Suplantación de sitios web para capturar datos personales en Colombia

La suplantación de sitios web para capturar datos personales ocurre cuando una persona o grupo crea una página o dominio que aparenta pertenecer a otra entidad legítima (banco, comercio electrónico, servicios públicos, etc.) con la finalidad de engañar a usuarios y obtener información personal o de acceso. En el ordenamiento colombiano esa conducta se aborda desde varias ramas: el derecho penal (delitos informáticos y fraudes), la protección de datos personales y medidas administrativas y civiles para la reparación del daño y la remoción del contenido falso.

Marco legal aplicable en Colombia

Las normas principales que pueden resultar aplicables son:

• Código Penal (Ley 599 de 2000), especialmente en la tipificación de delitos vinculados a la estafa, fraude y otras conductas punibles cuando exista engaño y perjuicio patrimonial o moral.
• Ley 1273 de 2009, que incorporó al ordenamiento colombiano tipos penales relacionados con los delitos informáticos (acceso ilícito a sistemas, interceptación de datos, daños informáticos, entre otros).
• Ley 1581 de 2012 y su regulación (por ejemplo, el Decreto 1377 de 2013 en su momento), que regulan la protección de datos personales y las obligaciones de los responsables y encargados del tratamiento de datos.
• Superintendencia de Industria y Comercio (SIC) como autoridad administrativa encargada de la vigilancia y control en materia de protección de datos personales y, en lo pertinente, de imponer sanciones administrativas.
• Fiscalía General de la Nación y la Policía Nacional (unidades como SIJIN) para la investigación y el ejercicio de la acción penal.

Elementos jurídicos relevantes para la tipificación penal

Para que la suplantación de un sitio web sea perseguida penalmente suelen concurrir varios elementos que, en su conjunto, orientan sobre la comisión de un delito informático o fraude:

• Intencionalidad (dolo): el autor busca engañar para obtener un beneficio (dinero, datos bancarios, credenciales) o causar un perjuicio.
• Medio técnico: uso de páginas web, dominios, subdominios, certificados falsos, redirecciones, o correos electrónicos que inducen a la entrega de información.
• Obtención de datos personales o de acceso: captura de nombres, números de documento, contraseñas, números de tarjeta, códigos de verificación, etc.
• Perjuicio o riesgo de perjuicio: perjuicio patrimonial real o riesgo de que exista fraude financiero, pérdida de confidencialidad o daño reputacional.

Conductas penales y administrativas que pueden concretarse

Dependiendo de los hechos y de la prueba recogida, la misma suplantación puede dar lugar a distintas calificaciones jurídicas:

• Delitos informáticos: acceso ilícito, interceptación o interferencia en sistemas o datos, distribución de malware y otras conductas reguladas por la legislación penal especializada.
• Estafa o fraude: cuando la suplantación busca obtener dinero u otros bienes mediante engaño.
• Suplantación de identidad o usurpación de facultades: si el contenido pretende atribuir actos o declaraciones a una persona jurídica o natural.
• Infracción a la Ley de Protección de Datos (Ley 1581/2012): tratamiento no autorizado de datos personales, incumplimiento de deberes de seguridad por parte de responsables o encargados, y violación de los derechos de los titulares de datos.

Requisitos y condiciones habituales para la persecución penal

Los factores que facilitan que la Fiscalía avance con una investigación y eventual acusación incluyen:

• Prueba de la conducta engañosa: correos, mensajes, capturas de pantalla, dominios registrados, certificados SSL falsos, y registros de red que muestren la suplantación.
• Vínculo entre la acción y un perjuicio: movimientos financieros, transferencias o intentos de cobro que demuestren daño o riesgo al patrimonio de la víctima.
• Identificación técnica del autor o del hospedaje: trazas en logs del servidor, direcciones IP, proveedores de hosting y de registro de dominio.
• Declaración de la víctima y testigos: relato detallado y cronología de los hechos para articular la denuncia.

Problemas frecuentes y desafíos probatorios

La investigación y la prueba de estos delitos suelen enfrentar obstáculos prácticos:

• Anonimato y hosting en el extranjero: muchos sitios son alojados fuera del país o usan servicios que dificultan identificar responsables inmediatos.
• Volatilidad de la evidencia: páginas y registros pueden desaparecer rápidamente si no se preservan.
• Necesidad de cooperación internacional: para obtener datos de proveedores extranjeros suele requerirse asistencia jurídica internacional o solicitudes de autoridades a otros países.
• Cadena de custodia y validez de pruebas digitales: los registros deben recogerse de forma que conserven su integridad y puedan ser valorados en juicio.

Pasos prácticos recomendados para víctimas

Actuar con rapidez y siguiendo criterios técnicos y formales aumenta las probabilidades de éxito en la denuncia y mitigación del daño:

• No introducir más datos ni interactuar con la página sospechosa.
• Conservar evidencia digital: capturas de pantalla, mensajes de phishing, correos electrónicos (con cabeceras), archivos HTML, URLs completas, certificados SSL y cualquier archivo descargado.
• Registrar los datos técnicos: hora y fecha del incidente, dirección IP visible, dominio y proveedor de hosting si son identificables.
• Solicitar a entidades financieras medidas de protección: bloqueo de cuentas o tarjetas y seguimiento de movimientos sospechosos.
• Realizar denuncia penal: ante la Fiscalía General de la Nación, aportando la evidencia recopilada; la Policía (unidades investigativas) puede colaborar en la recolección de información técnica.
• Presentar queja ante la Superintendencia de Industria y Comercio: cuando haya afectación de datos personales para activar la vía administrativa de protección y sanción.
• Contactar al proveedor de hosting o al registrador del dominio: solicitar bloqueo o retirada, e iniciar procedimientos de abuso; si están fuera del país, solicitar colaboración internacional.
• Cambiar credenciales y activar autenticación de dos factores en las cuentas afectadas y en aquellas donde se reutilicen contraseñas.

Diferencias con figuras afines

Es útil distinguir la suplantación de sitios web de otras conductas que a menudo se confunden:

Acciones administrativas y civiles

Además de la vía penal, proceden mecanismos administrativos y civiles:

• Queja ante la Superintendencia de Industria y Comercio (SIC): permite investigar vulneraciones a la Ley de Protección de Datos y puede terminar en sanciones administrativas contra responsables del tratamiento que incumplieron obligaciones de seguridad o confidencialidad.
• Acciones de reparación civil: demanda por daños y perjuicios ante la jurisdicción civil para reclamar indemnización patrimonial o moral.
• Solicitudes de retiro o bloqueo de contenido: a proveedores de hosting, registradores de dominio y motores de búsqueda para eliminar enlaces o sitios fraudulentos.

Prueba técnica: qué debe contener y cómo preservarla

La calidad de la prueba técnica influye decisivamente en la investigación. Elementos relevantes:

• Capturas y archivos: pantalla completa de la página fraudulenta, descarga del HTML, imágenes y archivos asociados.
• Correos electrónicos: mensajes originales en formato completo (incluyendo cabeceras) para rastrear remitentes y rutas.
• Registros de acceso y logs: logs del servidor, registros del navegador, historial y, si existe, información del proveedor de hosting.
• Datos de red: direcciones IP, whois del dominio, trazas (traceroute) y certificados SSL, incluyendo cadenas de certificación.
• Conservación de evidencia: no limpiar el navegador ni el sistema afectado; copiar archivos y entregarlos a las autoridades o a peritos forenses para preservar la cadena de custodia.

Medidas preventivas para empresas y responsables de datos

Las organizaciones pueden reducir el riesgo de suplantación mediante medidas técnicas, organizativas y de cumplimiento:

• Seguridad técnica: HTTPS con certificados válidos y gestión correcta de certificados, HSTS, monitorización de dominios y protecciones DNS (DNSSEC si procede).
• Correo seguro: implementación de SPF, DKIM y DMARC para disminuir la facilidad de suplantación por email.
• Políticas y formación: campañas de sensibilización para usuarios y empleados sobre phishing, verificación de URLs y manejo de credenciales.
• Planes de respuesta: procedimientos para detección, reporte, preservación de evidencia y comunicación con autoridades y proveedores de servicios.
• Contratos y cláusulas de seguridad: exigir a proveedores estándares de protección de datos y mecanismos de notificación en caso de incidentes.

Aspectos transfronterizos y tiempos de respuesta

Cuando el hospedaje o los responsables están fuera de Colombia, suelen requerirse acciones internacionales (cooperación, solicitudes a registradores extranjeros). Los plazos y la efectividad de estas gestiones varían según la jurisdicción del proveedor. Para la retirada urgente de contenido, además de la vía penal, las empresas pueden usar canales de notificación por abuso (abuse reports) del registrador o del proveedor de hosting, que en muchos casos proceden a la suspensión temporal mientras se resuelve la disputa.

Qué esperar de la investigación penal y administrativa

Las investigaciones penales pueden incluir medidas cautelares (bloqueo de dominios, incautación de equipos) si la Fiscalía o el juez las solicitan y existen pruebas suficientes. Paralelamente, la SIC puede abrir investigaciones administrativas por protección de datos. La coexistencia de ambas vías es recurrente: la vía penal busca sanción del autor, y la vía administrativa la imposición de multas o medidas correctivas sobre responsables del tratamiento cuando corresponde.

Recomendaciones finales prácticas

• Actuar con rapidez y documentar todo desde el primer indicio de suplantación.
• Coordinar acciones técnicas y legales (peritaje forense digital y denuncia penal/administrativa) para preservar la evidencia y acelerar respuestas.
• Informar a clientes y usuarios de manera proporcional y con las recomendaciones de seguridad correspondientes (no divulgar más datos, cambio de contraseñas, reportes a bancos).
• Buscar asesoría especializada (abogados con experiencia en delitos informáticos y protección de datos y peritos forenses digitales) para maximizar la efectividad en la recuperación, bloqueos y sanciones.