Delitos informáticos en casos de tragedias y cataclismos: cuando el fraude se disfraza de ayuda
Por Raymond Orta Martinez, Abogado Perito en Informática Forense +584143220886
En toda tragedia colectiva aparece una reacción humana inmediata: auxiliar, donar, compartir información, localizar familiares, apoyar a víctimas y canalizar recursos. Esa solidaridad, indispensable para la respuesta social, también abre una ventana de oportunidad para delincuentes informáticos. En terremotos, inundaciones, incendios, accidentes masivos, pandemias, conflictos armados o emergencias humanitarias, el delito digital se alimenta de tres factores: urgencia, emoción y desinformación.
El fenómeno no es teórico. La Agencia de Ciberseguridad e Infraestructura de Estados Unidos, CISA, ha advertido que, después de grandes desastres naturales, son comunes los correos electrónicos fraudulentos y mensajes en redes sociales con enlaces o archivos maliciosos. El FBI, a través del IC3, también ha señalado que los estafadores explotan eventos con víctimas masivas y desastres para solicitar falsas donaciones, suplantar agencias de asistencia, obtener datos personales o defraudar programas de ayuda. En 2024, el IC3 recibió más de 4.500 denuncias vinculadas con falsas organizaciones benéficas, campañas de crowdfunding y auxilio por desastres, con pérdidas aproximadas de 96 millones de dólares.
La tragedia como escenario de ingeniería social
El delincuente informático no necesita vulnerar primero una infraestructura compleja. Muchas veces le basta manipular la confianza. En situaciones de cataclismo, las personas verifican menos, comparten más y reaccionan con premura. Allí aparecen campañas falsas de donación, páginas clonadas de organismos humanitarios, perfiles apócrifos de rescatistas, códigos QR adulterados, enlaces de supuestas listas de desaparecidos, formularios de asistencia social y mensajes que piden pagos urgentes para traslados, medicinas, hospedajes o rescates.
La Comisión Federal de Comercio de Estados Unidos recomienda donar solo a organizaciones conocidas y confiables, desconfiar de entidades que aparecen “de la noche a la mañana” alrededor de una tragedia, no asumir que los mensajes publicados en redes sociales son legítimos y confirmar directamente los números o canales oficiales antes de donar por mensaje de texto.
En estos casos, el fraude no se presenta como fraude. Se presenta como auxilio. Esa es su mayor peligrosidad. El mensaje delictivo suele usar nombres de víctimas, imágenes conmovedoras, audios reenviados, logotipos institucionales, supuestos comunicados oficiales y llamados de urgencia moral: “dona ya”, “comparte antes de que lo borren”, “necesitamos ayuda inmediata”, “última oportunidad para registrar a los afectados”. El FBI advierte, además, que la inteligencia artificial puede incrementar la apariencia de legitimidad de estas suplantaciones, especialmente cuando se usan imágenes, textos o identidades fabricadas.
Modalidades frecuentes de delitos informáticos en emergencias
Las modalidades más comunes son las siguientes:
Primero, phishing y smishing con temática de desastre. El atacante envía correos, mensajes de texto o mensajes por aplicaciones de mensajería instantánea con enlaces que simulan provenir de organismos oficiales, refugios, hospitales, aerolíneas, aseguradoras o entidades humanitarias. El objetivo puede ser robar credenciales, instalar malware o capturar datos bancarios.
Segundo, falsas campañas de donación. Se crean páginas web, billeteras digitales, cuentas bancarias, perfiles en redes sociales o campañas de crowdfunding que aparentan recaudar fondos para víctimas reales o ficticias. En algunos casos se utilizan fotografías robadas de tragedias anteriores.
Tercero, suplantación de identidad institucional o personal. El delincuente se presenta como autoridad pública, bombero, médico, rescatista, dirigente comunitario, periodista, influencer, familiar de una víctima o representante de una organización no gubernamental. El IC3 ha advertido expresamente que los estafadores pueden hacerse pasar por entidades oficiales, celebridades, influencers o víctimas de alto perfil para solicitar donaciones.
Cuarto, fraude contra damnificados. No solo se engaña a quienes desean donar. También se engaña a las víctimas directas mediante falsos formularios de ayuda, supuestos registros de indemnización, trámites de refugio, bonos, seguros, remesas o subsidios. La finalidad puede ser obtener documentos de identidad, claves, números telefónicos, datos biométricos o información patrimonial.
Quinto, ataques contra infraestructura crítica. Hospitales, alcaldías, organismos de protección civil, empresas eléctricas, sistemas de agua, telecomunicaciones y plataformas logísticas pueden ser objeto de ransomware, sabotaje informático o acceso indebido precisamente cuando su continuidad operativa es más necesaria. INTERPOL ha señalado que el ciberdelito tiene alcance global, puede involucrar actores en varios países, infraestructura maliciosa distribuida en múltiples jurisdicciones y víctimas ubicadas en distintas regiones.
Enfoque jurídico venezolano
En Venezuela, la Ley Especial contra los Delitos Informáticos, publicada en la Gaceta Oficial N.º 37.313 del 30 de octubre de 2001, tiene por objeto la protección de bienes jurídicos frente a conductas cometidas mediante tecnologías de información.
Dependiendo de la modalidad concreta, una conducta cometida durante una tragedia o cataclismo puede subsumirse en varios tipos penales de dicha Ley. El acceso indebido a sistemas se encuentra previsto en el artículo 6; el sabotaje o daño a sistemas, en el artículo 7; y el acceso indebido o sabotaje contra sistemas protegidos, destinados a funciones públicas o que contengan información personal o patrimonial, activa el régimen del artículo 9.
Cuando el atacante obtiene, revela o difunde información contenida en sistemas, puede configurarse espionaje informático conforme al artículo 11. Si crea, modifica, elimina o incorpora documentos digitales inexistentes en un sistema, puede configurarse falsificación de documentos conforme al artículo 12. Si mediante tecnologías de información se apodera de bienes o valores patrimoniales, puede existir hurto informático conforme al artículo 13; y si manipula sistemas o datos para obtener provecho injusto en perjuicio ajeno, puede configurarse fraude conforme al artículo 14.
También son relevantes los delitos contra la privacidad de las personas y de las comunicaciones. La Ley sanciona el apoderamiento, uso, modificación o eliminación no consentida de datos personales incorporados en sistemas; el acceso, captura, interceptación o modificación de mensajes de datos o comunicaciones ajenas; y la revelación indebida de datos personales obtenidos por tales medios.
En materia de falsas ofertas digitales, el artículo 26 sanciona a quien ofrezca, comercialice o provea bienes o servicios mediante tecnologías de información haciendo alegaciones falsas o atribuyendo características inciertas a la oferta, cuando ello pueda perjudicar a consumidores. Este tipo resulta especialmente aplicable a falsos servicios de traslado, hospedaje, medicinas, reparación, seguros, equipos de emergencia o suministros ofrecidos durante desastres.
La Ley también contempla extraterritorialidad cuando el delito se comete fuera del territorio venezolano pero produce efectos dentro de la República, siempre que concurran las condiciones legales. Además, prevé responsabilidad de personas jurídicas cuando el hecho punible sea cometido por decisión de sus órganos, en el ámbito de su actividad, con sus recursos sociales o en su interés exclusivo o preferente.
La prueba digital: capturar no es preservar
En estos delitos, la prueba digital es determinante. Sin embargo, una simple captura de pantalla rara vez basta por sí sola para sostener técnicamente una atribución, demostrar integridad o reconstruir la trazabilidad del hecho. La evidencia debe preservarse con método.
En una investigación seria deben asegurarse, entre otros elementos, los encabezados completos de correos electrónicos, dominios utilizados, direcciones IP, URL, registros de DNS, fecha y hora de recepción, metadatos de archivos, historial de chats, identificadores de cuentas, números telefónicos, comprobantes de pago, billeteras de criptomonedas, cuentas receptoras, códigos QR, publicaciones originales, enlaces acortados y registros de interacción. El IC3 recomienda incluir, al denunciar, datos identificativos de la persona u organización involucrada, correos, teléfonos, direcciones, usuarios de redes sociales, información financiera, tipo y monto de pago, cuentas involucradas y direcciones de criptomonedas receptoras.
Desde el punto de vista pericial, la prioridad es documentar la evidencia sin alterarla, calcular valores hash cuando proceda, conservar archivos originales, levantar actas de extracción, mantener cadena de custodia y diferenciar entre contenido auténtico, contenido reenviado, contenido editado y contenido atribuido falsamente a una fuente legítima.
Prevención para ciudadanos, empresas e instituciones
Para ciudadanos y donantes, la regla básica es verificar antes de transferir. No debe donarse por presión emocional inmediata ni mediante enlaces recibidos de remitentes desconocidos. Tampoco debe enviarse dinero a individuos no verificados, ni entregar datos financieros o personales a supuestos gestores de ayuda. El FBI recomienda desconfiar de comunicaciones que exijan actuar con rapidez, no abrir enlaces o adjuntos de desconocidos, revisar dominios y encabezados de correos, evitar pagos con tarjetas de débito, tarjetas de regalo o tarjetas prepagadas, y no pagar supuestos cargos adicionales para recuperar fondos perdidos.
Para organizaciones humanitarias, alcaldías, empresas y colegios profesionales, la prevención exige preparación previa. Deben existir canales oficiales de donación, dominios protegidos, autenticación multifactor, protocolos de comunicación pública, monitoreo de sitios clonados, respaldo de bases de datos, planes de continuidad operativa y procedimientos de respuesta a incidentes. En emergencias, improvisar comunicaciones digitales es abrir una puerta al fraude.
Para medios de comunicación y líderes comunitarios, el deber es no amplificar información no verificada. En tragedias, un enlace falso puede circular más rápido que un comunicado oficial. Compartir sin verificar puede convertir a una persona de buena fe en vector involuntario de una campaña criminal.
Los delitos informáticos en tragedias y cataclismos tienen una gravedad particular: no solo lesionan patrimonios, sistemas o datos personales; también parasitan el dolor colectivo y la confianza social. El delincuente digital que aprovecha una emergencia no actúa en un vacío moral ni jurídico. Actúa sobre víctimas emocionalmente vulnerables, instituciones saturadas y comunidades necesitadas de información confiable.
La respuesta debe ser jurídica, técnica y preventiva. Jurídica, porque estas conductas deben calificarse penalmente con rigor. Técnica, porque sin evidencia digital preservada correctamente la persecución penal se debilita. Preventiva, porque en escenarios de desastre la ciberseguridad no es un asunto accesorio: es parte de la protección civil, de la continuidad institucional y de la defensa de las víctimas.