Daño informático en Colombia: cómo se configura y qué pruebas sirven

En Colombia, el concepto penal de daño informático se configura cuando una persona realiza conductas que producen la destrucción, alteración, supresión o inutilización de datos, programas o sistemas informáticos, afectando la disponibilidad, integridad o funcionamiento de la información y de los servicios que dependen de ella. La regulación principal se encuentra en la normativa que tipifica los delitos informáticos, introducida por la Ley 1273 de 2009 y desarrollada en los artículos pertinentes del Código Penal. La caracterización exige analizar la conducta, el objeto jurídico protegido y la prueba que permita identificar autoría y resultado.

¿Cuándo aplica el tipo penal de daño informático?

Aplica cuando concurre una acción humana —típicamente dolosa— dirigida a afectar la información o los sistemas informáticos. Ejemplos habituales: eliminación masiva de bases de datos, propagación deliberada de software malicioso que inutiliza servidores, manipulación de archivos críticos para el funcionamiento de una plataforma o introducción de instrucciones que impidan el acceso legítimo (por ejemplo, cifrado masivo con demanda de rescate).

Es preciso distinguir entre actos accidentales o de mantenimiento negligente y actos intencionales; la mayoría de las tipificaciones penalmente relevantes exigen dolo (intención). También puede haber responsabilidad cuando la conducta imprudente produce un daño grave en sistemas críticos, pero la tipicidad penal depende de la norma concreta y del análisis del caso por la autoridad.

Elementos típicos del tipo penal (cómo se configura jurídicamente)

• Sujeto activo: cualquier persona con capacidad de actuar (persona natural o, en algunos aspectos, autoría por quienes ordenan la conducta).
• Conducta típica: destruir, alterar, suprimir, inutilizar, hacer inaccesible o dañar datos, programas o sistemas informáticos.
• Objeto material: datos, programas, sistemas, redes y equipos informáticos.
• Resultado: la efectiva afectación de la disponibilidad, integridad o funcionamiento del recurso informático.
• Tipicidad subjetiva: habitualmente dolo; es decir, el autor sabe y pretende el daño o actúa con conciencia de la posibilidad de causar el daño cuando la norma exige al menos culpa. Verificar la intención es crucial para la acusación.
• Antijuridicidad y culpabilidad: la conducta no debe estar justificada (por ejemplo, acciones autorizadas por el titular del sistema) y el autor debe ser imputable conforme al derecho penal.

Situaciones prácticas y problemas recurrentes

Confusión entre daño informático y otras figuras

Con frecuencia se confunden delito de daño informático con:

• Acceso abusivo a sistemas: entrar sin autorización a un sistema. Esa conducta puede ser delito por sí misma aunque no produzca daño. Si además se altera o destruye información, puede concurrir con daño informático.
• Interceptación ilícita: capturar comunicaciones o datos en tránsito sin autorización. Es distinta porque la finalidad es apoderarse o conocer información, no necesariamente destruirla.
• Fraude o estafa informática: usar sistemas para engañar y obtener un beneficio patrimonial. El fin es el enriquecimiento ilícito, mientras que el daño informático busca afectar la disponibilidad/integridad.

Problemas probatorios y de atribución

Los desafíos más frecuentes al perseguir daño informático incluyen:

• Atención a la atribución: los atacantes usan proxys, VPNs, servidores intermedios o cuentas de terceros, dificultando identificar al autor real.
• Desaparición de evidencia: logs rotados o sobrescritos, respaldos alterados, y registros en servidores ubicados en jurisdicciones extranjeras.
• Encriptación o destrucción previa de rastros: malware diseñado para limpiar huellas complica la reconstrucción.
• Daños en infraestructura en la nube: la responsabilidad puede implicar cooperación internacional o intervención del proveedor de servicios para obtener datos.

Pruebas útiles en casos de daño informático

La investigación penal se apoya en técnicas y medios de prueba técnicos y tradicionales. A continuación, los elementos probatorios más relevantes y su aporte:

• Imágenes forenses de discos y memoria RAM: copia bit a bit con hash que permita demostrar que la copia es fiel al original. Es fundamental para preservar evidencia sin alterarla.
• Logs de sistemas y aplicaciones: registros de acceso, errores, procesos y eventos que muestren la cronología del ataque (fechas, IPs, cuentas implicadas, comandos ejecutados).
• Backups y versiones anteriores: permiten verificar cuándo y cómo se produjo la alteración y estimar el alcance del daño.
• Metadatos y timestamps: fechas de modificación, creación y acceso en archivos que permiten reconstruir la línea temporal.
• Capturas de tráfico de red (PCAP): cuando están disponibles, muestran comunicaciones entre sistemas y pueden identificar transferencias, comandos remotos o exfiltración de datos.
• Informes periciales especializados: análisis realizados por peritos en informática forense que interpretan evidencias técnicas y determinan modus operandi.
• Registros de proveedores de servicios (hosting, correo, cloud): pueden aportar IPs origen, sesiones, identificadores y copias de archivos.
• Declaraciones de testigos y del personal técnico: corroboran hechos, tiempos y observaciones sobre el impacto y las medidas adoptadas.
• Evidencia física complementaria: CCTV, bitácoras de acceso físico a salas de servidores o controles de acceso que permitan relacionar personas con momentos claves.
• Hash y huellas digitales: suma de comprobación (MD5, SHA-256) que respalda la integridad de la evidencia copiada.

Cadena de custodia y conservación

Para que la evidencia sea admisible en juicio es esencial documentar la cadena de custodia: quién tomó la muestra, cuándo, cómo se almacenó, qué herramientas se usaron y las condiciones de custodia. Cualquier manipulación no justificada puede cuestionar la validez de la prueba técnica.

Actuación práctica tras detectar un daño

Pasos recomendables para preservar evidencia y facilitar la investigación penal o civil:

• No intervenir ni apagar equipos: salvo que exista riesgo operativo grave. Apagar puede eliminar información volátil (RAM). Si no se tiene experiencia forense, lo más prudente es aislar el equipo de la red y registrar su estado.
• Documentar todo: tomar fotos de pantallas, anotar mensajes de error, fechas y horas, usuarios conectados y cualquier acción inmediata realizada.
• Preservar respaldos y dispositivos: mantener copias de seguridad en lugar seguro y no sobrescribir registros.
• Solicitar peritaje especializado: técnicos forenses pueden realizar imagen forense, extracción de memoria y análisis sin comprometer evidencia.
• Denunciar ante autoridades competentes: presentar denuncia ante la Fiscalía General de la Nación; la investigación penal podrá ordenar medidas como peritajes o requerir cooperación a proveedores.
• Evaluar medidas civiles: reclamar reparación de perjuicios por la vía civil o solicitar medidas cautelares para recuperar activos o evitar su destrucción.

Comparativa práctica: daño informático vs figuras relacionadas

Investigación penal en Colombia: actores y medidas habituales

Las investigaciones suelen desarrollarse bajo la dirección de la Fiscalía General de la Nación, con apoyo técnico del Cuerpo Técnico de Investigación (CTI) y de las unidades especializadas de Policía en delitos informáticos. Entre las medidas que las autoridades pueden ordenar figuran: inspección y revisión judicial de dispositivos, toma de imágenes forenses, citación de testigos, pedidos de información a proveedores de servicios y órdenes judiciales de captura o medidas cautelares según el caso.

Cuando servidores o datos están en el exterior, la Fiscalía puede solicitar cooperación internacional mediante los mecanismos de asistencia jurídica mutua; los tiempos y la posibilidad de obtener información dependen del país y de los acuerdos vigentes.

Pruebas técnicas: consideraciones sobre admisibilidad y peritaje

Para que una prueba técnica sea valiosa en sede penal se requiere que:

• La recolección se haya hecho con técnicas forenses reconocidas y documentadas.
• Exista preservación de la integridad mediante hashes u otros controles.
• El informe pericial explique metodologías, resultados y limitaciones de manera comprensible para jueces y partes.
• La cadena de custodia esté claramente documentada desde la toma hasta la presentación en juicio.

Los peritos deben ser idóneos y, cuando su informe sea controvertido, puede solicitarse contradicción pericial por la defensa o la parte actora.

Recomendaciones prácticas para empresas y administradores de sistemas

• Políticas de respaldo y retención: mantener copias periódicas en ubicaciones seguras y registrar las actividades de restauración.
• Registro y protección de logs: configurar retención adecuada y transmisión segura de registros a un servidor de logs inmutable o con acceso controlado.
• Planes de respuesta a incidentes: documento que incluya roles, contactos, procedimientos para aislar sistemas y protocolos de preservación de evidencia.
• Formación y controles de acceso: principio de mínimos privilegios, autenticación fuerte y revisiones periódicas de cuentas.
• Contratar peritos o servicios forenses de confianza: para garantizar recolección adecuada y apoyo en la interacción con autoridades.

Acciones civiles y reparación

Además de la vía penal, la víctima puede reclamar reparación por los daños materiales y morales a través de la jurisdicción civil. La cuantificación del perjuicio suele requerir peritajes técnicos y contables que demuestren la extensión del daño, el costo de recuperación y el lucro cesante. En algunos casos es posible solicitar medidas cautelares para ordenar la conservación de activos o la suspensión de actividades que impidan la reparación.

Limitaciones y prudencia en la actuación

Es recomendable evitar tomar medidas técnicas drásticas sin asesoría forense o legal, ya que acciones como eliminar archivos, reinstalar sistemas o modificar configuraciones pueden destruir evidencia relevante y complicar la investigación. Cuando la situación implique organismos, servicios o jurisdicciones internacionales, los tiempos y el alcance de la respuesta dependerán de acuerdos de cooperación y de la legislación aplicable en cada país.

Qué hacer si se necesita ayuda inmediata

• Documentar y preservar; no borrar ni sobrescribir evidencias.
• Contactar a la Fiscalía o a una unidad especializada en delitos informáticos para plantear la denuncia y solicitar medidas.
• Solicitar a un perito forense que realice copia forense y análisis inicial.
• Informar a proveedores de hosting o servicios en la nube para que conserven logs y copias de seguridad mientras avanza la investigación.