El ciberataque al Hospital Clínic de Barcelona y la dificultad del estudio del cibercrimen organizado

El domingo cinco de marzo el Hospital Clínic de Barcelona era noticia por un serio hecho delictivo. Un grupo, identificado como Ransomware House, atacaba áreas críticas del sistema del hospital: más específicamente, urgencias, el laboratorio y farmacia. A través de programario malicioso, se impedía a los trabajadores del hospital acceder a la información alojada en sus servidores. Aunque en un primer momento no se pidió rescate alguno, al cabo de unos días el grupo solicitaba 4,5 millones de dólares. Cantidad que el conseller de Salut de la Generalitat, Manel Balcells, se negaba a pagar, calificando este ataque de ataque terrorista, atendiendo a la complejidad del centro hospitalario y el gran volumen de pacientes que atiende. 

El cibercrimen, un campo plagado de incógnitas

Esta es una investigación en curso y, por lo tanto, los detalles que llegaremos a conocer serán limitados. En el fondo, los que los implicados en su investigación quieran hacer llegar a la ciudadanía. Pero, dejando de lado esto, lo que el caso del Hospital Clínic resalta de cara a la investigación académica es que el cibercrimen, y más específicamente, el cibercrimen organizado, es un campo plagado de incógnitas.

Ello no debería ser una sorpresa: no debemos olvidar que el estudio del delito, per se, es complejo, pues está pensado en la gran mayoría de casos para pasar desapercibido. Pero, además, le debemos sumar tres factores más. Por un lado, las características del entorno del cibercrimen, con la anonimidad del ciberespacio. Y, por otra, la dificultad en determinar el cuándo, porque esta no es una delincuencia puntual, sino que perdura en el tiempo; y el dónde, por la ausencia de fronteras. 

Súmenle el hecho que es complejo determinar (tanto en el mundo offline como en el mundo en línea) qué entendemos por delincuencia organizada para darse cuenta de que el estudio de la ciberdelincuencia organizada es extremadamente complejo. Desde que este tema empezó a ser estudiado, hay cientos de definiciones académicas, legales e institucionales que resaltan cómo el crimen organizado es una nebulosa difícil de definir por el simple hecho que cada sociedad, cada cultura, cada momento histórico tiene sus concepciones de este fenómeno. 

De hecho, algo peligroso (y no contrastado de forma empírica) es asumir que la delincuencia organizada en línea es un calco de la offline. Lo importante sería determinar cuál es la dirección que recorre este fenómeno criminal: ¿el crimen organizado tradicional se está volviendo más cíber? O, por otro lado, ¿el cibercrimen se está organizando cada vez más? Una tercera incógnita sería cuánto se parece el crimen organizado off y online. 

Delincuencia y ciberdelincuencia

El profesor de criminología Mike McGuire en 2012 hizo una triple tipología. Distinguía entre los grupos que operan sólo en línea, los grupos que combinan la delincuencia online y offline, y finalmente, aquellos que operan principalmente offline y que usan la tecnología para facilitar la comisión de delitos offline. 

Una organización criminal puede haber nacido en línea y propiciar que los miembros no se hayan conocido entre ellos. Ello no es óbice para que una organización criminal en línea tenga diferencias marcadas con una organización nacida en el mundo offline. Tienen patrones de relaciones destinadas a obtener beneficios materiales a través de la delincuencia económica o el tráfico de mercancías ilícitas y pueden adoptar estructuras similares. 

La principal diferencia es la conectividad. En el mundo offline, miembros y pequeños grupos están integrados en grupos más grandes, gracias a la confianza (en el mundo en línea, el bien no se reparte si no se paga previamente). En el ciberespacio, pesa más el mercado: se buscan criminales altamente especializados que ofrecen servicios a aquellos que paguen el precio. ¡Pero cuidado! A veces nos hemos encontrado casos en los que cibercriminales que operan independientemente llevando a cabo tareas interconectadas se hallan simplemente conectados por la compraventa de servicios. Dicho de otra manera, no siempre que se ve una pluralidad de criminales actuando en el mundo en línea implica una organización criminal. Es decir, lo que parece la tarea de una organización criminal de expansión global, en el fondo es el resultado de varios delincuentes ligados a través de relaciones contractuales.

En cualquier caso, lo que nos ilustra tanto el incidente de Ransomware House que ha sufrido el Hospital Clínic como lo que ha probado la literatura sobre los cibercriminales organizados es que este es un campo en el que hay que ejercitar la prudencia, pues nada puede ser lo que parece a primera vista; así como la necesidad de mayor investigación para intentar arrojar algo de luz a una materia tan oscura.