“En muchos casos, la víctima entrega toda la información disponible y termina encontrándose con ministerios públicos que carecen de conocimientos técnicos para interpretar un encabezado de correo electrónico, una dirección IP o un registro de autenticación”, señala. “El problema, por tanto, no es únicamente recabar pruebas, sino que exista una capacidad institucional para procesarlas”.
Fabio Assolini, director del equipo global de investigación y análisis de Kaspersky, agrega que con la capa de la IA, los ataques demuestran un nuevo nivel de complejidad para su atención, ya sea por parte de autoridades, como de especialistas en la materia.
La evidencia digital, por lo tanto, puede ser sólida, pero también requiere de instituciones preparadas para analizarla y convertirla en una investigación efectiva. De lo contrario, afirma el experto de SILKN, muchas denuncias seguirán sin traducirse en sanciones para los responsables.
Preparación y brechas para las autoridades, los pendientes de la ciberseguridad en México
La nueva tipificación puede facilitar el trabajo de las autoridades al permitir perseguir directamente conductas como el phishing, pero si no va acompañada de recursos, capacitación, coordinación entre instituciones y una estrategia nacional de ciberseguridad con objetivos claros, advierte Ruiz, corre el riesgo de convertirse únicamente en un cambio legislativo con poco impacto operativo.
Asimismo, resalta que existe una brecha en la tipificación del delito, pues si está previsto solo en el Código Penal de la Ciudad de México, su aplicación corresponde a hechos que sean competencia de las autoridades capitalinas. Es decir, un ataque en otro estado quizá no quede impune, pero deberá perseguirse con base en los tipos penales vigentes en esa entidad, ya sea como fraude, usurpación de identidad o acceso ilícito a sistemas, si es que esa legislación no contempla expresamente el phishing.
Desde una perspectiva de ciberseguridad, ese escenario genera un problema de fragmentación, pues los ataques no respetan fronteras y el pretender combatir una amenaza global con legislaciones locales distintas “crea vacíos jurídicos y diferencias en la forma en que se investigan y sancionan los casos”, resalta.
Por lo tanto, el verdadero reto no es solo tipificar el phishing en una entidad federativa, concluye Ruiz, sino “contar con un marco jurídico homogéneo en todo México, acompañado de fiscalías especializadas, policías cibernéticas con capacidades técnicas y mecanismos de coordinación entre los estados y la Federación”.
