Suplantación de páginas electrónicas en Costa Rica

La suplantación de páginas electrónicas en Costa Rica consiste, en términos generales, en crear, modificar o utilizar un sitio web para aparentar que pertenece a una persona, empresa, institución o servicio legítimo, con el propósito de perjudicar a otra persona. La conducta suele aparecer en esquemas de phishing, falsos portales bancarios, páginas que imitan comercios electrónicos, sitios que copian plataformas públicas o formularios digitales destinados a obtener credenciales, datos personales o información financiera.

El delito está regulado específicamente en el artículo 233 del Código Penal costarricense, incorporado dentro de las disposiciones sobre delitos informáticos. La norma sanciona con prisión de uno a tres años a quien, en perjuicio de otra persona, suplante sitios legítimos de Internet. La aplicación concreta depende de los hechos acreditados, del contenido del sitio, de la finalidad perseguida y del perjuicio ocasionado.

Qué debe entenderse por suplantar una página electrónica

No basta con que una página se parezca visualmente a otra. La suplantación supone que el sitio, dominio, contenido o mecanismo digital se presenta como si fuera legítimo cuando en realidad no lo es. La apariencia engañosa puede recaer sobre una entidad bancaria, una institución pública, una empresa privada, una plataforma de pagos, una universidad, una organización o incluso una persona que ofrece bienes o servicios.

Entre las formas más frecuentes se encuentran:

• Registrar un dominio muy parecido al de una empresa o institución, cambiando una letra, un signo o la extensión.
• Copiar logotipos, colores, textos, formularios y avisos legales de un sitio auténtico.
• Crear una página que imita el ingreso a una plataforma bancaria o de pagos.
• Enviar un enlace mediante correo, mensajería o redes sociales para dirigir a la víctima al sitio falso.
• Utilizar una página falsa para solicitar contraseñas, códigos de verificación, números de tarjeta, fotografías de documentos o datos personales.
• Hacer pasar un sitio por un portal institucional para obtener pagos, documentos o información reservada.

El uso de un dominio distinto no elimina necesariamente la responsabilidad penal. Una página puede ser ilícita aunque no copie exactamente la dirección original, si sus características inducen razonablemente a creer que pertenece a un tercero y se utiliza en perjuicio de alguien.

Elementos que suelen analizarse en una investigación penal

La Fiscalía y los cuerpos investigadores deben examinar el conjunto de circunstancias, no únicamente la existencia de una página parecida. Normalmente resultan relevantes los siguientes elementos:

• Existencia de un sitio legítimo: debe identificarse la página, plataforma o servicio cuya identidad fue imitada.
• Imitación o apariencia engañosa: se valora el diseño, dominio, textos, logotipos, formularios, mensajes y forma de presentación.
• Intervención de una persona: se procura establecer quién registró el dominio, contrató el alojamiento, diseñó la página, administró sus contenidos o distribuyó los enlaces.
• Perjuicio para otra persona: la norma contempla la suplantación realizada en perjuicio de otro. El daño puede ser patrimonial, pero la valoración depende de las circunstancias y de la prueba disponible.
• Conocimiento y voluntad: la investigación debe determinar si la página fue creada o utilizada deliberadamente para aparentar legitimidad y producir el resultado perjudicial.

La sola copia de una interfaz para realizar una prueba técnica, una demostración autorizada o un ejercicio de seguridad no equivale automáticamente a un delito. Sin embargo, esa actividad puede generar responsabilidad si se utiliza sin autorización, se distribuye públicamente, se capturan datos reales o se ocasiona un perjuicio.

Relación con el phishing y la estafa informática

La suplantación de páginas suele ser una etapa de un fraude más amplio. El sitio falso puede utilizarse para engañar a la víctima y obtener sus credenciales, ordenar transferencias, apropiarse de fondos o contratar servicios a su nombre. En esos casos, los hechos podrían ser analizados junto con otras figuras penales, especialmente la estafa informática prevista en el artículo 217 bis del Código Penal, siempre que se cumplan sus elementos.

La diferencia práctica puede explicarse así:

Las calificaciones pueden concurrir. Por ejemplo, una persona podría crear un portal falso, obtener las credenciales de la víctima y después ordenar una transferencia. En ese supuesto no necesariamente existe un único delito; la valoración corresponde al Ministerio Público y, en última instancia, a los tribunales con base en la prueba.

Cuándo una página falsa puede no ser suficiente por sí sola

Para una denuncia penal resulta importante explicar cuál fue el perjuicio o el riesgo concreto producido. La existencia de un sitio parecido puede ser un indicio, pero la investigación necesita relacionarlo con una conducta intencional y con una afectación identificable.

Puede haber dificultades cuando:

• El sitio ya fue eliminado antes de documentarlo.
• No se conoce quién lo administraba o quién contrató el dominio.
• La página solo contenía publicidad ambigua, sin aparentar pertenecer a una entidad determinada.
• No se puede demostrar que alguien ingresó datos, realizó un pago o recibió instrucciones desde el sitio.
• El denunciante conserva únicamente una captura parcial, sin la dirección completa ni la fecha de consulta.
• La página fue alojada fuera de Costa Rica, lo que puede exigir solicitudes de cooperación o diligencias técnicas adicionales.

Que el dominio se encuentre en otro país no impide necesariamente que los hechos sean investigados en Costa Rica. La competencia puede depender de la ubicación de la víctima, del perjuicio, de los actos ejecutados y de otros vínculos con el territorio nacional. La obtención de información técnica ubicada en el extranjero puede tomar más tiempo y estar sujeta a mecanismos de cooperación internacional.

Prueba útil para denunciar

La evidencia digital puede cambiar o desaparecer rápidamente. Por eso conviene conservarla sin alterar los archivos originales y registrar con precisión cómo fue obtenida. Resultan especialmente útiles:

• La dirección completa del sitio, incluidos subdominios, rutas y parámetros visibles.
• Capturas de pantalla donde aparezcan la página, la dirección web, la fecha y, cuando sea posible, la hora.
• Mensajes, correos o publicaciones que contengan el enlace utilizado para dirigir a la víctima.
• Comprobantes de transferencias, pagos, cargos o intentos de operación.
• Registros de acceso, alertas de inicio de sesión y notificaciones de cambio de contraseña.
• Comunicaciones con la entidad legítima que confirmen que el sitio no pertenece a ella.
• Datos de cuentas receptoras, números de operación, nombres utilizados y perfiles vinculados.
• Equipos o teléfonos donde todavía estén disponibles los mensajes, archivos o historiales relevantes.

No conviene interactuar repetidamente con la página, introducir información adicional ni intentar acceder a sistemas del responsable. Esas acciones pueden poner en riesgo nuevos datos, alterar registros o crear problemas para determinar qué ocurrió originalmente.

Denuncia y actuaciones iniciales

La persona afectada puede poner los hechos en conocimiento del Ministerio Público y del Organismo de Investigación Judicial. La autoridad receptora puede solicitar una narración cronológica, datos de identificación, información sobre el perjuicio y los elementos disponibles. Los requisitos prácticos de recepción pueden variar según la sede y el tipo de incidente.

La denuncia debería explicar, de forma ordenada:

• Cuándo se conoció la página o se recibió el enlace.
• Quién envió el mensaje, desde qué cuenta y mediante qué medio.
• Qué entidad o persona aparentaba ser la propietaria del sitio.
• Qué información se ingresó o qué acción se realizó.
• Si hubo transferencias, pagos, cargos o pérdida de acceso a cuentas.
• Qué medidas se tomaron después y qué respuestas se recibieron.
• Qué documentos, dispositivos y archivos pueden respaldar la versión de los hechos.

Si se entregan dispositivos, conviene informar cómo fueron utilizados y solicitar que la recepción quede debidamente registrada. La conservación y extracción de datos debe realizarse mediante procedimientos que permitan preservar su integridad y valor probatorio.

Medidas inmediatas para reducir el daño

La denuncia penal no sustituye las medidas urgentes de protección. Si se introdujeron credenciales, deben cambiarse desde un dispositivo confiable y activar mecanismos adicionales de seguridad cuando estén disponibles. También es prudente revisar sesiones abiertas, dispositivos autorizados, reglas de reenvío de correo y métodos de recuperación de cuenta.

Cuando existen movimientos financieros no reconocidos, debe contactarse de inmediato a la entidad correspondiente utilizando canales oficiales y conservarse el número o constancia de la gestión. Si se comprometieron datos de una empresa, la organización debe valorar el bloqueo de usuarios, la revisión de accesos, la preservación de bitácoras y la notificación interna a las áreas responsables.

La eliminación del mensaje o el bloqueo de la cuenta no debe hacerse antes de guardar la información relevante. Primero conviene conservar las pruebas y luego tomar las medidas de seguridad necesarias.

Responsabilidad de quien registra o aloja la página

El hecho de que una página se encuentre alojada en un servicio legítimo no significa que el proveedor haya participado en la suplantación. Para atribuir responsabilidad penal se requiere establecer conocimiento, participación o colaboración relevante, según las circunstancias. Los proveedores pueden conservar datos técnicos conforme a sus políticas y a las obligaciones legales aplicables, pero la disponibilidad de esa información no siempre es inmediata.

También debe distinguirse entre la persona que diseñó el sitio, quien registró el dominio, quien suministró infraestructura y quien difundió los enlaces. Varias personas pueden haber intervenido con funciones distintas. La responsabilidad individual no se presume únicamente por aparecer un nombre en un registro, por administrar un servidor o por compartir un enlace sin conocer su contenido ilícito.

Posibles consecuencias adicionales

Además de la responsabilidad penal, los hechos pueden producir consecuencias civiles, comerciales o administrativas. La víctima podría reclamar la reparación de daños y perjuicios cuando logre demostrar el daño, la conducta atribuible y la relación causal. La utilización de marcas, nombres comerciales, fotografías, textos o bases de datos ajenas también puede abrir discusiones distintas a la penal.

Si se trataron datos personales, la situación puede involucrar las reglas costarricenses de protección de la persona frente al tratamiento de sus datos. Esa materia tiene autoridades, procedimientos y requisitos propios, por lo que no debe confundirse con la denuncia penal por suplantación de páginas.

Diferencia entre una página falsa y una crítica o parodia

Una página que critica a una empresa, comenta una actuación pública o realiza una parodia no es automáticamente una página suplantada. La valoración cambia cuando el diseño y el contenido buscan hacer creer que el sitio es oficial, inducen a entregar información, reciben pagos o generan actuaciones en nombre de la entidad imitada.

En los casos fronterizos importan factores como el aviso visible de que se trata de una parodia, la ausencia de formularios engañosos, la finalidad del sitio, el uso de la marca y la existencia o no de perjuicio. El análisis debe hacerse sobre el funcionamiento real de la página y no solamente sobre su nombre o apariencia aislada.

Importancia de la asesoría legal

La asistencia de una persona profesional en derecho puede ser útil para ordenar la prueba, identificar los posibles delitos concurrentes, valorar medidas cautelares y plantear eventuales reclamaciones económicas. También puede ayudar a evitar que la víctima difunda públicamente datos sensibles, acuse sin respaldo a una persona determinada o realice investigaciones privadas que comprometan la evidencia.

La calificación definitiva depende de los hechos, la prueba técnica, el perjuicio y la interpretación judicial de las normas vigentes. La preservación temprana de la información y una descripción precisa de la secuencia de acontecimientos suelen ser determinantes para que la investigación pueda establecer cómo se creó la página, quién la controló y qué efectos produjo.