El 30 de abril de 2026, el Departamento de Justicia de los Estados Unidos (en adelante DOJ, por sus iniciales en inglés) hizo pública la decisión judicial de condenar por cuatro años de pena privativa de libertad a Ryan Goldberg y Kevin Martin por haber participado en una conspiración para extorsionar a múltiples víctimas mediante el uso de ciberataques ejecutados con la herramienta ALPHV BlackCat.

Sin embargo, la particularidad de este caso radica en que los agentes no actuaron bajo un esquema tradicional de ataques de ransomware, sino que permite examinar cómo se articula la participación de distintos sujetos en una de las manifestaciones más complejas de la ciberdelincuencia contemporánea: el Crime-as-a-Service (CaaS).

Crime-as-a-Service

Este fenómeno ha sido abordado por primera vez por EUROPOL a través de la edición de 2014 de su informe IOCTA (Internet Organised Crime Threat Assessment). Aquí, se lo define como una forma de industrialización de la criminalidad cibernética sustentada en la división y especialización del trabajo criminal necesario para este tipo de delitos.

Bajo esta lógica, las capacidades y conocimientos técnicos de determinados actores se comercializan como si se tratase de un negocio común y, conforme a ello, se ofrecen herramientas, infraestructuras y servicios delictivos a todo tipo de personas (p. 19).

De esta manera, individuos con nociones mínimas de informática pueden acceder de manera sencilla a estos recursos, reduciendo las barreras de entrada a la ciberdelincuencia y difuminando la concepción del ciberdelincuente como un sujeto dotado de conocimientos técnicos avanzados.

Ransomware-as-a-Service

Una de las modalidades más extendidas de este tipo de cibercriminalidad es el modelo Ransomware-as-a-Service. De acuerdo con Holdsworth y Kosinski (2024), a través de esta modalidad, los desarrolladores ofrecen paquetes con herramientas e infraestructura de ransomware (que utilizan software malicioso para bloquear acceso a sistemas o datos de las víctimas a cambio del pago de un rescate) a terceras personas (conocidos como afiliados) a fin de que terceros puedan ejecutar los programas y perpetrar sus propios ataques. 

¿Cómo se da la distribución de roles en un esquema RaaS?

A diferencia de los ataques de ransomware tradicionales, aquí los creadores de la herramienta no son necesariamente los que ejecutan directamente los ataques. Así, podemos identificar dos roles principales:

• Desarrolladores/Administradores: Como su nombre lo explica, son los encargados de diseñar, desarrollar, mantener y actualizar el software malicioso. Además, son quienes organizan la distribución de los kits de ransomware a fin de ponerlos a disposición de terceras personas. No obstante, su rol no queda ahí, sino que estos paquetes suelen contener instrucciones a los usuarios sobre cómo perpetrar los ataques e, incluso, otorgan asistencia técnica 24/7 personalizada o por medio de foros comunitarios (Cloudflare, s/f).
• Afiliados: Son quienes contratan los servicios del RaaS con el objetivo de llevar a cabo sus propios ataques de Ransomware. Al ser quienes ejecutan directamente las operaciones, se encargan de identificar a las víctimas, acceder ilícitamente a sus datos y/o sistemas, desplegar la herramienta y gestionar el pago del rescate.

Con esta distribución de funciones, se deja un mayor margen para que los desarrolladores se concentren en la innovación y perfeccionamiento del software malicioso y reduce su exposición directa frente a las víctimas, quienes consideran como sus atacantes a los afiliados (Sophos, 2025). A cambio de esto, son los afiliados quienes concentran el mayor porcentaje de las ganancias obtenidas con los ataques.

Esto se puede apreciar claramente en el caso de Goldberg y Martin, quienes otorgaron únicamente el 20% de las ganancias a los desarrolladores del programa y se repartieron el 80% restante entre ambos y su tercer compañero, Angelo Martino.

Asimismo, su responsabilidad sobre los hechos se determinó en base a su rol como afiliados, es decir, por haber sido quienes identificaron a las víctimas (instituciones de alto valor en las áreas de medicina e ingeniería) y realizar directamente los ataques, utilizando el paquete adquirido y aprovechándose de sus recursos como trabajadores de una agencia de ciberseguridad. Sobre los desarrolladores de ALPH BlackCat, hasta el momento no ha recaído condena alguna.

¿Cómo sancionamos estas conductas?

En nuestro país, la mayoría de los ataques de ransomware suele sancionarse bajo el esquema previsto por los delitos comprendidos en los artículos 3 y 4 de la Ley 30096 – Ley de Delitos Informáticos, correspondientes al atentado contra la integridad de sistemas y datos informáticos. Así, se persiguen todas las conductas propias de la ejecución del ataque, como el cifrado no autorizado y la afectación al acceso y funcionamiento de los sistemas de las víctimas.

Sin embargo, estos tipos penales únicamente se encuentran vinculados con quienes ejecutan directamente los ataques, es decir, en un caso de RaaS, afectan solo a los afiliados. 

¿Eso quiere decir que en nuestro sistema los desarrolladores quedan impunes? No. 

Si bien los desarrolladores no pueden ser sancionados por la ejecución directa de estos delitos, el artículo 10 de la mencionada ley busca sancionar bajo el tipo penal de “Abuso de mecanismos y dispositivos informáticos” a aquellos que fabrican, diseñan, desarrollan, distribuyen y facilitan mecanismos, programas y cualquier otra herramienta informática destinada esencialmente a propiciar la comisión de ciberdelitos. Con ello, se determina la responsabilidad penal de estas personas en base a la contribución clave que la provisión de estos medios tiene para perpetrar estas conductas.  

Autora: Valeria Dávalos

Bibliogafía

Cloudflare (s/f) ¿Qué es el ransomware como servicio (RaaS)? Cloudflare. https://www.cloudflare.com/es-es/learning/security/ransomware/ransomware-as-a-service/

European Police Office [EUROPOL] (2014). The Internet Organised Crime Threat Assessment (iOCTA) 2014. https://www.europol.europa.eu/cms/sites/default/files/documents/europol_iocta_web.pdf

Holdsworth, J. y Kosinski, M. (2024) What is ransomware as a service (RaaS)? IBM. https://www.ibm.com/think/topics/ransomware-as-a-service

Office of Public Affairs of the U.S. Deparment of Justice. (30 de abril de 2026). Two Americans Who Attacked Multiple U.S. Victims Using ALPHV BlackCat Ransomware Sentenced to Prison. https://www.justice.gov/opa/pr/two-americans-who-attacked-multiple-us-victims-using-alphv-blackcat-ransomware-sentenced

Sophos. (11 de diciembre de 2025) What is ransomware-as-a-service (Raas)? SOPHOS. https://www.sophos.com/en-us/cybersecurity-explained/ransomware-as-a-service

Ley No. 30096. (2013). Ley de delitos informáticos. 22 de octubre de 2013. https://spij.minjus.gob.pe/spij-ext-web/#/detallenorma/H1088463