Retos relacionados con la prueba electrónica (parte I)

Los pasados días 21 y 22 de noviembre asistí a uno de los cursos que ofrece la Academia de Derecho Europeo y en concreto el que se realizó en Milán sobre prueba electrónica (Challenges Related to Electronic Evidence), dentro de los distintos que sobre temas de derecho y TIC viene efectuando el organismo y que son altamente recomendables.

Intentaré recoger lo que dio de sí el evento y las diferentes ponencias para transmitir de qué se está discutiendo en el ámbito internacional cuando se habla de prueba electrónica e investigación forense tecnológica, pues los ponentes eran todos de mucho prestigio y surgieron temas muy interesantes.

Agradezco al tiempo la compañía de algunos de los colegas con los que coincidí, especialmente a los blogueros José Díaz Cappa, Fiscal especialista en delitos informáticos de Baleares, el compañero letrado de Madrid Víctor Martínez Patón, así como doy gracias también a Jorge Ramiro Pérez Suárez que me sugirió la lectura que me llevé de viaje, el interesantísimo libro Cyber Criminology.

En este primer post me centraré exclusivamente en la intervención del abogado e investigador inglés Stephen Mason, quizá uno de los mayores especialistas en prueba electrónica que existe, cuyos conocimientos ha volcado en las distintas ediciones de su libro Electronic Evidence y que es el editor de la Digital Evidence and Electronics Signature Law Review.

TIPOLOGÍA DE LAS PRUEBAS ELECTRÓNICAS SEGÚN STEPHEN MASON

Según Mason existen tres tipos de pruebas electrónicas y cada una presenta distinta problemática en su tratamiento como prueba en el proceso:

1. Pruebas con contenido o redactado (un email, la mensajería instantánea o un documento de texto). En este tipo de pruebas resulta irrelevante probar la autenticidad del contenido, ya que existirá un testigo que lo admitirá y, por tanto, lo relevante es la participación del autor en el proceso judicial que ratifique haber generado el contenido.
2. Pruebas cuyo contenido está generado exclusivamente por máquinas (los logs, registros de conexiones telefónicas o operaciones entre cajeros automáticos). Aquí el tema de relevancia a efectos probatorios es demostrar que el sistema informático funcionaba correctamente en el momento de generar el contenido (Mason trae aquí a colación el caso Paal Oiestad c. DNB Bank ASA en el que el cliente reclamaba por cargos indebidos en su tarjeta bancaria pero fue acusado de negligencia ya que las operaciones se habían efectuado con uso del PIN legítimo, probándose a la postre que había existido un defecto técnico que no solicitó el PIN en las operaciones fraudulentas).
3. Y finalmente un tercer tipo de prueba que mezcla contenido humano y cálculos automatizados (como podría ser una hoja de cálculo Excel que realiza operaciones aritméticas de las que nos fiamos). Respecto de dicha prueba habrá de determinarse qué parte del contenido es de creación humana y cuál generado automáticamente por el sistema o programa informático.

Mason propone, como en anteriores charlas en las que le he seguido, como caso paradigmático y de análisis obligado el de Connecticut vs. Julie Amero (2007) que él analiza minuciosamente en su libro International Electronic Evidence (2008) y que se encuentra publicado en el siguiente enlace.

El caso (que finalmente se cerró en Estados Unidos con un acuerdo de conformidad) tiene que ver con la exhibición en una aula de educación infantil y desde la pantalla de ordenador del profesor, de material pornográfico que aparecía en elementos emergentes (pop-ups), habiendo sido acusada una profesora suplente por exhibición de material obsceno, siendo un caso fronterizo en cuanto a los hechos entre la exhibición consciente o la negligencia en proteger a los menores de dicha exhibición. La perspectiva legal es eminentemente americana, pero lo importante del caso es su análisis desde el prisma técnico de investigación forense tecnológica y de prueba electrónica.

En la investigación se presumía que los links con el título “female sex enhancers” (potenciador sexual femenino) que aparecían en texto rojo habían sido clicados por el autor, dándose por sentado que el color del texto típico de un enlace de hipertexto “usado” demostraba su uso. Es un ejemplo según Mason de un deficiente tratamiento de la prueba electrónica, puesto que los investigadores no habían estudiado la fuente html que demostraba que el diseñador del código había preestablecido el color rojo en el enlace incluso sin que éste hubiera sido nunca visitado.

CIFRADO DE INFORMACIÓN Y DERECHO A NO DECLARAR

Mason entra, después, en la discusión sobre contenidos cifrados.

Las claves o contraseñas se averiguan, según Mason, a través de cuatro métodos distintos:

1. Preguntándolas al investigado.
2. Rompiendo la protección con fuerza bruta.
3. Aplicando técnicas de inteligencia o combinándolas con fuerza bruta.
4. O mediante la introducción de troyanos en el software para captar la contraseña.

La experiencia anglosajona es aquí muy distinta de la de otros países europeos, al existir en Reino Unido la RIPA del año 2000 (Regulation of Investigatory Powers Act) que sanciona el hecho de no colaborar en la investigación dando las contraseñas de contenidos ocultos o cifrados.

Mason habla por primera vez, aunque se hablaría mucho más durante todo el Curso, de True Crypt, el sistema de cifrado de doble clave, sobretodo para alertar de que cualquier requerimiento de entrega de claves a un sospechoso debe solicitar la entrega de “todas” las contraseñas, para evitar que el sospechoso pueda alegar haber cumplido con el requerimiento de los investigadores con la entrega de una única contraseña cuando el sistema cifrado con True Crypt genera dos contraseñas distintas, una que protege un contenido que el sospechoso desvela (porque no le perjudica o le perjudica poco) y la otra que protege el contenido realmente comprometido (que el sospechoso no quiere nunca revelar).

Y finalmente Mason se embarcó en la discusión sobre la aplicación del derecho a no declarar y no confesarse culpable (o a no colaborar con la investigación) y su relación con la entrega de las contraseñas. Este tema es realmente interesante y complejo,  puesto que la discusión sobre el derecho a no confesarse culpable y por tanto no entregar la contraseña de un contenido oculto o cifrado tiene que ver precisamente con dicho contenido que es desconocido. Se produce entonces la paradoja de que si el contenido no fuera incriminatorio no existiría derecho a negar la contraseña, mientras que si sí lo es se tendría el derecho, pero nuevamente el problema es que nunca sabremos si el contenido era incriminatorio o no.

Mason defiende la tesis de que una contraseña es un hecho psicológico (excepto si lo hemos convertido en un hecho material al haber escrito la contraseña en algún sitio), por lo que el sujeto investigado tendría derecho a no declarar sobre ello, como lo tendría sobre cualquier pensamiento.

El análisis se traslada a casos de derecho americano, citándose el caso In re Boucher (2009) en el que se discutía por primera vez sobre el derecho a no revelar las contraseñas de contenido cifrado y el caso Grand Jury Subpoena Duces Tecum c. John Doe (2011) así como las teorías de que las contraseñas son actos del pensamiento.

Finalmente es curioso el caso canadiense de R. c. Beauchamp (2008) en el que la defensa pedía acceso al contenido cifrado del disco duro del imputado que le había sido intervenido por los investigadores, pero no quería dar la contraseña. El juez, al convenirse que el contenido del disco duro era tanto incriminatorio como no-incriminatorio, negó la entrega del disco duro al imputado alegando que al no tener acceso al contenido no podía entregarlo a la defensa, pero que siempre quedaba la opción para el imputado de proporcionar las claves de cifrado, momento en el que entonces sí se podría acceder al contenido y, por tanto, compartirlo con la defensa. ¡Muy inteligente!