LEY 1273 DE 2009

CAPITULO I

De los atentados contra la confidencialidad, la integridad y la disponibilidad de los datos y

de los sistemas informáticos

Artículo 269A: Acceso abusivo a un sistema informático .El que, sin autorización o por fuera de lo
acordado, acceda en todo o en parte a un sistema informático protegido o no con una medida de
seguridad, o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo
derecho a excluirlo, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses
y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.

Artículo 269B: Obstaculización ilegítima de sistema informático o red de telecomunicación.

El que, sin estar facultado para ello, impida u obstaculice el funcionamiento o el acceso normal a un
sistema informático, a los datos informáticos allí contenidos, o a una red de telecomunicaciones,
incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a
1000 salarios mínimos legales mensuales vigentes, siempre que la conducta no constituya delito
sancionado con una pena mayor.

Artículo 269C: Interceptación de datos informáticos . El que, sin orden judicial previa intercepte
datos informáticos en su origen, destino o en el interior de un sistema informático, o las emisiones
electromagnéticas provenientes de un sistema informático que los transporte incurrirá en pena de
prisión de treinta y seis (36) a setenta y dos (72) meses.

Artículo 269D: Daño Informático. El que, sin estar facultado para ello, destruya, dañe, borre,
deteriore, altere o suprima datos informáticos, o un sistema de tratamiento de información o sus
partes o componentes lógicos, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis
(96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.

Artículo 269E: Uso de software malicioso. El que, sin estar facultado para ello, produzca, trafique,
adquiera, distribuya, venda, envíe, introduzca o extraiga del territorio nacional software malicioso u
otros programas de computación de efectos dañinos, incurrirá en pena de prisión de cuarenta y ocho
(48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales
vigentes.

Artículo 269F: Violación de datos personales. El que, sin estar facultado para ello, con provecho
propio o de un tercero, obtenga, compile, sustraiga, ofrezca, venda, intercambie, envíe, compre,
intercepte, divulgue, modifique o emplee códigos personales, datos personales contenidos en ficheros,
archivos, bases de datos o medios semejantes, incurrirá en pena de prisión de cuarenta y ocho (48) a
noventa y seis (96) meses y en multa de 100 a 1000 salarios mínimos legales mensuales vigentes.

Artículo 269G: Suplantación de sitios web para capturar datos personales . El que con objeto
ilícito y sin estar facultado para ello, diseñe, desarrolle, trafique, venda, ejecute, programe o envíe
páginas electrónicas, enlaces o ventanas emergentes, incurrirá en pena de prisión de cuarenta y ocho
(48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales
vigentes, siempre que la conducta no constituya delito sancionado con pena más grave.

En la misma sanción incurrirá el que modifique el sistema de resolución de nombres de dominio, de tal
manera que haga entrar al usuario a una IP diferente en la creencia de que acceda a su banco o a
otro sitio personal o de confianza, siempre que la conducta no constituya delito sancionado con pena
más grave.

La pena señalada en los dos incisos anteriores se agravará de una tercera parte a la mitad, si para
consumarlo el agente ha reclutado víctimas en la cadena del delito.

Artículo 269H: Circunstancias de agravación punitiva : Las penas imponibles de acuerdo con los
artículos descritos en este título, se aumentarán de la mitad a las tres cuartas partes si la conducta se
cometiere:

1. Sobre redes o sistemas informáticos o de comunicaciones estatales u oficiales o del sector

financiero, nacionales o extranjeros.

2. Por servidor público en ejercicio de sus funciones.

3. Aprovechando la confianza depositada por el poseedor de la información o por quien tuviere un

vínculo contractual con este.

4. Revelando o dando a conocer el contenido de la información en perjuicio de otro.

5. Obteniendo provecho para sí o para un tercero.

6. Con fines terroristas o generando riesgo para la seguridad o defensa nacional.

7. Utilizando como instrumento a un tercero de buena fe.

8. Si quien incurre en estas conductas es el responsable de la administración, manejo o control de

dicha información, además se le impondrá hasta por tres años, la pena de inhabilitación para el
ejercicio de profesión relacionada con sistemas de información procesada con equipos
computacionales.

CAPITULO II

De los atentados informáticos y otras infracciones

Artículo 269I: Hurto por medios informáticos y semejantes . El que, superando medidas de
seguridad informáticas, realice la conducta señalada en el artículo 239 manipulando un sistema
informático, una red de sistema electrónico, telemático u otro medio semejante, o suplantando a un
usuario ante los sistemas de autenticación y de autorización establecidos, incurrirá en las penas
señaladas en el artículo 240 de este Código.

Artículo 269J: Transferencia no consentida de activos . El que, con ánimo de lucro y valiéndose de
alguna manipulación informática o artificio semejante, consiga la transferencia no consentida de
cualquier activo en perjuicio de un tercero, siempre que la conducta no constituya delito sancionado
con pena más grave, incurrirá en pena de prisión de cuarenta y ocho (48) a ciento veinte (120) meses
y en multa de 200 a 1.500 salarios mínimos legales mensuales vigentes. La misma sanción se le
impondrá a quien fabrique, introduzca, posea o facilite programa de computador destinado a la
comisión del delito descrito en el inciso anterior, o de una estafa.

Si la conducta descrita en los dos incisos anteriores tuviere una cuantía superior a 200 salarios
mínimos legales mensuales, la sanción allí señalada se incrementará en la mitad.

ARTÍCULO 2o. Adiciónese al artículo 58 del Código Penal con un numeral 17, así:

Artículo 58. Circustancias de mayor punibilidad . Son circunstancias de mayor punibilidad, siempre
que no hayan sido previstas de otra manera:

17. Cuando para la realización de las conductas punibles se utilicen medios informáticos, electrónicos
o telemáticos.

ARTÍCULO 3o. Adiciónese al artículo 37 del Código de Procedimiento Penal con un numeral 6, así:

Artículo 37. De los Jueces Municipales. Los jueces penales municipales conocen:

6. De los delitos contenidos en el título VII Bis.

ARTÍCULO 4o. La presente ley rige a partir de su promulgación y deroga todas las disposiciones que le
sean contrarias, en especial el texto del artículo 195 del Código Penal.

TECNICAS DE FRAUDE INFORMATICO

Las técnicas de fraude o delitos informáticos se pueden explicar como las acciones u omisiones que
las personas realizan para afectar a las personas y organizaciones o producen beneficios no
justificados. Estos delitos son contra la intimidad, el patrimonio, la información y la falsedad de
documentos.

1. Manipulación de Transacciones
La manipulación de transacciones ha sido el método más utilizado para cometer fraudes, en
ambientes computarizados. El mecanismo para concretar este tipo de fraude sistémico o informático,
consiste en cambiar los datos antes o durante la entrada al computador. Puede ser ejecutado por
cualquier persona que tenga acceso a crear, registrar, transponer, codificar, examinar, comprobar o
convertir los datos que entran al computador. Por ejemplo, alterar los documentos fuente y modificar
el contenido en alto relieve de las tarjetas de crédito entre otros.
2 Técnica de Salami
La técnica de Salami consiste en sustraer pequeñas cantidades (tajadas) de un gran número de
registros contables, mediante la activación de rutinas incluidas en los programas aplicativos
corrientes. La empresa es dueña del salami (archivo de datos) de donde el intruso toma pequeñas
sumas para llevarlos a cuentas especiales conocidas solamente por el perpetrador del fraude. Aquí,
normalmente, los totales de control no se alteran y en consecuencia, se dificulta descubrir el fraude y
a quién lo comete.

La técnica de Salami es muy común en los programas que calculan intereses, porque es allí en donde
se facilita la sustracción de residuos que generalmente nadie detecta, configurándose cómodamente
el fraude.

3. Técnica del caballo de Troya

La técnica del Caballo de Troya consiste en insertar instrucciones, con objetivos de fraude, en los
programas aplicativos de contabilidad, tesorería, etc. de manera que, además de las funciones propias
del programa, también ejecute funciones no autorizadas.

Las instrucciones fraudulentas se esconden dentro de las demás obteniendo acceso libre a los
archivos de datos, normalmente usados por el programa. Esta técnica de fraude es muy común
debido a la facilidad que se presenta para ocultar instrucciones fraudulentas dentro de cientos de
instrucciones que generalmente componen los programas aplicativos. Sin embargo, no siempre la
técnica del caballo de Troya se configura en programas de aplicación, también, se acostumbra en
sistemas operacionales y en programas utilitarios.

Para efectos de incluir la instrucción en un programa legítimo, el programador aprovecha la

autorización para hacer cambios corrientes a los programas y en ese momento incluye las
instrucciones fraudulentas, evidentemente no autorizadas. A esto se debe que la técnica haya
adoptado el nombre de caballo de Troya.

4. Bomba lógica
Las bombas lógicas son una técnica de fraude, en ambientes computarizados, que consiste en diseñar
e instalar instrucciones fraudulentas en el software autorizado, para ser activadas cuando se cumpla
una condición o estado específico. Esta técnica de fraude informático es difícil de descubrir, porque
mientras no sea satisfecha la condición o estado específico, el programa funciona normalmente
procesando los datos autorizados sin arrojar sospecha de ninguna clase.

Cuando la condición de fraude se cumple, entonces automáticamente, se ejecuta la rutina no

autorizada produciéndose de esta manera el fraude. Entre las condiciones más frecuentes, para la
práctica de este tipo de fraudes tenemos, abonar un crédito o débito no autorizado a una cuenta
cuando el reloj del computador alcance determinado día y hora, hacer un traslado de fondos cuando
el computador encuentre una determinada condición como por ejemplo una fecha.

Esta técnica de fraude se diferencia de la del caballo de Troya, básicamente en que la instrucción o
instrucciones fraudulentas se incluyen en el programa, cuando se está generando originalmente el
sistema. En cambio, en el caballo de Troya, se incluyen las instrucciones fraudulentas cuando es
autorizada una modificación al programa. Esto es, que se ejecutan las modificaciones autorizada se
aprovecha la oportunidad para agregar instrucciones fraudulentas.

5. Juego de la Pizza
El juego de la pizza es un método relativamente fácil para lograr el acceso no autorizado a los Centros
de PED, así estén adecuadamente controlados. Consiste en que un individuo se hace pasar por la
persona que entrega la pizza y en esa forma se garantiza la entrada a las instalaciones de PED
durante y después de las horas de trabajo.

6. Ingeniería social
Esta técnica consiste en planear la forma, de abordar a quienes pueden proporcionar información
valiosa o facilitar de alguna manera la comisión de hechos ilícitos. Se recurre luego, a argumentos
conmovedores y/o sobornar a las personas para alcanzar los objetivos deseados.

Esta técnica combina artísticamente las características del petulante y del jactancioso para conseguir
el hecho fraudulento. Además, normalmente, usan un estilo de actuación importante, vestido
elegante, amenazas sutiles y porciones aisladas de información clave de la organización para influir en
otra persona.

7. Trampas- puerta
Las trampas – puerta son deficiencia del sistema operacional, desde las etapas de diseño original
(agujeros del sistema operacional). Los expertos programadores del sistema pueden aprovechar las
debilidades del sistema operacional para insertar instrucciones no autorizadas, en dicho sistema, con
el objeto de configurar fraudes informáticos. Las salidas del sistema operacional permiten el control a
programas escritos, por el usuario, lo cual facilita la operacionalización de fraudes, en numerosas
opciones.

8. Superzaping
El superzaping deriva su nombre de superzap, un programa utilitario de IBM de un alto riesgo por sus
capacidades. Permite entrar al sistema, adicionar, modificar y/o eliminar registros de archivos, datos
de registros o agregar caracteres dentro de un archivo maestro y salir sin dejar rastro y sin modificar
ni corregir los programas normalmente usados para controlar los archivos.

Este programa permite consultar los datos para efectos de conocimiento o para alterarlos omitiendo
todos los controles y seguridades en actividad establecidas. Hay otro programa similar al superzap, en
el sistemas 34 de IBM , denominado DFU . Todos los sistemas de computación tienen programas de
alto riesgo como el superzap, los cuales funcionan como especies de llaves maestras o programas de
acceso universal.

9. Evasiva astuta
Esta técnica consiste en un método inventado como consecuencia de la aparición de los compiladores.
Se trata de que los programadores de sistemas se inventaron la forma de comunicarse con la
computadora a través de lenguaje de máquina. Esta técnica también se conoce con el nombre de
parches. Es un método limpio para entrar en la computadora, cambiar las cosas, hacer que algo
suceda y hasta cambiarlas para que vuelvan a su forma original, sin dejar rastro para auditoría.

En la media en que se fue sofisticando la tecnología de ésta metodología de fraude, se le llamó DEBE:
Does Everything But Eat (una rutina que hace todas las cosas menos comer). Es usada por los
fanáticos de los bits, quienes literalmente desean hablar con las computadoras.

10. Recolección de Basura

La recolección de basura es una técnica para obtener información abandonada o alrededor de el
sistema de computación, después de la ejecución de un trabajo. Consiste en buscar copias de listados
producidos por el computador y/ o papel carbón para de allí extraer información, en términos de
programas, datos password y reportes especiales básicamente.

11. Ir a cuestas para obtener acceso no autorizado

Se trata de una técnica de fraude informático para lograr el acceso no autorizado a los recursos del
sistema entrando detrás o a cuestas de alguien influyente (piggyback) o por imitación.

El piggybacking físico consiste en seguir a un usuario autorizado, dentro de un área de acceso

controlada, protegida por puertas cerradas electrónicamente. El piggybacking electrónico consiste en
usar una terminal que esta ya activada o usar una terminal secreta conectada a una línea activada
para accesar la información del sistema, comprometiendo el régimen de seguridad. La imitación, sea
física o electrónica implica la obtención de password, códigos secretos y la suplantación de personas
autorizadas para entrar al área de computación.

12. Puertas elevadizas

Esta técnica consiste en la autorización de datos, sin la debida autorización, mediante rutinas
involucradas en el programa o en los dispositivos de hardware. Métodos sofisticados de escape de
datos pueden ser ejercidos en ambientes de alta seguridad y alto riesgo. Por ejemplo, la información
robada es decodificada de modo que personal del centro de PED, no puede descubrir que esta
pasando. Dicha información puede ser reportada por medio de radios transmisores en miniatura
(BUGS) colocados secretamente en la CPU de muchos computadores como sucedió en la guerra de
Vietnam. Estos BUGS fueron capaces de transmitir el contenido de los computadores a receptores
remotos, concretándose de esta manera el escape de datos a través del concepto de puertas
elevadizas.

El personal del PED puede construir puertas elevadizas en los programas o en los dispositivos de
hardware para facilitar la salida de datos y la entrada de los mismos sin ser detectados. Los
realizadores del fraude no necesariamente deben estar presentes en el momento de la ejecución del
mismo.

13. Técnica de Taladro

Esta técnica consiste en utilizar una computadora para llamar o buscar la manera de entrar al sistema
con diferentes códigos hasta cuando uno de ellos resulte aceptado y permita el acceso a los archivos
deseados. Mediante el sistema de ensayo permanente se descubren las contraseñas del sistema para
entrar a los archivos y extraer información en forma fraudulenta.

14. Intercepción de Líneas de Comunicación

Esta técnica de fraude informático consiste en establecer una comunicación secreta telefónica o
telegráfica para interceptar mensajes. Normalmente, las conexiones activas o pasivas se instalan en
los circuitos de comunicación de datos, entre terminales y concentradores, terminales y
computadores. De otra parte, la intercepción de comunicaciones por micro - ondas y vía satélite es
también técnicamente posible.

El computador afectará todos los negocios poderosamente y por lo tanto, todos los contables deben
familiarizarse con él. Los contables de pequeños negocios deben conocer más acerca del computador
que los contables de grandes negocios, dado que ellos no tienen un staff de procesamiento de datos
separados. El impacto del computador sobre la contabilidad y la auditoría comenzó duramente y su
uso será un porcentaje muy significativo a finales de la década de los noventa.

El computador tiene el potencial para liberarlos de la tarea pesada y aburrida, expandir horizontes,
liberar el espíritu creativo y expandir nuestra capacidad productiva. Debemos aprovechar esta
oportunidad.

15. Los virus.

Los virus son programas ilícitos de computador o códigos dañinos que atacan o "infectan" a otros
programas y sistemas. Una vez que un programa ha sido infectado, este podría ser instruido para
realizar funciones no autorizadas antes de extenderse a otros sistemas. La interacción entre usuarios,
físicamente o sobre una red, podría extender el código malicioso.

Los síntomas de un ataque de virus incluyen los siguientes:

 Reducción significante de la función del sistema

 Pérdidas o cambios inexplicables de los datos
 Conteo de datos fuera de balance
 Aparición de gráficas o mensajes no familiares
 Cambio de los tamaños y fechas de archivos
 Activación de dispositivos que no son requeridos por el programa
Los virus podrían ser introducidos de las siguientes maneras:

 Cargue de software del dominio público y juegos de tableros electrónicos o por vía de grupos
compartidos es una actividad popular entre usuarios de PC. Los usuarios podrían copiar o cargar
software de tableros electrónicos, porque es más fácil que obtener aprobación para comprar una
copia. Hay riesgo de que estas copias puedan estar contaminadas con un virus u otros programas
destructivos ocultos.
 Un programa en un medio sin protección podría ser infectado cuando el medio es usado en un
sistema infectado.
 Los usuarios podrían sin saberlo contaminar numerosos sistemas compartiendo o transmitiendo un
programa o archivo infectado a través de las facilidades de red que podrían extenderse a fronteras
internacionales.
 Si hay inadecuados planes de copias, recuperación y contingencia, los usuarios podrían no ser
capaces de recuperar los datos y programas si es descubierto un virus que ha dañado sus datos y
programas.
El rango de amenazas presentadas por los virus de computadores están limitadas solamente por la
imaginación del autor del virus. Algunos de los más serios riesgos para la organización son los
siguientes:

 La destrucción o modificación de datos: La restauración de los datos y programas perdidos o

destruidos es una tarea formidable sin adecuados planes de copia y recuperación.
 Interrupción de operaciones:Un ataque de virus de cualquier tipo podría interrumpir las
operaciones del negocio. El administrador podría tener que restablecer confidencias de clientes o
accionistas en la organización. El personal técnico podría tener que ser apartado de la rutina de
trabajo para diagnosticar y remover el virus, restaurar los datos y programas destruidos o
corruptos, e implementar medidas preventivas contra futuros ataques.
 Violación de la confiabilidad o fraude: Un virus podría copiar datos valiosos tales como archivos de
clientes, a una localización remota o fondos dispersos sistemáticamente en vez de destruir los
archivos de datos.
 Impacto en informes financieros: La confianza del administrador en datos corruptos para la toma
de decisiones comerciales, podría tener serias consecuencias.
 Desconcierto:La organización podría ser renuente en reportar un ataque de virus por miedo de
publicidad adversa. Las noticias del ataque podrían afectar la confidencia de accionistas o clientes
en el manejo de la organización.
GRUPOS DE TRABAJO

GRUPO 1:

De los atentados contra la confidencialidad, la integridad y la disponibilidad de los datos y

de los sistemas informáticos

Artículo 269A, Artículo 269B, Artículo 269C, Artículo 269D, Artículo 269E.

Grupo 2:

Artículo 269F, Artículo 269G, Artículo 269H

Grupo 3: De los atentados informáticos y otras infracciones

Artículo 269I, Artículo 269J, Artículo 58. Circunstancias de mayor punibilidad .

Grupo 4: TECNICAS DE FRAUDE INFORMATICO. Técnica del caballo de Troya

Manipulación de Transacciones, Técnica de Salami, Bomba lógica.

GRUPO 5:
Juego de la Pizza, Ingeniería social, Trampas- puerta, Superzaping

GRUPO 6:

Evasiva astuta, Recolección de Basura, Ir a cuestas para obtener acceso no autorizado,

Puertas elevadizas, Técnica de Taladro.

GRUPO 7: Intercepción de Líneas de Comunicación, Los virus