Los incidentes informáticos no siempre proceden de personas externas. Un empleado o exempleado puede acceder sin autorización a los sistemas, copiar información confidencial o eliminar archivos, provocando pérdidas económicas e interrupciones de la actividad.
Sin embargo, no todo uso irregular de los recursos corporativos constituye un delito. La responsabilidad penal dependerá de los permisos concedidos, las acciones realizadas y los
requisitos legales aplicables.
¿Qué es un ciberataque interno y cómo puede producirse?
Un ciberataque interno puede proceder de alguien que tiene o ha tenido una relación de confianza con la empresa y conoce sus sistemas. Entre las situaciones que pueden dar lugar a un incidente se encuentran:
● Utilizar credenciales después de finalizar la relación laboral.
● Copiar bases de datos o enviar documentos confidenciales a terceros.
● Eliminar archivos o copias de seguridad.
● Facilitar contraseñas para permitir accesos no autorizados.
Que una contraseña continúe funcionando no significa que su utilización esté autorizada. No obstante, para valorar un acceso posterior deben examinarse las circunstancias y las restricciones existentes. La prevención exige limitar los permisos a las necesidades de cada puesto y revisarlos cuando cambien las funciones o termine la relación profesional.
Accesos ilícitos, sustracción de información y daños informáticos
El Código Penal contempla distintas conductas que pueden resultar aplicables a estos incidentes.
El acceso ilícito requiere analizar si la persona entró o permaneció en un sistema sin autorización y vulnerando las medidas de seguridad establecidas. Incumplir una política interna no basta, por sí solo, para afirmar que existe este delito.
La obtención o divulgación de información también puede tener relevancia penal cuando afecta a datos personales, comunicaciones privadas o secretos empresariales. No toda información interna constituye un secreto: deben examinarse su naturaleza y las medidas adoptadas para protegerla.
Por su parte, eliminar, alterar o hacer inaccesibles datos y programas puede constituir un delito de daños informáticos si concurren los requisitos legales, incluida la gravedad exigida. Estos hechos también pueden generar consecuencias laborales o reclamaciones civiles, aunque no lleguen a constituir un delito.
Cómo debe actuar la empresa para investigar y denunciar los hechos
La prioridad es contener el incidente sin destruir las evidencias. Conviene limitar los accesos comprometidos y preservar los registros de actividad, los correos y los archivos relevantes antes de que desaparezcan o se sobrescriban. También deben documentar los permisos del trabajador, cuándo se retiraron y las medidas adoptadas. Una revisión técnica especializada puede ayudar a reconstruir lo sucedido.
La investigación debe respetar la intimidad y los derechos digitales de los empleados. La titularidad empresarial de un dispositivo no autoriza cualquier forma de vigilancia, como recoge la normativa de protección de datos y derechos digitales.
Para preparar la denuncia, resulta útil elaborar una cronología, identificar la información afectada y acreditar los daños. Deben evitarse acusaciones precipitadas: un acceso asociado a una cuenta no demuestra siempre quién utilizó sus credenciales.
En NQ Abogados podemos analizar la relevancia penal del incidente, orientar sobre la conservación de las evidencias y preparar la estrategia jurídica adecuada.
Contacte con nosotros para recibir asesoramiento sobre su caso.