Los delitos informáticos en las PYMES

Los delitos informáticos -concretamente el delito de Estafa Digital- se encuentra levemente regulado y definido en el Art. 248.2 del Código Penal (en adelante C.P.) en donde se establece:

“ .. Se consideran como reos de estafa, los que, con ánimo de lucro, y valiéndose de alguna manipulación informática o artificio semejante consiguieran la transferencia no consentida de cualquier activo patrimonial en perjuicio de un tercero”.

Artículo 248.2 del Código Penal

En este artículo trataremos cómo afectan los delitos informáticos en las PYMES y la situación actual en la que nos encontramos, con posibles soluciones.

¿Qué son los delitos informáticos?

El delito o fraude informático (también calificado como “conducta prohibida o no permitida”), es una acción realizada en el ciberespacio por una persona física/jurídica con la única intención de:

1. Producir un daño.
2. Obtener una ventaja competitiva en el mercado.
3. Simple ánimo de lucro (disposición patrimonial).

La estafa digital es el resultado de a una serie de acciones determinadas, y perfectamente articuladas, encaminadas a inducir a la víctima a una situación de engaño que le haga realizar un acto de disposición económica en favor del atacante. Esta acción va desde entregar información sensible industrial, información contable, datos personales de clientes, trabajadores, cuentas bancarias o expedientes cantidades dinero, entre otras. 

El ataque informático en la microempresa y PYMES: situación actual

Sabemos que en la actualidad el 94% del tejido empresarial español está formado por las llamadas microempresas. Es decir, empresas con menos de 10 de trabajadores entre asalariados, trabajadores a tiempo parcial y socios. Estas Microempresas no pueden asumir realizar una inversión en herramientas de ciberseguridad ó contratar servicios dirigidos a la protección de sus activos inmateriales más valiosos y esenciales. No olvidemos que en la actualidad nos encontramos en plena ola de digitalización de las empresas, donde los datos fluyen por la red a niveles inimaginables convirtiéndose en el nuevo “oro” de cualquier compañía.

En los últimos años, se ha producido un aumento exponencial en los niveles de delitos informáticos.  De tal forma que según el Observatorio Español de delitos informáticos:

• Año 2018 se reportaron 110.613 ciberataques.
• Año 2019 se reportaron 218.302 ciberataques.

De éstos últimos sabemos que el 192.375 corresponde a fraudes informáticos, de los cuales el 75% de estos delitos telemáticos se realizan contra microempresas o micropymes.

¿Por qué las empresas más pequeñas reciben más ataques informáticos?

La respuesta es lógica: porque son las más débiles. La mayor parte de nuestro tejido empresarial (prestadores de bienes o servicios) carece de un nivel óptimo de securización informática de sus negocios. Además, también carecen de técnicos jurídicos especializados en ciberderecho capaces de entender y reaccionar ante una agresión

En la actualidad, el nivel de seguridad de las microempresas no supera el estándar de un nivel usuario. Es decir, como barrera de protección se utiliza la seguridad que proporcionan los propios fabricantes de las herramientas o prestadores de servicios que se utilizan en el día a día de la actividad mercantil. Este tipo de protección suele ser actualizaciones de software, antivirus, copias de seguridad en la nube y en local, contraseñas, límites de acceso del propio ordenador, etc.

En efecto, los pequeños empresarios no tienen como prioridad la ciberseguridad de sus puestos de trabajo hasta el momento en que son objetivo de uno de los cientos de delitos informáticos, que se producen diariamente sin descanso.

Informe de Ciberamenazas y Tendencias del 2019: el empresario puede descubrir el ataque informático semanas después del mismo

Según el último informe de “Ciberamenazas y Tendencias del 2019”, elaborado por Centro Criptológico Nacional, el plazo en el que se materializa un ciberataque es muy corto. Entre la primera acción hostil y la segunda es de segundos o minutos. Sin embargo, el tiempo que tarda el empresario en descubrir el ataque o su detección suele ser de días, semanas o, incluso, meses.

 Durante el tiempo citado anteriormente, se pueden producir las siguientes acciones:

• Eliminación y robo masivo de archivos.
• Monitorización constante del funcionamiento de la empresa para identificar puntos débiles y ejecutar un ataque posterior más dañino.
• Ralentización del funcionamiento de la empresa.
• Encriptado de archivos.
• Robo de contraseñas para acceso a niveles superiores, cuentas bancarias o de crédito, correos electrónicos y mensajes.
• Escaneo de puertos de los ordenadores conectados a la red con el fin de ser atacados posteriormente.

Los hechos enumerados son tan sólo un pequeño ejemplo de la multitud de amenazas a las que están sometidas las pequeñas empresas. Y esto, sólo por el hecho de estar conectados a internet. Muchas de ellas, después de sufrir un ataque no suelen poder continuar desarrollando la actividad y acaban echando el cierre.

Ciberseguridad informática y jurídica: ¿un servicio exclusivo para las grandes multinacionales?

Una vez más, la respuesta es lógica: rotundamente no. Cualquier dispositivo conectado a la red (internet) es susceptible de ser atacado. Es más, teniendo en cuenta la irrupción del Internet de la Cosas o IoT (teléfonos inteligentes, domótica, dispositivos inteligentes de uso diario “Weareble”, la digitalización de las empresas…), el aumento de la velocidad en las comunicaciones en internet entre dispositivos conectados a la red 5G, la aparición del teletrabajo, el bajo nivel de protección y la poca educación de las empresas en esta materia, son las condiciones perfectas para la acción del ciberdelincuente.

Por todo lo expuesto y más allá de la capacidad económica de los grandes, las únicas diferencias entre una gran empresa y una pequeña se encuentra en el nivel de concienciación ante la amenaza de sus sistemas esenciales. También, en la inversión económica que quieren destinar a la protección informática de dichas infraestructuras. Pues una empresa pequeña generalmente suele encajar un golpe, ya que en muchos casos no son capaces de sobreponerse.

En Peña Ochoa & Granados Abogados creemos firmemente en que la implementación de un nivel más de ciberseguridad y Legal Intelligence debe ser un objetivo perfectamente alcanzable y asequible para todas aquellas pequeñas empresas que se lo propongan.

La unión del abogado experto en ciberderecho, el técnico especializado y el uso de tecnológicas de Inteligencia Artificial son los elementos necesarios para conseguir la mayor seguridad del medio de vida de la mayoría de los españoles.