Abogados Penalistas en Ransomware y Daños

Los delitos de ransomware y daños informáticos, regulados en los Arts. 264 a 264 quater CP, protegen la integridad y disponibilidad de los sistemas y datos informáticos. Tras la reforma operada por la LO 1/2015 en cumplimiento de la Directiva 2013/40/UE sobre ataques contra sistemas de información, el Código Penal articula un sistema gradual: el Art. 264 CP sanciona los daños a datos informáticos; el Art. 264 bis CP, los daños al funcionamiento de los sistemas informáticos (incluidos los ataques de denegación de servicio); el Art. 264 ter CP, la producción, adquisición o facilitación de herramientas de ataque; y el Art. 264 quater CP, la responsabilidad penal de la persona jurídica. La jurisprudencia consolidada ha precisado los contornos del tipo, especialmente en supuestos de doble extorsión (cifrado + amenaza de publicación) y atribución forense de la autoría. Como abogados penalistas especialistas en ciberdelitos, articulamos defensa con peritaje forense informático certificado.

Modalidades Típicas

Las modalidades típicas abarcan un catálogo cada vez más sofisticado. El ransomware clásico: cifrado masivo de archivos mediante malware (LockBit, BlackCat, REvil, Conti) y exigencia de rescate en criptomonedas para entregar la clave de descifrado. El ransomware de doble extorsión: además del cifrado, exfiltración previa de datos sensibles y amenaza de publicación en dark web. La triple extorsión: incorporando ataques DDoS contra el dominio público de la víctima y notificación coercitiva a sus clientes. Los ataques DDoS (denegación de servicio distribuido) desplegados desde botnets compuestas por miles de dispositivos zombi infectados. El cryptojacking: minado clandestino de criptomonedas usando recursos de la víctima. El wiping: borrado destructivo de datos sin afán económico (frecuentemente vinculado a hacktivismo o conflictos geopolíticos). Y la distribución de wipers o bombas lógicas insertadas en código fuente o actualizaciones de software.

Penas (Arts. 264-264 quater CP)

Las penas son severas debido al concurso real habitual. El tipo básico del Art. 264.1 CP (daño a datos informáticos) sanciona con prisión de 6 meses a 3 años. Cuando concurren agravantes específicos (Art. 264.2 CP: actos de especial gravedad, conducta sistemática o lucrativa, perjuicio a infraestructuras críticas), las penas se elevan a 2-5 años de prisión; y, en supuestos extraordinarios, hasta 6 años. El Art. 264 bis CP (daños al funcionamiento de sistemas) tiene un régimen análogo. La concurrencia con extorsión (Art. 243 CP) en supuestos de ransomware añade 1-5 años de prisión. La doble extorsión activa además los tipos del Art. 197 CP (revelación de secretos), con prisión hasta 5 años. Para las empresas, el Art. 264 quater CP prevé responsabilidad penal de la persona jurídica con multas que pueden superar el millón de euros, complementadas por la responsabilidad administrativa del RGPD con multas de hasta 20 millones o el 4% de la facturación global anual.

Estrategia de Defensa

La defensa técnica articula varios ejes complementarios. Primero, la atribución forense alternativa: en investigaciones por DDoS o ransomware, la IP del cliente puede figurar en los logs sin que ello implique autoría material; la pericial técnica acredita que el dispositivo estaba infectado, formaba parte de una botnet (Mirai, Mozi) o fue suplantado por IP spoofing, neutralizando la imputación. Segundo, la ausencia de dolo: el cliente desconocía la naturaleza ilícita de la herramienta utilizada, o creía estar realizando pentesting autorizado. Tercero, la impugnación de la cadena de custodia digital: muchos atestados policiales carecen de hash criptográfico, sellado de tiempo y trazabilidad pericial adecuada de los logs, mensajes de rescate y muestras de malware, lo que abre vías de nulidad probatoria. Cuarto, cuando representamos a la víctima empresarial, articulamos la notificación al amparo del RGPD a la AEPD en 72 horas, la reclamación al ciberseguro, la gestión negocial con los atacantes (sin admitir el pago de rescate como recomendación general) y la articulación procesal civil y penal coordinada.

Práctica Forense Actual

En la práctica forense actual observamos un crecimiento exponencial de procedimientos por ransomware y daños informáticos, especialmente vinculados a ataques contra hospitales, ayuntamientos y universidades, infraestructuras críticas energéticas y de transporte, pymes con bajo nivel de ciberhigiene, y cadenas de suministro (supply-chain attacks tipo SolarWinds, Kaseya). La Directiva NIS2 (UE 2022/2555) sobre ciberseguridad, el Reglamento DORA UE 2022/2554 sobre resiliencia operativa digital del sector financiero, el Reglamento RCE UE 2022/2557 sobre resiliencia de entidades críticas, el Cyber Resilience Act UE 2024/2847 sobre dispositivos digitales, la Ley Orgánica 1/2025 de Eficiencia del Servicio Público de Justicia y el RGPD UE 2016/679 han transformado el marco regulatorio. En Alonso Sala, abordamos cada expediente con equipo multidisciplinar penal-administrativo-ciberseguridad: peritos forenses certificados (CISSP, GCFA, OSCP), gestión coordinada con el INCIBE y la AEPD, articulación procesal urgente y, en su caso, negociación discreta con los actores del incidente.