Estados Unidos rechaza firmar el tratado de la ONU sobre ciberdelincuencia que ya suscribieron más de 70 países

• Más de 70 países firmaron en una reunión celebrada en Hanói la Convención de las Naciones Unidas contra la Ciberdelincuencia (UN Convention against Cybercrime), un avance importante para construir un marco global de respuesta al delito digital
• La convención establece nuevos mecanismos para la cooperación entre gobiernos, el fortalecimiento de capacidades y el intercambio de pruebas electrónicas, y por primera vez tipifica internacionalmente los delitos dependientes de internet y la difusión no consentida de imágenes íntimas
• Estados Unidos quedó como uno de los principales países que no firmaron, y el Departamento de Estado solo declaró que “sigue revisando el tratado”
• Aunque la convención busca responder a delitos potenciados por internet como terrorismo, trata de personas, lavado de dinero y narcotráfico, ha recibido críticas de la industria tecnológica y de organizaciones de derechos humanos
• La convención marca un punto de inflexión importante para la aplicación internacional de la ley en el ciberespacio al cubrir la falta de estándares globales sobre pruebas electrónicas y reforzar la cooperación investigativa internacional

---

Estado de las firmas de la convención de la ONU sobre ciberdelincuencia

• Más de 70 países firmaron la convención de la ONU sobre ciberdelincuencia en un evento celebrado en Hanói
  • Entre los firmantes están Reino Unido, la Unión Europea, China, Rusia, Brasil y Nigeria
  • La convención crea una estructura para la cooperación, el desarrollo de capacidades y el rastreo de delitos apoyados en tecnología entre gobiernos
• António Guterres, secretario general de la ONU, señaló que el ciberespacio se ha convertido en un “terreno fértil para los delincuentes”, que engañan a las familias, les quitan su sustento y extraen billones de dólares de la economía
  • Describió la convención como “un instrumento sólido y jurídicamente vinculante para fortalecer nuestra defensa colectiva contra la ciberdelincuencia”
  • Indicó que los flujos ilícitos de dinero mediante criptomonedas y transacciones digitales se usan para financiar drogas, armas y terrorismo
  • También mencionó cómo los ataques de ransomware paralizan hospitales, aeropuertos y empresas
• Guterres subrayó en particular la importancia de la convención para el fortalecimiento de capacidades y la capacitación de los países del Sur Global
  • La ONU estima que el costo anual de la ciberdelincuencia asciende a 10.5 billones de dólares

La ausencia de Estados Unidos

• Se confirmó que Estados Unidos es uno de los principales países que no firmaron la convención
  • El Departamento de Estado indicó que Marc Knapper, embajador de Estados Unidos en Vietnam, y una delegación asistieron al evento, pero confirmó que no firmaron
  • Un portavoz del Departamento de Estado se limitó a decir que “Estados Unidos sigue revisando el tratado”
• La convención fue adoptada por la Asamblea General de la ONU en diciembre de 2024 y entrará en vigor 90 días después de la ratificación del país número 40 en firmarla
  • Cada país firmante deberá ratificarla conforme a sus propios procedimientos internos

Principales contenidos de la convención

• Ghada Waly, directora ejecutiva de la Oficina de las Naciones Unidas contra la Droga y el Delito (UNODC), afirmó que la ciberdelincuencia está transformando la naturaleza del crimen organizado y que se necesita cooperación global
  • Calificó la convención como “una herramienta crucial para garantizar un mundo digital más seguro para todos”
• La convención respalda la respuesta a delitos potenciados por internet como terrorismo, trata de personas, lavado de dinero y narcotráfico
• La ONU explica que la convención ofrece el primer marco global para la recolección, el intercambio y el uso de pruebas electrónicas
  • Hasta ahora no existían estándares internacionales para las pruebas electrónicas
• La convención tipifica por primera vez a nivel internacional los delitos dependientes de internet y reconoce como delito la difusión no consentida de imágenes íntimas
• También establece una red permanente de cooperación 24/7 para permitir una colaboración rápida entre países
  • Señala la necesidad de fortalecer la capacidad de respuesta frente a la ciberdelincuencia de cada país

Críticas y preocupaciones

• La industria tecnológica critica que la convención podría criminalizar la investigación en seguridad y exponer a las empresas a solicitudes complejas de datos
• Las organizaciones de derechos humanos advierten que la convención impone un amplio sistema de vigilancia electrónica que incluso abarca delitos no relacionados con la tecnología
  • Algunas han planteado el riesgo de que regímenes autoritarios o gobiernos abusivos la utilicen para reprimir a críticos o manifestantes
• También se señala que la convención crea un marco legal que permite vigilar, almacenar y compartir información a través de fronteras sin disposiciones de protección de datos
  • Raman Jit Singh Chima, de Access Now, criticó que la convención “legitima el autoritarismo cibernético interno y la represión transfronteriza”
  • Advirtió que los países que la ratifiquen corren el riesgo de “sacrificar la protección de los derechos humanos mediante compromisos procesales y acelerar la erosión de las libertades digitales”

Equilibrio entre derechos humanos y aplicación de la ley

• En su discurso, Guterres mencionó la reacción crítica frente a la convención y subrayó que la protección de derechos humanos fundamentales como la privacidad, la dignidad y la seguridad debe garantizarse tanto offline como online
• Explicó que la convención es clave para resolver el problema que las agencias de aplicación de la ley han enfrentado durante los últimos 20 años con el intercambio transfronterizo de pruebas electrónicas
  • Señaló que “cuando el agresor está en un país, la víctima en otro y los datos en un tercero, eso ha sido un obstáculo para hacer justicia”
  • Evaluó que la convención ofrece una ruta clara para que investigadores y fiscales superen esa barrera

[GN⁺]

Opiniones en Hacker News

• Considerando que entre los firmantes están países como China, Corea del Norte y Rusia, donde el apoyo estatal al cibercrimen es activo, este tratado es en la práctica inútil o incluso una peligrosa cesión de facultades
  También tendría muchos efectos negativos en vigilancia y seguridad, así que me parece correcto que EE. UU. no participe

  • El artículo también resume bien estos problemas
    La industria tecnológica advierte que el tratado criminaliza la investigación de seguridad, y los grupos de derechos humanos temen una deriva hacia un Estado de vigilancia
    Raman Jit Singh Chima criticó que este tratado legitima el “autoritarismo cibernético interno y la represión transfronteriza”
  • Basta con ver la sección de objeciones de derechos humanos en Wikipedia para notar bien los problemas del tratado
  • Este tipo de “cooperación global” al final deja a EE. UU. cargando con todo el peso, mientras otros países buscan debilitar su influencia. Se parece al Acuerdo de París
  • Según el World Cybercrime Index, Rusia, Ucrania, China y EE. UU. ocupan los primeros 4 lugares, y Corea del Norte está en el 7. Ayuda a entender el contexto
  • Al final opera el doble rasero de “si lo hacen los países malos es totalitarismo, si lo hacen los países buenos es democracia”

• Se dice que este tratado crea un marco legal que permite vigilancia, almacenamiento e intercambio transfronterizo de información sin protección de datos
  Desde la perspectiva de la privacidad, no tiene nada de positivo
  Que EE. UU. se retire fue una decisión inteligente, porque puede mantener la cooperación internacional evitando al mismo tiempo la recolección innecesaria de datos y la vigilancia

  • Pero resulta un poco irónico decir que las empresas de EE. UU. son famosas por proteger la PII. El argumento se ve algo débil
  • Salirse fue la decisión correcta. Esto no es más que un sistema de vigilancia ideológica disfrazado de ciberseguridad

• Comparto una recopilación de hilos de discusión anteriores
  Preocupaciones de la EFF,
  Un tratado convertido en herramienta de vigilancia,
  Posible amenaza a los derechos humanos,
  Controversia sobre el levantamiento del secreto bancario, entre otros enlaces que vale la pena revisar

• Si entre los firmantes está un país como Corea del Norte, que sostiene sus finanzas estatales mediante el cibercrimen, es inevitable dudar del verdadero sentido de este tratado

  • Es la forma típica de vender leyes que destruyen la privacidad de los datos usando causas nobles como “hay que proteger a los niños” o “hay que luchar contra el terrorismo”
  • La estructura económica de Corea del Norte también debe entenderse en su contexto histórico. Hace falta considerar que es el resultado de factores como la guerra con EE. UU. y las sanciones

• Canadá, Finlandia, Japón, Corea del Sur, India, Alemania y Suiza, entre otros, también se abstuvieron
  Viendo cuántos países de tendencia autoritaria hay entre los firmantes, la firma del Reino Unido y Francia parece simbolizar un retroceso de la libertad
  Que incluso Suecia esté incluida resulta sorprendente, y a los usuarios de Mullvad podría preocuparles

  • Los países que se abstuvieron parecen una combinación mucho mejor que los firmantes
    Aun así, como la UE figura entre los firmantes, la postura de miembros como Alemania queda ambigua
    Se puede consultar la lista de países firmantes del tratado

• No entiendo por qué EE. UU. debería renunciar por sí mismo a su soberanía cibernética
  Sobre todo cuando entre los principales firmantes hay actores difíciles de considerar confiables
  Si quieren mostrar buena fe, el equipo de Tencent debería volver a participar en CTF públicos y revelar 0days

  • Pero en la práctica, al no firmar, EE. UU. quedó fuera de un sistema estandarizado para compartir evidencia de ciberdelitos
    El tratado está estructurado para exigir que los países alineen sus leyes y tipifiquen como ilegales los mismos delitos

• La lista de firmantes incluye a Argelia, China, Corea del Norte, Rusia, Arabia Saudita, Reino Unido y Suecia, entre otros
  No parece una lista de países especialmente comprometidos con la privacidad personal

  • También incluye países desarrollados como Suecia, Portugal y Uruguay. Me parece una lista bastante razonable
    Me da curiosidad saber cuáles consideras tú “países que valoran la privacidad”
  • El marco legal de privacidad en línea de Brasil está bastante desarrollado
    La UE tampoco es un país, pero sí cuenta con un sistema de protección sólido
    No es apropiado juzgar esto solo con prejuicios simplistas
  • La propia percepción de la privacidad está cambiando
    Incluso en países que enfatizan la libertad, ya es cotidiano el rastreo total en celulares, carreteras y plataformas en línea
    Al final, quizá también haya que redefinir el concepto de “país libre”

• La ONU estimó que el costo global del cibercrimen asciende a 10.5 billones de dólares, lo que equivale a alrededor del 10% del PIB mundial
  Cuesta entender de dónde salió esa cifra

  • Viendo la estructura interna de relaciones en la ONU, una organización centrada en familiares y allegados de las élites, también cuesta confiar en cifras como esa
  • En la práctica, es muy probable que el cálculo incluya el costo total de la industria de ciberseguridad, como salarios de ingenieros de seguridad y productos de seguridad
    Según el reporte de Cybersecurity Ventures, es una estimación basada en 3 billones de dólares en 2015 con un crecimiento compuesto anual del 15%

• Irónicamente, los principales beneficiarios del cibercrimen redactaron el tratado, y además incluyeron cláusulas de vigilancia masiva
  Es decepcionante que EE. UU. no lo haya firmado, pero también se entiende por qué

• Rusia ha hackeado bancos de EE. UU. y la UE durante los últimos 20 años y ha robado millones de tarjetas de crédito
  Aún hoy, muchos de los principales criminales siguen operando impunemente dentro de Rusia

  • Los hackers rusos obtienen impunidad sobornando a la policía o cooperando con pedidos del GRU/KGB
    También existe una “regla no escrita” de no atacar empresas de la región de la CIS
    Para más contexto, ver el reporte de Recorded Future
  • Rusia no solo hace la vista gorda, sino que usa deliberadamente el cibercrimen de forma estratégica
    Es la clásica táctica de distracción: llamar la atención con una mano mientras actúa con la otra