de nuevos estímulos por consumo abusivo Abuso de menores

35 Difusión (y tenencia) de pornografía infantil
Op. Landmark (Pto. de encuentro) Canadá Noruega Rusia U.K. Holanda (EEUU) Alemania Portugal Grecia Italia España Sevilla (España) 18 países Grupos organizados. Contraseñas. IRC, ICQ. Coordinación policial (21/11/01). Brasil

36 La pregunta no es SI HAY, la pregunta es CUÁNDO
Ciberterrorismo TERRORISMO INFORMÁTICO (ciberterrorismo) Acciones de cibercrimen (delitos informáticos) cuyo objeto sea desestabilizar socialmente en el marco de un proceso subversivo. La tecnología ya existe, la amenaza es real. Ausencia de cultura de seguridad informática. Los sistemas son vulnerables. Existen personas preparadas sin mentalidad delictiva. No existen mentes delictivas preparadas. La pregunta no es SI HAY, la pregunta es CUÁNDO “cuando empieza un ataque no se si es una joven mente inquieta desde su casa comiendo pizza, o un ciberterrorista”

37 Problemática de la investigación
CONSERVACIÓN DE LOS DATOS DE TRÁFICO PROVEEDOR DE ACCESO PRESTADOR DE SERVICIOS ACCESO COMUNICACIÓN No conservación = impunidad Excepto Activo patrimonial (Fraudes) LEY 34/02 “LSSIyCE” Artículo 12. Deber de retención de datos de tráfico relativos a las comunicaciones electrónicas. 1. Los operadores de redes y servicios de comunicaciones electrónicas, los proveedores de acceso a redes de telecomunicaciones y los prestadores de servicios de alojamiento de datos deberán retener los datos de conexión y tráfico generados por las comunicaciones establecidas durante la prestación de un servicio de la sociedad de la información por un período máximo de doce meses, en los términos establecidos en este artículo y en su normativa de desarrollo.

38 Problemática de la investigación
IMPOSIBILIDAD DE IDENTIFICACIÓN DEL USUARIO PRESTADOR DE SERVICIOS PROVEEDOR DE ACCESO ? ACCESO COMUNICACIÓN A B IPA| mensaje |IPB Empresas Universidades Cibercafés Conexiones a redes WiFi Telefonía prepago IP= DATO RESERVADO DE C.P. Dato reservado de carácter personal = cualquier información concerniente a personas físicas identificadas o identificables AUSENCIA de legislación administrativa sobre cibercafés, telefonía prepago, …

39 Problemática de la investigación
VIRTUALIDAD DE LA PRUEBA INFORMÁTICA ¿PRUEBA INFORMÁTICA? POSIBILIDAD DE FALSIFICACIÓN FACILIDAD DE ELIMINACIÓN CIFRADO ESTEGANOGRAFÍA Sistemas borrados HD formateados Diseño de coartadas Carga de la prueba Inaccesibilidad ¿Negativa = indicio? = IMPUNIDAD

40 Problemática de la investigación
DETERMINACIÓN ESPACIAL DE LA LEY PENAL ACCIÓN RESULTADO Diferencia espacio - temporal 1º Espacio jurídico español Problema de competencia ¿Qué Tribunal Penal debe perseguir hechos? 2º Diferentes espacios jurídicos Problema de legislación aplicable y de competencia

41 Problemática de la investigación ESPACIOS DE IMPUNIDAD EN LAS TI
DIFICULTAS DE COMPRENSIÓN DEL MUNDO DIGITAL Y LAS REDES DE COMUNICACIONES Desconocimiento de la Judicatura ¿Jurisdicción especializada? Cultura social = “Travesuras de niños” (hacktivismo, hacking blanco o ético) Aplicación de pena accesoria del decomiso (art 127 C.P.) ESPACIOS DE IMPUNIDAD EN LAS TI

42 Dificultad de la investigación Ausencia cultura de seguridad
REFLEXIONES Los delitos en la red crecen a un ritmo superior al incremento de usuarios. Cada vez tenemos una mayor dependencia tecnológica. ¿educación? Dificultad de la investigación Ausencia cultura de seguridad + = ESPACIOS DE IMPUNIDAD 3. En el espacio real admitimos y confiamos en una policia administrativa para garantizar la seguridad y la ordenada y pacífica convivencia. ¿Necesitamos una ciberpolicia administrativa para el ciberespacio? SEGURIDAD LIBERTAD / DATOS PERSONALES (IP)

43 C/ Guzmán El Bueno, 110 28003 Madrid (España) www.guardiacivil.org
Dirección General Guardia Civil C/ Guzmán El Bueno, 110 28003 Madrid (España) Tel Fax

44