Motivación criminal en línea. Una ecuación de la inseguridad de información

Introducción

La delincuencia organizada cada vez más tiene en los medios electrónicos elementos para materializar acciones criminales, maximizando sus logros y minimizando sus posibles consecuencias. En este sentido, la persecución de criminales a través de internet, se ha convertido en la nueva frontera de la investigación criminal, que busca desarrollar y evolucionar el pensamiento de los criminalistas y fortalecer las competencias técnicas requeridas para identificar, procesar y condenar este nuevo tipo de conductas punibles.

En este sentido, se advierte que los nuevos delincuentes informáticos se pasean sin control por internet, desafiando tanto la competencia de los administradores de sistemas (en la explotación de la inseguridad de la información), como el sistema de administración de Justicia (poco entendimiento de la delincuencia informática), toda vez que sus acciones, no son rápidamente analizadas e investigadas para proferir un fallo, situación que anima este tipo de comportamientos o acciones utilizando a internet como plataforma de los hechos.

En este orden de ideas, se hace necesario que tanto la administración de justicia como los especialistas en temas de seguridad y control, así como los profesionales en ciencias de la computación y ciencias sociales, tracen una línea que interconecte todas estas disciplinas para revelar el tejido social-tecnológico que ahora reviste el entendimiento de los delitos informáticos. Una disciplina emergente que, articulada en un conocimiento sistémico de la realidad, hace visible aspectos no estándares de las relaciones, motivaciones y resultados de aquellos inadaptados informáticos que hacen parte de los estándares modernos de la inseguridad de la información.

Las consecuencias y los costos para los criminales en línea, establecen, en la justicia formal, castigos ejemplares para estos personajes. En este sentido, el legislativo y el órgano judicial han establecido que los datos, la información y los sistemas de información son bienes jurídicamente tutelables que deben ser protegidos por el Estado, cuyos atentados o infracciones a éstos deberán ser sometidos a una revisión y análisis profundo por la criminalística moderna o digital, para ver sus móviles y sus posibles impactos.

Así las cosas, la habilidad para perseguir y procesar una conducta punible a través de la red, estará articulada en la capacidad para identificar y asegurar evidencia digital propia de la situación, la destreza de aseguramiento y protección de información de la víctima y la probidad tanto de los jueces (en general de la administración de justicia), elementos fundamentales para construir una nueva vista de las investigaciones criminales más allá de los hechos mismos y fundada en una análisis del contexto de lo que ocurrió.

La motivación del crimen en línea
Siguiendo los conceptos de ENDICOTT-POPOVSKY y HOROWITZ (2012), se plantea una ecuación para modelar la motivación para perpetrar crímenes en línea, es decir, una forma de comprender el comportamiento de los delincuentes informáticos y habilitar estrategias de mitigación o control de los mismos en un contexto abierto y global.

La ecuación formulada es como sigue:

M = f [ P(v) – (c1 +c2)],

Donde M, es la motivación de la actividad criminal en línea, P es la probabilidad de no dejar cometer un crimen en línea (leído en clave de seguridad y control, la efectividad de los controles implementados que no permiten la materialización de la acción), v es el valor del éxito para el perpetrador y finalmente, c1, el costo para el perpetrador y c2 las consecuencias para el perpetrador.

De acuerdo con el modelo, anotan los investigadores, la conducta criminal en línea es una función de probabilidad de no dejar materializar una conducta punible en línea, multiplicado por el valor del éxito para el autor, menos la suma de costos y consecuencias para el autor (c1+c2).

Así las cosas, para cambiar o inhibir las motivaciones de los atacantes en línea siguiendo la ecuación, hay que mantener baja la probabilidad de éxito (P(v)) o aumentar los costos y consecuencias para los perpetradores. En este entendido, tradicionalmente las medidas de seguridad y control, son las que mantienen baja la probabilidad P(v), toda vez que los niveles de aseguramiento y protección disminuyen la posibilidad de que un tercero no autorizado pueda vulnerar el sistema objetivo o mejor, que aún pueda ser vulnerado, sea posible generar las alertas y alarmas que permitan su individualización y posterior judicialización.

De otro lado, aumentar las variables de costos y consecuencias, implica educar a la administración de justicia frente a este tipo de conductas punibles en línea, comprendiendo sus maneras de actuar, los rastros propios de sus acciones, las implicaciones jurídicas de las evidencias digitales y sobre manera, superar los mitos y temores frente a una nueva justicia criminal que ahora debe fallar sobre actividades no autorizadas en la red.

En consecuencia con lo anterior, las motivaciones de la actividad criminal en internet, deben estudiarse tanto en la vista técnica como en la vista psicológica-jurídica, con el fin de mantener la ecuación anterior, con un valor cercano a cero o con un umbral conocido y asegurado, donde la tecnología, los costos y las consecuencias están balanceados y no permitan variaciones que impacten el normal desarrollo de las actividades en internet.

Reflexiones finales
Hablar de criminalidad en línea o delitos informáticos, sin considerar al menos los aspectos tecnológicos, humanos y de procedimiento, sería intentar aproximarnos al encuentro con el bosón de Higgs, sin un método previo o estudios especializados propios de esta realidad.

En consecuencia, la delincuencia informática, como usuaria de la inevitabilidad de la falla y estudiosa de sus movimientos asimétricos, nos enseña que el arte del engaño (BODMER, KILGER, CARPENTER y JONES 2012, pág.25) y la ciencia de la vulnerabilidad, son dos elementos fundamentales que son parte de su currículo de enseñanza, es decir, dos prácticas que buscan conectar la respuesta del adversario frente al engaño y su comportamiento frente a la explotación de la vulnerabilidad.

Habida cuenta de lo anterior, se hace necesario cambiar los lentes con los cuales vemos la realidad, para encontrar formas novedosas de cómo superar los retos de la inteligencia informática propia de los atacantes y generar condiciones relevantes para “manipular” la conducta de éstos en beneficio de la sociedad, sin el permiso de aquellos. Esto es, utilizar las herramientas propias del engaño, a favor de la administración de justicia, para tomar decisiones estratégicas de política criminal, que utilizando la actividad hostil en la red, se revierta en operaciones y conexiones más seguras.

Lograr lo anterior no es una tarea fácil, pues implica encontrar en las conductas punibles en línea una forma de resocialización criminal, que los analistas de seguridad y control no estarían dispuestos a compartir, toda vez que los comportamientos de éstos delincuentes carecen de la ética básica requerida para actuar de manera legal, que no se compara con las exigencias y mandatos que los profesionales de la seguridad de la información deben cumplir para el ejercicio de sus funciones.

Por tanto, la ecuación relacionada con la motivación de la actividad criminal en línea, deberá madurar e incorporar nuevos elementos, que con toda seguridad harán más compleja su entendimiento y análisis, para que pueda ser un elemento que, no solamente permita inhibir o no un comportamiento ilegal en línea, sino que posibilite anticipar acciones preventivas frente a situaciones que aún no ocurren.

Como quiera que la administración de justicia, reconoce en internet un potenciador de las actividades criminales, así como una herramienta estratégica para el desarrollo de la sociedad, es importante advertir que la mutación propia de la delincuencia en línea continuará avanzando en el tejido social de las redes sociales, la información instantánea y los servicios tercerizados. Esto es, buscará posicionarse en el mediano y largo plazo como algo inherente a la realidad de internet, que le imprimirá una tensión natural al derecho sancionatorio, a la ética de los ciudadanos y a los sistemas de gestión de seguridad de la información.

Referencias
ENDICOTT-POPOVSKY, B. y HOROWITZ, D. (2012) Unintended consequences: Digital evidence in our legal system. IEEE Security and Privacy. March/April.
BODMER, S., KILGER, M., CARPENTER, G. y JONES, J. (2012) Reverse deception. Organized cyber threat counter-explotation. McGraw Hill. Cap. 2.

Fuente: ITInsecurity