1.      Introducción

Los alarmantes acontecimientos globales recientes demuestran que la ciberdelincuencia continúa evolucionando y adquiriendo dimensiones cada vez más preocupantes: En Francia, por ejemplo, los ataques contra supermercados han puesto de manifiesto la vulnerabilidad de las infraestructuras digitales. El descubrimiento de vulnerabilidades críticas en PHP evidencia los riesgos que enfrentan millones de páginas y servicios informáticos. A ello se suma el empleo creciente de inteligencia artificial para sofisticar los fraudes informáticos dirigidos contra bancos y sus clientes, así como la expansión de organizaciones criminales transnacionales que utilizan centros de estafas en línea (online scams) y recurren incluso a la trata de personas para obligar a sus víctimas a participar en actividades delictivas. Estos acontecimientos revelan que la ciberdelincuencia no solo se está diversificando, sino que también está adquiriendo mayores niveles de organización, sofisticación tecnológica y capacidad de afectación. Frente a este escenario, resulta indispensable fortalecer nuestro ordenamiento jurídico, no simplemente mediante la creación de nuevos delitos o el incremento de las penas, sino a través de una legislación penal coherente, técnicamente adecuada y capaz de responder a las nuevas manifestaciones de la criminalidad.

En este contexto, el jueves 22 de octubre de 2026 se publicó la Ley N.° 32743, mediante la cual se delegan facultades legislativas al Poder Ejecutivo en materia de seguridad ciudadana. Uno de los aspectos que despierta mi interés, tanto desde el ámbito académico como desde el ejercicio profesional, es el referido al fortalecimiento de la lucha contra la ciberdelincuencia. En ese sentido, comparto algunas reflexiones que pueden contribuir al debate y, por qué no, al fortalecimiento de las estrategias para enfrentar esta no tan nueva forma de criminalidad.

La delegación legislativa contempla la modificación de la Ley N.º 30096, Ley de Delitos Informáticos[1]. Esta habilitación constituye una oportunidad para revisar críticamente la legislación especializada, identificar sus deficiencias y plantear modificaciones que favorezcan una regulación coherente, sistemática y respetuosa de los principios fundamentales del derecho penal. En ese contexto, presento ocho propuestas para contribuir al debate sobre la eventual reforma.

2.      Eliminar los elementos “deliberada” e “ilegítimamente”

La Ley de Delitos Informáticos original, publicada en octubre de 2013, siguió de cerca el modelo propuesto por el Convenio sobre la Ciberdelincuencia o Convenio de Budapest[2]. Pocos meses después, en marzo de 2014, mediante la Ley N.º 30171, se modificaron cinco tipos penales[3] para incluir en su construcción típica los elementos “deliberada” e “ilegítimamente”, bajo la idea de mejorar su redacción[4].

Considero que, hace doce años, se cometió un error de técnica legislativa: se creyó que, sin el término “deliberadamente”, podían sancionarse conductas culposas, cuando nuestro ordenamiento ya limita lo imprudente a los supuestos expresamente previstos. Incluir “deliberadamente” no sólo era innecesario, sino que restringe el ámbito de aplicación de los cinco delitos al introducir una exigencia adicional que no toda conducta dolosa cumple. De ahí que algunos autores, entre los que me incluyo, sostengamos que se excluyen conductas en las que el autor actuó con dolo eventual.

Por eso, esta eventual reforma es una oportunidad para suprimir ese término. Con ello superaremos una deficiente técnica legislativa que genera espacios de impunidad.

También convendría revisar y, eventualmente, eliminar la expresión “ilegítimamente” de los cinco delitos antes mencionados. ¿Por qué? Porque es redundante e innecesaria. No necesitamos que cada tipo penal nos recuerde que sólo se sanciona conductas antijurídicas[5]. Para eso está la parte general del derecho penal. 

3.      Fortalecer la protección de la Seguridad Informática

La delegación de facultades representa una oportunidad importante para reorganizar y sistematizar adecuadamente los delitos orientados a proteger la confidencialidad, integridad y disponibilidad de los datos y sistemas informáticos, la conocida tríada CIA –confidentiality, integrity, availability, por sus siglas en inglés-.

Sin embargo, a diferencia de la sistemática propuesta por el Convenio de Budapest, el legislador peruano ha distribuido los cinco tipos penales vinculados con la seguridad informática en tres capítulos distintos. Así, en “Delitos contra datos y sistemas informáticos” se ubican el acceso ilícito y los atentados contra la integridad de datos y de sistemas (arts. 2, 3 y 4); en el capítulo sobre intimidad y secreto de las comunicaciones aparece la interceptación de datos informáticos (art. 7); y en las disposiciones comunes se regula el abuso de mecanismos y dispositivos informáticos (art. 10).

Esta dispersión es una oportunidad de mejora: convendría reunir estos delitos en un solo capítulo y ajustar su denominación para que refleje con precisión el bien jurídico protegido. No se trata de proteger datos y sistemas de forma aislada, sino la relación de seguridad que las personas mantienen con ellos, es decir, la seguridad informática[6].

La reorganización propuesta permitiría identificar adecuadamente el bien jurídico en cada conducta -por ejemplo, la confidencialidad de los datos en la interceptación- e integrar el abuso de dispositivos en el mismo capítulo, acercando nuestra legislación a los estándares del Convenio de Budapest y de la Convención de las Naciones Unidas contra la Ciberdelincuencia. En definitiva, es una ocasión para fortalecer no solo la respuesta penal, sino también dotar de coherencia y sistematicidad a nuestra legislación criminal informática.

4.      Modificar el delito de acceso ilícito (art. 2 LDI)

La regulación actual del delito de acceso ilícito permite sancionar penalmente conductas que, desde una perspectiva de política criminal, no justifican la intervención del derecho penal, en particular los accesos no autorizados sin vulneración de medidas de seguridad[7].

Por ejemplo, si una persona deja una computadora encendida, con sesión abierta y sin bloqueos, y un tercero accede a la información solo aprovechando esa circunstancia, actualmente se configura el delito de acceso ilícito. Esa situación merece revisión: Mantener esta regulación amplía la carga del Ministerio Público -el cual, de por sí, adolece de recursos económicos, humanos y logísticos-. Además, desconoce que los usuarios deben adoptar medidas mínimas de protección sobre sus sistemas informáticos.

Esta modificación no legitimaría el ingreso indebido de terceros, pero sí permitiría definir qué conductas ameritan intervención penal y cuáles pueden abordarse por vías civiles o administrativas. Por ello, la delegación de facultades es una oportunidad para mejorar los alcances de este delito, reservando la intervención penal para supuestos con una afectación más relevante.

5.      Modificar el delito de atentado a la integridad de datos informáticos (art. 3 LDI)

A diferencia de otros tipos penales, el delito de atentado contra la integridad de datos informáticos se aproxima considerablemente a la regulación prevista en el Convenio de Budapest. No obstante, para respetar el principio de legalidad y evitar contradicciones o problemas de interpretación respecto de los verbos rectores, sería conveniente revisar su estructura.

La legislación peruana recoge siete verbos rectores en el art. 3: dañar, introducir, borrar, deteriorar, alterar, suprimir y hacer inaccesibles datos informáticos. En cambio, el art. 4 del Convenio de Budapest y el art. 9 de la Convención de las Naciones Unidas se refieren a cinco: dañar, borrar, deteriorar, alterar y suprimir datos informáticos.

Convenio de Budapest	Convención de las Naciones Unidas contra la Ciberdelincuencia	Ley de Delitos Informáticos
Ataque a la integridad de los datos (art. 4)	Interferencia con datos electrónicos (art. 9)	Atentado a la integridad de datos informáticos (art. 3)
Dañar	Dañar	Dañar
Borrar	Borrar	Borrar
Deteriorar	Deteriorar	Deteriorar
Alterar	Alterar	Alterar
Suprimir	Suprimir	Suprimir
–	–	Introducir
–	–	Hacer inaccesible

Convendría evaluar la eliminación de los verbos rectores “introducir” y “hacer inaccesibles”, aproximando el tipo penal peruano a la formulación original del Convenio de Budapest y de la Convención de las Naciones Unidas contra la Ciberdelincuencia.

Una descripción típica más precisa contribuiría a la seguridad jurídica y a una interpretación más uniforme.

6.      Modificar el delito de atentado contra la integridad de sistemas informáticos (art. 4 LDI)

La delegación de facultades permite revisar la redacción del delito de atentado contra la integridad de sistemas informáticos y adecuarla a los estándares establecidos en el Convenio de Budapest y la Convención de las Naciones Unidas contra la Ciberdelincuencia.

A diferencia de otros tipos penales de nuestra legislación, cuya formulación mantiene cierta correspondencia con estos instrumentos internacionales, la regulación de este delito se aleja de ellos, dando lugar a una disposición compleja, oscura y de difícil interpretación.

En efecto, mientras que el Convenio de Budapest propone sancionar la obstaculización grave del funcionamiento de un sistema informático, mediante determinadas conductas realizadas sobre datos informáticos, nuestra legislación ha incorporado una multiplicidad de verbos rectores[8] que dificultan su comprensión y delimitación.

Además, la regulación peruana no reproduce adecuadamente los medios comisivos previstos en el Convenio de Budapest y en la Convención de las Naciones Unidas contra la Ciberdelincuencia, particularmente aquellos relacionados con la introducción, transmisión, daño, borrado, deterioro, alteración o supresión de datos informáticos que ocasionen una obstaculización grave en el funcionamiento de los sistemas. Por ello, esta reforma legislativa constituye una oportunidad para simplificar la estructura del tipo penal, precisar sus elementos constitutivos y adecuar su redacción a los instrumentos internacionales.

No debemos olvidar que, con las sucesivas modificaciones de la Ley de Delitos Informáticos, nos hemos alejado progresivamente de la formulación propuesta por el Convenio de Budapest, dando lugar a disposiciones cada vez más complejas y ambiguas. Recuperar esa coherencia normativa contribuiría a fortalecer el principio de legalidad, facilitar la interpretación judicial y mejorar la aplicación de nuestra legislación penal frente a los ataques contra los sistemas informáticos.

7.      Revisar la proporcionalidad de las penas

Actualmente, el acceso ilícito con vulneración de medidas de seguridad, la interceptación de datos y los atentados contra la integridad de datos y sistemas informáticos contemplan penas privativas de libertad entre tres y seis años. Desde una perspectiva de política criminal, esto no parece adecuado, pues no todas las conductas afectan del mismo modo la seguridad informática.

El acceso ilícito compromete sobre todo la confidencialidad, mientras que los ataques contra datos y sistemas afectan la integridad y la disponibilidad, con consecuencias potencialmente más graves. Por ello, convendría diferenciar las penas de acuerdo con la naturaleza y la gravedad de la afectación, de modo que las conductas que afecten la integridad o la disponibilidad reciban una respuesta penal proporcionalmente más severa que aquellas que afecten exclusivamente la confidencialidad, sin perjuicio de evaluar las circunstancias de cada caso.

8.      Modificar el delito de fraude informático (art. 8 LDI)

Tanto el Convenio de Budapest como la Convención de las Naciones Unidas contra la Ciberdelincuencia prevén sancionar el fraude informático mediante dos modalidades principales: manipulación de datos[9] e interferencia en sistemas informáticos. Ese esquema es suficiente para sancionar las conductas fraudulentas cometidas mediante las TIC.

Sin embargo, en diciembre de 2023 se incorporó como modalidad de fraude informático la suplantación de interfaces o páginas web, cambio que, en mi opinión, es innecesario y problemático desde la técnica legislativa. Esa figura no constituye una modalidad autónoma expresamente prevista en dichos instrumentos y puede solaparse, según el caso, con la suplantación de identidad del art. 9 o, incluso, con la estafa, lo que introduce complejidad normativa evitable.

Por ello, esta delegación de facultades también es una oportunidad para revisar el tipo penal y eliminar esa modalidad, recuperando una formulación coherente con los estándares internacionales.

9.      Reubicación de tipos penales ajenos a la criminalidad informática (arts. 5-A, 8-A, 9-A y 12-A LDI)

La Ley de Delitos Informáticos nació como una oportunidad para adecuar nuestra legislación penal especializada en ciberdelincuencia a estándares internacionales. Sin embargo, con el paso del tiempo se han incorporado tipos penales que no corresponden a esta legislación especial.

Por ejemplo, el chantaje sexual con materiales elaborados o modificados por medios digitales o tecnológicos (art. 5-A), los préstamos informáticos extorsivos (art. 8-A), la activación de servicios móviles sin consentimiento del titular (art. 9-A) y la adquisición, posesión y tráfico ilícito de datos informáticos (art. 12-A). Estos tipos penales merecen una revisión en lo que a su ubicación sistemática se refiere.

Sostengo que una adecuada comprensión de la cibercriminalidad llevaría a su reubicación. Así, deberían ser trasladarlos al Código Penal, donde podrían encontrar mayor coherencia según el bien jurídico protegido.

La Ley de Delitos Informáticos debe ser mucho más que un conjunto heterogéneo de figuras delictivas cuyo único punto en común es el uso de tecnología. Esta ley especial debería reservarse para los delitos informáticos propiamente dichos, dejando en el Código Penal aquellos delitos tradicionales que solo utilizan tecnologías como medio de comisión -en la doctrina especializada, reciben el nombre de ciberataques réplica-. De ese modo, avanzaremos hacia una legislación más ordenada, coherente y sistemática, alineada con los estándares internacionales y con mayor claridad sobre los bienes jurídicos protegidos. En un país en el que la ciberdelincuencia avanza sin tregua, desde la academia podemos contribuir al fortalecimiento de nuestra legislación penal, promoviendo una regulación más coherente, sistemática y respetuosa de los principios fundamentales del derecho penal.

---

[1]        Art. 2.- Materias de la delegación de facultades legislativas. (…) 2.1 En materia de seguridad ciudadana: 2.1.8 e) Modificar la Ley 30096, Ley de Delitos Informáticos, para: 1. Actualizar los tipos penales y agravantes frente a las nuevas modalidades de ciberdelincuencia. 2. Fortalecer la respuesta penal frente al acceso ilícito a sistemas y datos, fraude informático, suplantación de identidad y utilización de tecnologías digitales como instrumentos para la comisión de los delitos.

[2]        Es importante recordar que, mediante Decreto Supremo N.° 010-2019-RE del 9 de marzo, Perú ratificó el referido Convenio.

[3]        La inclusion de los elementos bajo análisis impactaron en los delitos previstos en los arts. 2, 3, 4, 7, 8 y 10 de la Ley: Acceso ilícito, atentado contra datos informáticos, atentado contra sistemas informáticos, interceptación ilícita, fraude informático y abuso de mecanismos y dispositivos informáticos.

[4]        Al respecto, ver: Proyecto de Ley N.° 2991/2013, 2999/2013

[5]        Para mayor comprensión, recomiendo revisar el parágrafo 38 del Informe Explicativo del Convenio de Budapest.

[6]        Sobre este bien jurídico, puede revisarse el capítulo cuarto del libro “Delitos contra la seguridad informática”, publicado en el 2025 por el Instituto Pacífico.

[7]        Recordemos que, desde su incorporación en el 2000 hasta la modificación de diciembre del 2023, el intrusismo informático o hacking únicamente sancionaba los ingresos ilícitos realizados mediante la vulneración de medidas de seguridad.

[8]        A diferencia de Budapest que recoge el verbo obstaculizar, el legislador peruano optó por los siguiente: inutilizar, impedir el acceso, entorpecer e imposibilitar.

[9]        El Convenio de Budapest, específicamente, sanciona la introducción, alteración, borrado o supresión de datos informáticos.

En la madrugada del doce de octubre, Francia sufrió un ciberataque dirigido contra los supermercados de una reconocida cadena. Al día de hoy, se sabe que ochenta tiendas de una cadena fueron afectadas y que se estropeó una cantidad significativa de alimentos.

¿Qué pasó? Ciberdelincuentes manipularon los sistemas de refrigeración de manera remota, elevaron la temperatura hasta cincuenta grados y, de esta forma, quebraron la cadena de frío. El resultado era previsible: equipos dañados y alimentos malogrados. Las pérdidas se encuentran aún en cuantificación.

Si bien este incidente también se habría producido en otros países europeos, no se sabe si son hechos aislados o ataques coordinados. Esto nos lleva a pensar cuán expuestas están las empresas a los ciberataques y, además, qué medidas reactivas adoptan al ser víctimas de este tipo de eventos.

¿Se imagina, estimado lector, si el ataque se hubiera producido durante la época de confinamiento obligatorio? No solo hablaríamos de pérdidas de alimentos, sino, quizás de riesgo en la salud pública. Me temo, que no nos encontramos frente a un escenario remoto, sino a uno palpable. Hace algunos años, se reportó, por ejemplo, un ataque de secuestro informático (ransomware) que afectó un hospital en Alemania y que ocasionó la muerte de un paciente, que estaba en plena operación.

Los riesgos de los ciberataques son reales. Sin embargo, parecería que aún no nos encontramos preparados para enfrentarlos.

¿Qué lecciones podemos aprender?

1. La empresa debe verificar si los dispositivos electrónicos o informáticos tienen programas actualizados. No vale de nada tener un software original y no haber instalado los parches de seguridad.
2. Verificar si los equipos tienen instalados programas originales. Un error frecuente de las empresas, mejor dicho, un riesgo que suelen asumir, es adquirir programas sin licencia (piratas). En estos escenarios, el desarrollador no se hará responsable por las vulnerabilidades, ya que no se ha adquirido la licencia original.
3. Capacitación interna en materias de seguridad informática o de ciberseguridad. Son muy pocas las empresas que destinan recursos logísticos y humanos para la preparación o capacitación interna sobre los riesgos a los cuales se encuentran expuestos. Una buena capacitación, muchas veces es la clave para mitigar estos riesgos.
4. Si tu empresa tiene un área de TI (tecnología de información), es muy importante tener una reunión con ellos, a fin de identificar qué dispositivos o sistemas se encuentran expuestos a ciberataques. Por ejemplo, el manejo del sistema de cobros, del sistema de pago en línea, contabilidad en línea, almacenamiento en la nube, procesos. Podríamos señalar que es relevante tener un mapa de riesgos inherentes a la operatividad de la empresa y a las herramientas con las que cuenta en el mundo digital.
5. Tener siempre identificado una persona responsable si es que un incidente ocurre. Dicha persona, además de conocimiento técnico, debe saber, por ejemplo, a quién contactar, cómo hacerlo y qué pasos deberá seguir. En muchas empresas que asesoro, dichas personas tienen, por ejemplo, mi número de contacto y saben que frente a un incidente pueden comunicarse conmigo para brindarles la asesoría. En este caso el tiempo vale oro, como dice el spot de una entidad financiera, muy conocida y querida de nuestro país.
6. Verificar si has cumplido las diferentes normas que existen sobre protección de datos personales y normas afines. Es vital conocer si tu empresa maneja datos que requieren un especial cuidado y protección.

Ahora bien, si el evento ya ocurrió, algunos consejos:

1. Tu área de TI debe mantener comunicación constante con el área legal. ¿Por qué? Porque a veces, el área de soporte informático, con la finalidad de eliminar cualquier riesgo, también elimina pruebas. Por ejemplo, en un ataque de ransomware, podrían formatear los sistemas y eliminar la información que quizás conduzcan a la identificación de los atacantes. Por eso, el conocimiento técnico y especializado de ambas áreas deben dialogar.
2. Adopta las medidas de mitigación del riesgo que la empresa previamente ha definido. Por ejemplo, aislar dispositivos afectados, recortar las credenciales de acceso, disminuir, dejar de operar en línea si es que pone en riesgo a los usuarios, entre otros. En este punto no podemos señalar todas las medidas que podrían ser adoptadas, porque depende del giro de negocio y del tipo de ataque que nos enfrentamos.
3. Asegura las pruebas. En los estudios de abogados con áreas especializadas, contamos con personal técnico o con peritos que brindan asesoría experta para el aseguramiento de la prueba digital. Entonces, tan importante como resguardar los equipos y proteger los datos de los usuarios, será cuidar las pruebas que necesitaremos en una investigación criminal.
4. Denuncia el hecho. Es muy importante cultivar una práctica institucional de reportar estos eventos (intrusismos, secuestros informáticos, daños y sabotajes informáticos) a las autoridades del caso. Algunos casos, podrán ser la Policía Nacional del Perú, a través de sus unidades especializadas, en otros casos será la fiscalía de ciberdelincuencia o la fiscalías comunes. ¿Por qué? Porque no sabemos el impacto que puede ocasionar, no sabemos qué puede estar pasando y qué más ha planificado realizar el atacante. De hecho, en algunos casos que he brindado asesoría, las empresas aseguradoras exigen tomar medidas como reportar el evento o denunciar el hecho. Debes demostrar que no te encuentras vinculado al evento criminal, pero sobre todo, que eres una empresa diligente, responsable y que este incidente ha sido un evento imprevisible.

Los ciberataques contra empresas están en aumento. Es importante tomar conciencia y no pensar que no nos sucederá, sino qué haremos cuando esto ocurra.

Autor: Ricardo N. Elías Puelles

Este sábado 17 de octubre tuve la oportunidad de compartir algunas reflexiones sobre ciberdelincuencia y crimen organizado en un evento académico organizado por el Taller de Dogmática Penal «Ultima Ratio» de la Universidad Nacional de Trujillo. Después de muchos años, fue especialmente grato regresar a esta querida universidad.

En el panel me acompañaron dos especialistas en la materia: el Dr. Lenin Pizarro, especialista en cibercrimen de Trujillo, y el Dr. Estuardo Moreno, quien recientemente publicó la segunda edición de su libro sobre child grooming.

Mi intervención estuvo dedicada a analizar la relación entre la criminalidad organizada y el uso de las tecnologías de la información y la comunicación (TIC). En primer lugar, abordé los esfuerzos internacionales para fortalecer la respuesta frente a este fenómeno, particularmente a través del Convenio de Budapest y la Convención de las Naciones Unidas contra la Ciberdelincuencia. A partir de estos instrumentos, reflexionamos sobre la tipificación de los delitos contra la seguridad informática, la ausencia de una regulación específica de la falsificación informática en el Perú y los problemas asociados a la producción y distribución de material de abuso sexual infantil, especialmente ante el uso creciente de herramientas de inteligencia artificial.

También comentamos algunas conductas abordadas por la Convención de las Naciones Unidas, como el grooming, la difusión no consentida de imágenes íntimas y el lavado de criptoactivos, lo que nos permitió reflexionar sobre la necesidad de actualizar nuestra legislación y fortalecer los mecanismos de cooperación internacional.

Asimismo, discutimos la necesidad de mejorar nuestro ordenamiento procesal penal, incorporando herramientas que permitan investigar eficazmente los delitos informáticos, obtener y preservar adecuadamente la prueba digital y fortalecer la cooperación entre las autoridades de distintos países.

Un tema que despertó especial interés, tanto durante la exposición como en la ronda de preguntas, fue la responsabilidad de las personas jurídicas frente a la ciberdelincuencia. El uso intensivo de las TIC y la incorporación de sistemas de inteligencia artificial generan nuevos riesgos que las organizaciones deben identificar y gestionar adecuadamente. Cuando las empresas ignoran deliberadamente vulnerabilidades o defectos de organización, pueden facilitar la comisión de delitos y ocasionar graves perjuicios a la ciudadanía.

En ese contexto, planteamos la conveniencia de abrir el debate sobre la responsabilidad administrativa de las personas jurídicas por delitos informáticos, especialmente cuando su comisión se encuentre relacionada con defectos de organización. ¿Ha llegado el momento de incorporar los delitos previstos en la Ley N.º 30096 al catálogo de delitos que pueden generar responsabilidad para las personas jurídicas conforme a la Ley N.º 30424?

De otro lado, examinamos los esfuerzos legislativos del Perú para enfrentar la criminalidad organizada, especialmente a partir de la Ley N.º 30077 y su relación con la Ley de Delitos Informáticos. A propósito de ello, discutimos una cuestión interpretativa sobre el alcance de los delitos informáticos comprendidos en este marco normativo: ¿debemos limitar su aplicación a los delitos previstos en la Ley N.º 30096 o considerar también otras conductas tipificadas en la legislación penal que presentan una dimensión informática?

En la parte final de nuestra intervención, analizamos algunos casos internacionales que permiten comprender cómo las organizaciones criminales aprovechan las tecnologías para desarrollar sus actividades ilícitas. Uno de ellos fue la operación internacional contra AlphaBay y Hansa Market, dos importantes mercados clandestinos de la dark web. Examinamos las investigaciones que permitieron identificar a Alexandre Cazes, vinculado con la administración de AlphaBay, así como las estrategias utilizadas por las autoridades para desarticular estas plataformas.

Un aspecto especialmente interesante fue la coordinación de las operaciones policiales. Mientras AlphaBay era desmantelado, numerosos usuarios comenzaron a trasladarse a Hansa Market, sin saber que esta plataforma ya se encontraba bajo el control de las autoridades neerlandesas. Esta operación permitió obtener información relevante sobre las actividades ilícitas desarrolladas en ambos mercados.

También abordamos el caso del puerto de Amberes, donde organizaciones dedicadas al narcotráfico recurrieron a personas con conocimientos informáticos para infiltrarse en los sistemas de gestión logística y facilitar la extracción de cargamentos ilegales. Este caso permitió ilustrar cómo las capacidades tecnológicas pueden convertirse en instrumentos al servicio de estructuras criminales tradicionales.

Finalmente, reflexionamos sobre la relación entre la trata de personas y el fraude informático a partir de las operaciones desarrolladas contra centros de estafas en el sudeste asiático. Estos casos muestran una preocupante convergencia entre distintas manifestaciones de criminalidad organizada, en las que las víctimas de trata son obligadas a participar en actividades de fraude mediante plataformas digitales.

El conversatorio también nos permitió intercambiar ideas sobre el delito de grooming, los desafíos que plantea el uso ético y responsable de la inteligencia artificial y, especialmente, el papel que debe asumir la educación superior en la formación de profesionales capaces de comprender y enfrentar las nuevas manifestaciones de la ciberdelincuencia.

Me llevo una grata impresión de este encuentro, particularmente por el interés de los jóvenes estudiantes en investigar sobre ciberdelincuencia y prueba digital. Resulta alentador encontrar nuevas generaciones comprometidas con el estudio de estos problemas y dispuestas a contribuir al desarrollo de respuestas jurídicas frente a los desafíos tecnológicos.

Mi agradecimiento al Taller de Dogmática Penal Ultima Ratio de la Universidad Nacional de Trujillo por la invitación, la hospitalidad y la oportunidad de regresar a esta querida universidad. Espacios como este nos recuerdan la importancia de continuar investigando, compartiendo conocimientos y promoviendo el debate académico sobre los desafíos que enfrenta el Derecho penal en la sociedad digital.

Comparto con la comunidad académica y los interesados, la presentación que proyecté en el evento. Espero que sea de su utilidad e interés.

El 7, 9 y 10 de octubre, Bangtan Sonyeondan (BTS) se presentará en el estadio San Marcos. Al ser la primera visita de uno de los grupos coreanos más queridos y reconocidos a nuestro país, ha despertado gran emoción de la Army -nombre con el que se conoce a su comunidad-. Si bien la algarabía es muy contagiosa, pues vemos amplia cobertura en redes y medios tradicionales de comunicación, lamentablemente también genera una oportunidad que los delincuentes suelen aprovechar. A continuación, comparto algunas recomendaciones para que evites ser víctima de estafa o, de ser el caso, adoptes las medidas legales correspondientes.

• El único canal oficial para la venta de entradas es Ticketmaster, sin embargo, se agotaron rápidamente.
• Ten mucho cuidado, días u horas antes del evento, los delincuentes suelen lanzar plataformas falsas / clonadas con anuncios atractivos como «entradas extras habilitadas». Recuerda siempre verificar que te encuentres en la página oficial.
• A veces, por el apuro o la emoción escribimos mal la dirección URL que queremos visitar. Algunos delincuentes suelen comprar dominios parecidos para que la víctima crea que está visitando la web oficial. Esta técnica se conoce como typosquatting.
• En algunas ocasiones, aparecen páginas web de reventa de entradas. Su adquisición a través de esta modalidad es un gran riesgo, ya que no sabrás qué empresa o persona está detrás de la transacción. Se han dado casos en los que estas páginas web desaparecen horas después de haber vendido decenas o cientos de entradas -muchas veces, falsas-.
• En Facebook e Instagram comienzan a circular cuentas que ofrecen entradas. Por lo general, son cuentas con perfiles que emplean nombres y fotografías falsas. Antes de decir ¡hola!, mira la fecha de creación de la cuenta, sus publicaciones previas, revisa sus amigos o contactos, lee los comentarios que puede haber recibido. En una palabra: Desconfía.
• Si, por alguna razón, ya estás platicando con una cuenta en WhatsApp o Telegram que te ofrece entradas, graba la conversación: Los screenshots y los videos de las conversaciones son útiles para iniciar una investigación. Algunos servicios de mensajería como WhatsApp permiten exportar la conversación. Hazlo. Tu interlocutor podría eliminar los mensajes o bloquearte luego de la transacción.
• Por lo general, para completar la supuesta venta, te pedirán que yapees, plinees o transfieras el monto a un número de cuenta. Algunos estafadores, para dar «seguridad» incluso te enviarán una foto del DNI del titular de la cuenta. Desconfía también. En el ciberespacio es muy frecuente ver «cuentas mulas» o «mulas bancarias», personas que prestan sus cuentas a cambio de una pequeña comisión, pero que desconocen para qué las están empleando. En otras ocasiones, se crean cuentas sin que el titular del DNI lo sepa.

• Si has sido víctima de estafa, puedes denunciarlo verbalmente en la comisaría más cercana. No es necesario que presentes una denuncia escrita ni que te acompañe un abogado. Si el policía no quiere recibir tu denuncia, solicita su nombre y, luego, pregunta por el oficial a cargo.
• Al denunciar, asegúrate de brindar todos los detalles posibles. Como mínimo: Número de cuenta o número telefónico vinculado a la transferencia, forma en la que se entabló la conversación, fecha de inicio de las conversaciones y de la operación, monto transferido. Además, proporciona un número telefónico, correo electrónico y una dirección a la que puedan notificarte las decisiones que adopte la fiscalía.
• Si tienes pruebas como pantallazos, correos electrónicos o copias de las transferencias electrónicas, puedes entregarlas como prueba. No es un requisito, pero sí ayudará al esclarecimiento de los hechos.
• Mientras más pronto denuncies, las posibilidades de éxito serán mayores. Es más, en algunos casos podrían realizarse detenciones si el tiempo de flagrancia lo permite.
• Las Army son muy unidas. Si has sido víctima de estafa, coméntalo en tus grupos o con el resto de miembros, quizás hayan muchos más casos que puedan unirse para buscar justicia. Así, en vez de tener una investigación por una víctima, la fiscalía o la policía podría tener un caso que reúna decenas o cientos de personas agraviadas. La unión hace la fuerza o, mejor dicho: 죽지 않아 묻지 마라 소리 질러 Not not today. 꿇지 마라 울지 않아 손을 들어 Not not today.

Que la emoción de ver a BTS no te haga bajar la guardia 💜.

Por: Bianca Reátegui Vega & Ximena Cuba Carbajal

En la era digital, la tecnología es parte esencial de nuestras vidas, por ejemplo,  actualmente solemos realizar transacciones financieras en línea con aplicativos como Yape o Plin. Es debido a ello que la detección y prevención de amenazas digitales es una prioridad constante. En los últimos años, los troyanos bancarios han tomado popularidad -estos son tipos de software, denominados “malware” creados para captar  información financiera y robar datos relacionados con cuentas bancarias-. Este tipo de malware es altamente peligroso debido a su método de operación, pues implica engañar a las personas haciéndoles creer que están interactuando con una entidad financiera legítima mientras en realidad están compartiendo información confidencial con los ciberdelincuentes. En esta línea, recientemente, se ha descubierto un troyano bancario de origen peruano que ha representado una amenaza considerable para la seguridad financiera de los usuarios que cuentan con dispositivos móviles: Zanubis.

Zanubis es un programa malicioso que ingresa a un sistema informático financiero haciéndose pasar por uno legítimo; el fin es hacerse del dinero de las cuentas bancarias que logre acceder. Si bien, desde octubre del 2022, el gobierno peruano a través del informe de Alerta Integrada de Seguridad Digital N° 282-2022-CNSD del Centro Nacional de Seguridad Digital, hizo de conocimiento público la existencia de este troyano bancario; recientemente, ha despertado gran preocupación a nivel mundial y sobretodo en nuestro país, pues viene atacando exponencialmente a diferentes bancas y entidades financieras peruanas. Al día de hoy, según la empresa global de ciberseguridad “Kaspersky”, se conoce que este tipo de troyano ha concretado vulnerar el sistema de cerca de 40 aplicaciones de bancas móviles; además, viene liderando el ranking de intentos de ataques cibernéticos en el Perú.

El modelo empleado para este tipo de amenaza se denomina “mano fantasma”, ya que se trata de aplicaciones maliciosas que ingresan a un sistema Android, y lo controlan por medio de herramientas de acceso remoto (RAT). Dicha técnica es muy parecida a lo utilizado por los troyanos brasileños, por ese motivo, se creyó en un primer momento que se trataba de desarrolladores procedentes del país vecino. Sin embargo, la empresa “Kaspersky”, por medio de un comunicado de prensa de fecha 28 de septiembre del 2023, sugirió que Zanubis es de origen peruano porque además de atacar principalmente bancas móviles peruanas, el idioma que han empleado los creadores es el español, así como, queda evidenciado que cuentan con un gran conocimiento de las jergas y palabras más comunes.

Ahora bien, ¿cómo es que Zanubis podría ingresar a un sistema operativo? Actualmente, se conoce que la táctica de ingreso que tiene este malware, consiste en enviar correos electrónicos haciéndose pasar por la Superintendencia Nacional de Aduanas y de Administración Tributaria, advirtiendo falsamente problemas de pagos o faltas de estas. En esa línea, el mensaje malicioso solicita al usuario presionar un link y que este lo direccione a descargar una supuesta aplicación oficial de dicha entidad, a fin que gestione sus operaciones allí.

Una vez que la aplicación haya sido descargada al teléfono móvil, el ciberdelincuente bancario tendrá un control completo del sistema operativo de dicho dispositivo, controlandolo de manera remota. Ante esto, el atacante buscará no ser detectado, de tal manera que ingresará a las bancas móviles sólo cuando la víctima no esté usando el celular. Tras concretar su propósito, este borrará  cualquier tipo de evidencia que se pudiera haber generado a razón del ataque, de manera que cuando la víctima decida denunciar, ya no cuente con sustentos de lo ocurrido.

Es por lo mencionado que podemos señalar las principales características de Zanubis: en primer lugar, este malware se caracteriza por su capacidad para operar de manera sigilosa en los dispositivos móviles de las víctimas, pues busca evitar la atención de las personas al no mostrar síntomas notorias de infección. Igualmente, es engañoso porque propaga mediante correos electrónicos o mensajes de textos que aparentan ser legítimos, archivos maliciosos que se hacen pasar por documentos relevantes o actualizaciones falsas. Es por ello que este troyano bancario es complejo porque emplea técnicas avanzadas de cifrado para evitar la detección, en otras palabras, su código es complejo de entender, lo que genera dificultad al labor de los analistas de seguridad. Finalmente, cabe destacar que los ciberdelincuentes que emplean este troyano bancario mantienen el malware actualizado para aprovecharse de las personas.

A manera de cierre, les brindamos algunas recomendaciones para prevenir ser engañados con Zanubis.

1. Evite descargar aplicaciones de fuentes desconocidas o no verificadas, lo ideal sería solo descargar aplicaciones de tiendas oficiales como Google Play o App Store.
2. Antes de descargar una aplicación, revisar los permisos solicitados por esta. Si una aplicación parece solicitar más permisos de los necesarios para su función, como por ejemplo acceder a tus chats o registro de llamadas, podría ser una señal de alarma.
3. Al crear una cuenta en alguna aplicación, utiliza una contraseña segura que no contenga datos personales. Por ejemplo, que la contraseña sea larga y contenga números, símbolos y combinaciones de letras mayúsculas y minúsculas.
4. La concientización es fundamental, es decir, los usuarios deben estar informados sobre las amenazas cibernéticas y la importancia de no hacer clic en enlaces sospechosos o descargar aplicaciones no verificadas.
5. Instale y  mantenga actualizado un software de seguridad móvil confiable que puede detectar y bloquear amenazas como Zanubis. Una opción es Kaspersky Premium, este software protege tu identidad y evita el acceso remoto a tu sistema.
6. No haga click en enlaces llegados a correos electrónicos, redes sociales o mensajes SMS sospechosos. Como se mencionó, muchos de estos mensajes se hacen pasar por entidades conocidas, por lo que es recomendable llamar o asistir presencialmente a preguntar sobre la información remitida en los mensajes.

Referencia bibliográfica:

Canal N. (28 de septiembre de 2023). Zanubis: Detectan virus bancario para celulares hecho en Perú. [Video]. Canal N Web.

Centro Nacional de Seguridad Digital. (17 de octubre de 2022). Alerta integrada de seguridad digital N° 282-2022-CNSD.

Exitosas noticias. (29 de septiembre de 2023). Zanubis: detectan virus bancario para celulares hecho en Perú, ¿cómo actúa en dispositivo móvil? [Video]. Youtube.

Kaspersky. (28 de septiembre de 2023). Nueva versión del ataque de la “mano fantasma” acecha a usuarios de la banca móvil: Kaspersky.

Mestanza, C. (2023). Zanubis: detectan troyano bancario para celulares hecho en Perú que es sumamente avanzado y peligroso. El Comercio.