Spanish (pdf)
Article in xml format
Article references
Automatic translation
Send this article by e-mail
Cited by SciELO 
Cited by Google 
Similars in
SciELO 
Similars in Google 
Permalink
Introducción
La ciberdelincuencia es uno de los principales retos de la economía en la actualidad. Para la primera mitad del 2020, se originaron alrededor de 73 millones de ciberataques solo en Latinoamérica, mientras que a nivel global el costo de una filtración de datos se estima en 3.86 millones de dólares. Además, el 37% de ejecutivos y directores generales consideran el área de ciberseguridad como una de las más importantes para liderar el crecimiento en sus compañías, con un porcentaje que incrementa en 67% para aquellos que forman parte del sector financiero.
En el sector financiero, al manejar fondos e información privada de millones de personas, es uno de los principales objetivos de estos criminales. Con base en esto, es necesario que las entidades financieras, usuarios y agencias estatales apliquen e implementen mecanismos para combatir estos delitos.
Uno de los principales retos al enfrentar la ciberdelincuencia es la naturaleza del crimen (uso de herramientas tecnológicas que se renuevan constantemente); existe desconocimiento en la rama judicial y policíal del marco legal que tipifica estos crímenes. De esta manera, no todos los fiscales y jueces tienen el conocimiento o la formación adecuada sobre ciberdelincuencia, a pesar de que el Código Penal colombiano (Congreso de Colombia, 2009), tipifique los delitos informáticos en el país.
En este estudio se asume que esta falta de eficiencia por parte de la justicia puede actuar en favor de la función de beneficio percibida por el criminal, aclarando que esto dependerá de la concavidad de la función de utilidad, además del grado de aversión al riesgo que el delincuente puede tener.
Las posibles ganancias que pueden llegar a tener los ciberdelincuentes están condicionadas a la cantidad de ataques que perpetúan; a la cantidad de usuarios a los que pueden llegar a afectar; los fondos que manejan estos usuarios en sus productos financieros, y por supuesto, al costo percibido dada la condena que tendrían en caso de ser atrapados. Esta última, se utiliza como proxy para medir la percepción de la eficacia del sistema judicial, usando la probabilidad de ser capturado por las entidades judiciales o policiales al cometer estos crímenes, junto con el castigo que recibirían en caso de ser capturados.
A raíz de la pandemia de COVID-19, se comprobó -aún más- la importancia de las tecnologías de la información en un mundo globalizado; a su vez, puso de manifiesto el papel fundamental que juegan los ambientes ciberseguros, en los que los usuarios puedan utilizar los servicios financieros sin temor a ser atacados. Tema de particular relevancia, si se tiene en cuenta el aumento de noticias sobre ataques y estafas que buscan engañar a las personas para que entreguen sus datos personales, a cambio de recibir ayudas o descuentos en el marco de la crisis económica provocada por la pandemia.
Teniendo en cuenta el desarrollo tecnológico y, del mismo modo, el aumento de ciberdelincuencia en Colombia, ¿de qué manera el país puede hacer más eficiente los procesos judiciales sobre los actos delictivos en tecnología?
Con este estudio, se busca estimar la tasa de efectividad de la Ley 1273 de 2009 (Congreso de Colombia, 2009) (ley que no ha tenido ninguna modificación durante los más de diez años que ha estado en vigor), así como un posible rango de ganancias percibidas por los ciberdelincuentes y hacer una aproximación de qué dependen sus variaciones.
De esta manera, se podrán aportar datos que permitan, por medio de los resultados, proponer sugerencias o medidas sobre cómo hacer más eficientes los actuales mecanismos y tácticas de disuasión, con los que cuenta el país para combatir a este tipo de delitos. Por ello, se establecen diversos objetivos centrados en identificar los principales factores que incentivan la ciberdelincuencia con la evaluación de la eficacia de la Ley 1273 en Colombia; estos dos últimos objetivos se centran en resolver las incógnitas en el contexto de la ciberdelincuencia y la prepandemia del 2019 en Colombia.
Hipótesis
La tasa de efectividad de la Ley 1273 de 2009 -entendida como la relación entre el número de capturas efectuadas por delitos informáticos y la cantidad de denuncias por estos delitos- es menor a la tasa de efectividad de delitos similares. Para demostrarlo, se compararán las denuncias y capturas relacionadas con delitos informáticos con las realizadas por hurto agravado.
Además, esta tasa no está correlacionada con factores como población, inclusión financiera y el índice de desarrollo humano (IDH), dado un análisis regional; por tanto, deben ser otros factores difíciles de medir (como la solidez interinstitucional) los que se correlacionan con la eficiencia de la gestión institucional para combatir el ciberdelito.
A partir de la percepción de una baja tasa de capturas por estos delitos, el ciberdelincuente llega a considerar el costo del delito alrededor de 0, por lo que ser ciberdelincuente sería rentable, y las ganancias por realizar ataques de phishing/smishing a clientes del sistema bancario colombiano pueden, en la mayoría de los casos, ser mayores a 0.
Revisión de literatura
Para llevar a cabo este estudio, se revisaron diferentes publicaciones relacionadas con los delitos informáticos, y se encontraron ejes temáticos que sirven como fuente para su desarrollo. Entre los diversos temas considerados, se encuentran enfoques económicos del comportamiento del ciberdelincuente, el marco legal penal existente en Colombia en materia de delitos informáticos, la efectividad de los ataques de phishing, promedios de ciberataques en diferentes países e industrias, y los costos del cibercrimen.
El estudio “Phishing: An economic analysis of cybercrime perpetrators”, es uno de los principales insumos de este estudio, al realizar unanálisis económico del comportamiento de los ciberdelincuentes y su percepción de las posibles ganancias y contramedidas al efectuar estas actividades (Konradt et al., 2016).
En esta publicación, los autores proponen una función de beneficios para un ciberdelincuente que ejecuta ataques de phishing. Al tomar esta función de beneficios y utilizar datos del cibercrimen en Colombia, se espera tener una mayor perspectiva cuantificable del efecto del marco legal vigente en la toma de decisiones del ciberdelincuente colombiano.
De esta forma, es difícil calcular cuántos ciberataques y medir cuántas cuentas terminaron afectadas, por lo cual es una limitación en esta investigación. Sin embargo, se analiza la naturaleza del delito, por el subregistro y porque no todos los ataques acaban estafando a los usuarios, y no todos los usuarios defraudados denuncian ante una entidad judicial o policial. Según el Internet Crime Report, en los últimos cinco años, Estados Unidos ha recibido, en promedio, 340.000 denuncias por año; estas denuncias abordan una amplia gama de estafas en internet que afectan a las víctimas durante todo el año (Internet Crime Complaint Center (IC3); 2019).
Respecto a los ciberataques, de acuerdo con el artículo Países de América Latina y el Caribe más atacados por ataques de phishing en 2020”, el 20.61% de los usuarios de Kaspersky en Colombia fueron atacados con phishing en el 2019. A partir de la información del Banco Mundial y según el Censo Nacional de Población y Vivienda del 2018, se estima que estos ataques representan alrededor de 6. 618.311 personas1 en Colombia (Statista, 2019).
Otro aporte tenido en cuenta es el estudio de “Estado de la ciberseguridad en el sistema financiero colombiano”. Indica que, mediante encuestas anónimas a entidades financieras y a usuarios financieros de Colombia, brinda información sobre eventos o incidentes de seguridad de la información del sistema financiero colombiano. Además, uno de los hallazgos es el porcentaje de usuarios financieros que luego de sufrir un incidente de seguridad informan a las autoridades que han sido afectados, el cual es solo del 26% para el 2019 (OEA, 2020).
Al comparar el número de cuentas atacadas entre la información pública de la Fiscalía General de la Nación sobre el número de denuncias y el porcentaje de denuncias calculado en el estudio de la Organización de los Estados Americanos (OEA) con el de incidentes de seguridad estimado a partir de la información del DANE (2020), Banco Mundial y Statista, es posible hallar una razón de cuán exitoso puede ser un ataque de phishing.
Una de las principales variables para considerar en el estudio, son las ganancias que pueden obtener los ciberdelincuentes al defraudar una cuenta. Si bien se encontraron diferentes rangos de ganancias, según el objeto de estudio, se observa que en cualquier caso las ganancias de estas actividades son altamente rentables. En el informe “Understanding the cost of cybercrime”, se encuentra que mientras los vendedores que ofrecen datos de tarjetas de crédito y débito pueden ganar entre £ 4,000 y £ 16,000 al precio mínimo, los compradores de estos datos financieros robados pueden ganar entre £ 6.1 millones y £ 25.2 millones, dependiendo de cuántas de las cuentas estuvieran activas si se compraron en lotes de 50 grupos de datos de cuentas (Home Office, 2018).
El estudio “Measuring the cost of cybercrime” se centra en el análisis de datos para el Reino Unido; indica que los diferentes costos que genera el cibercrimen en la sociedad y en las empresas, los costos de defensa o de prevención pueden compararse con las pérdidas reales. Sin embargo, aquellos costos indirectos (pérdidas y costos de oportunidad impuestos a la sociedad por el hecho de que se lleve a cabo un determinado ciberdelito independientemente de que tenga éxito o no) en los que incurren las empresas por temor al fraude, tanto para consumidores como para comerciantes, son varias veces superiores (Anderson, 2012).
En el caso colombiano, el informe “Costos del cibercrimen en Colombia 2016-2017”, del Centro Cibernético Policial, encontró que para el 2017, las ganancias asociadas a las estafas mediante compras online oscilan entre $ 30.000 y $ 300.000, y las asociadas al phishing (suplantación de páginas bancarias o de gobierno) oscilan entre $ 200.000 y $ 50.000.000, dependiendo de la cantidad de dinero que las víctimas tengan en sus cuentas bancarias o el monto de su tarjeta de crédito (Policía Nacional de Colombia, 2017).
Asimismo, una mayor aproximación a la función de costos y beneficios de los ciberdelincuentes, implica también observar costos asociados como el tiempo dedicado a realizar el fraude y el precio de adquirir las herramientas cibernéticas. Si bien estas variables escapan al objeto de este estudio, publicaciones como “Russian Underground 2.0”, que es un estudio del mercado negro o clandestino en el que interactúan cibercriminales rusos, presenta el comportamiento de los precios de algunos servicios ofrecidos en este mercado a través de los años (Goncharov, 2015).
Finalmente, el principal insumo para este estudio son las cifras relacionadas con denuncias y capturas de la Ley 1273 de 2009, que modifica el Código Penal y tipifica los delitos informáticos en Colombia. Esta ley constituye el primer objeto de estudio de esta investigación (en cuanto a su eficiencia). La ley adiciona al Código Penal el título VII BIS, “De la protección de la información y de los datos, y agrega los artículos 269A a 269J, que mencionan las penas de prisión y las multas en salarios legales mensuales vigentes de quienes cometan este tipo de delitos.
En vista de lo anterior, existe un punto de partida para hacer una aproximación al nivel de eficiencia de la Ley 1273 de 2009 y cuantificar las ganancias promedio de un ciberdelincuente en Colombia en un año, así como tratar de determinar los factores que explican estos dos objetivos.
Metodología
La información base la suministra la Dirección de Política y Estrategias de la Fiscalía General de la Nación, obtenida del Sistema Penal Oral y Acusatorio (SPOA), que indica el número de denuncias y capturas por delitos informáticos, al igual que las denuncias y capturas por hurto agravado, mensual y departamental del período 2010-2020. A partir de ello, se calcula un indicador de captura por denuncia Cd, que es la razón del número de capturas por denuncias por departamento para determinado año. A continuación, el indicador Cd:
Cd = Número de capturas / Número de denuncias
Este indicador se calcula para los delitos de hurto agravado y hurto por medio informático en los 32 departamentos y el Distrito Capital para el 2019.
Así entonces, se compara el indicador Cd entre un agregado de los delitos informáticos tipificados en la Ley 1273 de 2009 y el hurto calificado, con el fin de identificar si la aplicación de esta ley es tan efectiva a la de un delito de hurto. Se elige el delito de hurto calificado por tratarse de delitos similares (ambos involucran robo, al igual que el delito de hurto calificado es un delito “consolidado”, es decir, la policía está acostumbrada a atender denuncias de este tipo). Cabe mencionar que las diferencias en la efectividad pueden deberse a diferentes factores: como la preparación o capacitación en el manejo de pruebas que tienen las fuerzas policiales frente a un tipo de delitos, en comparación al otro para poder realizar capturas; el número de policías asignados para atender cada tipo de denuncias; qué tan fácil (o difícil) puede ser identificar a los ciberdelincuentes en comparación con los ladrones comunes; entre otros factores.
Siguiendo este análisis, se desea cuantificar la ganancia esperada de los ciberdelincuentes colombianos que buscan defraudar a clientes del sistema bancario colombiano mediante el phishing.
Para ello, se aplicará la función de ganancias esperadas por el ciberdelincuente, presentada por Konradt, que considera la posible ganancia de un ataque menos el posible costo del ataque (ecuación 1):
Las variables se interpretan así:
L = ganancia esperada por un ataque perpetuado. Se calcula a partir de la información recolectada por Asobancaria, de acuerdo con el “Informe mensual de fraude” elaborado con la información suministrada por sus agremiados sobre el reclamo por fraude promedio.
s1 = tasa de éxito de obtener la información. Calculada a partir de un indicador: número de usuarios afectados por un ataque, obtenido a partir de la información de la OEA de su documento del 2020: “Estado de la ciberseguridad en el Sistema Financiero Colombiano”, divido entre la cantidad de ataques en Colombia en el 2019, utilizando como proxy la variable k.
s2 = tasa de éxito de vender la información. A diferencia del estudio de Konradt et al. (2016), se toma como L la ganancia obtenida por los ciberdelincuentes del ataque perpetuado, y no la ganancia esperada de vender la información obtenida, por lo que se asume s2 = 1.
k = número de cuentas atacadas. Calculado a partir del porcentaje de colombianos que recibió ataques en el 2019, según el informe “Cybersecurity in Latin America” de Statista.
g = miembros de la banda delincuencial. Por principio de parsimonia, se asume que g = 1. Sin embargo, como se quiere saber la ganancia promedio de un ciberdelincuente, se reemplazará el valor de g por n.
n = número de capturas que se efectuaron en ese año.
F = multa por cometer estos delitos. Se revisó el Código Penal y se toman en cuenta las multas en salarios mínimos legales vigentes y los años de privación de libertad, y se consideran, asimismo, las rebajas de 3/5 partes que pueden darse en este tipo de delitos, correspondiendo así a seis años de cárcel. Para medir el costo de oportunidad de estos seis años de cárcel, se toma el salario promedio colombiano para el 2019, según las cifras de la Organización para la Cooperación y el Desarrollo Económicos (OCDE, 2021).
Pc(k) = probabilidad de ser capturado. Se utilizará el indicador Cd. En Konradt et al. (2016) se presenta como una función dependiente de un parámetro b aleatorio y k, número de cuentas atacadas. Para calcular con mayor precisión b, se ha decidido emplear el número de cuentas atacadas ya estimado e igualar de la siguiente forma Pc(k) = Cd.
Así, la ecuación 2 queda de la siguiente forma:
Finalmente, se evalúa la posibilidad de que a partir de un ataque de un cibercriminal las ganancias sean mayores a 0, y se analiza el efecto (y su magnitud) que aumenta en las variables k (número de cuentas atacadas), s1 (tasa de éxito en la obtención de información) y F (multa por la comisión de estos delitos), en la función de beneficios del ciberdelincuente.
Análisis de información preliminar
Con base en la información suministrada por la Dirección de Política y Estrategias de la Fiscalía General de la Nación, obtenida del Sistema Penal Oral y Acusatorio (SPOA), para el 2019 se recibieron 23.917 denuncias de los delitos tipificados en la Ley 1273 de 2009 en materia de los delitos informáticos. De estos últimos, 13.242 denuncias corresponden a hurto por medio informático (55.37%), seguidas por acceso abusivo a un sistema informático con 3.492 denuncias (14.6%) y violación de datos personales con3.178 denuncias (13.29%) (Corporación Excelencia en la Justicia, 2019)
De igual manera, para el mismo año, se presentaron 1361 detenciones para los delitos tipificados en esta ley. Que corresponden a 541 capturas a hurto por medio informático (31.94%), 454 capturas (26.8%) de acceso abusivo a un sistema informático, y violación de datos personales con 366 capturas (21.61%). En cambio, para este mismo año, 2019, en cuanto al delito de hurto calificado, se tuvieron 115.074 denuncias, con 26.276 capturas.
Al observar esta información a nivel departamental, se encuentra que Bogotá es la entidad territorial con mayor número de denuncias por delitos informáticos, con 8.097, seguida de Antioquia con 2.934 denuncias y Valle del Cauca con 2.683. Asimismo, Bogotá es la entidad territorial con mayor número de capturas por delitos informáticos, con 625, seguida de Antioquia con 211 capturas y Bolívar con 153.
Para el delito de hurto calificado, Valle del Cauca es el primer departamento con 29.479 denuncias, seguido de Antioquia con 16.409 y Bogotá con 13.052 denuncias; mientras que, por capturas de este delito, Bogotá tuvo 7.858, seguida de Antioquia con 3.336 capturas y Valle del Cauca con 2.055.
Como se observa en la Figura 1, los principales entes territoriales donde ocurren los delitos informáticos son los centros urbanos importantes del país, en los que se concentran las actividades económicas y servicios financieros.
Indicador captura por denuncia (Cd) o probabilidad de ser capturado
A continuación, se presentan los resultados del indicador de captura por denuncia (Cd), que es la relación de número de capturas por denuncias por departamento para determinado año.
Al calcular el indicador de captura por denuncia (Cd), en primer lugar, se encuentra que son diez los departamentos que no tuvieron capturas por delitos informáticos en el 2019: Amazonas, Arauca, Archipiélago de San Andrés, Providencia y Santa Catalina, Guainía, Guaviare, La Guajira, Nariño, Putumayo, Vaupés y Vichada, por lo que el indicador de captura para estos departamentos es de 0. En estos departamentos se presentaron 710 denuncias, por lo que teniendo en cuenta que representa un valor bajo con respecto al total de denuncias por delitos informáticos para el 2019 (8.8%), se decidió excluirlos del estudio, pues el objetivo es centrarnos en comparar las entidades territoriales con un indicador Cd superior a 0.
Como se observa en las Figuras 2 y 3, los departamentos con mayor indicador de captura por denuncia son Bolívar con 24%, Meta con 18,2% y Risaralda con 14.5%. Estos indicadores al leerlos como porcentaje se interpretan como de cada 100 denuncias por delitos informáticos, se realizan x capturas”.
Fuente: datos aportados por la Fiscalía General de la Nación.
Figura 2 Indicador Cd por departamento.
Fuente: datos aportados por la Fiscalía General de la Nación.
Figura 3 Mapa territorial de Colombia (por indicador Cd).
Asimismo, estos indicadores se interpretan como la probabilidad de ser capturado por la policía al cometer un delito informático; así, la probabilidad de ser capturado en Bolívar por cometer un delito informático es del 24 %, mientras en Risaralda es del 14%.
En términos agregados, el indicador de captura nacional es de 7.1%, mientras que para hurto calificado es de 22.8%, como se verá más adelante. Ante estos resultados, se decidió analizar las variables: nivel de inclusión financiera y población estimada en los diferentes departamentos, y determinar si estas influyen en la dispersión del indicador en el ámbito nacional.
Al existir una mayor población con productos financieros, es posible que el número de denuncias por delitos informáticos sea mayor, lo que implica más trabajo para las fuerzas policiales. Sin embargo, también puede existir el efecto de que, con una mayor inclusión financiera, las fuerzas policiales pueden tener un mayor conocimiento de los delitos informáticos.
Teniendo en cuenta lo anterior, a partir del Informe de Inclusión Financiera de Personas Naturales para diciembre 2019 de la Banca de las Oportunidades (2020) la población estimada según el DANE y el índice de desarrollo humano (IDH) por entidad territorial, se analiza el comportamiento de las variables de población e indicador de acceso2 por departamento y el coeficiente de correlación con los delitos informáticos (véase Tabla 1).
El coeficiente de correlación entre el índice de captura por delitos informáticos y el indicador de acceso es de 17.49%; el coeficiente de correlación entre este índice de captura y el índice de desarrollo humano (IDH) es de 15.87%; mientras que el coeficiente de correlación entre el índice de captura y la población estimada es de −1.54% (véanse Figuras 4, 5 y 6).
A partir de estos resultados, se observa que el acceso a servicios financieros en las entidades territoriales y el índice de desarrollo humano no tienen una relación estadísticamente significativa a un nivel de confianza de 95%.
También se debe mencionar que, en promedio, la correlación entre el índice de captura por hurto calificado y los factores propuestos, es mayor, en términos generales, a los ligados al índice de captura por delitos informáticos. Esto claramente se puede obviar, puesto que tampoco representan una correlación significativa.
De esta forma, sugiere que entre departamentos existen factores difíciles de medir, que determinan la eficiencia de la captura de delitos informáticos. Por ejemplo, los factores de cohesión institucional de las entidades encargadas de las capturas; pues no cuentan con herramientas precisas para llevar a cabo su labor, debido a su capacidad de rastreo o de alcance.
Al observar la Figura 6, se identifica un grupo de datos, aquellos que se encuentran con una población menor a 2.500.000 habitantes3. Si bien el coeficiente de correlación entre el índice de captura Cd y la población es cercano a 0, los análisis a nivel departamental también se realizaron a partir de este subgrupo, ya que se supone que los miembros que lo integran tienen un desempeño similar frente al índice de captura por delitos informáticos.
De acuerdo con lo anterior, el subgrupo poblacional con menos de 2.500.000 habitantes no presenta un comportamiento diferente en sus correlaciones con respecto a lo observado previamente en el análisis sin la diferenciación propuesta de corte en 2.500.000 habitantes. De hecho, para este subgrupo, la correlación entre el índice de captura por delitos informáticos y la población es de −9.64%; entre el índice de captura por delitos informáticos y el índice de desarrollo humano es de 21.24%; mientras que entre el índice de captura por delitos informáticos y el indicador de acceso es de 25.4% (véase Tabla 2).
Asimismo, a partir de estos resultados, se observa que, para este subgrupo, el acceso a servicios financieros en las entidades territoriales y el índice de desarrollo humano, no tienen una relación estadísticamente significativa a un nivel de confianza de 95%.
Para finalizar, se realizó el ejercicio de proponer una regresión lineal simple, tomando como variable dependiente el índice de captura por delitos informáticos y los demás factores propuestos como variables independientes; también para el índice de captura por hurto calificado como variable dependiente. Como resultado, se encontró que ninguna de las variables tiene un coeficiente significativo, lo que afirma la hipótesis de que son otras variables las que pueden estar explicando estos índices.
Resultados: comparación entre índices de captura de delito informático e índices de captura de hurto calificado
A continuación, se presenta el índice de captura de hurto calificado para el 2019 (SPOA, 2019) para las 23 entidades territoriales que se consideran en el estudio (véase Figura 7). Como en el índice de captura de delitos informáticos, este también se interpreta como “de cada 100 denuncias por hurto calificado, se realizan por capturas”. De igual manera, se calcula el coeficiente de correlación entre el índice de hurto calificado y el indicador de acceso a servicios financieros (25.47%), entre la población estimada (20.73%) y el índice de desarrollo humano (25.47%).
Fuente: datos aportados por la Fiscalía General de la Nación.
Figura 7 Indicador de captura por hurto calificado por departamento.
A partir de esta información, se comparan los índices de captura de hurto calificado y el índice de captura para delitos informáticos Cd (véase Figura 8).
Fuente: datos aportados por la Fiscalía General de la Nación
Figura 8 Comparación entre índices de captura a nivel de entidad territorial.
En los anexo 1 y 2 de este documento, se relacionan las capturas y denuncias con el indicador de captura por departamento y el acceso de la denuncia que relacionan el cumplimiento entre la denuncia y el delito por territorio.
Se observa que, para la mayoría de las entidades territoriales, el indicador de captura por hurto calificado es mayor que el de delito informático, siendo las únicas excepciones Bolívar y Risaralda; lo que sustenta la hipótesis de que la ejecución de la Ley de Delitos Informáticos, de 2009 ha sido menos eficiente, al menos en la mayoría de los departamentos, si se compara con el delito de hurto calificado.
Además, cuando se analiza el indicador de captura para hurto por medio informático (el delito informático del que más se recibieron denuncias), se encuentra que para todas las entidades territoriales la diferencia es negativa, por lo que el índice de captura por hurto por medio informático es menor al de hurto calificado4.
Por otra parte, llama la atención el poco número de denuncias por delitos relacionados con el hurto por medios informáticos. Si se tiene en cuenta que, para efectuar un hurto por medio informático, es habitual que se realicen accesos abusivos, software malicioso o uso no autorizado de información personal (como se indicó en la Figura 1), lo que podría indicar una cierta falta de conocimiento de los entes policiales al atender las denuncias que reciben.
Continuando con la comparación de estos índices, al analizar las correlaciones de variables como el indicador de acceso, la población y el índice de desarrollo humano, se encuentra que estas variables no presentan correlaciones significativas a un nivel de confianza del 95%. Por tanto, se podría afirmar que estas variables no tienen relación con la capacidad o eficiencia de las fuerzas policiales de las entidades territoriales, para realizar capturas en delitos tipificados en la Ley 1273 de 2009 o delitos de hurto calificado, indicando que son otros aspectos y no los que suelen asociarse a un mayor desarrollo (mayor población, desarrollo humano o inclusión financiera) que hacen que las fuerzas policiales sean más eficaces.
En el caso de los departamentos de Bolívar y Risaralda, se observa que el indicador para el “acceso abusivo a un sistema informático es mayor al indicador para hurto calificado5, y es el principal delito que permite que Cd sea mayor al indicador de hurto calificado. Sería de interés observar y conocer los procedimientos que realizan en estos departamentos frente a este tipo de delitos, para así identificar buenas prácticas que se puedan compartir con las otras entidades territoriales.
A continuación, se calculan los indicadores de captura para delitos informáticos y de hurto calificado para tres grupos identificados en la Figura 6, los que se encuentran por encima de la tendencia y con una población menor de 2.500.000 habitantes; los que están por debajo de la tendencia y con una población menor de 2.500.000 habitantes, y los principales centros poblacionales que superen los 2.500.000 habitantes (véase Figura 9).
Fuente: datos aportados por la Fiscalía General de la Nación.
Figura 9 Comparación entre índices de captura entre grupos.
De estos grupos, los principales centros urbanos son Antioquia, Atlántico, Bogotá, D. C., Cundinamarca y Valle del Cauca; los departamentos con bajo Cd: Boyacá, Caldas, Cauca, Córdoba, Magdalena, Norte de Santander, Santander, Sucre y Tolima, y los que presentan alto Cd: Bolívar, Caquetá, Casanare, Cesar, Chocó, Huila, Meta, Quindío y Risaralda.
De la información de la Figura 9, es posible observar que los departamentos con alto índice de captura en delitos informáticos, son los que tienen mayor índice de captura en hurto calificado; lo que sustenta la idea de que la eficiencia en la captura de delitos informáticos no está relacionada con los indicadores de población, desarrollo humano o acceso a servicios financieros, sino con la formación que reciben las fuerzas policiales de estos territorios y que pueden estar asociadas en la misma formación en delitos como el hurto calificado.
También se debe mencionar que la correlación entre el índice de captura por delitos informáticos y el índice de captura por hurto calificado, no supera ni siquiera el 10% para los grupos poblacionales de menos de 2.5 millones de habitantes, así como tampoco para grupos de más de 2.5 millones de habitantes.
Finalmente, se muestra el valor de los indicadores de captura de delitos informáticos Cd y hurto calificado en los últimos diez años, con el fin de conocer su comportamiento (véanse Figuras 10 y 11).
Fuente: datos aportados por la Fiscalía General de la Nación.
Figura 10 Comportamiento histórico del indicador de delitos informáticos Cd.
Fuente: datos aportados por la Fiscalía General de la Nación.
Figura 11 Comportamiento histórico del indicador de hurto calificado.
La Figura 12 muestra que el indicador de delitos informáticos Cd ha sido menor en los últimos años en comparación con el de hurto calificado.
Fuente: datos aportados por la Fiscalía General de la Nación.
Figura 12 Comportamiento histórico del indicador de hurto calificado y delitos informáticos.
Teniendo en cuenta los resultados de esta primera fase del estudio, se puede afirmar y concluir que la eficiencia de la aplicación de la Ley 1273 de 2009, que tipifica los delitos informáticos, ha sido baja en comparación con un delito similar como lo es el hurto calificado. Asimismo, si se tiene en cuenta que el indicador analiza la relación de capturas por denuncias, ya baja de por sí, se esperaría que la relación de sentencias por denuncias sea igual o menor (no todas las capturas necesariamente conllevan sentencias).
Por consiguiente, se observa que las variables inclusión financiera, población o desarrollo humano no tienen relación con que una región o un departamento sea más eficiente enfrentando a estos delitos, lo que sugiere que son mecanismos directamente asociados con la formación de la Policía Nacional en determinadas entidades territoriales, que les permite ser más eficientes que otras. Estos mecanismos pueden ser capacitaciones en temas como identificación de evidencia digital, extracción y uso de información electrónica involucrada en casos de fraude digital, conocimiento del marco jurídico y legal para el adecuado manejo de estos casos, entre otros.
A continuación, se procede con la segunda hipótesis del estudio, que establece que, dado que la tasa de captura (eficiencia) en los delitos informáticos en Colombia es baja, el ciberdelincuente percibe que las ganancias de un ciberataque a los usuarios financieros son mayor o al menos igual a 0 pesos.
Como se mencionó, la ecuación 3 que se va a utilizar está definida como:
Análisis de la función de beneficios del ciberdelincuente (ganancias)Ecuación 4
Las ganancias de la ciberdelincuencia vienen dadas por la parte izquierda de la ecuación, compuesta de L, s1, s2, k y n. Como se mencionó anteriormente, se asume s2 y n iguales a 1.
Para calcular k (número de cuentas atacadas), se usaron los datos obtenidos del informe “Cybersecurity in Latin America” de Statista (2019), estimando así 6.618.311 personas (y cuentas) atacadas en el 2019 en Colombia.
En el caso de s1 (tasa de éxito en la obtención de información), se divide el número de personas que fueron objeto de fraude en el 2019, de acuerdo con la información de la Organización de los Estados Americanos (OEA, 2020), que se estiman en 91.989, entre el número de cuentas atacadas (es decir k), lo que da como resultado 0.0139 o 1.39%.
Para estimar L, a partir de los datos recolectados por Asobancaria y sus entidades agremiadas, se estima que para el 2019 la reclamación por fraude promedio por persona fue de $ 825.050.
Finalmente, se obtiene que las ganancias promedio para el 2019 de la ciberdelincuencia en Colombia (L*s1*k) fueron de $ 75.895.568.279. Teniendo en cuenta que el objeto del estudio es estimar la ganancia promedio de un ciberdelincuente, estas ganancias totales se dividen por n (un proxy, que puede ser imperfecto en el corto plazo, del número total de ciberdelincuentes)6, que es el número de capturas en el 2019 (1.694), dando así $ 44.802.579; ganancia anual promedio del ciberdelincuente.
Ganancias totales
Con base en los resultados anteriores, se estima que los beneficios o “ganancias netas” del ciberdelincuente son de $ 37.215.330 promedio anual, lo que permite afirmar nuestra hipótesis de que los ciberdelincuentes perciben que las ganancias de esta actividad son mayores a 0. A partir de este resultado, se efectúan los análisis de sensibilidad de las variables k, s1 y F, para determinar cómo se pueden reducir las ganancias esperadas y de esta manera reducir la ciberdelincuencia en Colombia.
Análisis de la función de beneficios del ciberdelincuente: costos
A partir de un promedio simple de los años que podría pasar en la cárcel un delincuente por cometer crímenes tipificados en la Ley 1273 de 2009, y teniendo en cuenta las rebajas de condena, se calcula un costo de oportunidad que equivale al salario promedio colombiano para el 2019, de acuerdo con las cifras de la Organización para la Cooperación y el Desarrollo Económicos (OECD, por sus siglas en inglés, 2021)7.
Este costo de oportunidad corresponde a F y se estima en $ 107.121.744.
Pc (k) corresponde a la probabilidad de ser capturado, por lo que se tomará el valor hallado de Cd a nivel nacional, que corresponde a 0.071 o 7.1%.
Con estos datos, se estima que el costo esperado asociado con cometer ciberdelitos en Colombia −F * Cd − es de $ 7.587.249.
Análisis de sensibilidad
Análisis de sensibilidad: número de cuentas atacadas k
Se realiza un análisis de sensibilidad con la variable k, con el fin de determinar el número de cuentas afectadas para que los ciberdelincuentes perciban 0 pesos como ganancias netas. Se obtiene como resultado que para que las ganancias netas sean iguales a 0, es necesario que k se reduzca a 1.120.801 cuentas, es decir, una disminución del 83.07% (su valor actual es de 6.618.311). Reducir el número de cuentas atacadas a estos niveles es una tarea complicada, considerando que cada vez más personas acceden a los servicios financieros y que los ciberdelincuentes acceden a nuevos programas maliciosos, que son cada vez más eficientes para llegar a mayor cantidad de usuarios para estafarlos. Teniendo esto presente, se procede al análisis de la variable s1.
Análisis de sensibilidad: tasa de éxito de los ataques s1
Para que los ciberdelincuentes perciban ganancias netas de 0, es necesario que s1 disminuya a un valor de 0.235%, lo que equivale a una disminución del 83.07% o a 1.155 puntos porcentuales (su valor actual es de 1.39%).
La diferencia del análisis con cuentas afectadas, la reducción de la tasa de éxito es más fácil, ya que esta se puede disminuir con políticas públicas, ya sea con mayor protección o cautela de los usuarios, no entregando su información personal en correos sospechosos, no abriendo enlaces maliciosos, entre otros. Además, estrategias propuestas por la Asobancaria, como el bloqueo preventivo de los URL maliciosos para evitar que los usuarios financieros accedan a estos, se transforman en una excelente herramienta para disminuir la tasa de éxito de los ciberataques.
Los bancos, constantemente realizan actividades de concientización y educación financiera, y en el caso colombiano, actores como la Policía Nacional, Incocrédito y Asobancaria hacen constantes esfuerzos para concientizar a los usuarios financieros sobre la importancia de cuidar datos sensibles como contraseñas y claves de sus productos.
Análisis de sensibilidad: multa por cometer estos delitos F
Para que los ciberdelincuentes obtengan una ganancia neta de 0, F debe aumentar a $ 632.552.114, lo que implica un aumento del 490,50%, que equivale a 523.430.370 más del valor actual. Para lograr este incremento, es necesario aumentar a más de 35 años la condena que figura en el Código Penal para los delincuentes que cometen el delito de hurto por medios informáticos, o reducir los beneficios de penas para este tipo de delitos.
Las reformas a las leyes y al Código Penal colombiano implican esfuerzos en el poder legislativo, por lo que a mediano y corto plazo la modificación de estas normas es poco viable. De igual manera, incrementar las penas que cumplirían los delincuentes implica aumentos en los costos del Estado para una mayor población carcelaria. Finalmente, es aún más importante considerar que los cambios al sistema penitenciario, no solo deben contemplarse en términos económicos, sino también desde aspectos de las ciencias sociales como las teorías punitivas, la reinserción social, entre otros.
Análisis de sensibilidad: probabilidad de ser capturado Pc(k) = Cd
Para que los ciberdelincuentes obtengan ganancias netas de 0, Pc(k) = Cd debe aumentar al 41.82%, lo que representa un aumento de 490.50% o 34.74 puntos porcentuales (actualmente es de 7.08%). Este aumento implica un mayor número de capturas, por lo que es deseable y necesario un mayor nivel de formación en capacidades judiciales o de investigación para tratar estos delitos entre los miembros de la Policía Nacional.
Teniendo en cuenta que los cambios en la tasa de éxito s1 y la probabilidad de ser capturado, Pc(k) son los de mayor interés, a continuación, se realiza un análisis bivariado con estas dos variables.
Análisis bivariado
Se realiza un análisis de tipo bivariado en una tabla de decisión con dos variables que se pueden mover a través de políticas públicas. Así, se presentan los aumentos en cada variable para mostrar el resultado de las ganancias del ciberdelincuente, si todas las demás variables se mantienen constantes. En la Tabla 3 se presenta la información del análisis.
Se observa que los aumentos en la probabilidad de ser capturado junto a la disminución en la tasa de éxito de los ataques pueden llevar incluso a generar “ganancias negativas” para el ciberdelincuente, algo deseable. Asimismo, aun con un aumento del 100% en la probabilidad de ser capturado, a la tasa actual de éxito de los ataques (1.39%), todavía quedan más de la mitad de las ganancias esperadas, mientras que una reducción cercana al 50% en la tasa de éxito sí implica una reducción de más del 50% en las ganancias esperadas.
Por tanto, se destaca la importancia y el efecto de las políticas que generan una reducción en la tasa de éxito de los ciberataques, con el fin de disuadir a los ciberdelincuentes de realizar ataques.
Conclusiones
Esta investigación ha permitido identificar que la eficiencia de la Ley 1273 de 2009 sobre delitos informáticos, ha sido baja en comparación con los delitos también consolidados, como el hurto calificado. Existen solo dos departamentos con una tasa mayor de capturas por delitos informáticos en comparación con la de hurto calificado. Asimismo, se encuentra que la ganancia neta esperada de los ciberdelincuentes es mayor a 0 y, por tanto, estos tienen incentivos para seguir cometiendo estos crímenes.
Asimismo, se puede estimar que las variables como población, indicador de acceso o desarrollo humano, no tienen relación con un departamento específico, en especial, que enfrente con más efectividad estos delitos; lo que sugiere que existen otros mecanismos o variables que se correlacionan con estos índices. Por ejemplo, variables difíciles de medir como la formación de la Policía Nacional y la Fiscalía en determinadas seccionales, capacitaciones en temas de identificación de pruebas digitales, extracción y uso de información electrónica involucrada en casos de fraude digital, conocimiento del marco jurídico y legal adecuado para el manejo de estos casos, entre otros.
De igual manera, se destaca que la falta de correlación regional entre el indicador de hurto calificado y el indicador de delitos informáticos sugiere que las diferencias regionales entre estos, no se explican por diferencias en las capacidades de la policía. Es decir, no existe una relación positiva directa entre la capacidad institucional de la policía en delitos de hurto calificado y los delitos informáticos. A su vez, las dinámicas de fortaleza institucional se reflejan en que, si bien ambos son delitos, existen diferencias cuando se trata de capacitar a los policías para que cumplan su valiosa labor.
Al analizar las variables (k = número de cuentas atacadas y F = multa por cometer estos delitos) de la ecuación de beneficios del ciberdelincuente, se denota que estas son difíciles de modificar por la política pública. La tendencia de k es aumentar a medida que existan más personas bancarizadas y la tendencia de F depende de la política criminal de Colombia; por lo cual, el reto es integrar estas dos variables en la agenda nacional para mejorar la capacidad operativa de los entes de control y policivos. Por ello, se encuentra que las variables más factibles de modificar mediante propuestas de política pública son s1 (tasa de éxito en la obtención de información) y transversalmente, la probabilidad de ser capturado por delitos informáticos Cd. Al combinarse, se requerirían cambios factibles para que las ganancias del ciberdelincuente en un año sean cercanas a 0, de acuerdo con nuestro análisis, manteniendo todo lo demás constante (Principio de Pareto).
Estos resultados nos sugieren buscar diferentes estrategias, como diseñar un indicador que mida la efectividad del delito, y se propone realizar una mesa de seguimiento entre entidades de investigación y la Asobancaria, donde se determine el avance del indicador con variables como el desarrollo formativo, herramientas de investigación, entre otras. Se pueden crear indicadores por regionales y departamentos que en conjunto determinen planes de acción con la Policía y Fiscalía para incrementar el nivel de captura del delito respecto a las denuncias, asegurando el cumplimiento de la Ley 1273 de 2009.
Se recomienda mejorar el trabajo conjunto en comunicación y capacidad institucional articulada para el gremio financiero, entidades gubernamentales y las entidades responsables de las capturas por estos delitos (Policía Nacional, jueces, Fiscalía, bancos, Colcert, CSIRT, entes territoriales). También, hacer más campañas orientadas al usuario, que se centren en la concientización y de educación financiera, con el objetivo de reducir los actos de cibercrimen, entre otros. Esta última recomendación se puede desarrollar a través de mensajes de textos o herramientas contra la ciberdelincuencia, con el objetivo de detectar mensajes maliciosos y bloquear las URL de riesgo cibernético para el usuario final, afectando los modos de operación de las bandas, correlacionando qué monitores IPS generan estos mensajes maliciosos y que afectan las estructuras de ganancias de los ciberdelincuentes.
