¿Es delito el cryptojacking en España?
Sí, el cryptojacking es delito en España. Consiste en usar sin autorización el procesador o la tarjeta gráfica de un dispositivo ajeno para minar criptomonedas, y esa conducta encaja en los delitos de acceso ilícito a sistemas de información y de daños informáticos del Código Penal. Se puede denunciar ante la policía o directamente ante el juzgado de instrucción, aportando las pruebas técnicas que acrediten el acceso no autorizado y el perjuicio causado.
Qué es exactamente el cryptojacking
El cryptojacking es la instalación o ejecución encubierta de un programa de minería de criptomonedas en un ordenador, móvil, servidor o cualquier dispositivo conectado, sin que su propietario lo sepa ni lo consienta. El atacante suele introducir ese código mediante un script oculto en una página web, un archivo adjunto infectado, una extensión de navegador maliciosa o una aplicación aparentemente legítima. El resultado para la víctima es un consumo anómalo de energía eléctrica, una ralentización notable del equipo, el disparo de la temperatura de los componentes y, con el tiempo, un desgaste prematuro del hardware.
Qué delitos del Código Penal se aplican
Acceso ilícito a un sistema de información
El artículo 197 bis del Código Penal castiga a quien, vulnerando las medidas de seguridad establecidas para impedirlo y sin estar autorizado, acceda o se mantenga dentro de un sistema de información en contra de la voluntad de quien tiene derecho a excluirlo. El uso oculto de un dispositivo para minar criptomonedas parte precisamente de ese acceso no consentido.
Daños informáticos
El artículo 264 del Código Penal sanciona a quien, sin autorización y de forma grave, altere, dañe o haga inaccesibles datos, programas o documentos electrónicos ajenos, o deteriore gravemente el funcionamiento de un sistema. El uso intensivo y no autorizado de los recursos del equipo, cuando provoca un deterioro apreciable de su funcionamiento o de los datos, puede encajar en este tipo penal.
Obstaculización grave del sistema
El artículo 264 bis del Código Penal castiga a quien obstaculice o interrumpa de forma grave el funcionamiento de un sistema informático ajeno, introduciendo o transmitiendo datos sin autorización. Cuando el cryptojacking colapsa servidores de una empresa o provoca caídas del servicio, este precepto puede resultar aplicable junto al anterior.
Qué pena puede conllevar
Las penas previstas en estos artículos del Código Penal oscilan entre los seis meses y los tres años de prisión, dependiendo del precepto aplicado y de la gravedad del daño causado, además de las multas correspondientes. La calificación penal exacta y la pena concreta dependerán de cómo se haya producido el acceso, del perjuicio económico acreditado y de si existen agravantes, como que el sistema afectado pertenezca a una infraestructura crítica o a una administración pública.
Cómo saber si eres víctima de cryptojacking
Algunos indicios habituales son un uso de CPU o GPU anormalmente alto incluso con el equipo en reposo, un aumento inexplicado del recibo de la luz, el ventilador funcionando a máxima velocidad de forma constante, el navegador o el móvil más lentos de lo habitual, o procesos desconocidos visibles en el administrador de tareas. En empresas, suele detectarse a través de picos de consumo en servidores o en la factura de servicios en la nube.
Qué pruebas reunir antes de denunciar
- Capturas de pantalla del administrador de tareas o del monitor de recursos mostrando el proceso sospechoso.
- Informe de un técnico o perito informático que identifique el script o el malware de minería.
- Facturas eléctricas o de servicios cloud que reflejen el consumo anómalo, si se quiere cuantificar el perjuicio.
- Registro de la fecha en que se detectó el problema y de la página, archivo o aplicación que lo originó.
- Copia del tráfico de red o los logs del servidor, si la víctima es una empresa con capacidad técnica para conservarlos.
Cuanta más evidencia técnica se aporte, más fácil será para la policía y para el juzgado identificar al responsable y valorar el alcance del daño.
Dónde y cómo denunciar en Barcelona
La denuncia puede presentarse ante los Mossos d'Esquadra, que cuentan con unidades especializadas en delitos tecnológicos, ante la Policía Nacional a través de su Brigada de Investigación Tecnológica, o ante la Guardia Civil mediante su Grupo de Delitos Telemáticos. También es posible acudir directamente al Juzgado de Instrucción de guardia de Barcelona para interponer la denuncia por escrito, especialmente cuando ya se dispone de un informe pericial o de pruebas consistentes.
Pasos para presentar la denuncia
- Reunir toda la documentación técnica disponible antes de acudir a denunciar.
- Acudir a la comisaría de los Mossos d'Esquadra o de la Policía Nacional más cercana, o presentar la denuncia por escrito en el juzgado.
- Detallar con precisión cuándo se detectó el problema, qué dispositivo se vio afectado y qué consecuencias ha tenido.
- Solicitar copia de la denuncia presentada, que será necesaria para reclamaciones posteriores.
- Si el perjuicio es significativo, valorar la asistencia de un abogado para personarse como acusación particular en el procedimiento.
Plazo para denunciar: la prescripción del delito
Según el artículo 131.1 del Código Penal, los delitos menos graves prescriben a los cinco años. Dado que tanto el acceso ilícito del artículo 197 bis como los daños informáticos del artículo 264 están castigados con penas de prisión no superiores a tres años, se consideran delitos menos graves a estos efectos, por lo que el plazo general para denunciarlos es de cinco años desde que se cometió el hecho o desde que cesó la conducta delictiva. Aun así, conviene denunciar cuanto antes, porque las pruebas digitales se degradan o desaparecen con el tiempo.
Qué hacer si el delito afecta a una empresa
Cuando el cryptojacking perjudica a una empresa, además de la vía penal, es posible reclamar la responsabilidad civil derivada del delito conforme al artículo 109 del Código Penal, para resarcir el daño económico sufrido: consumo eléctrico, pérdida de productividad o deterioro de equipos. Esta reclamación se puede ejercitar dentro del propio proceso penal, lo que evita tener que iniciar un procedimiento civil independiente. En estos casos resulta especialmente útil disponer de un informe pericial informático que cuantifique el perjuicio.
Preguntas frecuentes
¿El cryptojacking siempre es delito aunque el daño sea pequeño?
El acceso no autorizado a un sistema puede ser constitutivo de delito aunque el perjuicio económico sea reducido, ya que el artículo 197 bis no exige un daño grave, a diferencia del artículo 264. La valoración final corresponde al juzgado en función de las pruebas aportadas.
¿Puedo denunciar si no sé quién es el responsable?
Sí. La denuncia se presenta igualmente contra persona desconocida y son las fuerzas de seguridad, con el apoyo de peritos informáticos, quienes investigan el origen técnico del ataque durante la instrucción.
¿Necesito un abogado para denunciar cryptojacking?
No es obligatorio para presentar la denuncia inicial, pero contar con asesoramiento legal ayuda a redactar correctamente los hechos, a solicitar las diligencias de investigación adecuadas y a personarse como acusación particular si se quiere reclamar una indemnización.
¿Qué diferencia hay entre cryptojacking y un virus informático normal?
El cryptojacking tiene como único fin usar los recursos del equipo para minar criptomonedas, sin necesariamente robar datos ni cifrar archivos, a diferencia de otros tipos de malware como el ransomware. Jurídicamente, sin embargo, ambos pueden encajar en los mismos tipos penales de acceso ilícito o daños informáticos.
¿Puede mi empresa reclamar los gastos eléctricos causados por el cryptojacking?
Sí, siempre que se acredite documentalmente el consumo anómalo y su relación con el ataque. Esa cuantificación puede incluirse en la reclamación de responsabilidad civil dentro del propio proceso penal.