Ciberdelincuencia, el crimen que no necesita pistola

Imagine un negocio que ha crecido más de cinco veces en diez años, que opera las veinticuatro horas del día desde cualquier país del mundo, que no requiere violencia física y que cada vez necesita menos conocimientos técnicos para ponerse en marcha.

No es una startup de éxito. Es la ciberdelincuencia. Y esta semana, en el Auditorio Cartuja de Sevilla, uno de los fiscales especializados en perseguirla ofreció un diagnóstico que debería leerse fuera de los foros tecnológicos.

"El crecimiento de la ciberdelincuencia en los últimos diez años ha sido absolutamente exponencial, multiplicándose por más de cinco", afirmó Gabriel González, fiscal delegado de Criminalidad Informática del Ministerio Fiscal, durante su intervención en la IX edición del 5G Forum.

El dato que siguió fue aún más demoledor: "La estafa o fraude informático es el tercer delito en número de procedimientos en España, solo por detrás de las lesiones y la violencia de género".

Dicho de otro modo: en España se cometen más fraudes digitales que robos, más ataques informáticos que agresiones físicas con arma. Y la tendencia no se frena. Se acelera.

El crimen como servicio

Una de las claves del crecimiento explosivo de la ciberdelincuencia es lo que González denominó "crime as a service": un modelo en el que cualquier persona, sin conocimientos técnicos, puede contratar en internet herramientas o servicios listos para delinquir.

Campañas masivas de phishing -los correos o mensajes fraudulentos que suplantan identidades para robar datos o dinero-, ataques para bloquear sistemas informáticos de empresas o programas de espionaje digital están disponibles como si fueran aplicaciones de pago.

El fiscal explicó cómo este modelo ha reducido enormemente la barrera de entrada al cibercrimen. La profesionalización del sector delictivo digital ha llegado al punto de que algunas organizaciones criminales operan con estructuras empresariales propias: departamentos técnicos, atención al cliente para sus propias víctimas en casos de ransomware -el secuestro de datos a cambio de un rescate- e incluso políticas de devolución si el ataque no funciona.

A esto se añade la dificultad estructural de investigar estos delitos. El uso de redes privadas virtuales (VPN), sistemas de anonimización y operativas que saltan entre distintas jurisdicciones internacionales convierte cada investigación en un laberinto legal y técnico.

González reclamó en Sevilla una mayor colaboración entre administraciones, operadores de telecomunicaciones y plataformas tecnológicas, y fue directo sobre una medida concreta: "Reducir el anonimato en redes sociales facilitaría enormemente la prevención y persecución de estos delitos".

El 5G: más velocidad, más superficie de ataque

El contexto del 5G Forum no es casual. La expansión de las redes de quinta generación, que conectan no solo teléfonos sino fábricas, hospitales, vehículos, infraestructuras eléctricas y millones de sensores industriales, amplía de forma exponencial lo que los especialistas en ciberseguridad llaman "superficie de ataque": el conjunto de puntos vulnerables a través de los cuales un atacante puede intentar entrar en un sistema.

Antonio Sánchez-Maroto, responsable de desarrollo de negocio en ciberseguridad de MasOrange, lo explicó en términos contundentes: "El 5G ha provocado una explosión exponencial de identidades no humanas", desde robots y sensores hasta interfaces de programación entre sistemas, convirtiendo la gestión de esas identidades digitales en el nuevo perímetro de seguridad.

Y lanzó una advertencia que resume el cambio de paradigma: "En los entornos industriales 5G, las contraseñas ya no son un secreto: son una vulnerabilidad".

Roberto Lara, director de la unidad de negocio de ciberseguridad de Vodafone Business, añadió otra capa al problema: la evolución hacia infraestructuras definidas por software -es decir, redes cuyo funcionamiento depende cada vez más de programas informáticos y menos de hardware físico- multiplica los puntos de exposición.

"El perímetro tradicional desaparece", afirmó, defendiendo la adopción de modelos de seguridad conocidos como Zero Trust o confianza cero, en los que ningún usuario ni dispositivo es considerado seguro por defecto, incluso dentro de la propia red.

Las consecuencias de un ciberataque en entornos industriales conectados dejan de ser solo económicas. En sectores como la robótica industrial, la sanidad o las infraestructuras de energía, un ataque exitoso puede tener efectos físicos reales: una cadena de montaje paralizada, un sistema hospitalario bloqueado, una red eléctrica comprometida.

Menores, redes sociales y el daño que no se ve

Más allá del impacto económico y empresarial, González puso sobre la mesa en Sevilla una dimensión del cibercrimen que con frecuencia queda fuera del debate técnico: el daño humano.

"Las redes sociales y las plataformas de mensajería han facilitado enormemente delitos como el acoso, las amenazas o las agresiones sexuales virtuales", afirmó el fiscal, destacando especialmente la gravedad de los delitos contra menores y el impacto psicológico permanente que generan.

Es un recordatorio de que detrás de cada estadística de ciberdelincuencia hay personas concretas: empresarios que pierden los ahorros de años en una estafa bien construida, adolescentes cuyas imágenes circulan sin su consentimiento, trabajadores cuyas credenciales son robadas para acceder a los sistemas de su empresa.

La IA: arma y escudo a la vez

La inteligencia artificial aparece en este escenario con un papel ambivalente que los expertos reunidos en Sevilla no esquivaron.

"La inteligencia artificial está teniendo un doble impacto: facilita nuevas formas de delinquir, pero también empieza a utilizarse en la investigación y en el ámbito judicial", explicó González.

Los mismos algoritmos capaces de detectar patrones de fraude en millones de transacciones bancarias pueden usarse para generar correos de phishing personalizados a escala industrial o para crear identidades falsas convincentes.

Desde el lado de la defensa, representantes de operadoras y empresas tecnológicas coincidieron en que la automatización de la respuesta ante amenazas es ya una necesidad, no una opción. La velocidad a la que operan los ataques automatizados supera la capacidad de reacción humana.

"Hoy los ciberataques ya están siendo ejecutados de forma automatizada por máquinas", advirtió María Jesús Almazor, directora de ingresos de Telefónica Tech, que resumió que "la ciberseguridad ha dejado de ser una póliza de seguro en el ecosistema empresarial para convertirse en una licencia para operar".

Prepararse antes de que ocurra

Joel Zaragoza, director de servicios de Netmetrix, subrayó en su intervención que "ningún sistema de protección es fiable hasta que se demuestra en condiciones reales", apostando por la validación continua de infraestructuras críticas.

Y apuntó hacia un riesgo que todavía suena lejano pero que los especialistas llevan años advirtiendo: la computación cuántica, una tecnología emergente con capacidad potencial para romper los sistemas de cifrado sobre los que descansa hoy buena parte de la seguridad digital. "Hay que preparar desde hoy las infraestructuras 5G frente a futuros riesgos criptográficos", alertó.

Juan Cambeiro, de Telefónica, fue más explícito en la tercera jornada del foro: "Gran parte de la criptografía actual podría quedar obsoleta en la próxima década", apelando a acelerar la transición hacia lo que se conoce como infraestructuras quantum safe o criptografía postcuántica, diseñada para resistir los ataques de ordenadores cuánticos.

El mensaje es incómodo pero necesario: la seguridad digital ya no es un problema exclusivo de informáticos o grandes corporaciones. Es una cuestión de infraestructura crítica, de economía y, en última instancia, de vida cotidiana. El crimen evolucionó, y la respuesta tiene que hacerlo también.