Troyano policial

Pablo Fernández BurgueñoInvestigador jurídico en Abanlex

#LegalHack

01/05/2023 @pablofb

Pablo Fernández Burgueño - Abanlex• Investigador Jurídico• Socio en Abanlex• Especializado en:• Innovación y desarrollo jurídico• Seguridad informática• Privacidad• Delitos informáticos

#LegalHack

01/05/2023 @pablofb

Índice de la exposición1. El Troyano policial. Casos de uso. Art. 588 LECrim2. La autorización judicial para el registro remoto3. Cómo es la autorización judicial que autoriza el registro remoto4. Quién debe colaborar para que se cumpla el fin del registro remoto5. Datos para reflexionar

#LegalHack

01/05/2023 @pablofb

El Troyano policial. Casos de usoArt. 588 LECrimBloque 1

#LegalHack

01/05/2023 @pablofb

Persecución de un ¿delito?• ¿Existe el delito?• Aún no se sabe si existe• Es posible que sí.• Se está investigando.

• ¿Es necesario registrar remotamente un dispositivo?• Se considera que sí.

#LegalHack

01/05/2023 @pablofb

Tipos de delitos que permitirían el uso del troyano policial (1/2)1. Organizaciones criminales2. Terrorismo3. Contra menores4. Contra incapacitados

judicialmente

#LegalHack

01/05/2023 @pablofb

Tipos de delitos que permitirían el uso del troyano policial (2/2)5. Contra la Constitución6. Traición7. Defensa nacional8. Delitos cometidos a través de

instrumentos informáticos o de cualquier otra tecnología de la información o la telecomunicación o servicio de comunicación

#LegalHack

01/05/2023 @pablofb

Caso de uso: Propiedad intelectual (270 CP)Será castigado con la pena de prisión de 6 meses a 4 años […] el que […] en perjuicio de tercero […] explote económicamente […] una obra […] sin la autorización de los titulares de los correspondientes derechos […].

#LegalHack

01/05/2023 @pablofb

Caso de uso: Propiedad intelectual (270 CP)Detectamos a un potencial delincuente y, para obtener pruebas, instalamos un “troyano policial”.

¿Qué es un troyano policial?No es un troyano. Es software para analizar el dispositivo del delincuente de forma remota y sin que se entere.

#LegalHack

01/05/2023 @pablofb

La autorización judicial para el registro remotoBloque 2

#LegalHack

01/05/2023 @pablofb

Autorización Judicial para el registro remoto• Quién autoriza:• El juez competente

• Qué autoriza:• La utilización de datos de

identificación y códigos• la instalación de un software

• Finalidad:• Examinar el contenido de un

dispositivo

#LegalHack

01/05/2023 @pablofb

Autorización Judicial para el registro remoto• Qué tipo de dispositivo puede

sufrir este examen:• Ordenador• Dispositivo electrónico• Sistema informático• Instrumento de almacenamiento

masivo de datos informáticos• Base de datos

#LegalHack

01/05/2023 @pablofb

Autorización Judicial para el registro remoto• Qué dos requisitos deben

cumplirse simultáneamente en este examen:• El examen debe realizarse a

distancia• Sin conocimiento de su titular o

usuario.

#LegalHack

01/05/2023 @pablofb

Cómo es la autorización judicial que autoriza el registro remotoBloque 3

#LegalHack

01/05/2023 @pablofb

Qué debe especificar la Resolución Judicial que autoriza el registro (1/4)1. Deberá especificar qué será

objeto de la medida:• ordenadores• dispositivos electrónicos• sistemas informáticos o parte de los

mismos• medios informáticos de

almacenamiento de datos o bases de datos

• datos u otros contenidos digitales

#LegalHack

01/05/2023 @pablofb

Qué debe especificar la Resolución Judicial que autoriza el registro (2/4)2. El alcance de la medida3. La forma en la que se procederá

al acceso y aprehensión de los datos o archivos informáticos relevantes para la causa

4. El software mediante el que se ejecutará el control de la información

#LegalHack

01/05/2023 @pablofb

Qué debe especificar la Resolución Judicial que autoriza el registro (3/4)5. Las medidas precisas para la

preservación de la integridad de los datos almacenados

6. Las medidas para la inaccesibilidad o supresión de dichos datos del sistema informático al que se ha tenido acceso

#LegalHack

01/05/2023 @pablofb

Qué debe especificar la Resolución Judicial que autoriza el registro (4/4)7. Los agentes autorizados para la

ejecución de la medida.

8. ¿Los agentes autorizados pueden realizar copias de los datos informáticos?• No, como regla general.• Sí, si existe autorización judicial (que

debe ser incluida en la resolución que autorice el registro)

#LegalHack

01/05/2023 @pablofb

¿Y si se cree que se necesitan más datos?• ¿Cómo de seguro hay que estar?

• Basta con creerlo (fuertemente).

• ¿Pueden en otros equipos?• Sí.

• ¿Cómo se dan cuenta los agentes?• Misterio o Intuición policial

• ¿Pueden analizarlo directamente?• No. El juez podrá autorizar una

ampliación del registro.

#LegalHack

01/05/2023 @pablofb

Quién debe colaborar para que se cumpla el fin del registro remotoBloque 4

#LegalHack

01/05/2023 @pablofb

Deber de colaboraciónQuién debe colaborar:• Prestadores de servicios• Cualquier intermediario teleco• Usuarios y titulares de

dispositivos, IP, etc.• Titulares o responsables del

sistema informático o base de datos objeto del registro

#LegalHack

01/05/2023 @pablofb

Deber de colaboraciónQué deben facilitar:• La práctica de la medida• El acceso al sistema• La asistencia necesaria para que

los datos e información recogidos puedan ser objeto de examen y visualización

#LegalHack

01/05/2023 @pablofb

¿Y si se necesita más ayuda?Otros obligados a colaborar: cualquier persona que conozca• el funcionamiento del sistema

informático• El funcionamiento de las

medidas aplicadas para proteger los datos

(Salvo parientes y abogados)

#LegalHack

01/05/2023 @pablofb

Duración de la medida. SecretoMáximo: un mesProrrogable por: un mesProrrogable por: otro mes más---------Los colaboradores están obligados a guardar secreto

#LegalHack

01/05/2023 @pablofb

Datos para reflexionar.Bloque 5

#LegalHack

01/05/2023 @pablofb

Datos para reflexionar• (Casi) todos los delitos• Hasta la cocina• Cocina propia y de los demás• Duración máxima de 3 meses• Especificación de dispositivos• Entrega del código fuente

#LegalHack

Gracias por la atención

Pablo Fernández Burgueño – @pablofb

pablo@abanlex.com www.abanlex.com

#LegalHack