Uso de software malicioso en Colombia: responsabilidad penal por virus, troyanos y malware

El uso, desarrollo, distribución o puesta en marcha de software malicioso —virus, troyanos, ransomware, botnets y otros tipos de malware— puede configurar en Colombia múltiples responsabilidades penales, administrativas y civiles. La conducta se valora según el bien jurídico protegido (integridad de sistemas, datos personales, disponibilidad de servicios, patrimonio) y según el modo de actuación (acceso no autorizado, alteración, interceptación, extorsión).

Marco normativo relevante en Colombia

La normativa penal colombiana incorporó tipos específicos para los llamados delitos informáticos mediante la Ley 1273 de 2009, que modificó el Código Penal para castigar conductas relativas a sistemas de información y datos. la protección de datos personales y las sanciones administrativas aplicables se regulan en la Ley 1581 de 2012 y su desarrollo normativo. La Constitución protege la intimidad, el buen nombre y la inviolabilidad de las comunicaciones, principios que condicionan las medidas de investigación y el uso de pruebas digitales.

¿Qué conductas pueden ser delictivas al usar malware?

Dependiendo de cómo se utilice el software malicioso, pueden concurrir varios tipos penales. Algunas conductas típicas:

• Acceso no autorizado a sistemas o bases de datos: ingresar a un sistema sin consentimiento del titular.
• Daño informático: borrar, alterar, inutilizar o corromper datos o programas.
• Interceptación de comunicaciones o datos mediante herramientas que capturan información privada.
• Fraude informático o apropiación patrimonial: usar malware para obtener beneficios económicos o causar pérdidas.
• Extorsión mediante ransomware: cifrar información y exigir pago para su recuperación.
• Distribución y oferta de malware: crear, vender o facilitar herramientas diseñadas para delinquir.

Elementos jurídicos que suelen probarse en un proceso penal

Para que una conducta con malware constituya delito deben probarse, en términos generales, los elementos objetivos y subjetivos del tipo penal aplicable. Esos elementos pueden incluir:

• Conducta positiva: acción concreta (instalación, envío, ejecución del malware, etc.).
• Resultado dañoso o la puesta en peligro del bien protegido (pérdida de datos, interrupción de servicios, perjuicio económico).
• Nexo causal entre la conducta y el resultado (vínculo técnico que demuestre que el malware produjo el daño).
• Tipicidad subjetiva: intención dolosa o, en algunos tipos, la posibilidad de responsabilidad por culpa/negligencia si la ley lo prevé.
• Falta de autorización: ausencia de consentimiento válido del titular del sistema o datos.

Cuándo aplica la responsabilidad penal

La responsabilidad penal suele concurrir si existe:

• uso de software malicioso con la finalidad de acceder, dañar, interceptar o defraudar;
• distribución o facilitación de herramientas destinadas a la comisión de delitos informáticos con conocimiento de su uso ilícito;
• resultado lesivo real o riesgo concreto y evaluable para bienes jurídicos protegidos.

Si el software se crea o se usa para fines legítimos (investigación en ciberseguridad, pruebas autorizadas, labores de defensa propia de un sistema) y hay autorización expresa, no habrá delito por sí mismo; la autorización y el contexto son determinantes.

Diferencias prácticas con figuras cercanas

Problemas procesales y probatorios frecuentes

Los casos con malware presentan dificultades específicas:

• Identificación del autor: las técnicas de anonimización, uso de servidores en el exterior o redes botnet dificultan atribuir la autoría.
• Prueba técnica: requiere peritaje informático calificado que documente instalación, fuentes, rutas de propagación y efectos del malware.
• Cadenas de custodia: la preservación de evidencia digital exige imágenes forenses, hash y registro detallado de manipulación para evitar impugnaciones.
• Jurisdicción y acceso internacional: el software puede operar desde otro país, complicando la cooperación y ejecución de órdenes judiciales.
• Compatibilidad con derechos fundamentales: medidas como interceptación, entrada a domicilios o registro de equipos requieren garantías y autorización judicial según la Constitución y el Código de Procedimiento Penal.

Pruebas técnicas habituales

• Imágenes forenses del disco o de la memoria RAM con registro de hashes.
• Logs del sistema, servidores y dispositivos de red (firewall, IDS/IPS).
• Análisis de tráfico (PCAP) que demuestre comunicaciones del malware con servidores de comando y control.
• Muertes de ejecución (artefactos de instalación) y cronologías de eventos.
• Informe pericial técnico que conecte artefactos del malware con la conducta investigada.

Medidas procesales y cautelares

La Fiscalía General de la Nación es la autoridad encargada de investigar delitos informáticos; la policía judicial especializada puede intervenir Técnicamente. Para recabar pruebas pueden solicitarse medidas cautelares como embargo de equipos, órdenes de registro y captura de datos, siempre respetando la exigencia de motivación y autorización judicial según el derecho procesal colombiano. La intervención de comunicaciones y la interceptación de datos requieren, en la mayoría de los casos, autorización judicial previa por la afectación de derechos fundamentales.

Responsabilidad administrativa y civil

Además de la vía penal, pueden concurrir:

• Responsabilidad administrativa por incumplimiento de la normativa de protección de datos personales (Ley 1581 de 2012), con sanciones impuestas por la Superintendencia de Industria y Comercio si hay fallas en la protección de datos.
• Responsabilidad civil por daños y perjuicios: reparación integral cuando el uso de malware cause pérdidas económicas o daños a terceros.

Actuación práctica para la víctima

• No manipular los equipos ni apagar inmediatamente si existe riesgo de pérdida de evidencia; documentar lo observado (pantallas, mensajes de extorsión) y, si es posible, aislar el equipo de la red.
• Solicitar inmediatamente un peritaje informático a profesionales idóneos que realicen copia forense y preserven cadena de custodia.
• Presentar denuncia penal ante la Fiscalía o la unidad de delitos informáticos de la policía, aportando todos los elementos de prueba disponibles.
• Informar a proveedores de servicios (hosting, correo, banca) y cambiar credenciales tras la copia forense.
• Evaluar la necesidad de informar a la Superintendencia de Industria y Comercio si hay afectación de datos personales.

Actuación práctica para la persona investigada o acusada

• Solicitar defensa penal especializada en delitos informáticos.
• No destruir ni alterar evidencia; una conducta de obstrucción agrava la situación procesal.
• Verificar si existió autorización o legitimación para la acción alegada (pruebas de consentimiento, contratos, encargos de pruebas de seguridad).
• Gestionar peritaje independiente para replicar informes técnicos y contrastar hipótesis de imputación.

Cooperación internacional y jurisdicción

Cuando el origen o la infraestructura del malware está en el extranjero, la investigación suele requerir cooperación internacional, mediante mecanismos de asistencia judicial y coordinación entre autoridades (Fiscalía, autoridades policiales y de ciberseguridad). Esto puede implicar demoras y complejidades técnicas para obtener datos alojados fuera del país.

Prevención y diligencias técnicas recomendadas

• Implementar políticas de seguridad y copias de respaldo regulares (backups) que permitan recuperación sin ceder a extorsiones.
• Actualizar software y parches de seguridad; limitar privilegios de usuario y aplicar segmentación de redes.
• Formación al personal sobre phishing y vectores de entrada de malware.
• Contar con contratos y protocolos con proveedores de ciberseguridad que permitan respuesta rápida y preservación de evidencia en caso de incidente.

Preguntas frecuentes prácticas

¿Publicar o compartir un malware es delito?

Si la publicación o distribución tiene por objeto facilitar su uso ilícito o si el autor conoce que su software se empleará para delinquir, puede configurar delito. La evaluación toma en cuenta la finalidad, el conocimiento del autor y el efecto concreto del software.

¿La responsabilidad penal exige daño efectivo?

Algunos tipos penales requieren un resultado dañoso; otros sancionan la mera conducta de acceso o interceptación sin necesidad de lesión patrimonial si se vulnera el bien jurídico protegido. Por eso es importante analizar el tipo penal invocado en cada caso.

¿Qué peso tiene el informe pericial?

El informe pericial técnico es central. Debe explicar de manera comprensible la trazabilidad del malware, lo que hizo en el sistema, y quiénes pueden haber tenido capacidad técnica para ejecutarlo, respetando cadena de custodia y metodologías forenses reconocidas.

Comparativa rápida: conductas y enfoque probatorio

La prevención, la preservación de evidencia y la intervención técnica calificada son determinantes para determinar la existencia de responsabilidad penal por uso de software malicioso en Colombia. Los derechos constitucionales y las exigencias de procedimiento limitan las facultades de investigación, por lo que las actuaciones deben combinar criterios técnicos y jurídicos desde el primer momento.