Delitos informáticos: la amenaza jurídica silenciosa del entorno empresarial

Hay riesgos que llegan con sirena: un incendio o un robo físico. El delito informático no avisa. Entra por una contraseña reutilizada, por una actualización pendiente, por un correo que “parecía legítimo”, y cuando la empresa lo detecta, el daño ya tuvo tiempo de madurar: transferencias ejecutadas, datos copiados, reputación comprometida, operaciones detenidas.

Lo más caro no es el ataque; es seguir creyendo que “eso solo le pasa a otros”. Esa idea —la de que el ciberdelito solo persigue bancos y multinacionales— hoy es un mito útil para el delincuente. La realidad incómoda es que cualquier organización que facture, contrate, pague planillas, almacene datos de clientes o dependa del correo corporativo, ya está en la mira de los cibercriminales.

Los números que ya no permiten excusas

La ciberdelincuencia ha evolucionado desde actos aislados de intrusión informática, impulsados inicialmente por motivaciones lúdicas o de demostración de habilidades técnicas, hacia una vasta industria criminal altamente profesionalizada, monetizada y estructurada. Las estimaciones sobre el impacto económico de este fenómeno son alarmantes; a nivel global, los costos asociados a la ciberdelincuencia, impulsan pérdidas operativas y patrimoniales que ascienden a la asombrosa cifra de 10.5 billones de dólares anuales. Estas cifras no solo representan un menoscabo económico directo para las empresas afectadas, sino que también generan un efecto dominó que compromete la continuidad operativa, destruye la reputación corporativa y desestabiliza las cadenas de suministro globales.

En El Salvador, la transición hacia una economía interconectada y digitalizada es innegable. Los datos macroeconómicos recientes reflejan el dinamismo de una economía que depende cada vez más de la fluidez de las telecomunicaciones; Este ecosistema transaccional, altamente dependiente de pasarelas de pago, infraestructuras de tecnología financiera (Fintech) y sistemas de procesamiento de datos transfronterizos, constituye un vector de interés prioritario para las organizaciones cibercriminales. 

El ransomware dejó de ser “un problema de TI” para convertirse en una decisión empresarial de alto impacto. El informe State of Ransomware 2024 de Sophos reportó que, entre las organizaciones que pagaron rescate, el pago promedio fue de 2 millones de dólares; y que, excluyendo el rescate, el costo promedio de recuperación alcanzó 2.73 millones de dólares.

Además, 63% de las demandas de rescate superaron el millón de dólares, y casi la mitad de las organizaciones con ingresos menores a 50 millones recibió exigencias de siete cifras.

La pandemia mostró el patrón con crudeza. En su análisis sobre ciberdelincuencia vinculada a COVID-19, INTERPOL reportó la distribución de amenazas informadas por países miembros:

59%: phishing, estafas y fraudes.

36%: malware y ransomware.

22%: dominios maliciosos.

El mensaje de fondo no ha cambiado: el ciberdelito es una de las formas de criminalidad transnacional de más rápido crecimiento y prospera, precisamente, donde la cooperación y la respuesta institucional se vuelven lentas.

El ecosistema que alimenta el riesgo

La superficie de ataque se ensanchó porque el negocio se digitalizó completo. Ya no es “la computadora de contabilidad”; es el ERP, la nube, el WhatsApp del vendedor, el router de la oficina, el teléfono con banca en línea.

A eso se suma el universo IoT. Estimaciones recientes sitúan el número de dispositivos IoT conectados en 18.5 mil millones en 2024 y proyectaron 21.1 mil millones para 2025, con una trayectoria que podría alcanzar 39 mil millones hacia 2030. Cada dispositivo agrega eficiencia; también agrega una puerta más que proteger.

Y, desde 2023, la inteligencia artificial empujó el tablero. Hoy se fabrican correos de phishing “perfectos” a escala, se clonan voces para autorizar pagos por teléfono (vishing) y se usan deepfakes para suplantar identidades en operaciones de alto valor. El fraude dejó de depender del talento individual: ahora se automatiza.

Lo que más golpea al entorno empresarial

En la práctica, las modalidades más recurrentes no siempre son “hackeos” cinematográficos; son delitos que explotan confianza y procesos internos:

• Ransomware: cifrado de información, extorsión y amenaza de filtración.

• Spear phishing y whaling: ataques dirigidos a personal clave y a niveles ejecutivos.

• Robo y venta de credenciales: la llave maestra para entrar sin romper nada.

• Manipulación de datos y sabotaje: alteración de registros, contratos, inventarios y evidencias.

Un derecho que sigue corriendo detrás del crimen

Aquí está el punto incómodo: el problema no es solo tecnológico; es jurídico e institucional. En muchos sistemas judiciales de la región —y El Salvador no es la excepción— el delito informático se sigue abordando con herramientas analógicas: se “imprime” un chat como si fuera prueba autosuficiente, se confunde una captura de pantalla con un registro verificable, se preserva evidencia tarde, y se subestima la volatilidad de los datos.

La evidencia digital tiene reloj. Logs que se rotan, proveedores que conservan metadatos por periodos limitados, dispositivos que alteran su contenido con solo encenderse. Un oficio extemporáneo puede ser, en la práctica, un cibercriminal más que goza de impunidad.

Esto exige operadores capacitados: jueces, fiscales, defensores y peritos que comprendan cadena de custodia digital, verificación mediante hashes, adquisición forense, correlación de eventos, preservación de metadatos y trazabilidad. Sin eso, la norma queda “bonita” en el papel, pero débil en audiencia.

En El Salvador, existe normativa específica que tipifica conductas como acceso indebido, manipulación de datos, espionaje informático y ataques a infraestructura. El desafío es la aplicación: sin laboratorios robustos, sin formación continua y sin protocolos claros de coordinación con proveedores tecnológicos, seguimos litigando contra el siglo XXI con herramientas del siglo XX.

La respuesta empresarial que no puede esperar

La prevención real integra tres dimensiones: técnica, organizacional y legal.

• En lo técnico: autenticación multifactor, gestión de parches, segmentación, respaldos probados (no solo “hechos”), y monitoreo de logs con retención suficiente para investigar.
• En lo organizacional: procesos de doble verificación para pagos, políticas claras para cambios de cuenta bancaria, cultura de reporte sin castigo (para que la gente avise temprano), y simulacros de phishing.
• En lo legal: contratos con proveedores que definan obligaciones de seguridad, tiempos de notificación y responsabilidad; políticas de tratamiento y retención de datos; y, sobre todo, un protocolo de respuesta que contemple preservación de evidencia y comunicación con autoridades.

Porque cuando llega el incidente, la pregunta no es “¿quién tiene la culpa?”, sino “¿qué podemos probar?”. Y esa diferencia decide si la empresa recupera su dinero, si identifica al responsable, y si puede sostener un caso en sede penal o civil.

Cierre: un llamado al Estado y a la empresa

No debemos subestimar lo que ocurre en el ciberespacio, allí se contrata, se paga, se decide… y se delinque. La empresa que no incorpora el riesgo cibernético a su gobernanza, está administrando a ciegas.

Pero también hay una tarea país. Si queremos que la ley disuada, necesitamos operadores entrenados, estándares forenses mínimos, cooperación internacional ágil y una lectura judicial que entienda que la prueba digital no es “papel”, sino dato: verificable, trazable y frágil.

La ciberdelincuencia no espera a que estemos listos. Se aprovecha, precisamente, de que no lo estamos.