¿Es ilegal un ataque DDoS? Lo que dice la ley

Sí: lanzar un ataque DDoS contra un sistema que no es tuyo o que no tienes permiso explícito para probar es ilegal en la mayoría de las jurisdicciones, y se persigue como un delito informático. La comodidad de contratar un ataque en línea no cambia eso. Este artículo explica, en términos generales, por qué el DDoS es ilícito, qué tipo de leyes se aplican, dónde encajan los servicios booter y stresser y qué clase de penas existen. Es información general, no asesoramiento legal.

Por qué el DDoS es un delito

La lógica legal es sencilla y coherente entre países. Un ataque de denegación de servicio satura deliberadamente un servicio para dejarlo inaccesible a sus usuarios legítimos. Hacerlo contra un sistema que no posees ni controlas, sin autorización, es una interferencia no autorizada en un sistema informático, y esa es exactamente la conducta que las leyes sobre uso indebido y fraude informático existen para prohibir. No hace falta robar ningún dato ni entrar en nada: perjudicar intencionadamente la disponibilidad de un sistema ya es el delito en sí. (Si quieres la imagen técnica de cómo funcionan realmente estos ataques, mira nuestro explicativo sobre los tipos de ataques DoS.)

Las leyes que se aplican

Cada jurisdicción usa leyes distintas, pero todas llegan al mismo sitio.

• Estados Unidos: Computer Fraud and Abuse Act (CFAA). La principal ley federal sobre el acceso no autorizado a sistemas informáticos protegidos y los daños causados a ellos. La actividad DDoS se ha perseguido con ella, porque provocar a sabiendas la transmisión de tráfico que daña o perjudica un sistema sin autorización entra en su ámbito.
• Reino Unido: Computer Misuse Act. Tipifica como delito los actos no autorizados destinados a perjudicar el funcionamiento de un ordenador, o a impedir u obstaculizar el acceso a él. Un ataque DDoS es un ejemplo de manual de justo eso.
• Otros países. La mayoría de las naciones tiene leyes equivalentes sobre delitos informáticos, y los marcos internacionales sobre ciberdelincuencia animan a los países a tipificar la misma conducta básica. El principio común en todas partes es que perjudicar intencionadamente la disponibilidad de un sistema sin autorización está prohibido.

La consecuencia es que no hay ningún resquicio en el que apoyarse cambiando de jurisdicción: la conducta es ilegal de forma generalizada, y los ataques transfronterizos pueden atraer la atención de las autoridades de más de un país.

Los servicios booter y stresser no son un resquicio

Buena parte de la actividad DDoS actual se realiza mediante servicios booter o stresser: sitios comerciales que lanzan tráfico de denegación de servicio bajo demanda, a menudo disfrazados de herramientas legítimas de «pruebas de carga» o «pruebas de estrés». El marketing es un disfraz muy fino. Someter a pruebas de estrés tu propia infraestructura, con permiso, es una actividad legítima. Apuntar uno de estos servicios al sistema de otra persona es el mismo delito que lanzar el ataque tú mismo.

Y lo importante: la exposición legal no se limita a quienes operan estos servicios. Las autoridades de varias jurisdicciones han desmantelado operaciones booter y, en algunos casos, también han perseguido a los clientes que pagaban. Contratar capacidad de ataque no externaliza la responsabilidad legal: sigues siendo la persona que dirigió un ataque no autorizado contra un objetivo. La defensa de «solo era un stresser» no se sostiene ante el hecho de que no tenías autorización sobre el sistema al que lo apuntaste.

La motivación normalmente no importa

La gente se convence de lanzar un DDoS por todo tipo de razones: una broma contra un servidor de juegos, una protesta contra una organización, un rencor o tumbar a un competidor. En general, ninguna lo hace lícito. Las leyes giran en torno a si el acto estaba autorizado y pretendía perjudicar un sistema, no a si el atacante se sentía justificado. Si acaso, los ataques que causan un daño económico u operativo real, o que apuntan a servicios críticos y esenciales, se tratan con más severidad, no con menos.

Cómo son las penas

Las penas varían mucho según la jurisdicción y la gravedad y consecuencias del ataque, así que sería engañoso citar una sola cifra. En términos generales, son penas penales reales: una condena por DDoS puede conllevar antecedentes penales, multas cuantiosas y prisión, y el infractor puede enfrentarse además a responsabilidad civil por el daño causado. Los factores agravantes endurecen el resultado: atacar infraestructuras críticas o servicios esenciales, causar pérdidas económicas significativas, actuar con ánimo de lucro o reincidir. Como los detalles difieren tanto, toma cualquier cifra que encuentres como ilustración de la gravedad y no como una predicción precisa de un caso concreto.

La alternativa lícita

Existe una versión legítima de someter un sistema a pruebas de saturación: hacerlo contra infraestructura propia, o contra la de otro con su autorización explícita y documentada, con un alcance y unas reglas de intervención adecuados, acordados de antemano. Así es como las organizaciones validan su propia resiliencia y como trabajan los pentesters autorizados. Si eres un defensor que intenta entender su propia exposición en lugar de atacar a nadie, mapear dónde podrían saturarse tus servicios es un ejercicio defensivo; un modelo de amenazas estructurado es una forma mucho más útil, y totalmente lícita, de dedicar esa energía.

La conclusión

Lanzar un ataque DDoS contra un sistema sobre el que no tienes autorización es un delito en la mayor parte del mundo, perseguido con leyes como la Computer Fraud and Abuse Act de EE. UU. y la Computer Misuse Act del Reino Unido. Usar un servicio booter o stresser para hacerlo no es distinto en lo legal, y se ha procesado tanto a compradores como a operadores. Las penas son reales y pueden incluir multas y prisión, sobre todo cuando hay servicios críticos o un daño real de por medio, y la motivación rara vez sirve de defensa. La única forma lícita de someter un sistema a pruebas de saturación es con el permiso explícito de su propietario. Este artículo es información general, no asesoramiento legal: consulta a un abogado cualificado sobre tu situación concreta y tu jurisdicción.

Preguntas frecuentes

¿Es ilegal un ataque DDoS? Sí. Lanzar uno contra un sistema que no es tuyo o que no tienes permiso explícito para probar es un delito en la mayoría de las jurisdicciones, porque es una interferencia no autorizada destinada a perjudicar la disponibilidad de un sistema.

¿Es ilegal hacerle un DDoS a alguien? Sí. Hacer un DDoS al sistema de otra parte sin su permiso es un delito informático, y motivaciones como un rencor, una protesta o la competencia no lo hacen lícito.

¿Qué leyes lo hacen ilegal? La Computer Fraud and Abuse Act de EE. UU., la Computer Misuse Act del Reino Unido y leyes equivalentes sobre delitos informáticos en otros países prohíben los actos no autorizados que perjudican un sistema informático.

¿Son legales los servicios booter y stresser? Usarlos contra un objetivo que no es tuyo no lo es: es el mismo delito que atacar directamente. Se ha procesado a operadores y, en algunos casos, a clientes que pagaban.

¿Cuáles son las penas? Varían según la jurisdicción y la gravedad, pero pueden incluir antecedentes penales, multas cuantiosas, prisión y responsabilidad civil, con resultados más duros para los ataques a servicios críticos o que causan daños significativos. Esto es información general, no asesoramiento legal.