Poder Judicial
La Justicia no está a la altura para resolver ciberdelitos
Por Marcos Mansueti
La tecnología siempre va a ir un paso delante de la Justicia, pero es un papelón que la Argentina esté tan atrasada por falta de peritos y funcionarios formados en la materia.

Un pediatra acusado de ser parte de una red de generación y distribución de material audiovisual que contiene abuso infantil al igual que un policía retirado, hoy jubilado, acusado de algo similar pone a prueba la legislación vigente, el conocimiento de los integrantes de la justicia (fiscales, peritos y jueces) donde en el medio, una vez más está la sociedad y una grieta fogoneada por los bemoles que cada causa posee.

Cuando veo en los medios de comunicación la frase de que están acusados de poseer "pornografía infantil" inmediatamente entiendo que está todo mal, empezando por esa descripción. Porque la pornografía es un acto sexual explícito y consentido entre adultos que puede ser registrado a través de diferentes tipos de soporte. Pero jamás puede existir acto sexual consentido entre o con menores, niños o peor aún, bebés. Eso es abuso sexual infantil sin ningún tipo de atenuantes. Y si bien la reforma al artículo 128 de código penal argentino en el año 2018 -a través de la Ley 27.436- no menciona "pornografía infantil", sí lo hacen diferentes comunicadores, medios de comunicación, y peor aún, fiscales especializados en ciberdelitos que constantemente dicen saber de delitos informáticos, que no es lo mismo que saber. De hecho, hablar de "pornografía infantil" como lo hacen ya constituye un grave error.

Errores que se suman, por ejemplo, en la causa del pediatra que comienza a fines del 2018 -una vez iniciada las investigaciones por alertas que llegan desde el exterior- y recién se lo detiene en mayo de 2019, cuando siendo la acusación extremadamente grave se lo deja seguir en sus funciones hasta su detención, incluso cuando la fiscalía dice que las pruebas son contundentes. No sé qué tan contundentes pudieron haber sido si en el comunicado de secuestro de material al pediatra dicen que entre otros elementos secuestraron 23 memorias RAM, que quienes entendemos de tecnología sabemos que es imposible que exista prueba alguna en esas placas de memoria que fuera de la computadora no pueden alojar información, dejando en evidencia el desconocimiento de la fiscalía una vez más.

Ni hablar que en las imágenes que entregaron a los medios el día de la detención se ve a policías revisando celulares sin llevar a cabo las buenas prácticas de peritaje y de custodia de los elementos. A tal punto que luego de 99 días de detención la jueza interviniente habilita al acusado a esperar el juicio en prisión domiciliaria y sin restricción alguna a una conexión de Internet o peor aún, a mi criterio debería ser cualquier tipo de dispositivo tecnológico. La defensa entre otros argumentos dice que parte del material fue plantado y descargado por una plataforma de intercambio de archivos P2P. ¿Es posible esto? Si, puede suceder, aunque no tan inocentemente. El pediatra también poseía material producido por su cuenta, lo cual agrava su situación al margen de alegar su profesión de médico y que era material de estudio.

Creo que la ley anteriormente mencionada tiene fallas y desconocimiento al redactarla y promulgarla en especial en el punto que dice que "será reprimido con prisión de seis meses a dos años el que tuviere en su poder representaciones de las descritas en el primer párrafo (representación de un menor de dieciocho años dedicado a actividades sexuales explícitas o toda representación de sus partes genitales con fines predominantemente sexuales) con fines inequívocos de distribución o comercialización." Porque la realidad tecnológica indica que cualquiera de estos videos puede ser "plantados" físicamente o a distancia.

Sin ir más lejos al respecto siempre hago este ejercicio para pensar: ¿qué pasaría si estamos durmiendo, con nuestro celular en silencio, pero este sigue conectado a Internet y alguien desde cualquier número -conocido o no- nos enviara por Whatsapp material de abuso sexual infantil? Claramente estaríamos violando la ley sin haber movido un dedo aun mientras seguimos durmiendo. ¿Es posible esto? Claramente sí; y habrá que demostrar que no somos culpables con una justicia que no entiende.

Nos despertamos, desesperados vemos el material, y lo borramos. Así y todo, ese material seguramente ya se habría sincronizado con nuestra nube de backup (alojada en extraña jurisdicción legal cuasi imposible de llegar) y seguiríamos teniendo un problema involuntario. Este podría ser uno mayor si esas imágenes contuviesen señuelos de investigaciones internacionales para perseguir pedófilos y nuestra dirección IP también quedara involucrada en el asunto. Ya sea la de nuestra casa por Wi-Fi o la de la conexión del celular. Direcciones IP versión 4, porque tanto que hablan en la justicia y medios de este término tecnológico -las famosas direcciones IP-, no están al tanto que desde hace años estas direcciones han llegado al límite de su máximo disponible y para que Internet siga funcionando (al margen de la creación de IPv6) las direcciones IPv4 se natean o se "dividen" y no se cumple más la regla de que una dirección IP (dinámica o estática) está relacionada siempre con un domicilio o más específicamente aún con un dispositivo.

Por lo que, si esto que puse como ejemplo antes, no es suficiente, ¿qué sucedería si pasara lo mismo pero con una conexión de Internet compartida con un vecino o un familiar? Estaría en otro problema mayor, sin siquiera ser el dueño del celular al que le llegó el mensaje por Whatsapp. Ergo, ya tenemos dos violadores de la ley vigente sin que hayan hecho absolutamente nada.

Aquí es donde hago un "stop" y encuentro una similitud con el jubilado que se detuvo por la misma razón. Un señor que va con su computadora a que se la "arreglen", y quien se la debe arreglar revisa el contenido de la misma (sin ningún tipo de autorización), encuentra este material y hace la denuncia. Automáticamente se realiza allanamiento y detención. Se toma como prueba principal un video que poseía entre 13.000 archivos, pero sin haber hecho ningún tipo de pericia tecnológica como corresponde.

¿Se pudo hablar "plantado" ese material? Sí. Peritos y técnicos dicen: "Debemos buscar con las pericias correspondientes la metadata (información de la información) de los archivos". Yo, voy más allá: ¿Puede un técnico tener previamente clonados discos rígidos con este tipo de contenido y luego hacer que parezca del usuario y denunciarlo? Claro que sí también. ¿Y entonces? La respuesta jamás debe ser "¿Por qué un técnico haría eso?". Sino que deberían llamarse a un grupo de expertos peritos (no a uno solo y analizar todo minuciosamente).

En Argentina hay peritos y expertos informáticos (no todos necesariamente con título universitario) de primer nivel, pero son pocos para la cantidad de investigaciones y causas que hay. Más aun teniendo en cuenta el tiempo que llevan realizar correctamente estas pericias. El tema es que tecnológicamente -y aclaro no digo que sea el caso- cualquiera puede ser víctima de una situación así y hasta técnicamente sería difícil probar la inocencia según la legislación y la justicia que tenemos.

Respecto del técnico informático que revisó la computadora sin autorización del cliente, existen casos y jurisprudencia similar donde otros técnicos de celulares revisaron los dispositivos que les llevaron a arreglar, y encontraron fotos desnudas o videos sexuales de las clientas, y han terminado condenados en primer término por haber accedido a revisar estos dispositivos sin consentimiento, y algunos en segundo término por peor aún: distribuirlos o quedarse con copias. Por supuesto también condenados por la sociedad por haber revisado el contenido del dispositivo, misma sociedad que hoy agradece al técnico haber revisado el contenido de la computadora.

En los locales serios, desde hace años se limitan a hacerle firmar al cliente un documento en el cual se le informa que el backup es responsabilidad de él y que existe un alto porcentaje de que el equipo sea devuelto sin información. Punto.

Los procedimientos de informática forense aún no tienen en Argentina un standard bien definido (el cual se está actualmente buscando implementar en nuestro país a través de una norma IRAM que se basa en traducir, adaptar y tomar como base la ISO 27032). Así y todo, cualquier perito más o menos serio tiene definiciones de buenas prácticas -que deben ser de base para todos los casos- como que la información se clone con bloqueadores de escritura en disco de origen, que cada muestra contenga un hash que valide la integridad y pueda compararse con la/s copia/s, que la cadena de custodia se respete y la información no sea alterada en ningún momento, además de que los informes correspondientes como las actas deben ser impecables y carecer de errores para que la causa no "caiga" por cuestiones de impugnación pericial. Al margen de que esos informes deben ser comprendidos de principio al fin por los jueces que seguramente resolverán sobre éstas pruebas e informes.

No obstante, tanto la ISO como la IRAM (el día que exista) no son de cumplimiento obligatorio en Argentina. Los celulares jamás deben ser revisados en caliente, deben estar aislados de toda comunicación. Por ejemplo si un celular secuestrado en un allanamiento se enciende y se conecta a una red de wi-fi automáticamente, al estar sincronizado con una nube el mismo puede estar denunciado en la nube como perdido, y la información en segundos se autodestruirá borrando toda prueba y evidencia digital. La Corte en la última acordada agregó en el último párrafo un exhorto al Poder Legislativo para que legisle sobre la cadena de custodia en la extracción y manipulación de evidencia digital.

Así y todo, ejemplos como el que di del técnico que podía tener discos clonados para perjudicar al cliente, con los mejores peritos del mundo sería casi imposible demostrar la inocencia del cliente al margen de que el técnico haya revisado la información y luego hecho la denuncia por una simple razón: porque los procedimientos de informática forense generalmente indican las instrucciones para que no se adulteren las pruebas desde el momento que se extraen hasta después de su análisis. Pero muchos se basan en información y fechas de metadata que también puede ser adulterados previamente a la extracción o clonación de la prueba. De igual manera que hoy cualquiera podría comenzar a generar una imagen de disco rígido con material ilícito para en unos años clonarlo y utilizarlo para acusar a alguien, y sería totalmente difícil de detectar en cualquier pericia, si se toma válida la denuncia del técnico y sienta precedente de que cualquiera puede acusar a cualquiera por lo que tiene en un dispositivo tecnológico. Perturba y suena perverso, pero no es algo imposible para nada.

En cualquiera de estos dos casos que hoy son resonantes surgen los interrogantes que ya son preocupantes: ¿pueden "caerse" estas causas? A mi criterio: es una posibilidad, y justamente por los fiscales, las pericias, los informes, y lo que los jueces entiendan de todo este conjunto.

Es grave porque:

  • Si son inocentes y quedan presos, se comete una injusticia.
  • Si son inocentes y quedan en libertad, de todos modos les habrán arruinado la vida.
  • Si son culpables y quedan en libertad, será más injusto aún y hasta quizá probable.

Pero el camino para demostrar que son culpables y que efectivamente cumplan condena es el más difícil de llegar por todo lo expuesto anteriormente. No ayudan ni la ley, ni los fiscales, ni los peritos, ni los jueces.

Ningún ciudadano está exento de las debilidades de esta justicia. Justicia que, a mi criterio, debe crear un nuevo grupo de integrantes que estén directamente relacionados con la tecnología y que sean quienes verdaderamente analicen estas causas de otra manera más eficiente, con muchísimo conocimiento y además con presupuesto. A modo de ejemplo hoy en muchos lugares de la justicia se sigue utilizando papel y no tienen dinero para toners para las impresoras. Del mismo modo, en las causas de peritajes informáticos a veces no hay dinero para comprar discos rígidos virgen. El sistema de notificaciones judiciales por email funciona como y cuando quiere. Es inviable.

El grupo que sugiero que se cree no debería existir solamente para causas penales, hay decenas de causas civiles o laborales que terminan resueltas de manera injustas solo por peritajes mal hechos, impugnaciones presentadas por quién más conocimiento posee entre peritos que no tienen la menor idea, o jueces que todavía:

  • de verdad no saben cómo funciona una computadora, Internet, el email, la mensajería instantánea, como está interconectada la red en nuestro país, o configurar una aplicación en su celular;
  • nunca levantaron las cabezas y vieron que las luces de la ciudad de Buenos Aires tienen antenitas y "conversan" entre sí estando entre todas interconectadas y que por ejemplo un país entero se puede quedar sin energía eléctrica por un ciberataque porque muchas de las centrales generadoras de energía en nuestro país son viejas e inseguras;
  • que los semáforos de una ciudad son fácilmente vulnerables sin que aparezcan responsables;
  • piden bloquear sitios y/o aplicaciones como Uber, Pedidos Ya, The Pirate Bay o Rappi cuando es algo tecnológicamente casi imposible en Argentina;
  • no entienden que un celular no es un teléfono con aplicaciones y chiches, sino que es un dispositivo tecnológico que aloja y distribuye información generada constantemente por un usuario y un posicionador global, una cámara con un micrófono, que además accede a nuestros elementos de autenticación biométrica, que además de todo -por supuesto- nos permite hablar por teléfono;
  • dictan sentencias basándose en pruebas de cámaras de seguridad grabadas en DVR chinos con cientos de fallas de seguridad y que ni siquiera tenían auditadas y/o sincronizadas la fecha/hora y los peritos ni siquiera se fijan tal situación, desconociendo todos de la sincronización (hasta existencia) con los servidores de hora, y que cuando lo planteas ante un fiscal te dicen que "tenés razón", pero que si te dan a lugar, "muchos que están hoy presos quedarían en libertad";
  • no distinguen qué son las criptomonedas, su anonimato, menos aún que no tributan impuestos ni pertenecen a una jurisdicción, pretenden regularlas y generar impuestos (que ellos no pagan por ser jueces);
  • escapan a conceptos de "deep web", "dark web", "TOR", "nodo de salida de TOR";
  • están a años luz de ver blockchain y/o smart contracts;
  • no son conscientes de que alguien que está imputado en una causa de delitos cuyo medio es Internet no puede estar con pleno acceso a un dispositivo con Internet en su casa;
  • priorizaron el voto electrónico a pesar de las fallas y riesgos que fueron denunciados públicamente por especialistas. Autorizando allanamientos y causas penales contra quienes denunciaron las fallas;
  • no logran entender sobre phishing, skimming, fraudes bancarios, big data, o conceptos de ingeniería social;
  • desconocen que hay decenas de sistemas de todo tipo, como de información financiera, bancaria, de datos personales, etc, tanto estatales como privados que intercambian información entre sí a razón de miles de datos por segundo sin intervención humana;
  • ni se enteraron que existen funcionarios de este gobierno que han cedido información de los ciudadanos alojando datos estatales en nubes extranjeras violando la ley de datos personales, al igual que jamás se respetó por parte del Estado la finalidad de la recolección de esos datos generando base de datos de ciudadanos con origen estatal vendiéndolas en el ámbito privado;
  • piensan que es de película de ciencia ficción el robo de identidad digital;
  • existen automóviles, camiones y aviones que se manejan solos, sin personas;
  • nunca se les ocurrió que un menor que es víctima de grooming puede ser poseedor y/o generador y/o distribuidor de imágenes de abuso infantil, coaccionado por quien lo amenaza. Ni siquiera fue previsto al momento de redactar la Ley de Grooming 26.904;
  • ni se imaginan que un dron en vuelo se puede robar con una "pistola" que intercepte su comunicación y generar un daño haciéndolo caer sobre algo o alguien.
  • avalan el uso de sistemas de reconocimiento facial, sin tener legislado cuales son las garantías de un ciudadano ante un falso positivo haciéndolos pasar momentos indeseables sólo por "portación de cara";
  • jamás entenderán que una persona que está en un país "A" puede cometer un delito sobre un país "B" con datos de personas cuya nacionalidad son de un país "C" y los mismos se alojan en una computadora que no existe porque es virtual en un país "D", y luego pasó (remotamente) otro delincuente de un país "E" a borrar las evidencias.
  • creen que en Europa GPDR es una estrategia de marketing y no una realidad, porque hacer leyes similares que además sean de control y cumplimiento efectivo en nuestro país puede resultar un acto de fe.

Podría estar citando cientos de ejemplos más de elementos presentes hoy en la vida cotidiana. Es verdad que la tecnología siempre estará pasos por delante de la ley, pero nosotros no podemos estar tan atrás, ni menos con personas decidiendo sobre lo que no entienden. No es paranoia digital (que de hecho así se llama mi libro) sino que es conocer cómo funcionan las cosas de principio a fin. Desde cómo se puede crear una prueba para que esta sea creíble e irrefutable, como también cómo impugnar la misma de manera que sea incuestionable por todos. Por eso, tiene que haber gente que, si va a tomar decisiones, sepa sobre qué está decidiendo. Más aún cuando las pruebas tecnológicas son determinantes para las causas, incluso en la justicia argentina.

¿Qué harán los fiscales, peritos y jueces en pocos años cuando con machine learning e inteligencia artificial se puedan crear pruebas como evidencias de videos de cámaras de seguridad en alta definición de personas cometiendo delitos con apariencia y hasta incluso voces de las personas acusadas, sin que estas jamás hayan estado en esos lugares ni cometiendo tales delitos? Para muestra basta un botón, ya tuvimos FaceApp y se pudo ver el nivel sorprendente de realismo. Las voces ya se pueden clonar.

Muchos dirán que todo lo expuesto en este artículo, "es real, pero no tan real" y buscarán la manera de justificar que "no es tan así", hasta que llegue el momento en que algo de lo explicado aquí suceda y los "no es tan así" desaparecerán como ya ha sucedido reiteradas veces, con tal de no quedar expuestos en la ignorancia de la materia que dicen conocer.

Por último y muy importante, en ningún caso estoy diciendo que los protagonistas de los casos que expuse sean inocentes ni tampoco culpables. No estoy emitiendo juicio de valor alguno sobre ellos y/o las causas. Habrá que esperar a que se expida la justicia. Lo que esostengo es que, a mi entender, el Poder Judicial no está ni por casualidad a la altura de las circunstancias.

Si las causas se caen o se resuelven de manera injusta, la pregunta inevitable será entonces: ¿estos errores eran evitables? Claro que sí, porque prevaleció poner a personas en cibercrimen que no tenían idea de nada, vaya uno a saber si por amistad o qué, sin que tengan conocimientos previos (pensando que con capacitaciones posteriores en el Poder Judicial podrán llevar a cabo la resolución de este tipo de causas): un papelón.

Y como papá agrego: no solo un papelón, sino una desgracia. Porque quienes tenemos hijos sabemos que no existe nada más sagrado en este mundo que ellos. 

Publicar un comentario
Para enviar su comentario debe confirmar que ha leido y aceptado el reglamento de terminos y condiciones de LPO
Comentarios
Los comentarios publicados son de exclusiva responsabilidad de sus autores y las consecuencias derivadas de ellas pueden ser pasibles de las sanciones legales que correspondan. Aquel usuario que incluya en sus mensajes algun comentario violatorio del reglamento de terminos y condiciones será eliminado e inhabilitado para volver a comentar.
Más de Marcos Mansueti

Rusia, Ucrania y la guerra híbrida

Por Marcos Mansueti
¿Por qué la seguridad informática es clave en la primer "guerra híbrida" mundial y la OTAN debe pensar más de una vez si se involucra o no en el ataque de Rusia hacia Ucrania?

El descontrol de ciberseguridad y protección de datos en Cambiemos

Por Marcos Mansueti
El macrismo se manejó con total impunidad en temas relacionados a modernización, sistemas y tecnología. Argentina pasó ser un descontrol en materia de datos personales de los ciudadanos.

GorraLeaks: El caso Smaldone y el riesgo de saber de informática

Por Marcos Mansueti
La detención y allanamiento del técnico y tuitstar Javier Smaldone, abre inquietantes derivaciones sobre el voto electrónico y el manejo d edatos por parte del Estado.

El blackout expuso graves fallas en la seguridad estratégica nacional

Por Marcos Mansueti
Además el Gobierno exhibió un mal manejo de la comunicación de crisis.