Invasión de dispositivo y cuenta hackeada: el delito, la prueba y los primeros pasos

Esta página es una traducción del texto original en portugués, ofrecida para facilitar la lectura. Trata del derecho brasileño. En caso de divergencia, prevalece la versión en portugués. Leer el original en portugués

La invasión de un celular, un computador o una cuenta digital dejó de ser un episodio raro y pasó a formar parte de la rutina de las comisarías y los tribunales. Quien tiene su aparato vulnerado, sus mensajes leídos sin permiso o su perfil secuestrado necesita actuar rápido y con método: la forma en que la víctima reacciona en las primeras horas determina si el autor será identificado o no.

Qué caracteriza la invasión de un dispositivo informático

El ordenamiento brasileño sanciona la invasión de un dispositivo informático ajeno en el artículo 154-A del Código Penal, incorporado por la Ley 12.737/2012 y reforzado por la Ley 14.155/2021. El tipo penal alcanza a quien invade el aparato de otra persona, esté o no conectado a internet, con el propósito de obtener, alterar o destruir datos, o de instalar vulnerabilidades para obtener una ventaja ilícita.

La reforma de 2021 elevó la pena a uno a cuatro años de reclusión, además de multa, y previó un aumento cuando la invasión resulta en la divulgación de comunicaciones privadas, secretos comerciales o información reservada. El elemento central es la violación del mecanismo de protección: contraseña, biometría, patrón de desbloqueo o cualquier barrera que el titular haya establecido.

Conviene hacer una distinción práctica. Leer el mensaje de alguien que dejó el teléfono desbloqueado sobre la mesa configura una situación jurídica distinta de la de quien descifra una contraseña o usa un programa espía. La presencia de una barrera de seguridad vulnerada es lo que acerca la conducta al delito del artículo 154-A y orienta la estrategia de la víctima.

Los primeros pasos: preservar antes de reaccionar

El error más común de quien descubre la invasión es intentar arreglarlo todo de inmediato: cambiar la contraseña, borrar conversaciones sospechosas, formatear el aparato. Esas actitudes, comprensibles en el susto del momento, destruyen justamente los rastros que permitirían identificar al autor. La primera regla es preservar.

Antes de cualquier modificación, la víctima debe documentar el estado en que encontró el dispositivo o la cuenta. Capturas de pantalla con fecha y hora visibles, fotografías de la propia pantalla tomadas con otro aparato y una grabación en video que recorra los ajustes de seguridad y la lista de sesiones activas forman un acervo que difícilmente será cuestionado después.

Los registros de acceso son el corazón de la prueba digital. Las plataformas de correo electrónico, las redes sociales y las aplicaciones de mensajería mantienen un historial de inicios de sesión con fecha, hora, modelo del aparato y dirección IP. Ese panel suele encontrarse en menús como «seguridad», «dispositivos conectados» o «actividad de la cuenta», y debe fotografiarse por completo antes de cerrar las sesiones extrañas.

Conviene además anotar en orden cronológico todo lo que se sabe del incidente: cuándo percibió que algo andaba mal, qué mensajes recibió, qué cobros o movimientos aparecieron, si hubo una exigencia de rescate o una amenaza. Ese relato ordenado se convierte en la columna vertebral de la denuncia policial y de la futura representación.

Solo después de preservar viene la contención. Cambiar contraseñas, activar la verificación en dos pasos y desconectar los dispositivos desconocidos son medidas necesarias, pero deben adoptarse con calma y registrando cada paso, para que la defensa del patrimonio digital no borre el camino que conduce al invasor.

La denuncia policial y la representación penal

Con las pruebas preservadas, el paso siguiente es llevar el caso a la autoridad policial. La denuncia policial (boletim de ocorrência) puede presentarse en una comisaría común o, donde exista, en una comisaría especializada en delitos cibernéticos. Varios estados ofrecen registro electrónico, lo que agiliza el inicio de la investigación sin excluir la posibilidad de complementarlo de manera presencial.

En su relato a la policía, la víctima debe presentar todo el material reunido e indicar de forma objetiva lo que ocurrió, evitando suposiciones sobre quién sería el responsable. Señalar al autor es tarea de la investigación; a la víctima le corresponde aportar datos confiables y completos que sustenten las diligencias posteriores.

Es importante observar la naturaleza de la acción penal. La invasión de un dispositivo informático, en su forma simple, depende de la representación del ofendido, es decir, exige la manifestación expresa de que se desea la investigación y la responsabilización. Ese interés debe registrarse dentro del plazo legal, contado desde el conocimiento de la autoría, so pena de caducidad del derecho de representar.

Cuando la invasión viene acompañada de sustracción de valores, transferencias fraudulentas o estafa cometida por medios electrónicos, el panorama cambia. La Ley 14.155/2021 también trató el hurto mediante fraude electrónico y la estafa cometida a través de dispositivos informáticos, con penas más severas, supuestos en los que la persecución penal sigue reglas propias y no se limita a la representación.

El titular de una cuenta bancaria invadida, por ejemplo, suma al ámbito penal la discusión sobre la responsabilidad de la institución financiera por las operaciones no reconocidas. Son frentes distintos que pueden avanzar en paralelo, y la orientación técnica desde el comienzo evita que uno comprometa al otro.

Quien borra las conversaciones para «limpiar» el aparato suele borrar, junto con ellas, el único rastro que llevaría hasta el invasor.

Esa es la razón por la cual la recomendación de preservar antes de reaccionar aparece en todas las etapas. La prueba digital es volátil y el margen de tiempo para recuperarla es corto, especialmente por los plazos de conservación que la ley fija para los proveedores.

El levantamiento del secreto para identificar al invasor

Identificar a quien está detrás de un acceso indebido rara vez es posible solo con lo que la víctima ve en la pantalla. La dirección IP registrada en los inicios de sesión es apenas el punto de partida: indica qué conexión se utilizó, pero no revela de inmediato el nombre del titular de ese acceso. Es aquí donde interviene el levantamiento del secreto (quebra de sigilo).

El Marco Civil de Internet, la Ley 12.965/2014, obliga a los proveedores a conservar los registros de conexión y de acceso a aplicaciones durante plazos determinados, y condiciona la entrega de esos datos a una orden judicial. La víctima, por medio de un abogado, solicita al juzgado que los proveedores informen a qué abonado pertenecía la IP utilizada en la fecha y hora del acceso fraudulento.

La solicitud debe ser precisa. Fechas, horas con huso horario definido, direcciones IP completas y la indicación exacta de las cuentas involucradas hacen efectiva la orden judicial y evitan respuestas genéricas de los proveedores. Cuanto más detallado sea el material preservado en la primera etapa, más sólida resulta esa solicitud y mayor es la probabilidad de éxito.

Hay además un cuidado con el reloj. Los plazos legales de conservación de los registros se cuentan en meses y, una vez vencidos, los proveedores pueden descartar los datos de forma legítima. Tardar en buscar orientación es, en la práctica, correr el riesgo de que la información capaz de identificar al autor simplemente deje de existir.

Una vez establecido el vínculo entre la IP y un titular, la investigación avanza para confirmar la autoría, que no siempre coincide con el abonado de la línea. Peritajes, análisis de otros rastros y diligencias complementarias cierran el cerco y transforman un acceso anónimo en un responsable con nombre y domicilio.

Responsabilidad, reparación y protección de datos

La identificación del invasor abre camino a dos consecuencias. En el ámbito penal, hace posible la acusación y el proceso penal. En el ámbito civil, permite reclamar la reparación de los daños materiales y morales, especialmente cuando hubo exposición de mensajes íntimos, perjuicio económico o daño a la imagen de la víctima.

Cuando se tratan datos personales de forma indebida a raíz de la invasión, se suma la tutela de la Ley General de Protección de Datos, la Ley 13.709/2018. Las filtraciones, el uso no autorizado de información y las fallas de seguridad que hayan facilitado el acceso pueden generar deberes de comunicación y de reparación por parte de quien tenía la custodia de esos datos.

El camino más seguro, desde el punto de vista de quien fue víctima, es abordar el incidente de forma integral desde el principio. Preservar la prueba, denunciar el hecho, representar dentro del plazo y solicitar el levantamiento del secreto son etapas encadenadas, y la orientación jurídica adecuada garantiza que ninguna se pierda por prisa o desinformación.

Preguntas Frecuentes

¿Necesito un abogado para presentar la denuncia policial por una invasión?

No. La denuncia policial puede presentarla directamente la víctima, incluso por medios electrónicos en muchos estados. La asistencia técnica, sin embargo, marca la diferencia en las etapas siguientes: la representación dentro del plazo, la solicitud de levantamiento del secreto y la eventual acción de reparación requieren fundamentación jurídica para ser eficaces. Buscar orientación a tiempo suele preservar derechos que se perderían por la demora.

¿Debo cambiar la contraseña y formatear el aparato apenas descubra la invasión?

El cambio de contraseña y la activación de la verificación en dos pasos son recomendables, pero no antes de preservar las pruebas. Formatear el aparato o borrar conversaciones elimina rastros esenciales para identificar al autor. El orden correcto es documentar primero el estado de la cuenta y los registros de acceso, y luego contener el problema, registrando cada medida adoptada en ese proceso.

¿Es posible descubrir quién invadió aunque el acceso parezca anónimo?

Sí, en la mayoría de los casos. Los proveedores conservan registros de conexión y de acceso durante plazos fijados por ley y pueden entregarlos mediante orden judicial. A partir de la dirección IP y de la hora del acceso, es posible llegar al titular de la conexión y, con las diligencias de investigación, a la autoría. El factor decisivo es la rapidez, ya que esos registros tienen un plazo de conservación limitado.

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada. Cada caso possui particularidades que exigem análise específica.