Inteco Estudio Sobre La Situacion Naturaleza E Impacto Economico Y Social Del Correo Electronico No Deseado Spam 1c6241
This document was ed by and they confirmed that they have the permission to share it. If you are author or own the copyright of this book, please report to us by using this report form. Report 2z6p3t
Overview 5o1f4z
& View Inteco Estudio Sobre La Situacion Naturaleza E Impacto Economico Y Social Del Correo Electronico No Deseado Spam as PDF for free.
More details 6z3438
- Words: 62,074
- Pages: 165
Instituto Nacional de Tecnologías de la Comunicación
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado ‘spam’
OBSERVATORIO DE LA SEGURIDAD DE LA INFORMACIÓN
Instituto Nacional de Tecnologías de la Comunicación
Edición: junio 2008
INTECO quiere agradecer su colaboración en la elaboración de este estudio a:
La presente publicación pertenece a Instituto Nacional de Tecnologías de la Comunicación (INTECO) y está bajo una licencia Reconocimiento-No comercial 2.5 España de Creative Commons, y por ello esta permitido copiar, distribuir y comunicar públicamente esta obra bajo las condiciones siguientes: • Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros, citando su procedencia y haciendo referencia expresa tanto a INTECO como a su sitio web: www.inteco.es. Dicho reconocimiento no podrá en ningún caso sugerir que INTECO presta apoyo a dicho tercero o apoya el uso que hace de su obra. • Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados y exhibidos mientras su uso no tenga fines comerciales. Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra. Alguna de estas condiciones puede no aplicarse si se obtiene el permiso de INTECO como titular de los derechos de autor. Nada en esta licencia menoscaba o restringe los derechos morales de INTECO. Texto completo de la licencia: http://creativecommons.org/licenses/by-nc/2.5/es/
Instituto Nacional de Tecnologías de la Comunicación
INDICE
PUNTOS CLAVE...................................................................................................................6
1
I
Correo electrónico no deseado: el spam............................................................................ 6
II
Impacto económico y social del spam................................................................................ 6
III
El ‘spam’ en cifras ................................................................................................................. 8
IV
Posicionamiento y papel actual de los agentes ................................................................ 8
V
Recomendaciones y propuestas ......................................................................................... 9
Introducción, objetivos y metodología.....................................................................12 1.1
Presentación.................................................................................................................... 12
Estudio sobre la situación, naturaleza e impacto económico del ‘spam’ ................ 13 1.2 1.2.1 Objetivos generales ...................................................................................................... 13 1.2.2 Objetivos operativos y secundarios .............................................................................. 13 Entidades participantes ................................................................................................. 14 1.3 1.3.1 Instituto Nacional de Tecnologías de la Comunicación................................................ 14 1.3.2 Empresas Colaboradoras ............................................................................................. 15 Diseño metodológico ..................................................................................................... 16 1.4 1.4.1 Fase I: investigación ..................................................................................................... 16 1.4.2 Fase II: análisis documental ......................................................................................... 17 1.4.3 Fase III: conclusiones y recomendaciones .................................................................. 18 1.5
2
Estructura de contenidos............................................................................................... 18
Correo electrónico no deseado: ‘spam’ ...................................................................19 2.1
Definición de ‘spam’ ....................................................................................................... 19
2.2
Remitentes de ‘spam’: los ‘spammers’ ........................................................................ 20
2.3
Uso de redes comprometidas para el envío de ‘spam’: las botnets. ........................ 21
Ciclo de vida del ‘spam’ ................................................................................................. 24 2.4 2.4.1 Fase I: recolección de direcciones de correo ............................................................... 26 2.4.2 Fase II: creación del correo .......................................................................................... 28 2.4.3 Fase III: envío masivo................................................................................................... 29 2.4.4 Fase IV: refinamiento de listas ..................................................................................... 33 Tipos de ‘spam’ ............................................................................................................... 34 2.5 2.5.1 Clasificación por contenido del mensaje ...................................................................... 35 2.5.2 Clasificación por formato del texto del mensaje ........................................................... 37 Evolución y nuevos tipos de ‘spam’ ............................................................................. 38 2.6 2.6.1 Spam por Internet ......................................................................................................... 38 Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 3 de 165
Instituto Nacional de Tecnologías de la Comunicación
2.6.2 2.6.3
Spam por telefonía móvil .............................................................................................. 39 Spam por Voz sobre IP ................................................................................................ 39
Formas permitidas de correo masivo ........................................................................... 40 2.7 2.7.1 Sistema opt-in ............................................................................................................... 40 2.7.2 Sistema opt-out............................................................................................................. 40
3
Marco jurídico del correo electrónico no deseado .................................................42 3.1.1 3.1.2 3.1.3 3.1.4
4
Definición de las comunicaciones comerciales vía electrónica .................................... 43 Requisitos de licitud de las comunicaciones comerciales ............................................ 44 Responsabilidades ....................................................................................................... 45 Infracciones y sanciones .............................................................................................. 46
Impacto económico y social del correo ‘spam’ .......................................................48 4.1 Impacto económico ........................................................................................................ 49 4.1.1 Impacto económico del ‘spam’ en las empresas españolas ........................................ 54 4.2
5
Impacto social ................................................................................................................. 58
Resultado cuantitativo del estudio: el ‘spam’ en cifras..........................................63 5.1 Situación del ‘spam’ en el panorama mundial ............................................................. 63 5.1.1 Zonas y países emisores de ‘spam’ ............................................................................. 65 5.1.2 Países receptores de ataques de ‘spam’ ..................................................................... 69 5.1.3 Evolución de la tipología de ‘spam’ en el ámbito internacional .................................... 71 5.1.4 Escritura del ‘spam’ ...................................................................................................... 73 5.1.5 Tamaño de los mensajes de spam............................................................................... 74 5.1.6 El ‘spam’ en otros servicios: móvil y voz sobre IP ........................................................ 75
6
Situación del ‘spam’ en España ................................................................................76 6.1 Situación del ‘spam’ en España: resultados cuantitativos de la red de sensores de ‘spam’ de INTECO ........................................................................................................................ 76 6.1.1 Análisis descriptivo por categorías ............................................................................... 77 6.1.2 Países emisores de ‘spam’ con dirigidos a España ..................................................... 79 6.1.3 Evolución temporal del volumen de ‘spam’ .................................................................. 81
7
Resultado cualitativo: posicionamiento y papel actual de los agentes ................83 7.1
Introducción .................................................................................................................... 83
7.2
Los agentes ..................................................................................................................... 83
Situación de los agentes implicados ............................................................................ 84 7.3 7.3.1 Perfil 1. istración Pública .................................................................................... 84 7.3.2 Perfil 2. Empresas de telecomunicaciones .................................................................. 85 7.3.3 Perfil 3. Empresas de marketing electrónico ................................................................ 86 7.3.4 Perfil 4. Empresas prestadoras de servicios de seguridad .......................................... 87 7.3.5 Perfil 5. s .......................................................................................................... 87 7.3.6 Medidas de protección frente al ‘spam’ ........................................................................ 88 7.4
Protección frente al ‘spam’ de los agentes .................................................................. 97
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 4 de 165
Instituto Nacional de Tecnologías de la Comunicación
7.4.1 7.4.2 7.4.3 7.4.4 7.4.5
8
Perfil 1. istración Pública .................................................................................... 97 Perfil 2. Empresas de telecomunicaciones .................................................................. 98 Perfil 3. Empresas de marketing electrónico ................................................................ 99 Perfil 4. Empresas prestadoras de servicios de seguridad .......................................... 99 Perfil 5. s ........................................................................................................ 100
Recomendaciones y propuestas ............................................................................101 8.1
Tendencias previsibles y propuestas de mejora para las organizaciones y s 101
8.2
Recomendaciones de carácter normativo: istración ..................................... 102
Recomendaciones para empresas prestadoras de servicios .................................. 103 8.3 8.3.1 Recomendaciones para las empresas de marketing electrónico ............................... 103 8.3.2 Recomendaciones para las empresas prestadoras de servicios de seguridad ......... 104 Recomendaciones para s ............................................................................... 106 8.4 8.4.1 Recomendaciones para organizaciones: empresas y istración ....................... 106 8.4.2 Recomendaciones para s particulares: PYMES e individuos ........................ 109 8.5
9
El papel de la industria ................................................................................................. 111
Conclusiones ............................................................................................................115
ANEXO I: MARCO JURÍDICO DEL CORREO ELECTRÓNICO NO DESEADO (SPAM): NORMATIVA APLICABLE, INFRACCIONES, SANCIONES Y CASOS PRÁCTICOS ...121 ANEXO II: RELACIÓN DE PARTICIPANTES ..................................................................161 ANEXO III: ÍNDICE DE GRÁFICOS..................................................................................163 ANEXO IV: ÍNDICE DE TABLAS......................................................................................164
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 5 de 165
Instituto Nacional de Tecnologías de la Comunicación
PUNTOS CLAVE I
Correo electrónico no deseado: el spam •
El correo electrónico no deseado, spam, aparecido a finales de los años setenta, se define comúnmente como "correo electrónico masivo no deseado”, en inglés UBE (Unsolicited Bulk E-Mail).
•
El empleo del spam ha servido como vehículo de diversas formas de ataques informáticos, a menudo basados en técnicas de ingeniería social, como es el caso del phishing.
•
El spam se desarrolla las distintas fases de existencia de:
CICLO DE VIDA DEL SPAM 1. Recolección de las direcciones de correo
2. Creación del correo de spam
4. Refinamiento de listas de direcciones de correo
3. Envío masivo del spam Fuente: INTECO
•
Resulta complicado homogeneizar una clasificación de los diferentes tipos de spam por la diversidad de técnicas empleadas por los spammers, pero se puede agrupar por el contenido del mensaje, por el formato del texto del mensaje o por sus evoluciones, nuevos medios o contenidos (mensajería instantánea o través del teléfono móvil).
•
En la actualidad existe una importante discusión sobre qué se considera spam, centrada en el marco de los correos masivos de listas de distribución y publicitarios. Han aparecido dos sistemas de control sobre la recepción de este tipo de correos para regularlos: la aceptación previa para la primera comunicación (sistema conocido por opt-in) o la opción de cancelación en cada comunicación (sistema opt-out).
II Impacto económico y social del spam •
Las consecuencias del spam se analizan sobre los efectos derivados de este, tales como pérdidas en tiempo, desconfianza en el servicio, consumos de ancho de
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 6 de 165
Instituto Nacional de Tecnologías de la Comunicación
banda y en capacidad de almacenamiento, tiempos de recuperación y reestablecimiento, etcétera. •
De forma genérica, se concluye que el grueso del impacto económico está relacionado con las pérdidas de tiempo de proceso y humano, la necesaria inversión en nuevas infraestructuras tecnológicas, técnicos cualificados y herramientas antispam, y las pérdidas económicas como consecuencia de la pérdida de información relevante para la actividad.
•
El tiempo que cada trabajador dedica a eliminar el spam de su buzón de correo está entre dos y cuatro minutos al día por término medio.
•
Sólo por la pérdida de tiempo que supone la eliminación del spam, en el año 2007 el coste económico asociado a cada trabajador que utiliza diariamente el correo electrónico en su puesto de trabajo, se estima en 179€.
•
La catalogación como spam de correos electrónicos legítimos, los llamados falsos positivos, tienen asociados importantes perjuicios para las organizaciones. En el mejor de los casos, es necesario que los s y técnicos del sistema inviertan un tiempo significativo en la recuperación de esos correos legítimos, si no ha sido eliminado definitivamente. Las pérdidas monetarias que puede ocasionar la no recepción de esos correos no pueden ser calculadas.
•
Los s colocan el spam como la incidencia más frecuente, por encima de los códigos maliciosos (troyanos, programas espía, etcétera) y la falta de confidencialidad.
•
Todo esto ha generado una desconfianza relativa entre los s habituales del correo electrónico. El grado de desconfianza es mayor en el entorno laboral que en el doméstico, dada la importancia asociada al contenido de los mensajes en cada caso. Sin embargo, en ninguna de estas dos situaciones provoca la renuncia al uso del correo electrónico.
•
Los s reclaman medidas formativas y de carácter legislativo. Es común encontrar opiniones sobre la necesidad de fortalecer medidas normativas inequívocas que esclarezcan las posibles acciones y sanciones correspondientes frente a los spammers.
•
Empieza a experimentarse un cambio en la conducta del ante el correo electrónico como consecuencia del spam. Es cada vez más habitual que tome medidas de protección (programas antispam).
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 7 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
El fenómeno del spam ya no está solo encerrado en las barreras de Internet, sino que intenta llegar a otros servicios de comunicación. Un ejemplo es la telefonía móvil, que lo sufre actualmente por medio de los mensajes SMS y MMS, y la telefonía de voz sobre IP (VoIP).
III El ‘spam’ en cifras •
Se revela un incremento en los últimos años: en la actualidad, tres de cada cuatro correos que se encuentran en circulación en la Red son spam, aunque. Los filtros de correo depuran muchos de ellos hasta llegar al final.
•
La mayoría del spam surge en los Estados Unidos, aunque resulta preocupante el incremento en su generación que se observa en Europa, a pesar de que las leyes diseñadas contra los spammers son más restrictivas que las estadounidenses.
•
En Europa, países como España, Suecia, Francia o Italia comenzaron a reportar porcentajes elevados de spam a partir de 2005.
•
España se coloca en el undécimo lugar en el ámbito mundial en generación de spam desde el año 2006, por detrás de países como Estados Unidos, China, Corea del Sur y Francia. Mientras en los tres primeros vienen reduciéndose progresivamente los niveles de emisión, en España se ha doblado la cifra de producción de spam en menos de un año.
•
El 84,6% de los mensajes de correo, de un total de 92 millones de correos analizados por INTECO para España entre el 1 de enero y el 11 de marzo de 2008 a través de 14 servidores para España, fueron identificados como spam.
•
El volumen analizado por la red de sensores de INTECO indica claramente que entre Estados Unidos, China, Corea del Sur y Rusia envían más del 50% del total de mensajes no deseados que se recibe en España.
•
No existe un patrón semanal definido en cuanto al porcentaje de spam recibido.
IV Posicionamiento y papel actual de los agentes •
Existe un denominador común, la concienciación existente en todas las organizaciones frente al problema del spam.
•
Los organismos públicos suelen gestionar el correo de manera interna; tanto los equipos como los registros y bases de datos se encuentran en la sede de la organización, siendo habitualmente el personal encargado de dicha gestión técnicos pertenecientes a la propia istración.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 8 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
La mayoría de las organizaciones de mediano y gran tamaño suelen gestionar de manera interna tanto su sistema de información como su servicio de correo electrónico.
•
En cuanto a la aplicación de mecanismos antispam, cabe destacar: o
Los agentes estudiados disponen en todos los casos de medidas de seguridad para la protección frente al correo electrónico no deseado, desde medidas de índole técnico, las más utilizadas, hasta aquellas organizativas y de carácter normativo.
o
Las medidas de protección más utilizadas son las reactivas (una vez que éste se encuentra almacenado en el buzón del ), como la aplicación de filtros en el análisis del contenido de los correos electrónicos.
o
El volumen de spam ha alcanzado volúmenes muy importantes por lo que se ha hecho indispensable combatir el problema con anterioridad almacenamiento del spam en los buzones de los s.
o
al
Es habitual la utilización de mecanismos de protección basados en listas de filtrado de direcciones (blancas, negras o grises).
o
Una particularidad interesante en cuanto a los servicios antispam empleados por los agentes estudiados es la tendencia a redirigir el correo a otras entidades para su filtrado.
V Recomendaciones y propuestas •
El spam es un problema global, por ello es fundamental que todas las organizaciones sean conscientes de la necesidad de establecer acuerdos y políticas conjuntas perdurabilidad.
•
que
ofrezcan
soluciones
de
mayor
calado
y
Es necesario reforzar el desarrollo de herramientas técnicas de protección, sistemas antispam más potentes y autónomos.
•
Es también necesario intensificar la concienciación y formación de la comunidad de Internet sobre el fenómeno.
•
Recomendaciones normativas: istración. Si bien el desarrollo normativo español en materia de spam está muy avanzado, se recomienda principalmente un mayor esfuerzo que permita proteger a los s y las empresas, estableciendo acuerdos y tratados multilaterales en los ámbitos nacional e internacional. En particular se recomienda en este caso, entre otras:
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 9 de 165
Instituto Nacional de Tecnologías de la Comunicación
o
Incluir nuevos conceptos dentro de la legislación para combatir el spam: como los nombres de dominio en la definición de comunicación comercial o la definición de correo electrónico en la LSSICE.
o
Por otra parte exigir la incorporación de la palabra “publicidad” y los datos del anunciante en los mensajes, y determinar claramente el concepto de “envío masivo” para las comunicaciones comerciales.
o
Ampliar el ámbito de protección de la LOPD a las personas jurídicas.
•
Recomendaciones para empresas prestadoras de servicios:
En el caso de las empresas de marketing electrónico se les recomienda, entre otras: o
Generar confianza en clientes y destinatarios, por ejemplo facilitando los medios para darse de baja de listas de envío de contenido publicitario, agilizar la respuesta a las posibles reclamaciones o consultas de los destinatarios o establecer las técnicas que permitan ajustar los contenidos anunciados a las necesidades de los destinatarios.
Recomendaciones para las empresas que prestan servicios de seguridad: o
Básicamente se centran en recomendaciones de carácter técnico como, por ejemplo, apoyar la calidad de los productos mediante certificaciones, desarrollar herramientas de seguridad para la protección del correo móvil y establecer mecanismos para el control de la emisión de correo por parte de los ordenadores personales de s anónimos.
o
•
En otro sentido también se les recomienda prever la evolución del spam, intensificando la investigación de forma que se pueda responder con agilidad a las previsibles formas futuras del spam. Recomendaciones para s:
Recomendaciones para organizaciones: empresas y istración 1. A nivel general se les sugiere establecer una política de seguridad y un plan de recuperación de desastres y continuidad de negocio. 2. Establecer planes de formación interna a sus empleados en seguridad de la información. Difundir entre sus empleados información sobre cómo actuar frente al correo electrónico no deseado y a las salvaguardas antispam implantadas por la organización. Controlar la redirección del correo electrónico por los empleados.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 10 de 165
Instituto Nacional de Tecnologías de la Comunicación
o
De forma más específica se les recomienda:
1. Diseñar y aplicar políticas de uso del correo para empleados y para las empresas y los organismos con los que se relacionan y evitar la publicación directa de direcciones de correo electrónico en sus páginas Web. 2. Establecer salvaguardas proactivas en los servidores de correo y evitar que los estos servidores acepten el envío sin autenticación de s. Recomendaciones para los s particulares: PYMES e individuos A nivel general se recomienda aplicar normas básicas de seguridad y solicitar al proveedor de servicios de Internet (ISP) la aplicación de salvaguardas de seguridad. o
De modo particular se les recomienda:
1. Desconfiar de los correos que generalmente desproporcionados,
prometen
interesantes
beneficios,
2. No responder nunca a un correo electrónico no deseado, no visitar nunca direcciones Web recibidas o incluidas en correos electrónicos de incierta procedencia. 3. Si se recibe un aviso para ser dado de baja de una lista de distribución, en la cual no se ha inscrito, no responder dicha solicitud 4. Utilizar la copia ciega (Ccc) al enviar un correo a una lista de direcciones. 5. Mantener siempre activas las herramientas de filtro antispam. 6. No publicitar la cuenta de correo de manera directa en Internet. 7. Utilizar varias cuentas de correo electrónico y emplearlas en el entorno adecuado (laboral, personal…). 8. Utilizar nombres para las cuentas de correo que sean poco identificables.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 11 de 165
Instituto Nacional de Tecnologías de la Comunicación
1 INTRODUCCIÓN, OBJETIVOS Y METODOLOGÍA 1.1
Presentación
El actual impulso de la Sociedad de la Información, ha estimulado el aumento sustancial del número de s y de las posibilidades de uso aplicadas en la comunicación. Tanto la istración como las empresas y s finales emplean frecuentemente la comunicación electrónica a través de diversos canales, siendo el correo electrónico uno de los más utilizados 1 , como se observa en el Gráfico 1. En este marco se plantean nuevos retos, entre los que cabe destacar el control sobre el uso indiscriminado del correo electrónico para realizar comunicaciones comerciales no solicitadas o fraudulentas, que suponen una clara amenaza para organizaciones y particulares. Gráfico 1: Servicios de Internet utilizados por los s en sus hogares (%)
99,3 99,5
Correo electrónico 79,8
Búsqueda de información
67,2 67,9 65,7 64,1
Chat (Messenger, ICQ, etc.) Banca online (consulta de saldo, transferencias, etc.) 53,7 53,1 53,7 49,9
Compra online (libros, discos, dvd, viajes, entradas, etc) Foros (de mensajes, opinión, etc.) 40,9 43,7
Juegos online 32,8 28,9
Pagos por Internet (pay pal y servicios afines) 19,5 20,7 17,3 19,7 14,2 13,9
Blog (diario electrónico) Videoconferencia Telefonía por red (skype) 0 Abril
85,7
76,1 78,2
Descarga de archivos (documentos, información, etc...)
10
20
30
40
50
60
70
80
90
100
Enero
Fuente: INTECO
Ante esta situación, se han previsto acciones de refuerzo de la seguridad y confianza en la Red dirigidas a ciudadanos, empresas y istraciones públicas. A tal efecto, surge la necesidad de realizar un estudio sobre la situación actual del correo electrónico no deseado en España.
1
INTECO: Estudio sobre la Seguridad de la Información y e-Confianza de los hogares españoles (2ª Oleada: Feb-Abr 07), 2008. Disponible en http://observatorio.inteco.es. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 12 de 165
Instituto Nacional de Tecnologías de la Comunicación
1.2
Estudio sobre la situación, naturaleza e impacto económico del ‘spam’
El presente documento recoge los resultados del estudio describiendo, en primer lugar, los objetivos generales y secundarios que persigue la investigación. En los siguientes capítulos se detalla el análisis técnico sobre el spam y los hallazgos a nivel de impacto económico y social y datos cuantitativos más relevantes, basados en fuentes primarias y secundarias de información. Por último, se analiza el posicionamiento de los distintos agentes que se ven implicados en este fenómeno y se proponen una serie de recomendaciones para mejorar la de seguridad frente al problema del spam. 1.2.1
Objetivos generales
El estudio se articula en torno a los siguientes objetivos generales: 1. Estudio cuantitativo y cualitativo del fenómeno del spam en España a través de las cifras registradas y de la opinión y percepción de los agentes afectados por este, que darán un índice del impacto global del correo electrónico no solicitado. 2. Establecimiento de la dimensión del problema desde los planos tecnológico, social y jurídico para identificar las posibles vías de solución. 3. Recomendaciones generales y específicas para cada agente, orientadas a minimizar los efectos del fenómeno. 1.2.2
Objetivos operativos y secundarios 1. Definición y situación actual del fenómeno del spam, tomando como referencia sus orígenes y tendencias más recientes: a. Distintas formas de spam. b. Ciclo de vida del spam. c. Ataques conocidos y posibles soluciones. 2. Análisis del marco jurídico. 3. Impacto económico y social del spam. 4. El spam en cifras: importancia cuantitativa del spam en la Red. 5. Impacto en los agentes implicados según perfiles, posicionamiento y papel actual ante el fenómeno. 6. Recomendaciones de actuación y conclusiones.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 13 de 165
Instituto Nacional de Tecnologías de la Comunicación
1.3 1.3.1
Entidades participantes Instituto Nacional de Tecnologías de la Comunicación
El Instituto Nacional de Tecnologías de la Comunicación (INTECO), sociedad estatal promovida por el Ministerio de Industria, Turismo y Comercio, es una plataforma para el desarrollo de la Sociedad del Conocimiento a través de proyectos del ámbito de la innovación y la tecnología. La misión de INTECO es impulsar y desarrollar proyectos de innovación relacionados con el sector de las Tecnologías de la Información y la Comunicación (TIC) y, en general, en el ámbito de la Sociedad de la Información que mejoren la posición de España y aporten competitividad, extendiendo sus capacidades tanto al entorno europeo como al latinoamericano. Así, el Instituto tiene la vocación de ser un centro de desarrollo de carácter innovador y de interés público en el ámbito nacional que constituirá una iniciativa enriquecedora y difusora de las nuevas tecnologías en España en clara sintonía con Europa. El objeto social de INTECO es la gestión, asesoramiento, promoción y difusión de proyectos tecnológicos. Para ello, desarrollará actuaciones, al menos, en líneas estratégicas de seguridad tecnológica, accesibilidad, innovación en soluciones TIC para la Pyme, e-salud, e-democracia. http://www.inteco.es Observatorio de la Seguridad de la Información El Observatorio de la Seguridad de la Información se inserta dentro de la línea estratégica de actuación de INTECO en materia de seguridad tecnológica. El Observatorio nace con el objetivo de describir de manera detallada y sistemática el nivel de seguridad y confianza en la Sociedad de la Información y de generar conocimiento especializado en la materia. De este modo, se encuentra al servicio de los ciudadanos, las empresas y las istraciones públicas españolas para describir, analizar, asesorar y difundir la cultura de la seguridad de la información y la e-confianza. El Observatorio ha diseñado un Plan de Actividades y Estudios con el objeto de producir conocimiento especializado y útil en materia de seguridad, así como de elaborar recomendaciones y propuestas que definan tendencias válidas para la toma de decisiones futuras por parte de los poderes públicos. Dentro de este plan de acción se realizan labores de investigación, análisis, estudio, asesoramiento y divulgación que atenderán, entre otras, a las siguientes estrategias:
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 14 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Elaboración de estudios e informes propios en materia de seguridad de las Tecnologías de la Información y la Comunicación, con especial énfasis en la seguridad en Internet.
•
Seguimiento de los principales indicadores y políticas públicas relacionados con la seguridad de la información y la confianza en el ámbito nacional e internacional.
•
Generación de una base de datos que permita el análisis y evaluación de la seguridad y la confianza con una perspectiva temporal.
•
Impulso de proyectos de investigación centrados en la seguridad TIC.
•
Difusión de estudios e informes publicados por otras entidades y organismos nacionales e internacionales, así como de información sobre la actualidad nacional y europea relativa a la seguridad y confianza en la Sociedad de la Información.
•
Asesoramiento a las istraciones públicas en cuanto a seguridad de la información y confianza, así como apoyo a la elaboración, seguimiento y evaluación de políticas públicas en este ámbito.
http://observatorio.inteco.es 1.3.2
Empresas Colaboradoras
MessageLabs es uno de los principales proveedores de servicios de mensajería integrada y seguridad Web a nivel mundial. Cuenta con más de 17.000 clientes distribuidos en más de 86 países que abarcan desde pequeñas empresas hasta grandes compañías. La amplia gama de servicios de seguridad gestionada que ofrece MessageLabs permite proteger, controlar, cifrar y archivar comunicaciones por correo electrónico, Web y mensajería instantánea. MessageLabs Intelligence es una respetada fuente de datos, de análisis de seguridad de correos electrónicos, sitios Web y mensajería instantánea, y de tendencias. Además de ofrecer servicios de seguridad a más de 2.500 millones de conexiones de correo electrónico y 1.000 millones de peticiones Web cada día, dispone de información sobre las amenazas globales de seguridad del correo electrónico basándose en datos reales pertenecientes a sus sensores, distribuidos por todo el mundo. Más información en: http://www.messagelabs.com Sophos permite que empresas de todo el mundo protejan y controlen sus infraestructuras de TI. Sus soluciones de correo electrónico, Web, estaciones de trabajo y control de a la red simplifican la seguridad para ofrecer una defensa integrada contra programas maliciosos, programas espía, intrusiones, aplicaciones y correo no deseados, abuso de políticas, fugas de datos e incumplimiento de políticas. Con más de 20 años de experiencia, protegemos a más de 100 millones de s en aproximadamente 150 Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 15 de 165
Instituto Nacional de Tecnologías de la Comunicación
países con sus soluciones y servicios de seguridad. Sophos tiene sedes centrales en Boston, Massachusetts y en Oxford, Reino Unido. Más información en: http://esp.sophos.com Spamina es una empresa española que ofrece al mercado soluciones globales de seguridad para el correo electrónico, proporcionando todas las opciones para blindar a empresas y particulares contra los ataques que se producen a través del e-mail. Con sus diferentes soluciones, combate hasta el correo no deseado (spam), virus y correo fraudulento (phishing) o malicioso (spoof), y ofrece a sus s el control y movilidad total en la gestión de sus cuentas de correo, con independencia del dispositivo que se utilice para acceder a este (PC, portátil, PDA, BlackBerry, etc.). Spamina (Aegis Security) cuenta con oficinas en Barcelona, Madrid, Gerona y Buenos Aires (Argentina). Más información: http://www.spamina.com/ 1.4
Diseño metodológico
Para alcanzar los objetivos planteados, el estudio se ha realizado mediante una metodología en tres fases consecutivas: 1.4.1
Fase I: investigación
El objetivo de esta fase es la documentación y recogida de datos de distinta naturaleza bajo el marco del fenómeno del spam. 1. Estudio y documentación técnica sobre el origen, evolución y tendencias del spam. 2. Realización de 25 entrevistas a distintos agentes, entre los que se encuentran tanto expertos en seguridad como s de los ámbitos empresarial y doméstico. Se trata de identificar la visión del conjunto de estos agentes sobre el spam y sus demandas de actuación para mitigar sus efectos. Para un mejor análisis en fases posteriores, cada uno de los agentes involucrados se ha asociado a uno de los siguientes perfiles: Perfil 1: istración Pública. Perfil 2: Empresas de telecomunicaciones. Perfil 3: Empresas de marketing electrónico. Perfil 4: Empresas prestadoras de servicios de seguridad. Perfil 5: s.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 16 de 165
Instituto Nacional de Tecnologías de la Comunicación
3. Recolección de las cifras sobre el spam en España y en el ámbito mundial, a través de la información recopilada en fuentes primarias (proporcionada por INTECO) y secundarias. El estudio está basado en parte en una recopilación de datos extraídos de las distintas fuentes secundarias, lo que conlleva pequeñas diferencias en los volúmenes presentados. Los datos sobre el caso español proceden de INTECO, a través de su red de sensores de spam, que se compone de 14 sensores distribuidos geográficamente, situados en servidores de correo de pymes y s, y monitorizados a través de 13 herramientas antispam distintas. Se trata de una información muy amplia, que requiere de la adecuación y clasificación de los datos para su posterior análisis. 4. Investigación sobre los aspectos legales y las sentencias judiciales en España y la Unión Europea directamente relacionados con el spam, tratando de identificar las bondades y carencias del marco jurídico actual. 1.4.2
Fase II: análisis documental
Una vez recogida la información, se analiza para la obtención de las conclusiones, que serán debatidas y contrastadas. 1. Estudio cualitativo. Analiza en detalle el resultado de las entrevistas. De él deriva un conjunto de conclusiones preliminares. 2. Análisis cuantitativo de los datos obtenidos a través de sensores. Consta por un lado de un análisis descriptivo basado en las medias de posición y dispersión, así como una descripción gráfica adecuada al tipo de variables (histogramas, diagramas de barras, etcétera), y por otro de análisis y tests estadísticos de comparación. 3. Análisis del marco jurídico español. Se realiza un estudio completo, desarrollado en un anexo, sobre la normativa aplicable, las infracciones contempladas y las sanciones previstas, y se documenta con varios casos legales prácticos referidos al fenómeno del spam. Además, incluye sentencias que permiten completar las conclusiones fundamentales y orientar hacia las recomendaciones desde el plano legal 2 . 4. Debate sobre las conclusiones preliminares de esta fase mediante mesas de trabajo con representación de los perfiles de agentes identificados, que cuentan con toda la información documentada del trabajo, para extraer las conclusiones finales del estudio.
2
INTECO: Marco jurídico del correo electrónico no deseado (spam): normativa aplicable, infracciones, sanciones y casos prácticos, 2008. Disponible en http://observatorio.inteco.es.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 17 de 165
Instituto Nacional de Tecnologías de la Comunicación
1.4.3
Fase III: conclusiones y recomendaciones
Tiene como finalidad redactar un conjunto de recomendaciones que sintetice las líneas de actuación que pueden considerar los s, empleados y organizaciones, cada uno en virtud de sus competencias, para mitigar de forma preventiva, e incluso anular, los efectos del spam en la Sociedad del Conocimiento. En esta fase se constituirán las conclusiones finales del estudio. 1.5
Estructura de contenidos
El estudio se estructura de la siguiente forma: •
En primer lugar, se expone el origen, la definición, el ciclo de vida y la evolución del spam como parte de la panorámica global de las técnicas maliciosas a través de la Red.
•
En el siguiente capítulo se introduce el marco jurídico del spam, que incluye el estudio básico de los aspectos jurídicos relativos a este tipo de correo electrónico (capítulo 3). En un documento anexo se presenta, de forma exhaustiva, todo el análisis del marco jurídico y derecho comparado, tanto nacional como internacional, en referencia al spam. Se documenta la normativa aplicable a este fenómeno, las infracciones, repercusiones legales y las sanciones aplicables. También se incluyen casos reales sobre el spam, su desarrollo y sentencias.
•
En el siguiente capítulo se trata el impacto económico y social del spam. Se aportan cifras representativas en términos de coste para las organizaciones y su repercusión (capítulo 4).
•
Datos sobre el estudio cuantitativo. Se aporta información estadística sobre el spam, procedente de las mediciones realizadas por un conjunto de sensores de INTECO distribuidos por toda España y de otras fuentes (capítulo 5).
•
En el capítulo 6 se aborda el posicionamiento y papel de los agentes afectados por el spam, incluyendo entidades públicas y privadas, contemplando cual es su situación actual y qué medidas de actuación concretas están llevando a cabo. Se incluye aquí el análisis de los resultados del estudio cualitativo, obtenidos mediante las entrevistas y grupos de debate con expertos de los sectores de actividad involucrados.
•
En el capítulo 7, se identifican las principales propuestas y recomendaciones para afrontar el problema del spam para cada uno de los perfiles.
•
En el capítulo 8 de este informe se presentan las conclusiones finales del estudio.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 18 de 165
Instituto Nacional de Tecnologías de la Comunicación
2 CORREO ELECTRÓNICO NO DESEADO: ‘SPAM’ 2.1
Definición de ‘spam’
Los orígenes del spam se remontan a finales de los años setenta: el primer mensaje reconocido como tal fue enviado a los s de ARPANET 3 en mayo de 1978. El creador de este correo fue Gary Thuerk, un comercial de DEC (Digital Equipment Corporation), que envió un mensaje publicitario a una lista de s ARPANET, sobre los que su empresa deseaba ampliar mercado, hecha manualmente. Aunque la información enviada resultó de interés para alguno de los destinatarios, los problemas que ocasionó en el sistema iniciaron el debate sobre la conveniencia o no de controlar el correo y, de algún modo, censurar aquellos publicitarios de envío masivo. En 1994, los abogados Canter y Martha SIegel de Phoenix enviaron correos masivos publicitando exitosamente su firma, quedando así al descubierto las ventajas del uso de esta vía y la enorme influencia que tenía sobre los cada vez más s de la red global. Pero al tiempo que se abría esta puerta en beneficio de los negocios, se abrían otras muchas que no sólo favorecían el crecimiento del envío y reenvío incontrolado de estos mensajes no deseados, sino además otras amenazas de seguridad, como los códigos maliciosos (troyanos, spyware, etc.) o el phishing. El correo electrónico se ha consolidado como uno de los pilares fundamentales de la Sociedad de la Información. Al igual que otros muchos servicios a través e Internet, su empleo de forma universal ha servido como vehículo masivo de diversas formas de ataques informáticos, a menudo basados en técnicas de ingeniería social. Dentro del abanico de usos indebidos de esta tecnología de comunicación, llama especialmente la atención el auge que está adquiriendo el fenómeno del spam. Destacan dos definiciones del término, hasta el momento las más citadas, que aparecen publicadas en el proyecto Spamhaus 4 , dedicado a la protección en tiempo real del spam: •
La primera denomina spam al "correo electrónico masivo no deseado” (en inglés UBE, Unsolicited Bulk E- Mail).
•
La segunda lo define como todos aquellos correos publicitarios no autorizados (en inglés UCE, Unsolicited Comercial E-Mail).
3
ARPANET (Advanced Research Projects Agency Network) fue creada por encargo del Departamento de Defensa de los Estados Unidos como medio de comunicación para los diferentes organismos del país y está considerada la red que dio origen a Internet. 4
http://www.spamhaus.org/
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 19 de 165
Instituto Nacional de Tecnologías de la Comunicación
Una definición más formal, en términos de políticas de empleo aceptable del correo, es dada por Mail Abuse Prevention System 5 , por la que el correo electrónico debe ser considerado spam si cumple las siguientes condiciones: •
La identidad del destinatario del correo y el contenido son irrelevantes, por cuanto el mensaje no está personalizado y podría aplicarse a muchos otros receptores.
2.2
•
El destinatario no ha concedido permiso para que se le envíe el mensaje.
•
La recepción del mensaje brinda un beneficio al que lo recibe. Remitentes de ‘spam’: los ‘spammers’
Los responsables de desarrollar y/o desplegar el correo de tipo spam, ya sea de forma particular u organizada con fines lucrativos, son denominados spammers. Por su parte, se llama spamware al software desarrollado por los spammers para la generación y envío de spam. Así, el spamware puede incorporar, conjunta o separadamente, funcionalidades para la obtención o creación de direcciones de correo objetivos, el envío y distribución masiva de forma automática de e-mails o la explotación de vulnerabilidades de los sistemas. Aunque muchos correos basura, generados automáticamente o no, mueren en los propios buzones de destino al ser simplemente borrados por los receptores, otros son reenviados. Tras leer un correo interesante, sensacionalista o aparentemente ventajoso, los destinatarios deciden reenviárselo a sus conocidos o realizar otras acciones a las que el propio contenido del correo les induce (por ejemplo, ejecutar un fichero adjunto, visitar un determinado sitio web o hacer una compra online). Por ello, el spam forma parte de las amenazas de seguridad que recurren a la ingeniería social. Aunque hoy en día se están desarrollando diversas técnicas y medidas contra el spam (antispam), los spammers estudian estas variantes para generar nuevas formas que mejoran las anteriores y consiguen sortear la actuación de las herramientas. Incluso en muchos casos se aprovechan precisamente de su existencia para generar nuevos problemas en las comunicaciones y en los sistemas; téngase en cuenta, por ejemplo, la aparición de falsos positivos 6 cuando las herramientas antispam intentan filtrar el correo. Ante esto, muchos s solicitan a su del servicio de correo la desactivación de dicha protección ante el riesgo de perder correos importantes, fortaleciendo así la actividad de los spammers.
5
Mail Abuse Prevention System (MAPS): Asociación internacional de lucha contra el spam. http://www.mail-abuse.com/
6
Falsos positivos: aquellos correos electrónicos válidos que son filtrados por el software antispam como correo electrónico no deseado. Este concepto se contrapone al de falso negativo, correos electrónicos no deseados que los filtros antispam no reconocen como tales y pasan por correos válidos.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 20 de 165
Instituto Nacional de Tecnologías de la Comunicación
2.3
Uso de redes comprometidas para el envío de ‘spam’: las botnets.
Una de las características actuales en el envío del spam consiste en la utilización de las botnets o redes de ordenadores comprometidos como plataforma para el envío de los correos y ocultación del rastro del spammer. Son redes en las que los spammers instalan un software específico que les permite controlar y utilizar las máquinas a través de Internet para sus fines. Cada uno de estos ordenadores suele conocerse con el nombre de máquina zombie, y está bajo el control total del atacante 7 . Una vez que un ordenador ha sido comprometido, normalmente a través de un troyano, entra a formar parte automáticamente de la botnet, y para ello habitualmente se inicia una comunicación a través del protocolo IRC 8 , registrándose en un servidor y canal concreto, cuyo está protegido por contraseña, y el propio ordenador queda a la espera de instrucciones. Con esta idea ingeniosa, los diseñadores de este software consiguen varios objetivos de forma sencilla: •
Evitan la necesidad de diseñar e implementar su propio protocolo de comunicaciones, pues utilizan la sintaxis y la infraestructura del protocolo IRC.
•
Camuflan la comunicación entre las máquinas zombies y los servidores correspondientes dentro del tráfico IRC, que sin un análisis detallado, podría parecer inocua.
•
Pueden controlar cientos o miles de máquinas simultáneamente a través de una estructura jerárquica, lo que facilita esta tarea desde un único servidor IRC.
Sin embargo, este esquema tiene también una serie de desventajas. La más importante es que se basa en un diseño centralizado, por lo que si el servidor IRC falla o es desactivado, la comunicación con las máquinas zombies se pierde. Con el objetivo de superar esta limitación, los responsables maliciosos de estas redes han cambiado radicalmente el esquema. El nuevo esquema incluye características de las redes P2P 9 , descentralizadas por naturaleza, lo que hace su neutralización mucho más difícil. La importancia del uso de estas redes ha ido incrementándose paulatinamente, hasta el punto de que, en la actualidad, se estima que el 80% del spam es enviado utilizando este método. Se caracteriza por:
7
INTECO: “Amenazas silenciosas en la Red: rootkits y botnets”, 2007. http://observatorio.inteco.es
8
El protocolo IRC (Internet Relay Chat) es uno de los primeros protocolos de mensajería instantánea.
9
Peer-to-peer: red que no tiene clientes ni servidores fijos, sino una serie de nodos que se comportan simultáneamente como clientes y como servidores de los demás nodos de la Red. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 21 de 165
Instituto Nacional de Tecnologías de la Comunicación
− Eficiencia significativa en el envío masivo de spam en los métodos actuales que están más automatizados en la recogida de direcciones y envío de correos, frente a métodos más tradicionales. − Aprovechamiento de un gran ancho de banda. Al contar con un número muy elevado de máquinas, aunque cada una de ellas aporte un limitado ancho de banda, el resultado final es que estas redes pueden generar tráfico en tasas realmente elevadas. Sin embargo, se ha detectado recientemente una nueva tendencia en los spammers con más experiencia: utilizan tasas bajas de envío en cada nodo de la Red, de forma que, aunque siguen siendo capaces de enviar millones de correos en un día, el volumen de tráfico en cada nodo es demasiado bajo para ser detectado o clasificado como sospechoso. Por ejemplo, una red de 150.000 máquinas, cantidad habitual en las más grandes, puede enviar 50 millones de correos en un día. Sin embargo, cada nodo sólo tiene que procesar unos 330, pocos para levantar sospechas. − Dispersión de la fuente de envío. Al ser redes distribuidas por naturaleza, tanto en su modo de funcionamiento como geográficamente, no existe un único punto de envío que pueda ser neutralizado con mayor facilidad. − Facilidad para la recuperación. Otra consecuencia de la naturaleza distribuida de estas redes es que aumenta notablemente su resistencia al cierre por parte de las autoridades o ISP (Internet Service Provider, proveedor de servicios de Internet). Además, también se incrementa su tolerancia a fallos, pues aunque uno o varios nodos dejen de funcionar, lo que pasa muy a menudo, la Red es capaz de seguir operando a nivel global. Las distintas estrategias por las que los atacantes son capaces de comprometer nuevas máquinas e integrarlas en su botnet se conocen con el nombre de vectores de infección. Los más importantes y utilizados son: − Vector de infección basado en la navegación web. El simple hecho de navegar por Internet puede producir que una máquina sea comprometida, habitualmente aprovechando vulnerabilidades en los navegadores. − Vector de infección basado en redes P2P. Como es previsible, un método de propagación natural para los troyanos es la utilización de redes de intercambio de archivos P2P, en las que no existen mecanismos de seguridad integrados. Según algunos estudios recientes, casi el 50% de los programas ejecutables que pueden encontrarse en estas redes están infectados con alguna clase de malware. Para incrementar el atractivo de los archivos ejecutables y conseguir que el máximo
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 22 de 165
Instituto Nacional de Tecnologías de la Comunicación
número posible de s los descarguen y ejecuten, muchos de ellos están camuflados utilizando el reclamo del contenido de carácter sexual. − Vector de infección basado en el correo electrónico. El malware se camufla como un programa legítimo: salvapantallas, juegos, etcétera. Tradicionalmente, las máquinas constituyentes de las botnets han sido sobre todo ordenadores de s domésticos de Internet. Sin embargo, las redes corporativas o universitarias se ven involucradas cada vez más. Según fuentes de grandes compañías antivirus, los incidentes de seguridad relacionados con máquinas comprometidas para entrar a formar parte de una botnet se han multiplicado por cuatro respecto al 2006. El software de ataque y control de una máquina zombie no es muy diferente a otros tipos de malware, por lo que las medidas para evitar que el ordenador entre a formar parte de una red son también similares. A modo de resumen, se pueden citar las siguientes: − Bloquear todo el tráfico de correo entrante no solicitado en los cortafuegos perimetrales. Aun cuando los ordenadores del interior de la Red son comprometidos, estos no pueden ser finalmente activados si el atacante no puede comunicarse con ellos. Para sortear esta limitación, muchas botnets están diseñadas para que la máquina comprometida inicie la comunicación. En ese caso, es aconsejable restringir o, al menos, analizar el tráfico de protocolos como IRC o P2P en busca de patrones que puedan sugerir una infección. En este sentido, es muy aconsejable utilizar un sistema de detección de intrusión (IDS) para monitorizar el tráfico en busca de actividad sospechosa. Todo ello puede hacerse identificando horarios de conexión inusuales y volúmenes de tráfico inapropiados para estos servicios de mensajería. − Utilizar herramientas antivirus actualizadas. Aunque no es una garantía absoluta frente a las nuevas versiones de malware, muchas de las amenazas ya existentes sí son detectadas por un buen software antivirus. − Actualizar el sistema de los equipos. Las botnets, como otros tipos de malware, utilizan frecuentemente vulnerabilidades no parcheadas para tomar el control de las máquinas que atacan. − Bloquear del tráfico de salida en el puerto 25 (SMTP). Como se ha mencionado, muchos tipos de malware incorporan un servidor SMTP propio que utilizan para seguir propagándose o utilizar las máquinas atacadas como distribuidoras de spam. Por tanto, únicamente los servidores de correos autorizados deberían ser capaces de distribuir tráfico SMTP desde la red interna de una corporación.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 23 de 165
Instituto Nacional de Tecnologías de la Comunicación
2.4
Ciclo de vida del ‘spam’
El spam, como cualquier ataque a la seguridad, se desarrolla en diferentes etapas, destacando fundamentalmente las relacionadas con la búsqueda de los puntos de entrada al sistema, es decir, con la recolección de direcciones de correo electrónico. A continuación, se produce la creación del correo spam, seguida del envío y ataque y, por último, la comprobación de su éxito y el refinamiento de las listas empleadas. De esta forma, se pueden identificar las siguientes fases durante el ciclo de desarrollo del spam, que se explican a continuación: 1. Fase I: recolección de direcciones de correo. Se caracteriza por recopilar o generar de modo automático, direcciones de correo sobre las cuales lanzar el spam. Esta búsqueda utiliza diversas técnicas que permiten descubrir direcciones realmente activas, es decir, que están en uso y, por tanto, son revisadas por los s finales. 2. Fase II: creación del correo spam. Se genera un mensaje de correo que llame la atención al receptor para que decida leerlo. Además, estará escrito de forma clara y contener un mensaje creíble que induzca al destinatario a responderlo, reenviarlo o realizar cualquier otra acción. 3. Fase III: envío masivo. Es el momento en el cual el spammer elige y desarrolla diversas técnicas de envío del mensaje de correo para que llegue a sus múltiples destinos, evitando las posibles protecciones y ser descubierto como emisor del mensaje. Una vez realizado el reenvío continuado, se podrán desplegar ciertos ataques en cada máquina, a menudo con la colaboración involuntaria del . 4. Fase IV: refinamiento de listas. Mecanismo para chequear la existencia y uso de las direcciones de correo a los que se envía el spam. El ataque sólo tiene éxito si se lanza sobre direcciones activas.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 24 de 165
Instituto Nacional de Tecnologías de la Comunicación
CICLO DE VIDA DEL SPAM
Fase I: Recolección de direcciones de correo Recolección Pasiva: En páginas web En listas de correos Mediante ingeniería social
Recolección Activa: Mediante solicitud directa de la dirección de correo Mediante robots de búsqueda Mediante ataques a servidores de correo o PC Mediante ataques a aplicaciones de Internet Mediante búsquedas por diccionario
Fase II: Creación del correo Partes que, de forma conjunta o por separado, pueden presentarse en el correo de tipo spam: • • • • • • •
Reclamo de atención Presentación de credenciales Continuidad de la relación Introducción de la oferta Táctica de presión Solicitud de respuesta Política de salida cortés
Fase III: Envío masivo Técnicas de envío masivo: • • • •
Basadas en servidores de correo con configuración abierta Basadas en troyanos Basadas en servidores SMTP internos Basadas en redes de ordenadores comprometidos
Técnicas de tratamiento de los mensajes: • • •
Basadas en el falseo del remitente Basadas en la personalización de los mensajes Basadas en la ofuscación del mensaje: o Mediante imágenes o Mediante invisibilidad del texto o Mediante letras espaciadas o Mediante corte vertical o Mediante código script
Fase IV: Refinamiento de listas Técnicas de refinamiento: • • •
Pruebas de lectura Enlaces y páginas para dar de baja en listas Correos de confirmación
Fuente: INTECO
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 25 de 165
Instituto Nacional de Tecnologías de la Comunicación
2.4.1
Fase I: recolección de direcciones de correo
Para el envío de spam se requiere de un listado de direcciones de correo. A su vez, para que el envío tenga éxito es necesario que estas cuentas estén realmente activas. Por tal motivo, los spammers utilizan diversas técnicas para generar y obtener listas de direcciones eficientes. Algunas búsquedas se realizan de forma manual, personalmente por los propios spammers; este tipo es conocido como recolección pasiva y se suele realizar llevando a cabo una o varias de las técnicas descritas a continuación: 1. Recolección en páginas web: la captación de direcciones de correo que se encuentran listados en páginas web personales o de empresas, en los foros de discusiones, páginas blancas y amarillas, etcétera es el método más sencillo. 2. Recolección en listas de correo: listas de noticias, de distribución, chats, etcétera. 3. Recolección mediante ingeniería social: basada en técnicas de múltiples reenvíos entre s de correo con contenido de diversa índole. Así, los s incluirán los os de su libreta de direcciones en el correo reenviado, entre los cuales se encontrará el propio emisor. De esta manera, el spammer puede obtener un gran número de direcciones de correos, generalmente activas. La creación de las listas de direcciones de correo también puede hacerse de forma automatizada, por métodos de recolección activa. Algunos ejemplos de técnicas basadas en dicho métodos son: 1. Recolección mediante solicitud directa de la dirección de correo: métodos basados en páginas engañosas en las que se solicita a la víctima la dirección de correo para acceder a un determinado servicio, como el envío de postales electrónicas o las descargas gratuitas. 2. Recolección mediante robots de búsquedas: método más sofisticado basado en los robots de búsquedas o arañas, software que busca y colecciona direcciones de correo en los sitios web de forma masiva (en inglés, harvesting). Estos programas
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 26 de 165
Instituto Nacional de Tecnologías de la Comunicación
barren todas las páginas web accesibles en la Red, analizándolas en busca de patrones que encajen con direcciones de correo electrónico. 3. Recolección mediante ataque a servidores de correos o PC: técnicas de hacker de entrada ilícita en servidores de correo u ordenadores personales, explotando las brechas de seguridad de estos sistemas, para apropiarse de los directorios y libretas de os. 4. Recolección mediante ataque a aplicaciones de Internet: puede considerarse un subtipo del anterior. El caso más común es la explotación de las propiedades, y/o vulnerabilidades o errores de los navegadores web. Por ejemplo, son conocidas las técnicas de obtención de direcciones de correo electrónico basadas en el funcionamiento del protocolo FTP anónimo o en ciertas cabeceras del protocolo HTTP. 5. Recolección mediante búsqueda por diccionario: técnicas usadas en otros contextos, pero que también son aplicadas en la elaboración de listas de correos. En este caso, consiste en generar una larga lista, probando sistemáticamente posibles direcciones de correo electrónico; a continuación, se comienza un proceso de ensayo y error con estas cuentas para identificar si están activas. Las direcciones se componen alterando nombres comunes por combinaciones lógicas de patrones. Junto a las técnicas de recolección pasiva y activa, conviene destacar una tercer tipo consistente en la compra directa de bases de datos de direcciones de correo. Este último método es fraudulento e ilegal en la mayor parte de los países. Cada una de las técnicas que se han analizado (recolección pasiva, generación automática y compra de bases de datos) puede ser evaluada y comparada cualitativamente en términos de dificultad técnica, eficacia y recursos necesarios desde el punto de vista del spammer (Tabla 1). En relación a los recursos, cabe señalar que en estas técnicas los recursos económicos necesarios son por lo general reducidos; en el caso de la compra directa de bases de datos, el coste puede fluctuar drásticamente en función del volumen de que se trate, mientras que en los otros dos métodos el coste es independiente del tamaño de la lista. En cuanto a otros recursos necesarios, se señalan los materiales (equipos y ancho de banda, con el coste asociado de cada uno de ellos) y humanos. Para las técnicas de recolección activa mediante generación automática son necesarios una serie de programas. No son técnicamente muy complejos, aunque exigen ciertos conocimientos de redes y programación. Lamentablemente, cada vez son más los programas disponibles en Internet que pueden ser empleados por s con un nivel de conocimiento básico.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 27 de 165
Instituto Nacional de Tecnologías de la Comunicación
Tabla 1: Comparativa de métodos de recolección de direcciones
Técnica Recolección pasiva Generación automática Compra de listas
Dificultad técnica
Eficacia
Baja
Recursos necesarios Econ.
Mater.
Huma.
Baja
Bajos
Medios
Medios
Media
Baja
Bajos
Bajos
Bajos
Alta/Baja
Media
Altos/ Bajos
N/A
Medios Fuente: INTECO
2.4.2
Fase II: creación del correo
Existen diferentes tipos spam de contenido y objetivo variado. Por ello y por su constante evolución, resulta muy difícil describir un prototipo genérico de correo spam. A pesar de eso, todo correo spam necesita comunicar al receptor de forma clara un mensaje que le induzca a responderlo, reenviarlo o realizar cualquier otra acción requerida. Las principales partes que, de forma conjunta o por separado, pueden presentarse en un correo de tipo spam son: •
Reclamo de atención: el asunto del correo, corto y conciso, persigue el objetivo de que el receptor no lo borre, no asuma que es un correo spam, sino que desee abrirlo.
•
Presentación de credenciales: el cuerpo del mensaje destaca la solvencia de la organización y las ventajas que ofrece al .
•
Continuidad de la relación: se refiere generalmente a una falsa comunicación anterior y trata de convencer al de que ha solicitado cierta información, desviando la idea de que puede tratarse de un correo spam.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 28 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Introducción de la oferta: se divide generalmente en una enumeración detallada de los productos o servicios de la empresa con sus precios, seguido de los detalles de la oferta.
•
Táctica de presión: pretende incitar al a comprar inmediatamente el producto o realizar la acción solicitada.
•
Solicitud de respuesta: consiste en la descripción de la acción que se desea que el haga a partir del correo electrónico recibido, mezclándose con la táctica de presión para lograrlo. Puede caracterizarse por ofrecer datos de os como números de teléfono, dirección de correo o enlaces web, o incluir directamente hipervínculos. Esta parte constituye el elemento fundamental del correo spam, pues es la que define su objetivo y ataque. Aquí puede combinarse con otros ataques como los de phishing, inyección de virus, troyanos, etcétera.
•
2.4.3
Política de salida cortés: brinda una vía para no continuar recibiendo este tipo de mensajes (opción opt-out). A diferencia de los correos publicitarios lícitos, en los falsos esta opción persigue el objetivo de hacerlo más creíble y puede tratarse de una forma de desplegar un determinado ataque. Fase III: envío masivo
Distribuir un mensaje de correo a varios destinatarios es una tarea relativamente sencilla y económica; basta con conocer los pasos adecuados del protocolo de correo SMTP 10 . Su sencillez permite incluso que algunos correos spam sean generados muchas veces de manera manual, si bien esto no es una técnica común en un mundo digitalizado. El
10
SMTP, Simple Mail Transfer Protocol (SMTP): protocolo simple de transferencia de correo. Protocolo de red basado en texto utilizado para el intercambio de mensajes de correo electrónico entre computadoras o distintos dispositivos RFC 2821. http://www.ietf.org/rfc/rfc2821.txt. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 29 de 165
Instituto Nacional de Tecnologías de la Comunicación
fenómeno del spam toma dimensiones mayores con el desarrollo de los programas que implementan estas comunicaciones SMTP y que explotan sus vulnerabilidades para enviar los correos de forma automatizada y masiva. Las técnicas de envío masivo se detallan a continuación. 1. Técnicas basadas en servidores de correo con configuración abierta (en inglés, configuración Open Relay 11 ). Son servidores de correo que, por ejemplo, no necesitan un y contraseña para ser utilizados por terceras personas para el envío de correos electrónicos. Por lo tanto, un spammer puede emplearlos sin necesidad de ser cliente de ese servidor. Esto provoca que sea muy complicado identificar y rastrear a los creadores del correo spam así generado. 2. Técnicas basadas en troyanos. Los spammers han encontrado en los tradicionales troyanos, utilizados habitualmente en otros muchos contextos, la herramienta perfecta para sus actividades. Así, los utilizan para infectar y tomar el control de miles de máquinas en Internet. Esta nueva generación de troyanos, llamados troyanos spammers, implican una gran dificultad en la lucha contra el spam. Además del propio envío de correos electrónicos, pueden proporcionar una amplia variedad de servicios necesarios para los spammers, tales como el servicio de resolución de nombres de dominio o DNS 12 , el alojamiento de páginas web, la retransmisión de correo, los cambios dinámicos de direcciones IP para evitar la inclusión en listas negras, etcétera. De hecho, muchos de los últimos ataques de gusanos de amplia difusión, como los de MyDoom 13 o Bagle 14 , fueron lanzados expresamente para instalar troyanos spammers, con el fin de que las máquinas que hubieran resultado infectadas pudieran ser utilizadas posteriormente como plataformas de envío (epígrafe 2.3). 3. Técnicas basadas en servidores SMTP internos. Las propias herramientas de envío de spam incorporan un motor de envío de mensajes SMTP (es decir, un servidor de correo) para enviar automáticamente el correo sin tener que conectarse a un servidor externo. Esta técnica pretende sortear las listas negras de servidores y se combina generalmente con los troyanos spammers. 4. Técnicas basabas en redes de ordenadores comprometidos. Es el resultado un número importante de ordenadores comprometidos mediante la técnica basada en
11
Recomendaciones para proteger los servidores de correo frente a este ataque: http://www.mail-abuse.com
12
DNS, Domain Name Server: base de datos distribuida y jerárquica que relaciona los nombres de dominio con direcciones IP. 13
Gusano que se propaga rápidamente por correo electrónico. Fue detectado el 26 de enero de 2004 y a las pocas horas había infectado a miles de s. 14
Gusano que se propaga por correo electrónico utilizando su propio programa de correo SMTP para enviarse a todas las direcciones encontradas en el ordenador.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 30 de 165
Instituto Nacional de Tecnologías de la Comunicación
troyanos para envío masivo de spam. Los programas maliciosos instalados en esos ordenadores pueden hacer uso de direcciones de correo que encuentren en ellos y conectarse a los servidores SMTP externos configurados en los correspondientes clientes de correo o hacer poner en práctica la técnica basada en servidores SMTP interno. Por la importancia e impacto de esta técnica de envío masivo de correo malicioso, se detalla su estudio en el epígrafe 2.3. Las técnicas de envío masivo de mensajes de correo suelen combinarse con cierto tratamiento de los mensajes que dificulta aún más su detección y rastreo. Algunos métodos de tratamiento de los mensajes son: 1. Técnicas basadas en el falseo del remitente. Consiste en enviar un correo a nombre de un emisor falso. El objetivo es generar un flujo de mensajes innecesarios y no esperados. Con esta variante, el spammer no recibe el correo de respuesta, pero puede generar envíos de correos inútiles entre receptores y emisores desconocidos; se incluyen dentro de estos envíos los avisos de correos no entregados, en el caso de que las direcciones de los receptores no existan o no puedan ser accedidas. 2. Técnicas basadas en la personalización de los mensajes. Consiste en emplear un mensaje como plantilla general y adaptarlo con datos específicos de cada destinatario como el nombre, dirección postal, empresa en la que trabaja o cualquier otra información recolectada en Internet o extraída de la propia dirección de correo (por ejemplo, puede deducirse que el propietario de la cuenta [email protected] se llama José García). 3. Técnicas basadas en la ofuscación del mensaje. Consiste en ocultar de manera automática el texto del mensaje para crear nuevas versiones del mismo, de tal manera que sea difícil de detectar y rastrear por los filtros antispam. En la actualidad se utilizan varias técnicas de ofuscación de mensajes: a. Ofuscación mediante imágenes: consiste en enviar todo el mensaje spam como una figura incrustada en un texto HTML. En el mismo no aparece ningún texto, pues todo el contenido está incluido en la figura. Las figuras son muy difíciles de procesar por los filtros antispam, por lo que esta variante de spam puede llegar a un importante número de buzones sin ser detectado. La imagen puede además contener el hipervínculo que el spammer desea que el pinche para visitar una determinada página.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 31 de 165
Instituto Nacional de Tecnologías de la Comunicación
b. Ofuscación mediante invisibilidad del texto: técnica que intenta ocultar el mensaje dentro de un texto legítimo, de forma que pueda sortear los filtros antispam. Muchos filtros utilizan una técnica de clasificación basada en contar la cantidad de palabras comunes que aparece en los mensajes de correo, legítimos o no; con esta técnica, los spammers intentan aumentar la cantidad de palabras clasificadas como comunes. Estos mensajes se construyen generalmente como páginas HTML donde el texto se ocultan en el contenido de la página, de forma que no será visible para el ojo humano, pero sí analizada por los filtros (por ejemplo, un texto del mismo color que el fondo o un texto en el campo de búsqueda de páginas o en la sección de comentarios). c. Ofuscación mediante letras espaciadas: consiste en introducir caracteres o espacios blancos entre las letras. Esto dificulta el trabajo de los filtros, mientras que el receptor puede leer el contenido del mensaje sin demasiados problemas. d. Ofuscación mediante corte vertical: se trata de ocultar un texto en una tabla HTML. Se distribuye en celdas separadas de una misma tabla, de tal manera que cuando finalmente es visualizada por la aplicación cliente del receptor, este puede leer el texto enviado por el spammer. e. Ofuscación mediante código script: consiste en enviar el mensaje como un código JavaScript u otro lenguaje de tipo script 15 que pueda ser procesado por la aplicación cliente (páginas dinámicas), y que como resultado devuelve el texto que desea que el destinatario reciba. Muchos filtros antispam ignoran el código en lenguajes script por lo complejo que es implementar un analizador sintáctico para ellos. Es decir, en vez de enviar el contenido del spam en texto en claro, el puede enviar un script que lo genere. Por ejemplo un spam con el siguiente contenido en claro: Aproveche esta oportunidad. Compre el producto a muy buen precio. Haga ahora su solicitud aquí. Puede ser generado al interpretar el siguiente código en JavaScript: <script type='text/javascript'> document.write ('Aproveche esta oportunidad. Compre el producto a muy buen precio.
15
Lenguaje script: se conoce como lenguaje interpretado y es un lenguaje de programación diseñado para ser ejecutado por medio de un intérprete, en este caso un navegador u cualquier otro cliente que permita visualizar páginas web.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 32 de 165
Instituto Nacional de Tecnologías de la Comunicación
Haga ahora su solicitud aquí '); Junto a las causas fundamentales ya descritas que explican la existencia del spam (bajo coste y sencillez técnica), conviene señalar que se hace aun más comprensible la proliferación de este fenómeno si se atiende al hecho de que no suelen emplearse medidas de autenticación en los protocolos de envío de correo electrónico. La autenticación es el servicio que permite tener la certeza de la identidad de las partes involucradas en una comunicación; sumada a la privacidad e integridad, es uno de los aspectos imprescindibles para que podamos hablar de seguridad en el tratamiento de la información. Los protocolos de envío de correo no proveen de autenticación del remitente. Esto se traduce en que cualquier individuo u organización puede poner en marcha un servidor de correo y enviar y recibir un número ilimitado de correos electrónicos. 2.4.4
Fase IV: refinamiento de listas
Los spammers dedican esfuerzo e ingenio en refinar sus listas, con el objetivo de eliminar direcciones de correo desactivadas o inexistentes y aumentar el número de os válidos. Las técnicas que se utilizan para este propósito son muy variadas. A continuación se resumen las más representativas: 1. Pruebas de lectura. Suelen utilizarse para comprobar quién, cuándo y desde qué ordenador se visita una página web o se lee un correo electrónico. Aunque existen varias formas de implementación, uno de los métodos más engañosos consiste en el envío de un correo con contenido HTML en el cuerpo del mensaje, en el que se incluye una imagen (normalmente de un píxel de tamaño y de color transparente) cuya dirección URL 16 es la del correo del receptor (por ejemplo www.yyy.zzz/[email protected]). De esta manera, si el cliente de correo realiza una visualización previa del contenido 17 o lee su contenido, solicitará el envío de esa imagen al servidor Web (es decir a www.yyy.zzz), que los spammers
16
Uniform Resource Locator, en español, localizador uniforme de recurso. Es una secuencia de caracteres, de acuerdo a un formato estándar, que se usa para nombrar recursos, como documentos e imágenes en Internet, por su localización. 17
Eudora y Outlook poseen un de previsualización que visualiza tanto correos en texto en plano como correos HTML.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 33 de 165
Instituto Nacional de Tecnologías de la Comunicación
han habilitado. Finalmente, en los ficheros logs del servidor quedarán recogidas todas las URL 18 de las imágenes solicitadas y por lo tanto, todas las direcciones de correos activas que lo han leído.Los spammers podrán chequear quien lo ha solicitado, en los ficheros logs del servidor y, por tanto, descubrir qué direcciones de correo han visto el spam. Estas variantes pueden ser controladas por los proveedores de correo restringiendo la carga de imágenes y, en general, el código HTML en los correos recibidos, lo que están empezando a realizar los grandes proveedores de correo gratuito. Así, la gran mayoría de variantes de la técnica anterior se vuelven inútiles. 2. Enlaces y páginas para darse de baja en listas. En ocasiones, parte del spam recibido contiene enlaces para, supuestamente, tramitar la baja de la dirección en las listas de suscripción. Por supuesto, en la mayoría de las ocasiones dicha baja no sólo no se produce, sino que conlleva un aumento del volumen de spam recibido. Al solicitar la baja, se está confirmando que la dirección es válida y, automáticamente, queda incluida en nuevas listas y es utilizada por más spammers. Existen formas sencillas de mitigar este problema: no se debe solicitar la baja de este tipo de correos y, en general, no es aconsejable seguir ningún enlace incluido en un spam, pues, habitualmente, apuntará a páginas que contienen troyanos spammers u otro tipo de malware. El servicio de tramitación de baja sólo puede utilizarse cuando la entidad que envía el correo no solicitado ofrece las suficientes garantías. 3. Correos de confirmación. Existe un tipo de spam que aparentemente no trata de vender ningún producto ni de engañar al receptor para que visite cierta página Web. de aspecto inofensivo, se limita: o bien a pedir al que responda al correo, sin proporcionar ningún dato, o bien le indique que su silencio se tomará como una aceptación a estar en la lista. Estos correos, cuyo carácter no es legítimo, tienen como objetivo comprobar que la dirección de envío es correcta, con el fin de refinar las listas generadas de forma automática y hacerlas más efectivas. 2.5
Tipos de ‘spam’
La clasificación de los diferentes tipos de spam resulta complicada, pues las técnicas empleadas por los spammers son cada vez más ingeniosas y sofisticadas y consiguen sortear las protecciones, así como crear mensajes que logren engañar a los receptores.
18
Uniform Resource Locator, en español, localizador uniforme de recurso. Es una secuencia de caracteres, de acuerdo a un formato estándar, que se usa para nombrar recursos, como documentos e imágenes en Internet, por su localización. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 34 de 165
Instituto Nacional de Tecnologías de la Comunicación
En los próximos epígrafes se presenta una clasificación 19 ilustrativa (no limitativa) de los distintos tipos de correo no deseado. TIPOS DE SPAM Por contenido del mensaje: • • • • • • • • •
Adultos Financieros Fraudes de empresas Estafas (scams) Productos o servicios informáticos Publicitarios Ocio Sensacionalistas Espirituales o sentimentales
Por formato del texto del mensaje: • • • •
Spam en texto plano (TXT spam) Spam en lenguaje HTML (HTML spam) Spam con archivos adjuntos habituales Spam en archivos adjuntos de audio
Evolución y nuevos tipos de spam: • • • • • •
Spam por mensajería instantánea (Spim) Spam por ventanas emergentes o pop-ups Spam en grupos de noticias Spam en foros Spam en blogs Spam en otros servicios: o Spam por telefonía móvil o Spam por Voz sobre IP
Fuente: INTECO 2.5.1
Clasificación por contenido del mensaje
Según el tipo de contenido del mensaje, el spam puede clasificarse en correo para adultos, financieros, fraudes de empresas, estafas, productos informáticos, publicitarios, de ocio, sensacionalistas o espirituales, etcétera. A continuación, se revisan algunas características de los distintos tipos. 1. Adultos: correo electrónico con contenido relacionado con la sexualidad. Son los correos más repudiados y por lo tanto, suelen ser eliminados y no reenviados por los s. En la mayoría de los casos, los s deciden filtrar automáticamente la recepción de estos correos, circunstancia que resulta fácil por su inequívoco contenido; la búsqueda de las palabras clave generalizadas en torno a esta temática facilita la labor. Aun así, el tráfico de este spam sigue siendo muy elevado. 2. Financieros: incluyen ofertas de dinero, regalos y deslumbrantes oportunidades en ciertos negocios. Los más típicos son los que anuncian regalos de dinero sin
19
La clasificación que se presenta está basada en la realizada por Symantec Corporation (http://www.symantec.com/). La mayoría de los ejemplos que presentamos están en inglés, pues es el lenguaje que generalmente utiliza el spam. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 35 de 165
Instituto Nacional de Tecnologías de la Comunicación
acción previa (loterías, premios, casinos), préstamos sin comisiones, inversiones, etcétera. 3. Fraudes de empresas: se presentan con el nombre de una empresa legítima con el objetivo de obtener información confidencial del destinatario y de atribuirle un perfil como cliente; por esta razón, se clasifican a menudo como correos de phishing 20 o de brand spoofing 21 . Las formas más habituales suelen basarse en falsas alertas bancarias sobre las cuentas de los clientes o relacionadas con sus datos de registro y los sistemas de seguridad de banca electrónica, lo que les induce a visitar una web falsa del banco e introducir sus datos. 4. Estafas (scams): aunque pueden estar incluidos dentro de los financieros (y dentro de los ataques de phishing por correo), merecen una distinción por su importancia y variedad. Se caracterizan por proponer tratos lucrativos para el remitente, con el objeto de estafar al destinatario cantidades económicas y/o información confidencial. Para ello, suelen ofrecer trabajos bien remunerados (generalmente de forma online), soluciones hipotecarias ventajosas o incluso versiones en línea del conocido fraude financiero piramidal (consistente en el establecimiento de una cadena de participantes, que forman la base de la pirámide, a los cuales se les asegura unas ganancias progresivas previo pago de una determinada cantidad). Junto a este tipo de estafas, conviene señalar el timo conocido por “banco nigeriano” o “timo 419” (por el número de artículo del código penal de Nigeria que viola), en el que el estafador obtiene dinero de la víctima en concepto de adelanto a cuenta de una supuesta fortuna que le han prometido. 5. Productos o servicios informáticos: los más comunes son los correos cuyo contenido hace referencia a versiones nuevas de software o hardware de uso común y extendido, así como a direcciones de descargas libres o con precios reducidos de productos muy costosos. 6. Publicitarios: correos relacionados con la oferta comercial de productos y servicios. Son bastante controvertidos, pues pueden confundirse con correos lícitos. Fueron los primeros correos de tipo spam en surgir y siguen siendo los más abundantes, casi siempre con fines lucrativos. Estos correos maliciosos son fáciles de determinar, porque ofrecen enormes ventajas y precios muy bajos para los potenciales clientes. Las más típicas son las ofertas relacionadas con la salud
20
INTECO: Estudio sobre s y profesionales de entidades públicas y privadas afectados por la práctica fraudulenta conocida como phishing, 2007. Disponible en http://observatorio.inteco.es. Phishing: técnica de ingeniería social por la cual un atacante intenta adquirir información confidencial de una víctima de forma fraudulenta, haciéndose pasar por un tercero de confianza. 21
Spoofing brand: técnica de suplantación de identidad, en este caso suplantación de marca.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 36 de 165
Instituto Nacional de Tecnologías de la Comunicación
(medicamentos sin prescripción) o con la estética (productos dietéticos, consultas a muy bajo precio, tratamientos, etcétera). Por su parte, los correos legítimos pertenecen generalmente a campañas publicitarias de empresas, pero se considerarán spam en función de la legislación de cada país. Este aspecto será discutido detalladamente más adelante en el presente informe. 7. Ocio: incluyen publicidad relacionada con opciones de ocio, tales como paquetes turísticos, juegos electrónicos o casinos online. 8. Sensacionalistas: su contenido generalmente incita a muchos s (sobre todo los que se inician en el uso del correo electrónico) a que crean en su mensaje y los reenvíen. Son conocidos también como correos místicos (en inglés, hoax). Alguno de los temas más comunes que abordan están relacionados con las ayudas humanitarias, la política o las falsas alertas de virus destructivos. 9. Espirituales o sentimentales: constituyen el correo spam más aceptado y difundido por los propios s e inducen a los propios receptores a convertirse en spammers reenviándolos a su directorio de os. Se suelen caracterizar por tratar motivos religiosos, poemas, citas famosas, animaciones o imágenes. 2.5.2
Clasificación por formato del texto del mensaje
El correo de tipo spam puede ser clasificado también según el formato con el que se ha editado el mensaje. A continuación se presentan los más comunes. 1. Spam en texto plano (TXT spam): el texto plano o .txt es un formato común en el cuerpo del mensaje de los correos electrónicos. Es una de las técnicas más utilizadas por lo sencillo de su creación, pero también constituye el más sencillo de detectar por filtrado de contenido. Utiliza principalmente técnicas de ingeniería social para persuadir a los receptores y desplegar su ataque o ser nuevamente enviado. 2. Spam en lenguaje HTML (HTML spam): el contenido del mensaje es un fichero HTML 22 que la mayoría de los clientes de correo permiten visualizar directamente. Este tipo de mensaje, por las propiedades de los ficheros HTML, permite incluir código y técnicas automatizadas para realizar sus acciones y ser reenviados. Actualmente, se están desarrollando variantes más novedosas, con objeto de evitar las medidas de protección.
22
HyperText Markup Language, en español Lenguaje de Marcas Hipertextuales. Es un lenguaje diseñado para estructurar textos y presentarlos en forma de hipertexto en las páginas web. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 37 de 165
Instituto Nacional de Tecnologías de la Comunicación
3. Spam con archivos adjuntos habituales: el contenido de tipo spam no es enviado en el cuerpo del mensaje, sino en un fichero adjunto. Las variantes más antiguas se realizaban mediante adjuntos con extensiones .ppt o .zip, pero en la actualidad se está extendiendo el uso del spam a imágenes y archivos .pdf. 4. Spam en archivos adjuntos de audio: constituye la tendencia más reciente en las técnicas empleadas por los spammers. Consiste en enviar mensajes codificados en archivos adjuntos de audio MP3. Estos mensajes están compuestos de un fichero MP3 de pocos segundos, grabado a un bajo nivel de bits y con una voz sintetizada que promociona un determinado producto. Dicha voz llega a los s de forma muy distorsionada para evitar así su detección por medio de sistemas antispam por búsqueda de patrones de voz, que localizan dentro del fichero adjunto pautas con las mismas características que en los spam de texto. 2.6
Evolución y nuevos tipos de ‘spam’
En la actualidad las técnicas que sustentan el spam están en constante adaptación y evolución. Bajo la consigna de "masivo y no deseado" rebasa la frontera del correo electrónico y se extiende a otras aplicaciones y servicios de Internet, apareciendo así nuevas modalidades. 2.6.1
Spam por Internet
1. Spam por mensajería instantánea (Spim): modalidad que utiliza sistemas de mensajería instantánea como ICQ, Messenger o Skype, entre otros. Generalmente, aprovecha vulnerabilidades de seguridad y sus posibilidades de envíos instantáneos, además de la información personal contenida en los directorios de s. En este caso, los spammers desarrollan programas que envían mensajes instantáneos, mediante el protocolo de comunicación del sistema en cuestión, a una lista de s detectados. A menudo, este proceso es automatizado y forma parte del funcionamiento de algún software malicioso que ha comprometido una máquina. 2. Spam por ventanas emergentes o pop-ups: se trata de enviar un mensaje bajo el control del spammer que emerge con formato de ventana durante la navegación por Internet, normalmente con alguna advertencia falsa dirigida hacia el y que suele conducir a un mensaje de carácter publicitario. Es muy común que se inserte en motores de búsqueda y en sitios visitados por un gran número de s. Aunque los primeros casos se dieron en Internet Explorer de Windows, han aparecido ya en otros navegadores. Se han detectado otras formas de spam
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 38 de 165
Instituto Nacional de Tecnologías de la Comunicación
que hacen uso de este tipo de ventanas de forma similar en aplicaciones con el protocolo SMB 23 . 3. Spam en grupos de noticias: modalidad que utiliza programas robot (en inglés, bots) que se conectan a salas de noticias y las bombardean con mensajes publicitarios, reiteración de preguntas u otra información no solicitada y en muchos casos incómoda para los s registrados en estos servicios. 4. Spam en foros: aprovecha la propiedad de envío masivo de los foros de discusiones. Generalmente, se caracteriza por la inclusión de repetidos mensajes que no contribuyen en nada al tema del foro e, incluso, de contenido ofensivo o molesto para el resto de participantes. 5. Spam en blogs: modalidad que se caracteriza por incluir comentarios en una entrada de un blog, con objetivos distintos a los previstos en dicha bitácora y que en realidad contienen enlaces a sitios comerciales, promocionan directamente algún producto o simplemente sirven de enlace a sitios maliciosos. Más allá de la comunicación en Internet con ordenadores, el spam ha llegado también a otros servicios, como la telefonía móvil o los sistemas de Voz sobre IP (VoIP): 2.6.2
Spam por telefonía móvil
Se produce a través del servicio de mensajes de texto cortos (SMS) o de mensajes multimedia (MMS). Esto puede resultar especialmente desconcertante para los s, no sólo por la molestia que supone recibir y leer mensajes que no son relevantes para ellos, sino también porque muchas veces son enviados desde otros países o destinos, y por lo tanto, los s deben pagar al recibirlos. Aun así, hasta el momento este tipo de spam no ha evolucionado en la misma medida que el resto, a pesar de los millones de abonados de telefonía móvil, por los propios costes de envíos y por la ausencia de pasarelas gratuitas. 2.6.3
Spam por Voz sobre IP
Se espera que las comunicaciones VoIP sean vulnerables al spam por mensajes pregrabados. Se han reportado muy pocos casos por lo reciente de este tipo de telefonía, pero ya se han desarrollado algunas herramientas de protección contra ello. También se presenta el fenómeno del spam en la vida cotidiana, aunque no se menciona como tal, a través de sistemas como el fax y el teléfono tradicional, en sistemas
23
Server Message Block (SMB), protocolo de nivel de aplicación que permite a los servidores enviar alertas, mediante ventanas emergentes (pop-up) a las estaciones de trabajo de Windows. Cuando estas se conectan a Internet con el servicio iniciado, y sin la protección de un firewall, este puede ser utilizado para enviar spam. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 39 de 165
Instituto Nacional de Tecnologías de la Comunicación
automáticos de envío y recepción de llamadas, puerta a puerta, a través de folletos y otras promociones que llegan a los hogares o empresas... 2.7
Formas permitidas de correo masivo
En la actualidad existe una importante discusión sobre qué se considera spam, en el marco del envío masivo de correos de listas de distribución y publicitarios. En ambos casos los mensajes se envían a un elevado número de destinatarios. Muchas de estas listas de distribución o de publicidad ofrecen dos sistemas de control sobre la recepción de estos correos: la aceptación previa a primera comunicación (opt-in) o la opción de cancelación en cada comunicación (opt-out). 2.7.1
Sistema opt-in
Consiste en la inscripción voluntaria de un a una lista de correo, expresando explícitamente su interés por recibir los correos que genere la empresa, grupo u asociación propietaria de la lista. . En Europa entró en vigor en 2002 una directiva contra el correo electrónico no solicitado (2002/58/CE, del Parlamento Europeo, de 31 de julio). En España, el spam comercial está prohibido por la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (Ley 34/2002, de Servicios de la Sociedad de la Información y Comercio Electrónico, de 11 de julio, denominada Ley de Comercio Electrónico o LSSICE). Hasta la entrada en vigor dicha normativa, los servicios online incluían la opción opt-in marcada por defecto; a partir de entonces, es el quien debe seleccionarla explícitamente. Para asegurar el carácter explícito del consentimiento, algunos sistemas exigen una nueva confirmación de esta inscripción o doble opt-in, pidiéndole al que responda a un correo de confirmación previamente a cualquier envío relativo a la lista. El objetivo es evitar que los s sean inscritos a una lista por terceros sin su consentimiento. 2.7.2
Sistema opt-out
Consiste en la inclusión de una opción de cancelación y denegación de subsiguientes envíos en cada correo recibido perteneciente a una determinada lista, sea solicitado o no. Como regla general, se exige la existencia de esta opción en todas las listas de correos. Dentro de las listas de correos, destacan aquellas utilizadas por empresas de marketing para enviar publicidad y ofrecer productos o servicios. Es evidente el incremento del uso del correo en la sociedad actual y, por lo tanto, constituye una vía que genera ventajas competitivas por lo reducido de su coste. El denominado marketing electrónico (e-mail marketing) debe ser extremadamente cuidadoso para no quedar catalogado como spam. Por ello, se exige que todos estos correos, encuadrados en una actividad de marketing lícita, incluyan una opción opt-out que permita al cancelar su participación como destinatario en cualquier momento. En la mayoría de los casos, también se exige la Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 40 de 165
Instituto Nacional de Tecnologías de la Comunicación
existencia de una opción opt-in para que el se inscriba previa y explícitamente a la lista de distribución. Hasta el momento es una exigencia más débil, pues aun en muchos casos y dependiendo de la legislación de cada país un correo publicitario no se considera spam si incluye una opción de aceptación para continuar el envío o una opción de cancelación, aun cuando no haya sido autorizado.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 41 de 165
Instituto Nacional de Tecnologías de la Comunicación
3 MARCO JURÍDICO DEL CORREO ELECTRÓNICO NO DESEADO En este apartado se hace una referencia sintética a todo el marco jurídico del spam; para una información más detallada, se recomienda la consulta del documento anexo a este estudio, Marco jurídico del correo electrónico no deseado (spam): normativa aplicable, infracciones, sanciones y casos prácticos, donde se realiza un análisis pormenorizado de todas las referencias legales sobre el tema y se incluyen casos reales con repercusión jurídica. El dato más destacado es que en España las medidas y el seguimiento de carácter normativo con referencia al spam se encuentran muy avanzados. Desde una perspectiva jurídica, no existe ni en la doctrina ni en el Derecho comparado unanimidad a la hora de determinar el concepto de spam. Sin embargo, a menudo se recurre a las siguientes aproximaciones: "correos electrónicos comerciales no solicitados" y "correos electrónicos masivos no solicitados procedentes de un mismo emisor". Es evidente que incluso intentando concretar la definición de spam, lo que resulta común en ambos casos es que se trata de correos electrónicos no solicitados, pero dicha condición, aun siendo necesaria, no es un requisito suficiente para que sea considerado como spam, puesto que lo que cualifica al correo no solicitado como spam desde el punto de vista jurídico es su carácter comercial o la cantidad enviada. Por tanto, en ordenamiento jurídico español los correos electrónicos no deseados de contenido no comercial no han tenido un tratamiento legal, ya que la legislación se ha centrado única y exclusivamente en la regulación de los que se podrían denominar spam comercial, correos electrónicos comerciales no deseados o comunicaciones comerciales no solicitadas. Precisamente sobre este último término gira la regulación española. Es necesario recordar que el ejercicio abusivo de técnicas de marketing y el empleo de métodos de venta agresivos a través del correo electrónico han supuesto la reacción del legislador, promulgando una normativa específica para proteger a los consumidores y s. Junto con la regulación de su contenido, dirigida a hacer de ellas unas actividades transparentes, se procura que las comunicaciones comerciales enviadas a través de Internet sean totalmente identificables como tales y que se haga un uso lícito de los datos personales utilizados para realizar las promociones a través del correo electrónico. Las comunicaciones comerciales enviadas a través de la Red ofrecen innumerables ventajas, pero también ciertas incertidumbres jurídicas que precisan del establecimiento de un marco adecuado, ya que diariamente estas prácticas de difusión comercial masiva son poco respetuosas con el derecho a la intimidad y a la privacidad de las personas; en
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 42 de 165
Instituto Nacional de Tecnologías de la Comunicación
particular, las intromisiones no deseadas y la difusión de datos personales con finalidad comercial son fuente de gran parte de las ofertas y publicidad no deseada. Por todo ello, se llega a la conclusión de que no se puede confundir el término genérico de spam con la prospección comercial no solicitada de las empresas. No toda prospección comercial no solicitada es spam, ya que bajo ciertas premisas legales está permitido enviar ciertas comunicaciones comerciales no solicitadas. 3.1.1
Definición de las comunicaciones comerciales vía electrónica
En el ordenamiento jurídico español, la Ley 34/2002 de Servicios de la Sociedad de la Información y Comercio Electrónico, denominada como Ley de Comercio Electrónico o LSSICE, que traspone la Directiva 2000/31/CE 24 , define las comunicaciones comerciales como “toda forma de comunicación dirigida a la promoción directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional”, excluyendo de tal definición: •
Los datos que permiten acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico.
•
Las comunicaciones referentes a actividades desarrolladas por terceros sin encargo del titular y sin remuneración.
•
Los enlaces hacia páginas Web de contenido publicitario.
•
Y las comunicaciones de carácter informativo, ausentes de toda finalidad comercial o empresarial como la propaganda institucional, política y religiosa.
En cuanto a la normativa aplicable, las comunicaciones comerciales vía electrónica no sólo se rigen por la LSSICE, sino que también se ha de aplicar otras normas vigentes en materia comercial y de publicidad, así como la normativa de protección de datos (LOPD, Ley Orgánica de Protección de Datos). Conviene señalar que la LSSICE, por su parte, ampara tanto a las personas físicas como a las jurídicas destinatarias del servicio frente al envío de comunicaciones comerciales no solicitadas. Respecto a la utilización de sistemas de correo electrónico con fines de venta directa, la Directiva 2002/58/CE 25 establece que sólo está permitido en el caso de que el haya
24
Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, más conocida como Directiva sobre Comercio Electrónico, relativa a determinados aspectos jurídicos de los servicios de la Sociedad de la Información, en particular del comercio electrónico en el mercado.
25
Directiva 2002/58/CE, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 43 de 165
Instituto Nacional de Tecnologías de la Comunicación
dado su consentimiento previo (sistema opt-in). Por tanto, queda prohibido el envío por correo electrónico de comunicaciones publicitarias o promocionales que previamente no hubieran sido solicitadas o expresamente autorizadas por sus destinatarios. La elección de dicha modalidad por el legislador comunitario, e intrínsecamente por el legislador español (LSSICE), es importante, ya que supone distanciarse del sistema americano, basado en el sistema opt-out (cancelación previa). 3.1.2
Requisitos de licitud de las comunicaciones comerciales
La normativa española, según se articula en la LSSICE, obliga a las empresas a que las comunicaciones electrónicas hayan sido previamente solicitadas por los destinatarios mediante el consentimiento expreso. Es precisamente en la obtención de dicho consentimiento donde se encuentran los principales problemas para el envío de comunicaciones comerciales debido a que en la práctica las empresas no suelen solicitarlo, sino que ofrecen simplemente la posibilidad de darse de baja del servicio enviando un mensaje de correo electrónico o accediendo a determinados enlaces. Esto supone un consentimiento tácito y no una autorización expresa para recibir comunicaciones comerciales no solicitadas. En este punto debe reseñarse la circunstancia en la que se encuentre incluido el consentimiento en un proceso contractual. En la mayoría de las ocasiones, los destinatarios de las comunicaciones comerciales son los clientes de las empresas remitentes, y en este supuesto se excluye el requisito del consentimiento expreso, tal y como lo establece en la LSSICE, por existir una relación contractual previa. Por tanto, por el mero hecho de haber comprado en un determinado comercio cierto tiempo atrás, una persona puede recibir sin ser previamente avisado de ello correos electrónicos no solicitados sobre otros productos de la firma. Pueden obtenerse más detalles sobre este supuesto, así como otros requisitos de licitud, en el anexo Marco jurídico del correo electrónico no deseado (spam): normativa aplicable, infracciones, sanciones y casos prácticos. En cualquier caso, cuando las empresas envíen comunicaciones comerciales no solicitadas deberán cumplir con el requisito que les obliga a ofrecer la posibilidad al destinatario de revocar la autorización (revocación del consentimiento) en cualquier momento, mediante la habilitación un procedimiento de notificación sencillo y gratuito. Por otro lado, en tanto que el envío de comunicaciones no deseadas puede implicar el empleo de datos relativos a los destinatarios, el régimen jurídico español exige obtener, previamente, el consentimiento del titular de los datos personales. Así, la LOPD establece tres formas de consentimiento para el tratamiento de datos personales, según a qué tipo de estos se haga referencia:
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 44 de 165
Instituto Nacional de Tecnologías de la Comunicación
1. Para la obtención y tratamiento de datos de carácter personal es necesario tener el consentimiento inequívoco del titular de los datos. 2. Para los datos de carácter personal relacionados con las creencias, ideología o religión, es necesario de que el titular de los mismos otorgue su consentimiento expreso y por escrito para que puedan ser tratados. 3. Para los datos que hagan referencia al origen racial, a la salud y a la vida sexual es necesario que se otorgue el consentimiento expreso. En principio, la dirección de correo electrónico es un dato de carácter personal que no hace referencia a las creencias, a la ideología, a la religión, al origen racial, a la salud ni a la vida sexual del titular; en consecuencia, es necesario sólo el consentimiento inequívoco. La LOPD contempla también el derecho de oposición respecto del tratamiento de los datos personales con fines de prospección comercial y publicidad, de forma que los interesados disponen del derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren. 3.1.3
Responsabilidades
El uso inadecuado de las comunicaciones a través del correo electrónico puede causar daños y perjuicios a terceros que se han de reparar. La cuestión estriba en determinar la responsabilidad de los prestadores de servicios de la Sociedad de la Información, ya que para poder alojar, almacenar o transmitir los contenidos lícitos e ilícitos en la Red es necesaria la intervención técnica de los mismos. En el ámbito comunitario se adoptó el citado sistema de responsabilidad de los prestadores de servicio en la DCE, donde se reconocen una serie de supuestos específicos de exención de responsabilidad. Las exenciones de responsabilidad, establecidas tanto en la DCE como en la LSSICE, sólo se aplican a aquellos casos en los que la actividad del prestador de servicios de la Sociedad de la Información se limita al proceso técnico de explotar y facilitar el a una red de comunicación, mediante la cual la información facilitada por terceros es transmitida o almacenada temporalmente con el fin de hacer que la transmisión sea más eficiente. En el supuesto de que sea el propio prestador de servicios el que coloca en la Red o transmite contenidos propios, las exenciones de responsabilidad no podrían aplicarse, y se acudiría a las reglas generales de responsabilidad civil, penal y istrativa establecidas en el ordenamiento jurídico español. Las exenciones que se establecen se pueden agrupar en las siguientes categorías, según el tipo de servicio: Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 45 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Los servicios de mera transmisión de datos y de provisión de a Internet.
•
La prestación del servicio de hosting o almacenamiento de datos ajenos.
•
El caching o servicio de realización y almacenamiento de copias.
Para cada uno de estos casos, la ley prevé un conjunto de requisitos que han de cumplir los prestadores de servicios con el fin de eximir su responsabilidad. Pueden encontrarse más detalles sobre este aspecto en el anexo Marco jurídico del correo electrónico no deseado (spam): normativa aplicable, infracciones, sanciones y casos prácticos. 3.1.4
Infracciones y sanciones
La LSSICE en su artículo 37, establece que los prestadores de servicios de la Sociedad de la Información están sujetos al régimen sancionador de la misma. Las infracciones, recogidas en el artículo 38, se califican como graves y leves en el contexto de las comunicaciones a través del correo electrónico. Son infracciones graves: •
El incumplimiento significativo de la obligación del prestador de servicios en relación con los procedimientos para revocar el consentimiento prestado por los destinatarios.
•
El incumplimiento significativo de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos.
•
El envío de más de tres comunicaciones comerciales por correo electrónico en el plazo de un año. Respecto a este supuesto es muy importante la cantidad de comunicaciones comerciales enviadas, puesto que si sólo se puede demostrar el envío de tres comunicaciones comerciales, es calificada como infracción leve y la multa difiere notoriamente de las infracciones graves.
•
El envío masivo de comunicaciones comerciales. En este caso, a pesar de que no se recoge su significado, puede entenderse de una forma deductiva que el concepto de “envío masivo de mensajes” no recoge el supuesto de que se envíen muchos mensajes distintos a un solo destinatario, sino sólo los casos en que se envía un solo mensaje a muchos destinatarios.
Las infracciones graves prescriben a los dos años y las leves a los seis meses y, según marca la LSSICE, llevan aparejadas las siguientes sanciones: 1) Por la comisión de infracciones graves, multa de 30.001 hasta 150.000 euros. 2) Por la comisión de infracciones leves, multa de hasta 30.000 euros.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 46 de 165
Instituto Nacional de Tecnologías de la Comunicación
Por su parte, para los responsables de los ficheros y los encargados del tratamiento de los datos personales es objeto de aplicación el régimen sancionador de la LOPD, en el que están previstas las infracciones leves, graves y muy graves. Estas prescriben en el transcurso de uno, dos y tres años respectivamente. En cuanto a las sanciones, oscilan entre los 600 y los 600.000 euros dependiendo de la gravedad de cada infracción. Dado que el envío de correos electrónicos comerciales no deseados es susceptible de cometer una infracción, tanto contemplada en la LOPD como en la LSSICE, puede dar lugar a una problemática de doble imposición de sanciones. Dicho tema debe ser estudiado, en tanto que la tradición jurídica en el Derecho español prohíbe la citada figura.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 47 de 165
Instituto Nacional de Tecnologías de la Comunicación
4 IMPACTO ECONÓMICO Y SOCIAL DEL CORREO ‘SPAM’ Con objeto de completar el estudio del spam como fenómeno pernicioso para las relaciones empresariales o personales a través de la Red, es necesario analizar el impacto económico y social que puede llegar a producir. Esto es lo que convierte al spam en un importante desafío para la seguridad en la Sociedad de la Información. En referencia al impacto económico, conviene destacar la ausencia de información fidedigna o de estudios detallados que permitan arrojar cifras fiables. El cálculo preciso de las pérdidas generadas por el correo basura, se presenta muy dificultoso. Existen muchas variables implicadas en el proceso del spam que generan un marco de complejo análisis. Entre ellas se pueden encontrar los rápidos avances que se producen en la seguridad de la información, como las mejoras en los filtros antispam de los servidores de correo que no permiten un seguimiento homogéneo, o el hecho de que no todas las empresas tienen dichos filtros instalados en sus servidores. Que se complica también por las diferentes cifras que se manejan sobre volumen de spam en circulación o sobre la cantidad de spam que llega al buzón final de . A todo esto se añade que el coste laboral para la empresa, de cada uno de sus trabajadores, no es el mismo según el puesto que ocupen, lo que provoca realizar nuevas estimaciones sobre dicho dato. Y finalmente definir el impacto del número de trabajadores afectados que, ya no sólo utilizan el ordenador en su puesto de trabajo, sino que hacen uso frecuente del correo electrónico como herramienta de trabajo. Todo ello determina que en los cálculos sobre impacto económico se hable siempre de estimaciones basadas en predicciones estadísticas. Como en la mayoría de las evaluaciones de impacto de otros fenómenos, como por ejemplo el malware 26 , los análisis sobre las consecuencias del spam en organizaciones y s se realizan sobre los efectos derivados de él. En muchas ocasiones, es más común que estos efectos sean tratados en términos puramente cualitativos y no necesariamente económicos, como pérdidas en tiempo, desconfianza en el servicio, consumos de ancho de banda y de capacidad de almacenamiento, necesidad de un tiempo de recuperación y reestablecimiento del servicio, etcétera. No obstante, en el
26
Software malicioso (del inglés malicious software): es un software que tiene como objetivo infiltrarse en un ordenador o dañarlo, sin el conocimiento de sus s. Aunque su finalidad puede ser diversa, siempre hacen daño. En esta categoría encontramoslos troyanos, gusanos, spyware, virus, puertas traseras, etcétera. Un análisis pormenorizado de los efectos e incidencias del malware en los hogares españoles se puede encontrar en el Estudio sobre la Seguridad de la Información y e-Confianza de los hogares españoles (2ª Oleada: Feb-Abr 07), INTECO, 2008. Disponible en http://observatorio.inteco.es. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 48 de 165
Instituto Nacional de Tecnologías de la Comunicación
próximo epígrafe se trata de aportar algunas cifras que pueden ser indicativas del impacto económico y que permitirán extraer ciertas conclusiones. Respecto al impacto social, la información puntual recabada se completa con los datos obtenidos durante la fase de investigación del presente informe y procedentes de las entrevistas con s finales. 4.1
Impacto económico
Mientras en el apartado anterior se comentaba la dificultad de cálculo del impacto, basado en datos reales contrastados, en este punto se procede al estudio del impacto económico, en base a una recopilación de datos extraídos de distintas fuentes secundarias y de una estimación propia de INTECO. El estudio del impacto económico del spam se puede enfocar agrupando a los agentes implicados en dos elementos: empresas proveedoras de servicios de Internet y entre ellos, fundamentalmente, las proveedoras del servicio de correo electrónico, y sus organizaciones/s clientes. En este último grupo se incluye aquellas que autogestionan completamente su correo electrónico. Hay que indicar que, aunque no es posible presentar datos de impacto económicos para cada uno de los distintos agentes estudiados, sí ha sido posible realizar una estimación económica de impacto para el conjunto de empresas. Para las empresas proveedoras de servicios de Internet se estudian fundamentalmente las siguientes clases de impacto económico: •
Coste relacionado con la fiabilidad del servicio: resultado del análisis del coste y esfuerzo que estas empresas, especialmente como proveedoras de servicio de correo, deben invertir en infraestructuras primarias y de respaldo, en medidas de protección (especialmente preventivas, sin olvidar las reactivas y pro-activas), en I+D, etcétera, para brindar un servicio confiable, garantizando la seguridad y disponibilidad de un servicio ajustado a cada tipo de cliente, frente a la amenaza del spam.
•
Pérdidas relacionadas con la satisfacción de las organizaciones/s clientes: resultado del análisis por el que se estiman los costes que genera la insatisfacción de los clientes con respecto al servicio y que pueden causar su baja. En este sentido, el grado de insatisfacción del cliente a consecuencia del spam se puede modelar en función de la importancia que cada tipo de entidad (por ejemplo, empresa cliente, profesional o privado) conceda al servicio del correo electrónico y, dentro de cada tipo, según: o
El número de quejas recibidas.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 49 de 165
Instituto Nacional de Tecnologías de la Comunicación
o
El número de bajas en el servicio.
o
El número de consultas al soporte técnico.
o
La rapidez en la resolución de problemas.
De forma más general, para cualquier empresa u organización deben analizarse: 1. Pérdidas relacionadas con la productividad: a. El tiempo perdido por los empleados en la revisión y eliminación de sus correos frente a la presencia del spam en sus buzones menos el tiempo de uso del mismo en condiciones normales de trabajo, es decir, el tiempo realmente productivo. b. Pérdidas relacionadas con la recuperación frente al spam: las relacionadas con la recuperación de los falsos positivos, a partir del análisis que considera el coste de los recursos técnicos y humanos asumidos por las organizaciones para brindar opciones de recuperación de los correos perdidos o considerados spam, en ocasiones vitales para la actividad de la organización. 2. Gestión de infraestructuras. Extraídas del análisis donde se estima, para las empresas clientes del servicio o aquellas que autogestionan su correo. Coste relacionado con la fiabilidad del servicio de autogestión del correo electrónico: derivado de las inversiones en recursos técnicos y humanos realizadas por aquellas empresas u organizaciones que autogestionan su correo electrónico y deben realizar tareas de mantenimiento y mejoras frente al spam. La mayoría de los estudios concluyen de forma genérica que el grueso del impacto económico del spam está relacionado con: •
Las pérdidas de tiempo de proceso y humano.
•
La inversión en nuevas infraestructuras tecnológicas que suponen un mayor ancho de banda y el incremento de las capacidades de almacenamiento y de realización de copias de seguridad para dar soporte a esta avalancha de correos.
•
La inversión en técnicos cualificados.
•
La inversión en herramientas antispam y sus actualizaciones.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 50 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
En menor medida, las pérdidas económicas como consecuencia de la pérdida de información relevante para la actividad; en ocasiones, se trata de una pérdida de información temporal.
Empresas y organizaciones En una primera aproximación respecto a los efectos económicos del spam, no se puede obviar que puede consistir en sí mismo en un negocio. Por lo tanto, puede llegar a tener una repercusión económica positiva para aquellas empresas que utilizan el correo masivo como medio de publicidad de sus servicios, sin olvidar a los spammers 27 , que hacen de esta técnica su propio negocio. La facilidad para enviar spam frente a los potenciales beneficios anima a algunos a convertirse en spammers. La motivación de un beneficio portencialmente alto y rápido les anima a crear sus propias botnets. Pérdidas por productividad del empleado El spam no es sólo un problema de las empresas proveedoras de servicio de correo electrónico, sino que su repercusión llega a todas aquellas organizaciones que hacen uso del servicio. El análisis se fundamenta principalmente en las pérdidas económicas reales que genera el spam en términos de productividad del empleado. Aunque también en este apartado resulta difícil su estimación. En este sentido, aspectos como el número de trabajadores con ordenador, cuánto tiempo lo utilizan, la estimación del tiempo utilizado para borrar correos no deseados o cuánto spam logra traspasar todos los filtros y llegar al final, impiden realizar estimaciones robustas sobre las cantidades económicas implicadas en el marco del spam. Sin embargo se pueden establecer algunas estimaciones al respecto, calculando el tiempo que este invierte diariamente en discriminar, de entre todos los correos recibidos, aquellos legítimos. Las pérdidas de productividad por empleado, para aquellos que utilizan habitualmente el correo electrónico pueden calcularse de la siguiente manera 28 : Pérdidas de productividad por cada empleado que usa el correo electrónico = nCORREO
dT * (
∑t i =1
,
Ei d , spam
*cEi ,h )
Donde: E i – Representa a un empleado.
27
Por ejemplo, en una entrevista publicada en Internet (https://rejo.zenger.nl/abuse/1085493870.php), un spammer holandés detalla el gasto que le supuso enviar correos masivos durante 25 días y lo que obtuvo finalmente; su ganancia neta en ese tiempo fue de entre 2.000 y 3.000 euros. 28
Dabendofer, Thomas P.: Impact Analysis of spam,Swiss Federal Institute of Technology, Zurich, 2005.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 51 de 165
Instituto Nacional de Tecnologías de la Comunicación
d T – Días de trabajo, por año, de un empleado E i n CORREO – Números de empleados que usan el correo. t Ei,d,spam – Tiempo promedio, en horas y por días, que el empleado E i invierte en gestionar el spam de su buzón. c Ei,h – Promedio del coste horario del empleado E i Para tener una idea de estos valores, en estudios realizados por el Swiss Federal Institute of Technology de Zurich (ETH Zurich 29 ), en el año 2005 se estimó una pérdida de productividad de las empresas suizas a consecuencia del spam de aproximadamente 2.220 millones de euros, a partir de los datos que se reflejan en la Tabla 2: Tabla 2: Impacto económico del spam en Suiza (2005) Factores Total de empleados (n CORREO ) Días de trabajo, por año, de un empleado (d T ) Horas de trabajo, por año, de un empleado Coste medio anual por empleado Coste medio diario por empleado Coste medio por horas de un empleado (c Ei,h ) En concepto de spam el empleado gastaba diariamente (t Ei,d,spam ) Pérdida económica diaria asociada al spam por empleado Pérdida económica anual asociada al spam por empleado Pérdidas de productividad anual por el spam
Valor 3.590.000 230 días 1.880 h/año 63.278 EUR 274,97 EUR 33,66 EUR 0,08 h (5 minutos/día) 2,7 €/día 621 €/año 2.220 millones €/año Fuente: ETH Zurich
Se pueden enumerar otras estimaciones realizadas en empresas estadounidenses 30 aun más preocupantes, dado el alto nivel de spam que soporta EE.UU.: ya en el año 2003 señalaban que el spam estaba provocando pérdidas anuales de 10.000 millones de dólares. Ese mismo año se publicaron estimaciones de pérdidas en el mundo cercanas a los 20.500 millones de dólares 31 . Estos datos han ido con certeza en aumento en los últimos años, debido al incremento significativo de este fenómeno.
29
http://www.ethz.ch/
30
Ferris Research: http://www.ferris.com/
31
Radicati Group: http://www.radicati.com. Datos extraídos de artículo publicado en el New York Times http://www.nytimes.com/2003/07/28/technology/28SPAM.html?ex=1374811200&en=6550b1fd9c0ce99e&ei=5007&partner=U SERLAND Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 52 de 165
Instituto Nacional de Tecnologías de la Comunicación
Otro estudio más reciente, “spam, the repeat offender” de Nucleus Research 32 estima que, en la actualidad, los empleados de empresas de Estados Unidos invierten un 1,2% de su tiempo, aproximadamente 5,7 minutos diarios, en identificar los correos electrónicos de spam, generando así un coste medio de 712 dólares anuales por empleado en concepto de pérdida de productividad, lo que implica unas pérdidas anuales de 70.000 millones de dólares para un total aproximado de 100 millones de empleados que utilizan el correo electrónico. Aunque según estas estadísticas se produjo una mejora considerable en el año 2007 con respecto a 2004, cuando el empleado desperdiciaba el 3,1% de su tiempo reportando un gasto de 1.934 dólares anuales, señalan que no debe considerarse un triunfo, pues las pérdidas continúan siendo considerables y se ha detectado un incremento de falsos positivos en las soluciones antispam. De esta forma, se pierde un número apreciable de correos válidos para la empresa, cuya pérdida económica resulta realmente difícil de estimar. Las tasas de error de las herramientas de protección contra el spam, han generado un cierto rechazo hacia ellas. . Tabla 3: Impacto económico del spam en EEUU (2007) Factores Total de empleados (n CORREO ) En concepto de spam el empleado gastaba diariamente (t Ei,d,spam ) Pérdida económica asociada al spam por empleado Pérdidas de productividad anual por el spam
Valor 100.249.046 5,7 minutos 712 USD 70.000 millones USD Fuente: Nucleus Research
En este sentido hay que señalar que las fuentes consultadas presentan datos menos homogéneos para realizar el cálculo del impacto económico para las pérdidas por productividad, basado en el tiempo que pierde un trabajador en seleccionar y eliminar el spam. Las fuentes internacionales señalan en su mayoría que el tiempo medio para eliminar el spam del buzón de correo de un trabajador está entre 3 y aproximadamente 10 minutos diarios. Según el “The McAfee® Americans and spam Survey” de McAfee, elaborado en el año 2003, el 49% de los americanos pasa más de 40 minutos a la semana borrando spam, o el de Nucleus Research que afirma un trabajador pasa 10 minutos al día borrando spam Otro informe “National Technology Readiness”, elaborado por Rockbridge Associates Inc. y el “Center for Excellence in Service” de la Universidad de Maryland, señala que el tiempo medio que un pasa borrando spam es de 2,8 minutos diarios.
32
Nucleus Research: extraído de Spam, the repeat offender, Report H22, Notes and Reports, abril de 2007.http://nucleusresearch.com/research/notes-and-reports/spam-the-repeat-offender/
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 53 de 165
Instituto Nacional de Tecnologías de la Comunicación
4.1.1
Impacto económico del ‘spam’ en las empresas españolas
Con respecto a España, según la Agencia Española de Protección de Datos, en datos del año 2005, cada trabajador español necesita una media entre 15 y 20 minutos diarios para eliminar el spam de su buzón, es decir aproximadamente un 3,64% de su jornada laboral. Los datos recabados por INTECO, según los expertos consultados apuntan que el tiempo medio diario que un trabajador español necesita para eliminar el spam de su buzón de correo oscila entre dos y cuatro minutos. Esto representa una media del 0,63% de la jornada laboral. Aunque no se encuentran publicados los costes y posibles pérdidas económicas se pueden realizar las siguientes estimaciones: si se tiene en cuenta que el coste laboral por empleado en términos netos fue de 26.360 euros en el año 2006 33 , el resultado es que las pérdidas por productividad de los empleados en las empresas como consecuencia del spam se puede situar en 165€ al año por trabajador que utiliza habitualmente el correo electrónico en su puesto de trabajo. Si se considera esta cifra para el año 2007, el las pérdidas representan 179€ al año por trabajador 34 . Por otra parte, diversos estudios 35 plantean un incremento significativo del volumen de spam, con valores superiores al 70% del total de correos que circulan por la Red a finales del año 2007 y con cifras cercanas al 80% 36 , en los primeros meses de 2008. Además, el incremento del tamaño de los propios mensajes spam, con las nuevas variantes en ficheros .pdf 37 o .mp3 38 , genera la necesidad de prestar servicios de Internet con anchos de banda cada vez mayores, más costosos, que eviten saturaciones y mejoren la calidad. Estos crecimientos, de la cantidad de spam en circulación y de su tamaño, requieren también de inversiones en infraestructuras de soporte, como dispositivos de almacenamiento con mayor capacidad y sistemas de almacenamiento de respaldo, así como de inversiones en actualización de los sistemas informáticos (por ejemplo, versiones de sistemas operativos actualizadas y estables, servidores de correo más potentes que puedan manipular mayor tráfico de mensajes, etcétera). A la vez que se invierte en estas nuevas infraestructuras, las empresas también tienen que invertir en muchos casos en la contratación de nuevo personal cualificado para el mantenimiento de las mismas y la protección frente al spam.
33
INE: Encuesta Anual de Coste Laboral, año 2006 (publicada el http://www.ine.es/jaxi/menu.do?type=pcaxis&path=%2Ft22/p132&file=inebase&L=0
5
de
septiembre
de
2007).
34
Estimación sobre el dato del coste laboral bruto del 4º trimestre del 2007 de la Encuesta Trimestral de Coste Laboral, INE (datos publicados el 14 de marzo de 2008). 35
MessageLabs y Symantec Corporation.
36
Symantec Corporation, en el último informe de febrero de 2008, ha reportado una media del 75,0%-80,0% http://www.symantec.com/enterprise/security_response/weblog/2008/02/february_state_of_spam_report.html
37
Por ejemplo: http://blog.hispasec.com/laboratorio/images/noticias/spam-pdf.PNG
38
Por ejemplo: http://www.gfi.com/news/en/mp3spam.htm
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 54 de 165
Instituto Nacional de Tecnologías de la Comunicación
Las inversiones persiguen un objetivo importante, lograr la fiabilidad en el servicio de correo electrónico. A diferencia de otros servicios informáticos, en estas inversiones están involucradas no sólo las empresas proveedoras de servicios de Internet (ISP), sino todas aquellas organizaciones que manejan el correo e incluso, en muchos casos, los propios s privados. Por supuesto, esta inversión es mayor para los ISP, las cuales finalmente trasladan estos gastos en concepto de servicios añadidos a los s finales. El coste medio para una empresa con 1.000 cuentas de correo electrónico que externaliza todo su servicio se sitúa aproximadamente en 0,045-0,064€/cuenta/día, es decir, entre 9.900 y 14.000euros al año. Por esta inversión, el servicio podría incluir prestaciones como el filtrado de virus y spam, el almacenamiento seguro de 150GB con sistema de respaldo, el soporte de ocho nombres de dominio o la optimización y monitorización del tráfico de correo. Sin embargo, las nuevas inversiones persiguen el objetivo de lograr fiabilidad en el servicio de correo. Un hecho en los agentes estudiados que merece la pena destacar es el problema que el spam provoca en el almacenamiento y copias de seguridad (backup) de los correos de los s, especialmente acuciante en las organizaciones de cierto tamaño y con salvaguardas reactivas frente al spam, con gran número de s y donde el correo no deseado alcanza porcentajes de entre el 55% y el 90%. Según los expertos, los buzones de correo de estos s alcanzan fácilmente el máximo de su capacidad, sobre todo con la inclusión de spam en ficheros de tipo .pdf, imágenes o contenidos multimedia. Para un que desee almacenar 100 MB de correos legítimos, será necesario dimensionar su buzón con un tamaño entre 0,7 y 1 GB; un servidor que sirva a 6.000 s requerirá 6 TB. Por otro lado puede ocurrir que la falta de fiabilidad en el filtro antispam propicie que algunos empleados busquen sus propias alternativas, relegando la cuenta de correo de la organización a un segundo plano y potenciando el uso del correo electrónico gratuito, mientras se producen consultas al servicio técnico ante el retraso en la contestación de un correo electrónico o cualquier incidencia que le ocurra, en cuyo caso se aplican las políticas de filtro de spam del proveedor del correo. Es muy importante que todos los agentes involucrados participen de manera activa en la reducción del impacto que el spam puede causar. En comparación con el resto de las amenazas de seguridad a los sistemas de información, la probabilidad de recepción de un correo de tipo spam es más alta, pues las medidas de salvaguardia no consiguen eliminarlos completamente (falsos negativos), por lo que se hace necesario que los propios agentes inviertan en modernos y actualizados mecanismos de protección antispam que ayuden en la reducción de su número de incidencias, y por consiguiente, de su impacto.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 55 de 165
Instituto Nacional de Tecnologías de la Comunicación
Conviene destacar que la aplicación de mecanismos de protección antispam produce, en muchas ocasiones, efectos colaterales con un impacto negativo en el sistema. Estos efectos pueden venir de la mano del retardo en la recepción del correo por la comprobación de los correos, la limitación de los destinatarios de envío para un mensaje para que no sea considerado spam, las limitaciones de tamaño del buzón de correo de los s y, especialmente, la aparición de falsos positivos. Aunque no existen datos contrastados sobre estos aspectos, se configuran como elementos que dificultan a los sistemas de una empresa la prestación del servicio de correo a sus s. Los falsos positivos tienen asociados importantes perjuicios para las organizaciones, pues dan lugar a la eliminación de correos electrónicos legítimos cuyo contenido puede ser trascendente para los s o las organizaciones. En el mejor de los casos, es necesario que los s y técnicos del sistema inviertan un tiempo muy significativo en la recuperación de esos correos legítimos, si no han sido eliminados definitivamente. En este sentido, alguno de los agentes entrevistados cifra entre una hora y una hora y media el tiempo de recuperación de un solo mensaje que ha sido erróneamente clasificado como spam. A lo que se añade que las pérdidas monetarias que puede ocasionar la no recepción de esos correos no pueden ser estimadas con precisión. Coste total para las empresas Finalmente, se puede decir que el coste total que puede ocasionar el spam para las empresas se calcula a partir de la suma de: •
Las pérdidas por productividad de los empleados.
•
Y el coste necesario para lograr la fiabilidad del correo electrónico frente al spam, dividido en: o
Costes de personal.
o
Costes de infraestructuras tecnológicas: para una empresa puede calcularse a partir de los costes de licencias de herramientas software, como las antispam, y el coste de equipos informáticos de comunicaciones, soporte y almacenamiento.
s La propia tecnología del correo electrónico y sus protocolos asociados repercute en el eslabón más débil de la cadena de la seguridad: el final. Los s son el componente más vulnerable, especialmente aquellos con menos formación en seguridad que hacen uso del correo electrónico con fines no profesionales.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 56 de 165
Instituto Nacional de Tecnologías de la Comunicación
Existen efectos del spam que tienen relación con tiempo invertido 39 , especialmente cuando se trata de s que utilizan una conexión a Internet cuyo cobro se factura por minutos, lo más habitual en conexiones móviles a través de tarjetas GPRS/3G. En este sentido, los límites de capacidad de navegación o volumen, a lo que se añade el tiempo que se emplea en borrar el spam, agudizan la repercusión que sufre el de estos sistemas de conexión. El spam también incrementa el coste de otros servicios de Internet, como el alojamiento Web con cuentas de correo, donde el pago está condicionado por el volumen de información que se envía, se recibe y se almacena. Otros efectos económicos derivados del spam En este análisis de impacto económico no se puede obviar que el spam no sólo genera problemas por sí mismo, como ataque a la seguridad, sino que además constituye una fuente fundamental de propagación de malware, ataques de phishing, etcétera. Muchas de las pérdidas relacionadas con estos ataques pueden verse asociadas también al spam como medio de propagación del mismo. Aunque es difícil discernir qué cantidades generales de pérdidas son provocadas por uno u otro método de propagación, sí resulta importante destacar que el uso del spam constituye una de las vías de ataque y propagación más baratas, y por lo tanto, altamente peligrosa. En igual medida, los correos de tipo spam que intentan lograr fraudes piramidales, desacreditan empresas, difunden publicidad fraudulenta, etcétera generan también pérdidas monetarias para organizaciones y s, aunque es prácticamente imposible calcular su acción sobre la economía. Repercusiones derivadas del impacto económico del spam El análisis muestra que existen pérdidas económicas fruto de la actividad del spam, y que en cierta medida se pueden estimar (aunque con matizaciones, dada la dificultad de obtener valores monetarios reales), pues se conoce que el spam: •
Afecta a la capacidad de almacenamiento de los servidores, que se saturan de correo basura, e incluso de los correos personales. Por lo tanto, incrementa los costes dirigidos a asegurar mayores dispositivos de almacenamiento.
•
Provoca una asignación poco eficiente de los recursos informáticos como el ancho de banda, pues se genera un tráfico no deseado de correos que congestiona las infraestructuras de comunicaciones utilizadas para el servicio del
39
Asociación de Internautas: www.internautas.org
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 57 de 165
Instituto Nacional de Tecnologías de la Comunicación
correo electrónico y la conexión a Internet en general. Por ello, aumenta los costes asociados a un mayor ancho de banda que garantice este u otros servicios. •
Hace perder tiempo a los s, que deben revisar los correos (tanto personales como de empresa) y borrar el spam, lo que genera costes de productividad.
•
Aumenta el coste de tiempo, almacenamiento, productividad e infraestructuras para instalar filtros antispam en servidores y ordenadores personales. Además, este coste incrementa el de personal cualificado para estas tareas.
En cambio, existen otros factores con clara influencia en la economía, pero cuyos valores reales son de difícil estimación. Se sabe que el spam: •
Afecta a los recursos de los servidores, ya que procesar spam hace lento el tratamiento y proceso del correo normal, tanto en el momento en que los correos son analizados en los servidores como en los ordenadores personales con filtros antispam.
•
Constituye una herramienta de propagación de malware y ataques de phishing y, por lo tanto, debe tenerse en cuenta en tanto su problemática, como así también en soluciones y recuperación.
•
4.2
Puede menoscabar la reputación de las empresas y, en consecuencia, sus ganancias. El envío de correos falsos a su nombre puede generar rechazo hacia estas empresas y afectar a la cantidad de clientes que utilicen o soliciten sus servicios. Impacto social
El spam se ha convertido en un problema de seguridad para todos los s que hacen uso de las redes de comunicación y sus servicios. Muchos de ellos, poco relacionados con las Tecnologías de la Información y la Comunicación, pueden no reconocer los problemas tecnológicos asociados al spam, ni incluso su nombre técnico, pero tras una breve descripción afirman no sólo conocerlo sino padecerlo. Así, puede señalarse que el spam es un problema de los sistemas informáticos que afecta a todos los de la Sociedad de la Información. Se puede afirmar con certeza que el grupo de afectados por el spam es aun más amplio que el que sufre ataques como el phishing (que suele requerir que los s estén habituados a realizar compras o transacciones bancarias en Internet, en las que se comprometen datos críticos), o incluso códigos maliciosos (malware), que con buenas
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 58 de 165
Instituto Nacional de Tecnologías de la Comunicación
conductas y medidas de protección automáticas pueden ser controlados. Se puede considerar que el spam constituye uno de los problemas de seguridad informática más extendidos en la actualidad, pues el correo electrónico es uno de los servicios más usados de Internet. Los s lo describen como un problema muy molesto que satura sus buzones de correo, ocupa su tiempo en eliminar los mensajes y en discriminar los correos legítimos y que provoca en muchas ocasiones errores propios que terminan con la eliminación o consideración de correos legítimos como spam. Una de las conclusiones más interesantes que señalan los expertos consultados es la pérdida de confianza en el filtro antispam de la organización en la que trabajan y, por tanto, en su servicio de correo electrónico, debido a la posibilidad de que la aplicación pueda provocar, como efecto colateral, la aparición de falsos positivos. En ocasiones, estos s terminan relegando su cuenta de correo de la organización, corporativa o profesional, a un segundo plano para potenciar el uso de cuentas de correo electrónico gratuito, además de emplear el acuse de recibo en el envío de todos sus correos electrónicos o, lo que quizás sea más perjudicial para el sistema de información, realizar consultas frecuentes al servicio técnico ante el retraso en la contestación de un correo electrónico o cualquier incidencia poco significativa. Por otra parte, el fenómeno del spam se ha convertido en el principal promotor del uso de los sitios Web para el manejo del correo, el denominado correo online de propósito general y más extendido (Yahoo, Hotmail, Gmail, etcétera), que muestran buenos índices de filtrado de spam y bajos valores de falsos positivos (dado que disponen de mayores recursos para su solución) .Mediante este servicio el puede chequear informaciones de su buzón, como la cantidad de correos recibidos y sus asuntos, remitentes, tamaño, documentos adjuntos, etcétera, sin necesidad de bajar el cuerpo de todos los mensajes. Esto resulta especialmente útil en aplicaciones donde el paga por tiempo conectado o por flujo de información trasmitido, como el correo móvil. Este hecho resulta preocupante pues, como se ha comentado, en algunos casos se redirigen hacia esas direcciones correos con información confidencial para las empresas ,que por políticas de seguridad no deberían entrar en un circuito externo a la propia organización. Todo esto ha generado una desconfianza relativa entre los s habituales del correo electrónico. En este punto, es interesante distinguir el entorno en el que se utiliza; lógicamente, el grado de desconfianza del es mayor en el entorno laboral que en el doméstico, dada la importancia asociada al contenido de los mensajes en cada caso. En ninguna de las dos situaciones resulta fácil renunciar al uso del correo, por razones profesionales en el primer caso y por necesidades sociales u ocio en el segundo. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 59 de 165
Instituto Nacional de Tecnologías de la Comunicación
Parece clara la inmersión cada vez mayor de los s en la comunicación global mediante el correo electrónico, a pesar de los riesgos y dificultades del spam. Sin embargo, es importante señalar que la sustitución del correo por otros medios cibernéticos para comunicarse, tanto en el entorno doméstico como en el laboral, es cada vez más notable; se observa un uso creciente de las tecnologías de mensajería instantánea para la comunicación en múltiples planos de las relaciones personales y profesionales. Si bien es cierto que este cambio viene favorecido por las claras ventajas que estas tecnologías presentan, como la conversación textual, la transferencia de ficheros, voz e imagen, etcétera, no se puede descartar que esta circunstancia tenga un efecto al menos limitador en la proliferación del spam. Entre las demandas de los s para hacer frente al problema del spam se encuentra la petición de utilidades o programas que implementen soluciones integrales y que sean transparentes en su funcionamiento y fáciles de usar, es decir, que no requieran un perfil técnico en su implementación. Además, cada vez se reclaman más medidas formativas y de carácter legislativo 40 . En particular para el caso del spam, es común encontrar opiniones sobre la necesidad de fortalecer medidas normativas que recrudezcan las sanciones a los spammers 41 . Por otra parte se empiezan también a adoptar algunos cambios de conducta frente al correo electrónico directamente relacionados con las medidas preventivas que pueden realizar los propios s y, más concretamente, con aquellas que se pueden adoptar mediante herramientas especializadas. Con mayor frecuencia, el medio emplea tiempo y dedicación a instalar, actualizar y mantener sus herramientas antispam. Los programas integrales de seguridad del sistema, facilitan ciertamente esta gestión de la seguridad en el ordenador doméstico. Además los esfuerzos por mejorar la usabilidad de los programas se convierte en un acicate que los dota de valor añadido y mejores actualizaciones y más competitivas. Estas mejoras orientadas hacia el medio son imprescindibles ante la complejidad de esta tecnología, que se acaba traduciendo en un sinfín de parámetros de configuración. Se empieza también a experimentar un cambio en el uso y comportamiento del ante el correo electrónico como consecuencia del spam por medio de acciones proactivas. Las más sencillas y quizás las más extendidas se centran en:
40
INTECO: Estudio sobre la Seguridad de la Información y e-Confianza de los hogares españoles (1ª Oleada: Dic-Ene 07), 2007. Disponible en http://observatorio.inteco.es 41
Esto se corrobora en diferentes opiniones expresadas en la Asociación de Internautas sobre el spam. Revocada la primera sanción que hubo en España por SPAM, http://www.internautas.org/html/4373.html, para evitar el spam http://www.internautas.org/html/1479.html Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 60 de 165
Instituto Nacional de Tecnologías de la Comunicación
− No facilitar la dirección de correo propia a través de medios web, manuscritos, telefónicos, etcétera ante la sospecha de que puedan ser accedidos por terceras personas. − Disponer de cuentas de correo separadas en función del entorno de uso, profesional o doméstico, y dentro de este último, de cuentas con distintos perfiles, por ejemplo, suscripciones, amistades, etcétera. − No reenviar los mensajes por defecto, ya que consume el tiempo del , quien es cada vez más consciente del problema del spam derivado de los correos aparentemente inocuos. Adicionalmente, va en aumento el número de s concienciados que aprovechan tales correos para informar a sus os remitentes sobre el perjuicio que pueden causar con estas prácticas. Obviamente, todos estos cambios de conducta deberían estar a la orden del día en el ámbito profesional. Otro aspecto menos abordado hasta el momento, pero que comienza a ser preocupante, es que el fenómeno del spam ya no está solo encerrado en las barreras de Internet, sino que intenta llegar a otros servicios de comunicación. La telefonía móvil sufre actualmente envío de spam por medio de los SMS y MMS 42 . Esta nueva forma de ataque afecta en menor medida que el spam ordinario; hasta el momento resulta todavía alentador, en este aspecto, la inexistencia de pasarelas gratuitas de envío y, por lo tanto, el coste de los mensajes, ha impedido que el fenómeno cobre mayor fuerza. Por otra parte, la mensajería instantánea se ha visto afectada con el envío indiscriminado de mensajes, los denominados spim. Según los informes de Ferris Research, en 2003 se enviaban ya 1.000 millones de mensajes spim entre las herramientas de mensajería estudiadas, MSN Messenger, AOL IM, Yahoo! Messenger e ICQ, y el fenómeno presentaba una tendencia a duplicarse 43 . Aunque esto puede detenerse por las propias políticas de los s de no aceptar mensajes de desconocidos, muchos spammers estudian y utilizan vulnerabilidades de estos sistemas para realizar envíos indiscriminados. Hasta ahora, no ha alcanzado valores realmente elevados como para desatacar su impacto sobre los s o en las comunicaciones, pero se dedican esfuerzos en la corrección de vulnerabilidades que podrían ser explotadas con este objetivo. También comienza a mencionarse el spam sobre tecnología de Voz sobre IP. Se denomina SPIT (en inglés, spam over Internet telephony). Un no autorizado puede
42
Uno de los primeros casos de este tipo de spam fue registrado en el año 2004, cuando el spammer Dmitry Androsov fue acusado de desarrollar un código Perl que envió SMS a más de 16.000 teléfonos móviles de la compañía rusa Megafon. 43
http://www.informationweek.com/news/showArticle.jhtml?articleID=17300905
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 61 de 165
Instituto Nacional de Tecnologías de la Comunicación
iniciar una comunicación no solicitada o no deseada como, por ejemplo, una llamada de telemarketing. Si bien este problema no ha tomado gran auge y no es relevante el impacto que ocasiona entre los s, el incremento de su uso podría ocasionar futuros problemas asociados al spam. A pesar de las posibles formas que el spam puede adoptar en otros servicios, todo sigue apuntando a que seguirá siendo un problema de seguridad con un desarrollo incremental dentro del servicio de correo electrónico. Sus objetivos son cada vez más amplios y trabaja por realizar ataques cada vez más sofisticados ante la pericia que va adquiriendo la comunidad de s. Son las organizaciones las que dedican importantes esfuerzos a minimizar el impacto del spam entre sus empleados como s finales. La recepción de correo no deseado alcanza a la totalidad de s de las organizaciones quienes, al igual que los es técnicos de los sistemas, se encuentran familiarizados con el fenómeno y disponen de conductas adquiridas con el tiempo para manejarlo. El spam se ha convertido en una característica más del correo electrónico en España y con esa normalidad es tratado por directivos, es y s. Durante el estudio se ha podido constatar que generalmente en las organizaciones de gran tamaño el impacto del spam se ha reducido de manera muy significativa, llevándolo a niveles totalmente satisfactorios para los es y s. Por tanto, estos últimos se han visto beneficiados por la labor de su empresa en la lucha contra el spam (que a menudo incluye la formación específica) y reconocen un bajo impacto del fenómeno sobre sus hábitos y tareas profesionales. Sin embargo, esta situación de plena satisfacción no se produce en las empresas de menor tamaño, pequeñas y medianas, en las que sigue existiendo un considerable impacto en el tiempo que invierten sus s en filtrar el correo no deseado o en la recuperación de falsos positivos.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 62 de 165
Instituto Nacional de Tecnologías de la Comunicación
5 RESULTADO CUANTITATIVO DEL ESTUDIO: EL ‘SPAM’ EN CIFRAS Uno de los objetivos del estudio es presentar datos fiables y robustos sobre la problemática del correo no deseado. Esta parte se centra en la cuantificación del fenómeno del spam. En este capítulo se ha realizado primeramente una labor de recopilación de estudios de fuentes secundarias, que incluyen metodologías de análisis distintas. Esto conlleva pequeñas diferencias en los datos, por ejemplo del volumen de spam en circulación. De otro lado, se recogen cifras sobre el spam en España, a través de los datos de la red de sensores de spam de INTECO. Esta red se compone de 14 sensores distribuidos geográficamente que envían información regularmente, situados en servidores de correo de pymes y s, y monitorizados a través de 13 herramientas antispam distintas. 5.1
Situación del ‘spam’ en el panorama mundial
Internacionalmente, el spam ha alcanzado en los últimos años proporciones preocupantes. Las fuentes de datos son diversas 44 , pero todas coinciden en el incremento de estos correos en los últimos años. Un reciente estudio presentado por Symantec sobre la estimación del tráfico de correo electrónico detallaba que, desde el año 2004, se ha producido un incremento progresivo. Según los datos correspondientes al primer semestre de 2006, el porcentaje de spam fue de un 54,0%, culminando dicho año con valores del 59,0%; en los informes mensuales de enero y febrero de 2007, el nivel de spam ascendió desde un 60,0% a un 80,0% aproximadamente. Según Aladdin 45 se produce un incremento acumulado del tráfico de correo electrónico no deseado a razón de un 40% anual. Por su parte, MessageLabs detectó también en sus estadísticas trimestrales un incremento del volumen de spam a finales del 2006, que llegó hasta un 73,5% del total. El Gráfico 2 presenta la evolución del tráfico de spam para los valores medios trimestrales entre los años 2005 y 2007:
44
Symantec (http://investor.symantec.com) publica informes sobre el estado del spam a nivel mundial a partir de las respuestas proporcionadas por sus productos antispam. Es el mismo caso de MessageLabs (http://www.messagelabs.com/)
45
Aladdin, http://www.aladdin.com/csrt/security-statistics.aspx
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 63 de 165
Instituto Nacional de Tecnologías de la Comunicación
Gráfico 2: Volumen de spam en mensajes de correo en Internet 2005-2007 (%) 80% 70%
76,1% 68,3%
60%
73,5% 66,0% 61,7%
50%
59,2%
60,4%
76,0%
73,7%
72,8%
75,5%
63,9%
40% 30% 20% 10%
20 07
O ct -N ov
-S ep
20 07
20 07 Ju l
-J un
Ab r
ar 20 07
eM
20 06 En
O ct -D ic
20 06
-S ep
20 06 Ju l
-J un
Ab r
ar 20 06
eM
20 05 En
O ct -D ic
20 05
-S ep
20 05 Ju l
-J un
Ab r
En
eM
ar 20 05
0%
Fuente: MessageLabs
Según los datos de Symantec y MessageLabs, durante todo el año 2007 no se han detectado mejoras y el volumen de correos electrónicos no deseados sigue siendo considerable 46 : cerca de tres de cada cuatro correos electrónicos que se envían a través de la Red son correos electrónicos no deseados, spam. Las causas de este incremento pueden tener orígenes diversos. Por una parte, el aumento de conexiones a Internet de forma global ha supuesto también un notable crecimiento del número de posibles objetivos. Por otra parte, la proliferación de las redes de ordenadores zombies, junto con el refinamiento reciente de las técnicas empleadas para formarlas, se suman a las causas que justifican este crecimiento en el volumen del spam. La evolución mensual del volumen del spam detectado a nivel mundial, como se observa en el gráfico siguiente, muestra una estabilización del mismo en el último año. En el mes de febrero de 2008 ha alcanzado valores de 72,7%.
46
Los resultados de los estudios llevados a cabo por Symantec y MessageLabs fueron obtenidos de sus servicios de control, cifrado y archivo de comunicaciones electrónicas, así como de sus herramientas antispam, lo cual permite analizar el estado del spam a nivel mundial de manera fiable. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 64 de 165
Instituto Nacional de Tecnologías de la Comunicación
Un factor que hay que tener en cuenta al hacer un análisis geográfico del spam es el idioma en el que se envía el correo. La lengua más utilizada es el inglés (80,0%); sin embargo, en el último año el uso del ruso y el alemán han aumentado significativamente, así como del chino, fundamentalmente en los mensajes enviados a Hong Kong. 5.1.1
Zonas y países emisores de ‘spam’
Resulta interesante estudiar las cifras del spam en función de los países desde los que se envía. En el Gráfico 3 se aprecian claramente las tres zonas geográficas donde se genera mayoritariamente: EE.UU., Europa y Asia. Estados Unidos es la región desde la que se envían más mensajes de correo electrónico no deseado (56,0%), seguida de cerca por Europa (33,0%) y, a mayor distancia, Asia (17,0%). Estas cifras hacen pensar en el impacto que puede llegar a provocar el spam en zonas geográficas como la de Estados Unidos, que además resulta ser la zona de origen de la mayoría de correos detectados como spam (43,0%). Gráfico 3: Distribución mundial de correo y spam enviado, por zona geográfica (%) 56%
60% 50%
43%
40%
33% 26%
30% 20%
13%
17% 5% 6%
10%
3% 3%
2% 2%
Áf ric a
a /O ce an í Au s
tra lia
da m ér ic a Su
As ia
a ro p Eu
No rt e
Am
ér ic a
0%
%Correo
%Spam
Fuente: Symantec (2007)
Aunque el porcentaje de mensajes de correo enviados desde Europa, con respecto al total, es bastante menor que el de EE.UU., el índice de spam es bastante próximo, de lo que se deduce que el ratio de spam generado en Europa sobre el total de mensajes enviados alcanza unas cifras preocupantes. Una posible explicación a este fenómeno es el hecho de que muchas de las redes de ordenadores zombies operan desde países de
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 65 de 165
Instituto Nacional de Tecnologías de la Comunicación
Europa del Este. Aun así, y como se observa en la siguiente tabla, la mayoría del spam se origina en los Estados Unidos. Tabla 4: Zonas generadoras de spam (%) % del total de mensajes
Países
2005 70,0% 13,0% 13,0% 2,0% 1,3% 0,2%
Estados Unidos Asia Europa América del Sur Australia/Oceanía África
Feb 2007 55,0% 13,0% 28,0% 2,0% 2,0% 0,5%
% de spam 2005 55,0% 24,0% 16,0% 3,0% 1,6% 0,2%
Feb 2007 43,0% 15,0% 36,0% 3,0% 2,0% 0,5% Fuente: Symantec
Como se puede ver en el Gráfico 4 de la lista de países en los que se genera el spam, EE.UU. encabeza la lista, seguido de Corea del Sur y China. Gráfico 4: Países generadores de spam en Internet en el año 2007 (%) EEUU
22,5%
Corea del Sur
6,5%
China
6,0%
Polonia
4,9%
Rusia
4,7%
Brasil
3,8%
Alemania
3,5%
Francia
3,5%
Turquía
3,1%
Italia
2,7%
España
2,7%
India
2,6% 0%
10%
20%
30%
Fuente: Sophos
Según Sophos, entre los años 2005 y 2008, España se ha mantenido entre la quinta y undécima posición en la lista de países que más spam generan. Según los últimos
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 66 de 165
Instituto Nacional de Tecnologías de la Comunicación
datos recogidos, el 2,7% del spam mundial tiene su origen en España, que se sitúa en la undécima posición 47 . El alto volumen de spam enviado desde EE.UU. es debido en gran parte a que este país encabeza la lista de los países con mayor número de máquinas comprometidas 48 , como se observa en la Tabla 5. España se sitúa como el noveno país con ordenadores comprometidos, lo que confirma la relación actual entre el envío de spam y las redes de ordenadores zombi. A pesar de los esfuerzos dedicados en EE.UU. a desarrollar software antispam 49 y a las nuevas leyes diseñadas para combatir el fenómeno del spam 50 , aun no se han producido los resultados esperados en la eliminación de spam, ni en la detección y sanción de los spammers. Tabla 5: Países con mayor cantidad de máquinas comprometidas
Países Estados Unidos China Corea del Sur Alemania Francia Brasil Japón Reino Unido España
% de máquinas comprometidas 19,08% 14,56% 9,61% 5,99% 5,69% 5,56% 3,70% 3,13% 2,96%
Total 964.020 735.598 485.492 302.618 287.368 281.168 186.691 158.009 149.634 Fuente: CipherTrust
Resulta también preocupante el incremento en la generación de spam que se observa en Europa, a pesar de que las leyes diseñadas contra los spammers son mucho más restrictivas que las estadounidenses. Como se muestra en el Gráfico 5, la relación entre el volumen de spam generado en Europa y el porcentaje de volumen mundial de correo alcanza ya cifras significativos.
47
Sophos: http://esp.sophos.com/
48
Portal dedicado a las investigaciones de seguridad en Internet http://www.ciphertrust.com/resources/statistics/zombie.php
49
Un elevado porcentaje de las empresas desarrolladoras de filtros antispam son estadounidenses o tienen una importante sede en EE.UU. 50
CAM-SPAM
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 67 de 165
Instituto Nacional de Tecnologías de la Comunicación
Gráfico 5: Relación de volumen de spam respecto al total de correos enviados (%)
43,0%
Es ta do s
U
ni do
s
55,0%
28,0%
Eu
ro p
a
36,0%
15,0% As ia
13,0%
0%
10% Total de correo en %
20%
30%
40%
50%
60%
Correo spam en %
Fuente: Symantec
Según el portal TopTenReview 51 , que presenta una recopilación de resultados estadísticos, procedentes de estudios de diversas fuentes como Google, Brightmail y Symantec, Jupiter Research, eMarketer, Gartner, MailShell, Harris Interactive, y Ferris Research 52 que se basan en la clasificación de los propios clientes de correo. Los principales resultados obtenidos son: •
El número de mensajes de spam recibidos a diario por una persona suscrita a una cuenta de correo es aproximadamente seis, frente a una cantidad total aproximada de correos de diez.
•
La cantidad diaria que se envía de spam asciende 12.400 millones, frente a un total de 31.000 millones de correos.
51
Evett, Don: Spam statistics 2006. TopTenReview, http://spam-filter-review.toptenreviews.com/
52
http://www.jupiterresearch.com/bin/item.pl/home
http://www.emarketer.com/ http://www.gartner.com/ http://www.mailshell.com/ http://www.harrisinteractive.com/ http://www.ferris.com/ Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 68 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Anualmente, una persona suscrita a una aproximadamente 2.200 mensajes de spam.
•
El coste anual de todos los s de Internet que no pertenecen a una empresa es aproximadamente 255 millones de dólares.
•
El 28,0% de los s responde al correo spam.
•
Entre el 15,0% y el 20,0% de correos legítimos corporativos es clasificado como
cuenta
de
correo
recibe
correo spam (falsos positivos) y por tal motivo se pierde. Esta pérdida es muy difícil de cuantificar en términos económicos. •
5.1.2
La pérdida de tiempo promedio por es de cuatro a cinco segundos por cada correo spam, considerando que solamente decida eliminarlos.
Países receptores de ataques de ‘spam’
En el Gráfico 6 53 se presenta el porcentaje de spam recibido en cada país respecto al volumen total de correos que recibe. Los países más afectados en 2006 fueron India, Hong Kong y EE.UU. En países como España, Suecia, Francia o Italia, que hasta el año 2005 no presentaban cifras significativas de spam, comenzaron entonces a reportar valores elevados, en torno al 40,1%, 40,9%, 49,8% y 57,4% respectivamente. Este crecimiento se ha reflejado también en Asia, particularmente en Hong Kong, donde el volumen de spam creció de un 61,6% en el 2005 a un 71,1% en 2006. En Australia pasó de un 39,9% ª a un 48,1% en las mismas fechas y en Singapur, del 35,3% al 50,7%. Una conclusión importante de este estudio es la relación directa entre el rápido crecimiento de la economía global y el incremento del volumen de spam. El spam recibido en España se estudia con mayor detalle en el apartado 6, a través de los datos suministrados por la red de sensores de spam de INTECO.
53
Para el año 2005 no se dispone de datos de volumen de spam en todos los países. Corresponden a aquellos casos marcados con 0,0%. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 69 de 165
Instituto Nacional de Tecnologías de la Comunicación
30%
36,1% 30,1%
40,1%
40,9%
39,9% 48,1%
40%
50,5% 49,1%
49,8%
50,2% 50,6%
35,3%
50,7%
56,3% 51,7%
55,2%
50%
59,9% 54,9%
77,0%
55,5%
60%
64,4% 56,9%
57,4%
70%
77,0%
80%
63,5%
75,2%
90%
61,6% 71,7%
Gráfico 6: Porcentaje de spam recibido por cada país respecto al volumen total de todos los correos que recibe. 2005-2006 (%)
0,0%
0,0%
0,0%
0,0%
In
di a H Es .K ta on do g s U ni do s I rl an da Al em an ia Ca na da E. Ar ab Re es in o Un id o Bé lg ic Si a ng ap ur e Au st ri a Fr an ci a Ho la nd a Au st ra lia Su ec ia Es pa ña Ja pó n
0%
0,0%
10%
0,0%
20%
2005
2006
Fuente: MessageLabs
En el año 2007 se confirmó el crecimiento en países como Israel o Francia. El caso de Israel, cuyo volumen de spam se ha mantenido muy elevado durante el último año, se debe a que este país ha sido la base de dos de las peores operaciones de spam de 2007 54 . También se confirma la relación entre el idioma utilizado en el spam y el país objetivo. La lengua predominante es el inglés, que completa entre el 70,0% y el 80,0% del total; sin embargo, se incrementa el spam en chino, particularmente el que tiene como objetivo Hong Kong.
54
SpamHaus Project.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 70 de 165
Instituto Nacional de Tecnologías de la Comunicación
Gráfico 7: Porcentaje de spam recibido por país respecto al volumen total de todos los correos. 2007 (%)
Israel
68,9%
Hong Kong
64,5%
Alemania
55,2%
EEUU
54,2%
Francia
53,8%
0%
10%
20%
30%
40%
50%
60%
70%
80%
Fuente: MessageLabs
5.1.3
Evolución de la tipología de ‘spam’ en el ámbito internacional
Una característica de la evolución actual del spam es el nuevo uso que se le da. En los inicios de la era de la información, las comunicaciones electrónicas no deseadas comenzaron siendo inofensivas; se enfocaban principalmente hacia la pérdida de tiempo, preocupante principalmente para las empresas, y su principal objetivo era el de atacar a los servidores de correos llenándolos de basura hasta saturarlos, mediante DDoS (Distributed Denial of Service, ataque de denegación de servicios), o llenar los buzones de los s. Sin embargo, en la actualidad el spam ha evolucionado hasta convertirse en una herramienta para usos más sofisticados: obtención de información privada, fraudes que pueden ocasionar ventas y acciones no reales con perjuicios económicos, etcétera. Según la empresa Symantec, desde el año 2005 se ha producido un incremento de esta tipología de spam en diversos países. El spam comercial de venta engañosa de productos y el de tipo financiero son los más comunes, con un 20,0% y 19,0% respectivamente (Gráfico 8), sobrepasando considerablemente los de contenido pornográfico, generalmente los más mencionados por los s. Para TopTenReview se revela un estado muy parecido al recogido por Symantec en cuanto a la distribución por tipos de spam: encabezando la lista los mensajes de venta de productos comerciales (25,0%) y financieros (20,0%), pero también muestran un valor muy
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 71 de 165
Instituto Nacional de Tecnologías de la Comunicación
elevado los de contenido adulto (19,0%, frente al 7,0% mostrado por Symantec 55 en el mismo año). Este dato se asocia al carácter masivo y de uso personal de las cuentas de correo estudiadas. Gráfico 8: Tipos de spam en el año 2005 (%)
7% 20%
10%
10%
Com ercial Financiero Salud Internet Estafas Ocio Adulto Fraude de em presas
19%
10%
11%
13%
Fuente: Symantec
Los datos del año 2007 revelan un considerable aumento del fraude financiero online basado en la inversión en acciones o en las compras en línea. La tipología general del spam deriva hacia los grupos de spam financiero, comercial, salud e Internet, disminuyendo los porcentajes de spam de tipo ocio o de contenido para adultos. A su vez los estudios revelan que la ofensiva sobre los correos spam ha tenido un gran éxito en los mensajes con contenido para adultos pues, generalmente, son más sencillos de filtrar por las herramientas disponibles dadas las características de sus palabras y expresiones. Otros tipos de contenido del spam han sufrido un gran descenso, como aquellos sensacionalistas y espirituales.
55
http://www.symantec.com/region/de/PressCenter/spam.html
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 72 de 165
Instituto Nacional de Tecnologías de la Comunicación
Gráfico 9: Tipos de spam en febrero del 2007 (%) 4%
3%
4% 5%
25%
13%
Financiero Com ercial Salud Internet Ocio Estafas Adulto Fraude de em presas
23% 23%
Fuente: Symantec
Sin embargo, esto no alivia el problema del spam, puesto que se está produciendo un nuevo fenómeno: fórmulas antiguas de spam, como los mensajes relacionados con la salud o la venta de medicamentos, están siendo retomadas por los spammers con nuevas formas, generalmente mediante ataques enfocados a s menos expertos, lo cual revela un comportamiento cíclico en cuanto a los tipos de spam que se producen. Es decir, variantes de spam que desaparecen temporalmente de la circulación, vuelven a ser utilizadas por los spammers. Este fenómeno es en gran medida debido a la evolución de los propios s de Internet, ya que el correo electrónico ha dejado de ser tan sólo una herramienta empleada por los profesionales en su ámbito laboral, a ser un servicio más en la vida cotidiana de los ciudadanos. 5.1.4
Escritura del ‘spam’
Por otra parte, los spammers estudian constantemente las herramientas de protección con el objetivo de desarrollar técnicas que las vulneren. De esta forma, toman auge técnicas más novedosas, como el spam con imágenes, más difíciles de detectar, analizar y procesar por los filtros y con capacidad para consumir más recursos. Según Symantec, durante los meses finales de 2006 se produjo un aumento de correos spam con imágenes de hasta un 46% del total de todos el spam, lo cual se contrasta con los valores del primer semestre, que no sobrepasaron el 30%, lo que indica la rápida aceptación del spam mediante imágenes, y ya a principios de 2007 registraba valores de hasta un 53%.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 73 de 165
Instituto Nacional de Tecnologías de la Comunicación
Por otro lado, los resultados presentados por MessageLabs en octubre de 2007 no muestran las cifras del volumen de spam por imágenes como preocupantes, pues sólo supondrían un 5,0% del total de spam detectado. Según estos informes, el spam en formato de correo TEXT sigue siendo el formato más utilizado (aproximadamente el 50,0% del total), junto con el spam HTML, con un 40,0%, en gran medida por la sencillez de su creación. Otros nuevos formatos de spam son aquellos relacionados con el envío de archivos adjuntos en formato .pdf o .zip, que por el momento representan tan sólo un 0,5% del total del volumen de spam. Es de esperar que esta tipología crezca en los próximos años. 5.1.5
Tamaño de los mensajes de spam
Según Kaspersky en su informe “Kaspersky Security Bulletin 2007. El spam en 2007”, los correos de spam suelen contener un texto corto y un vínculo (70%). Esto significa que el peso de los mensajes no es muy grande. Aproximadamente un 40% de los mensajes spam no sobrepasan los 5 KB. En el caso de spam de mayor peso, la mayor parte de los mensajes spam de 5 a 10 KB de tamaño incluyen textos publicitarios, o mensajes con texto adicional al azar. Los spammers prefieren enviar mensajes con menos de 10 KB porque cuanto más corto sea es el texto más rápidamente llegan a los s. Gráfico 10: Peso en Kb de los correos de spam (%)
45% 40%
40% 35%
35% 30% 25% 20%
13%
15% 8%
10% 5%
2%
2%
≤100 Kb
≤200 Kb
0% ≤5 Kb
≤10 Kb
≤20 Kb
≤50 Kb
0%
0%
≤400 Kb
Más de 400 Kb
Fuente: Kaspersky
Otro dato significativo en el peso de los mensajes es que el 13% del spam corresponde a mensajes de 20 a 50 KB. Esta categoría, bastante popular a mediados del 2007, incluye spam gráfico y mensajes spam con adjuntos (pdf).
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 74 de 165
Instituto Nacional de Tecnologías de la Comunicación
5.1.6
El ‘spam’ en otros servicios: móvil y voz sobre IP
Otro aspecto preocupante del fenómeno del spam es que ya no está sólo ligado al uso de Internet, sino que está traspasando barreras y tratando de llegar a otros servicios de comunicación. La telefonía móvil sufre actualmente el envío de spam por medio de los SMS y MMS. Resulta alentador, en este aspecto, la inexistencia de plataformas gratuitas para su envío, por lo que el coste de los mensajes ha impedido que este fenómeno cobre fuerza. La mensajería instantánea vía Internet se ha visto afectada con el envío indiscriminado de mensajes. También comienza a surgir el spam sobre tecnología de Voz sobre IP, denominado SPIT (en inglés, Spam over Internet Telephony). Un , malicioso o no, puede iniciar una comunicación no solicitada o no deseada como una llamada de travesura 56 o de marketing 57 , entre otras. Aunque son todavía pocos los s de este sistema, el incremento de su uso podría ocasionar futuros ataques de spam. Sin embargo, en la actualidad el volumen de todo este tipo de spam no constituye un porcentaje significativo frente al enviado mediante correo electrónico, por lo que no se dispone de cifras relativas a estos tipos de incidencias.
56
Llamadas con contenidos bromistas, pero que saturan la Red y hacen perder tiempo. Generalmente incluyen sonidos o música. 57
Llamada telefónica para vender productos o servicios a un consumidor.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 75 de 165
Instituto Nacional de Tecnologías de la Comunicación
6 SITUACIÓN DEL ‘SPAM’ EN ESPAÑA En el ámbito nacional en relación al correo electrónico no deseado en España, la base de los datos procede de la red de sensores de spam de INTECO. Esta se compone de 14 sensores distribuidos geográficamente, y situados en servidores de correo de pymes y s. En ellos se procede a la monitorización de los correos que por ellos circulan, donde son analizados y clasificados en detalle, a través de 13 herramientas antispam distintas. También se han analizado fuentes externas y sus resultados más destacados. En un ámbito estrictamente nacional, y según datos de la Asociación de Internautas, la cantidad de correos spam que recibe de media un es de un 60,0% sobre el total. Según la red de sensores de la empresa Sophos, España estaba por detrás de países como Estados Unidos, China, Corea del Sur y Francia en generación de spam a nivel mundial en el año 2006, pero mientras los tres primeros están reduciendo sus niveles de emisión, España ha duplicado el volumen de spam generado en menos de un año. Para Hispasec, los resultados en España son mucho más desalentadores que los de otros países, si se tienen en cuenta indicadores como el número de habitantes o el número de conexiones de Internet con banda ancha por habitante, situándose de esta forma tan sólo por detrás de Corea del Sur. Los resultados más destacables son: 1. Corea del Sur, con unos 44 millones de habitantes, envía un 0,1431% de spam por millón de habitantes. 2. España, también con unos 44 millones, envía un 0,1318% de spam por millón de habitantes. 3. Polonia con 38,5 millones de habitantes, envía un 0,1246% de spam por millón de habitantes. 4. Francia, con unos 63 millones, envía un 0,1000% por millón de habitantes. 6.1
Situación del ‘spam’ en España: resultados cuantitativos de la red de sensores de ‘spam’ de INTECO
Los datos primarios de resultados para España provienen de la red de sensores antispam de INTECO. Este análisis supone una de las primeras iniciativas nacionales en cuanto al estudio estadístico sobre datos del volumen de correo electrónico no deseado. La información es proporcionada por diversos sensores situados en servidores de correos de pymes y s. Se trata de una información muy amplia que abarca el número de mensajes procesados, el spam detectado, los mensajes rechazados y los métodos por los cuales un correo electrónico es identificado como spam. Un análisis posterior permite conocer el país de origen del mensaje, la organización remitente o el dominio, entre otros. Los resultados extraídos de la red de sensores evidencian la fortaleza del fenómeno Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 76 de 165
Instituto Nacional de Tecnologías de la Comunicación
global del spam, así como una tendencia similar a la que ya se ha producido en otros países, como EE.UU. La información proporcionada por los diversos sensores, situados en servidores de correos de pymes y s, se trata de información muy amplia, que recoge:
6.1.1
•
Número de mensajes procesados: todos los mensajes recibidos, spam o no.
•
Spam detectado: número total de mensajes que se consideran spam.
•
Mensajes rechazados: spam descartado automáticamente.
Análisis descriptivo por categorías
Para el análisis de referencia se han tomado los datos correspondiente al periodo más actual, comprendido entre el 1 de enero el 11 de marzo de 2008, un total de 10 semanas. El volumen de correos procesados, detectados y rechazados se presenta en la Tabla 6 y el Gráfico 11. Tabla 6: Spam en España (del 1 de enero al 11 de marzo de 2008) Correos
Totales
Muestra (procesados)
91.582.112
Spam detectado
77.441.839
Porcentaje
84,6% Fuente: INTECO
Como se observa en el gráfico, de los más de 91 millones de correos procesados en la muestra por los sensores, 77,4 millones fueron considerados spam, lo que corresponde al 84,6% del total de mensajes.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 77 de 165
Instituto Nacional de Tecnologías de la Comunicación
Gráfico 11: Spam en España (%, del 1 de enero al 11 de marzo de 2008)
15,4%
84,6%
Spam Correo legítimo
Fuente: INTECO
Del total de mensajes detectados como spam en la muestra de los sensores (77 millones), fueron rechazados casi 52 millones, un 67,1%, y nunca llegaron al como se muestra en la Tabla 7. Tabla 7: Porcentaje del spam detectado (del 1 de enero al 11 de marzo de 2008) 58 Correos
Totales
Porcentaje
Spam detectado
77.441.839
Spam rechazado
51.999.472
67,1%
Spam no rechazado
25.442.367
32,9% Fuente: INTECO
El resto, otros 25 millones aproximadamente (32,9%), se consideran spam y, sin embargo, terminan en el buzón de correo electrónico del . Esto se debe a que, según las políticas de filtrado que los es imponen, se puede filtrar todo el spam o sólo
58
Mensajes procesados: todos los mensajes recibidos, spam o no.
Spam detectado: número total de mensajes que se consideran spam. Spam rechazado: spam descartado automáticamente. Spam no rechazado: spam que ha atravesado los filtros.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 78 de 165
Instituto Nacional de Tecnologías de la Comunicación
una parte, en función de unos parámetros seleccionados previamente. Todo esto dado que puede darse el caso de que no se deseen filtrar los correos para que no se pierda ningún correo legítimo y se produzca un caso de falso positivo. Gráfico 12: Porcentaje del spam rechazado y no rechazado sobre el total de spam (%, del 1 de enero al 11 de marzo de 2008)
67,1% 32,9%
Spam rechazado Spam no rechazado
Fuente: INTECO
6.1.2
Países emisores de ‘spam’ con dirigidos a España
En el Gráfico 13 se muestra el volumen acumulado del correo procesado, detectado y rechazado por la red de sensores de INTECO de los 10 países que más spam enviaron a España en el periodo muestral. Esta misma información se presenta en términos porcentuales en el Gráfico 14. En ambos gráficos se aprecia claramente que el origen del spam destinado a España se encuentra mayoritariamente en Estados Unidos, China, Corea del Sur y Rusia. Entre estos cuatro países envían a España más del 50,0% del total de mensajes no deseados en circulación. En el Gráfico 14 se muestra el porcentaje de spam detectado sobre el total de correos procesados para cada uno de los 10 países que mayor volumen de spam envían a España. A diferencia de la situación internacional, en el caso del spam recibido en España, Rusia ocupa un lugar destacado.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 79 de 165
Instituto Nacional de Tecnologías de la Comunicación
Gráfico 13: Volúmenes absolutos de spam con destino España por país de origen
1,0 1,0
1
1,1 1,0
1,5 1,2
1,6 1,5
2
1,3 1,2
2,4 2,4
2,7 2,4
3
1,3 1,2
4
2,3 2,0
3,9
5
4,4
(muestra en millones de correos, del 1 de enero al 11 de marzo de 2008)
Correos Procesados
Fr an ci a
le Ch i
a om bi Co l
Tu rq uí a
Es pa ña
Ar ge
nt in a
ia Ru s
r Su de l
Co re a
op .C hi na
Re p. P
EE U
U
0
Spam Detectado
Fuente: INTECO
Gráfico 14: 10 países con mayor volumen de spam enviado hacia España (%, del 1 de enero al 11 de marzo de 2008)
6%
5% 21%
7%
7%
EEUU Rep. Pop. China Corea del Sur Rusia Argentina España Turquía Colom bia Chile Francia
8%
14%
8% 12%
12%
Fuente: INTECO
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 80 de 165
Instituto Nacional de Tecnologías de la Comunicación
Un aspecto interesante es que existe spam originado precisamente en España (8,0%), así como mensajes no deseados procedentes de países de habla hispana como Argentina o Colombia. Estos resultados tienen su razón de ser en el progresivo aumento de las máquinas comprometidas en estos países a través de redes botnets y en las estrategias de los spammers de enfocar sus ataques a nuevos s sin mucho conocimiento sobre el fenómeno. En este sentido, los países cuya relación entre el volumen de spam que envían hacia España es mayor respecto al volumen total de correos son Corea del Sur (96,6%), Colombia (95,7%) y Chile (94,7%). Es importante señalar que en la lista de países con mayor relación entre el spam y el total de correos enviados, todos superan más del 75,0% de spam. Gráfico 15: Porcentaje de spam detectado sobre el total de mensajes procesados para cada país de origen (%, del 1 de enero al 11 de marzo de 2008)
96,6%
Corea del Sur
95,7%
Colombia
94,7%
Chile
93,6%
Argentina
91,6%
Francia Rusia
90,1%
Rep. Pop. China
89,6%
EEUU
89,4%
Turquía España
86,7% 79,3%
Fuente: INTECO
6.1.3
Evolución temporal del volumen de ‘spam’
El objetivo de este análisis es la búsqueda de patrones de comportamiento temporal (diarios, semanales, mensuales) que permitan predecir el volumen de spam y adoptar las medidas de protección adecuadas. Se ha realizado un análisis estacional de la serie con el objetivo de identificar la posible existencia de un patrón semanal en la serie de correos detectados. En el Gráfico 16 se representa, para cada uno de los siete días de la semana, el número medio de correos (línea roja) y los datos de cada día en las distintas semanas (líneas azules). Se puede
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 81 de 165
Instituto Nacional de Tecnologías de la Comunicación
apreciar que las medias son muy similares, por lo que cabría concluir que el patrón para cada día de la semana es muy similar a lo largo del periodo de estudio, aunque jueves y viernes parecen ser los días en que hay un mayor tráfico de correo no deseado. Para comprobar estadísticamente la hipótesis de igualdad entre el volumen medio de spam detectado los distintos días de la semana, se realiza un análisis de la varianza 59 en el que se concluye que no existe en la muestra evidencia de que las medias para cada uno de los días sean significativamente distintas. Gráfico 16: Niveles de spam detectado por día de la semana para el periodo de estudio (del 1 de enero al 11 de marzo de 2008)
Fuente: INTECO
59
Análisis de la Varianza (ANOVA): técnica estadística que compara si los valores de un determinado grupo de datos son significativamente distintos a los de otro u otros grupos. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 82 de 165
Instituto Nacional de Tecnologías de la Comunicación
7 RESULTADO CUALITATIVO: POSICIONAMIENTO PAPEL ACTUAL DE LOS AGENTES 7.1
Y
Introducción
En este capítulo se exponen los resultados correspondientes al análisis cualitativo llevado a cabo durante la fase de investigación del estudio. Partiendo de la fase de documentación y generación de resultados, se analiza la problemática del spam en los cuarenta agentes entrevistados. A continuación, se reseñan las medidas de protección más utilizadas y el impacto que para las organizaciones y sus procesos tiene el correo electrónico no deseado. El denominador común en todas las entrevistas realizadas ha sido la concienciación de todas las organizaciones frente al spam. Este hecho ha facilitado que las entrevistas hayan ganado en profundidad y que, al mismo tiempo, hayan podido ser tratados todos los aspectos que en la actualidad se interrelacionan en el tema del spam. Los avanzados conocimientos técnicos y organizativos de los entrevistados han permitido mantener un enfoque global del problema y, lo que es más importante, afianzar la necesidad de llevar a cabo medidas de protección integrales frente al spam. 7.2
Los agentes
El correo electrónico no deseado es un problema que afecta a s particulares, empresas, instituciones y organismos públicos. En este sentido, se han realizado cuarenta entrevistas a agentes pertenecientes a los distintos sectores, prestando especial atención a los organismos públicos, en los ámbitos local, provincial y estatal, y a las empresas de comercio electrónico con el fin de completar la información que permita evaluar la situación del correo no deseado en España. El procedimiento de análisis ha partido de la identificación del perfil de los agentes, pertenecientes a los diferentes sectores involucrados en el fenómeno del spam, que se relacionan a continuación: − PERFIL 1. istración Pública o
Organismos públicos en los ámbitos estatal, provincial y local.
− PERFIL 2. Empresas de telecomunicaciones o
Operadores de telecomunicaciones proveedoras de servicios de Internet.
y
telefonía
móvil,
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
empresas
Página 83 de 165
Instituto Nacional de Tecnologías de la Comunicación
o
Asociaciones empresariales, cámaras oficiales de comercio, industria y navegación y colegios profesionales.
o
es y prestadores de servicios de alojamiento Web, así como proveedores de servicios de correo electrónico.
− PERFIL 3. Empresas de marketing electrónico o
Empresas de marketing directo y comercio electrónico, incluyendo anunciantes, empresas de venta a distancia, agencias de publicidad, etcétera.
− PERFIL 4. Empresas prestadoras de servicios de seguridad o
Empresas desarrolladoras de productos y servicios de seguridad.
o
Expertos en seguridad informática (ámbitos tecnológico y legal).
− PERFIL 5. s finales o
s habituales de correo electrónico.
Con el objetivo de identificar la gran variedad de organizaciones y empresas españolas se ha pretendido caracterizar cada uno de los agentes por el volumen de s de correo electrónico. Así, se entrevistaron agentes en cuyo servicio estaban registrados 1.000 s de correo electrónico y, al mismo tiempo, grandes organizaciones con más de 70.000 s. Del mismo modo, en cuanto al tráfico de correo electrónico manejado, las cifras ascienden a una horquilla entre 50.000 y 500.000 correos diarios, dependiendo de la entidad estudiada. 7.3
Situación de los agentes implicados
En las siguientes secciones de este apartado se tratarán de manera particular las características de los perfiles de los distintos agentes identificados. Para cada uno de ellos, y de manera general, se describen las particularidades de su sistema de información y, en concreto, de su servicio de correo electrónico. 7.3.1
Perfil 1. istración Pública
Los sistemas de información de las istraciones públicas se ven afectados en gran medida por el problema del spam, pues en general ofrecen a los ciudadanos servicios online como pieza clave en la emergente Sociedad de la Información. Los organismos públicos suelen gestionar el correo de manera interna; tanto los equipos como los registros y bases de datos se encuentran en la sede de la
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 84 de 165
Instituto Nacional de Tecnologías de la Comunicación
organización. En cuanto al personal encargado de dicha gestión, se trata habitualmente de técnicos pertenecientes a la propia istración, aunque existe un número muy significativo de personal subcontratado. Esto no es una característica exclusiva del servicio de correo electrónico y suele corresponderse con la forma habitual de gestionar los sistemas en organizaciones de gran tamaño. En universidades y otros organismos públicos existen políticas de utilización del correo electrónico y otras herramientas y aplicaciones informáticas y de telecomunicaciones. Es una buena práctica, recomendable y extrapolable a otras organizaciones, para evitar problemas y litigios de utilización del correo electrónico en el ámbito laboral (tamaño del buzón, vía de , soluciones ineficientes ante el spam, etcétera). En cuanto a los aspectos técnicos, los servidores de correo utilizados en las istraciones públicas se basan principalmente en el sistema operativo Unix (Postfix 60 es una de las aplicaciones de correo más utilizadas), aunque también están extendidas las soluciones de Microsoft. Estos sistemas permiten la descarga del correo a través de protocolos estandarizados como POP3 e IMAP o sus versiones seguras, y la mayoría dispone de correo web. Para este perfil, los volúmenes de s del servicio son muy dispares por la propia naturaleza de cada organismo considerado, pero se cifra entre los 5.000 s para los más reducidos y los 40.000 para los de mayor volumen, como es el caso de ministerios y universidades. 7.3.2
Perfil 2. Empresas de telecomunicaciones
Dentro de este perfil, se han analizado empresas españolas cuyos objetivos de negocio tienen relación con las telecomunicaciones, la telefonía móvil, los servicios de Internet o el comercio electrónico. Entre estas últimas se encuentran empresas de software, prestadoras de servicios tecnológicos y entidades financieras españolas con una parte muy significativa de su negocio basado en tecnologías online. La organización del sistema de información de las empresas pertenecientes a este perfil depende de manera directa del volumen de la entidad. Así, las pequeñas empresas suelen subcontratar los servicios de correo electrónico, al no disponer de personal para la gestión del sistema. Por otro lado, la mayoría de las organizaciones de mediano y gran tamaño suelen gestionar de manera interna tanto su sistema de información como su servicio de correo electrónico. Entre estas últimas es necesario realizar la salvedad, las empresas multinacionales, pues en estos casos el sistema de información y el servicio de correo electrónico suele ser gestionados de manera centralizada para todas
60
Postfix es un software de uso extendido que implementa una estafeta de correo electrónico (http://www.postfix.org).
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 85 de 165
Instituto Nacional de Tecnologías de la Comunicación
las delegaciones, generalmente de manera externa. Estas empresas, además de disponer de servicios de correo electrónico para sus empleados, en ocasiones lo ofrecen a sus clientes, con una separación entre las arquitecturas que implementan unos y otros. El al correo electrónico puede realizarse a través de los protocolos convencionales (IMAP y POP3) y en la mayoría de los casos se dispone de un web para la consulta del correo mediante navegadores convencionales. Es también destacable cómo, en la gran mayoría de estas organizaciones, se encuentran en funcionamiento protocolos de descarga del correo electrónico móvil, aunque en algunas este servicio posee un número reducido de s o se encuentra en funcionamiento de manera experimental. Estas entidades disponen de clientes de correo electrónico del tipo push-mail que permiten la recepción inmediata de correo electrónico en el dispositivo móvil; los sistemas empleados son Blackberry, DirectPush o Real Mail. Se pone de manifiesto una maduración importante en cuanto a la concienciación sobre la necesidad de protección frente al spam, teniendo ya un bagaje importante en la lucha contra él y evolucionando hacia unas soluciones cada vez más eficientes. 7.3.3
Perfil 3. Empresas de marketing electrónico
Las empresas de marketing electrónico utilizan el correo para llegar a un amplio número de destinatarios. En esta característica coinciden con los objetivos de los spammers, pero las diferencias existentes entre ellos son evidentes: − Cumplen con la legislación vigente referente a su modelo de negocio. − Poseen códigos éticos sobre las informaciones que envían. − Trabajan de manera principal con marketing de fidelización. − Establecen controles para determinar la efectividad de los envíos realizados. − Respetan los derechos de los destinatarios de los correos. Este modelo de negocio está creciendo en España en los últimos años. Según los expertos consultados, el volumen de correos que envían estas empresas alcanza una media de 1.000.000 de mensajes diarios, que pueden ser enviados directamente por las empresas de marketing (como un servicio completo) o ponerse a disposición de los clientes aplicativos para que sean ellos mismos los que controlen el envío. En cualquier caso, estas empresas son conscientes de que la reducción del problema del spam será beneficiosa para el desarrollo de su propio negocio. Por esta razón, entienden que se debe contribuir activamente en la lucha frente al correo electrónico no Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 86 de 165
Instituto Nacional de Tecnologías de la Comunicación
deseado y la reducción de su impacto, fomentando la divulgación de su modelo de negocio entre los s de correo y transmitiendo las diferencias que presenta frente al spam. El modelo de negocio del marketing electrónico está en constante expansión en todo el mundo y evoluciona dentro de la Sociedad de la Información creando un interesante mercado publicitario que permite generar valor. La evolución del modelo en España tiene aún un largo camino que recorrer; es necesaria una mayor concienciación por parte de todos los agentes involucrados, principalmente s, acerca de las claras diferencias existentes entre el marketing electrónico y el spam. 7.3.4
Perfil 4. Empresas prestadoras de servicios de seguridad
En España el correo electrónico no deseado afecta a muchos agentes de la Sociedad de la Información, y la prevención, protección y reducción de su impacto es fundamental para el desarrollo de muchas organizaciones. Por ello, los expertos y empresas que ofrecen servicios de seguridad juegan un papel muy importante en este contexto. En un primer momento las empresas prestadoras de servicios de seguridad proporcionaron medidas reactivas de protección frente al spam: una vez que el correo no deseado se encontraba almacenado en los buzones de los s, se le aplicaban filtros para detectarlo. Estas protecciones, basadas en patrones o en heurísticas 61 , complementaban a otras, como antivirus o antispyware, y eran suficientes cuando la dimensión del problema era reducida. Pero el volumen de correo no deseado ha alcanzado porcentajes muy importantes que han provocado problemas de saturación en las redes internas de las organizaciones y en sus sistemas informáticos, Por lo que se ha hecho indispensable combatir el problema con anterioridad al almacenamiento del spam en los buzones de los s. En un principio las medidas que se plantearon eran principalmente de carácter reactivo. A medida que el problema fue aumentando, a comienzos del año 2004, las protecciones iban tomando carácter reactivo y proactivo, para servidores y clientes de correo. 7.3.5
Perfil 5. s
El fenómeno del spam es conocido y percibido por la inmensa mayoría de los s de correo electrónico. Los datos así lo confirman: el 64,2% de los s habituales de Internet lo ha sufrido en la última semana y un 87,2%, en el último año 62 , siendo la incidencia que más frecuentemente afirman sufrir. Este hecho pone de manifiesto la
61
Los algoritmos heurísticos tienen la capacidad de realizar innovaciones en su funcionamiento para alcanzar sus objetivos.
62
INTECO (2008) Estudio sobre la Seguridad de la Información y e-Confianza de los hogares españoles (2ª Oleada: Feb-Abr 07) (Disponible en http://observatorio.inteco.es)
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 87 de 165
Instituto Nacional de Tecnologías de la Comunicación
dimensión del problema, pues todos los s entrevistados han recibido correos de este tipo y habitualmente necesitan manejarlo dentro de sus buzones de correo. Sin embargo, y a pesar de la comentada familiarización de los s con el spam, se han podido identificar en ellos ciertas deficiencias en cuanto a la identificación de las causas que lo provocan, los problemas que puede provocar y, lo que es más importante, las pautas a seguir para evitarlo y reducirlo. Es necesario resaltar en este sentido el importante esfuerzo llevado a cabo por distintos organismos públicos (Agencia Española de Protección de Datos –AEPD– y agencias autonómicas, Instituto Nacional de Tecnologías de la Comunicación –INTECO–, Red.es, Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, etcétera) 63 , cuyas iniciativas se centran en la promoción, formación y concienciación de los s frente a las amenazas de seguridad en Internet. Ejemplo de ello son las campañas contra el fraude online y por la seguridad en la Red promovidas por INTECO o las guías de lucha contra el spam que pone a disposición la AEPD. 7.3.6
Medidas de protección frente al ‘spam’
Antes de entrar a analizar qué medidas han sido implantadas por los distintos agentes, y para conocer qué posibilidades existen, se explican detalladamente las distintas herramientas y acciones disponibles para combatir el spam. Los agentes estudiados disponen en todos los casos de medidas de seguridad para la protección frente al correo electrónico no deseado. Abarcan desde las medidas de índole técnico (las más utilizadas) hasta las organizativas y de carácter normativo. Las más significativas son las medidas de protección técnica frente al spam, Se mecanismos software o hardware que pretenden proteger el sistema de información frente a las diferentes formas de spam existentes. En función de su objetivo de protección, se pueden clasificarse en: 1. Preventivas: tienen por objeto evitar que puedan realizarse el envío de correo spam. 2. Reactivas: son aplicadas una vez que el spam ya ha llegado a los servidores de correo de los destinatarios y tienen por objeto su filtrado. 3. Proactivas: tienen por objeto evitar que los servidores de spam puedan llegar a comunicarse con los servidores de correo de los destinatarios.
63
AEPD: https://www.agpd.es
RED.es: http://www.red.es/ Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 88 de 165
Instituto Nacional de Tecnologías de la Comunicación
Medidas preventivas De forma general, la mayoría de las medidas preventivas se centran en aspectos legislativos y de formación. En cuanto a las soluciones tecnológicas, se señalan principalmente las relativas a la configuración adecuada de las aplicaciones o servicios. Se aconseja, por ejemplo: 1. Eliminar la previsualización de los clientes de correos, sobre todo la de contenido HTML, evitando que sea explotada por los spammers con correos que incorporen HTML con imágenes y código script. 2. Configurar correctamente los proveedores de servicio de Internet (en especial servidores de correos), evitando la conexión y envío de correo a terceras partes no autorizadas (open relay). 3. Configurar las trazas y sistemas de registro de eventos en los proveedores de servicios de Internet. Por otra parte, es esencial el enmascaramiento de las direcciones de correo para protegerse contra el software que de forma automatizada y exhaustiva busca direcciones en los sitios web. De esta manera, se utilizan diversas técnicas para ocultar la dirección real. Una de las más sencillas consiste en modificar el texto donde aparece la dirección de correo (por ejemplo, sustituyendo el símbolo "@" por su nombre en inglés, at, y el punto por dot: cuentaATsubdominioDOTdominio). Evidentemente, esta técnica es muy débil y su utilidad quedó limitada cuando fue descubierta e incluida en la búsqueda del software tipo harvesting. Actualmente se utilizan técnicas de enmascaramiento mucho más sofisticadas, incluyendo código de programación Javascript en el texto de enlace de tipo mailto:, que pueda ser interpretado por el navegador, pero que es mucho más difícil de descubrir por búsqueda automática. Un ejemplo sería incluir en lugar del correo del el siguiente código script: <script TYPE="text/javascript"> ' + emailE + '') //--> Medidas reactivas Se trata de las salvaguardas más representativas de las herramientas antispam. Se basan en el análisis del correo, que clasifican como "posible spam detectado", "spam rechazado" o "no spam aceptado". Actualmente, existen diferentes herramientas de Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 89 de 165
Instituto Nacional de Tecnologías de la Comunicación
filtrado, diferenciadas según la técnica de filtrado, la ubicación de la herramienta o la acción del en el análisis del spam. 1. Técnicas de filtrado en los antispam a. Filtrado simple por contenido: formado casi siempre por cadenas de caracteres y datos que puedan encontrarse en el remite, el tema, el cuerpo del mensaje, etcétera. Las herramientas que utilizan esta técnica marcan como spam aquellos mensajes que contengan alguna palabra clave (por ejemplo, "viagra", "sexo"…), perteneciente una lista previamente especificada. Obviamente, no es una solución completa, pues marcará como spam multitud de correos legítimos que hagan uso de alguna de las palabras clave. Además, este sistema es fácilmente evitable, pues basta con insertar separadores, modificaciones tipográficas, etcétera para que la búsqueda de palabras clave falle. b. Filtrado basado en técnicas de clasificación: consiste en identificar los correos según dos tipos: "spam rechazado" o "aceptado". Los primeros suelen ser generalmente filtrados o marcados como tal, mientras que los segundos pasarán a la bandeja de entrada del remitente. Pueden usar diversas estrategias: i. Reputación: basada en la valoración que dan los s de un número importante de correos. Es muy común en servidores de correo online que poseen una gran masa de s, como Gmail, Yahoo o Hotmail. ii. Redes bayesianas 64 : sistema adaptativo de clasificación que se utiliza para determinar los grupos de correos spam, como correo legítimo. Es una de las técnicas de clasificación más usadas. Su sistema de entrenamiento puede estar supervisado manualmente con la ayuda de los s (utilizando las técnicas de reputación antes mencionadas) o con un grupo de entrenamiento basado en correos tipo 65 . 2. Ubicación de los antispam
64
Las técnicas de inteligencia artificial fueron aplicadas por primera vez al problema del spam en 1998 por Mehran Sahami. Desde entonces se ha convertido, probablemente, en el enfoque más utilizado y eficaz.
65
Una amplia cantidad de software, tanto dirigido a es como al final, implementa filtros bayesianos como parte de sus medidas antispam. Entre los primeros destacan BogoFilter, DSPAM o SpamAssasin,y entre los clientes de correo, Mozilla, Thunderbird y Microsoft Outlook. Un grupo de entrenamiento basado en correos tipo consiste en un conjunto amplio de ejemplos de correos reconocidos como spam. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 90 de 165
Instituto Nacional de Tecnologías de la Comunicación
a. En clientes: filtros ubicados en la aplicación cliente de correo. Generalmente son filtros de contenido donde las palabras clave las establece el cliente. Estos filtros solucionan lo que más interesa al final: no ver spam. Desde este punto de vista, son bastante eficientes. Además, son muy aceptados, pues trasladan al la decisión de configurar sus propios filtros y es él quien marca lo que considera o no spam. En cambio, no solucionan la recepción de spam, que sigue llegando al buzón de su servidor. b. En servidores: generalmente, son filtros de contenidos bajo el control del del sistema. Solucionan los mismos problemas que los de cliente, pero además evitan que el spam llegue al buzón de los s. Sin embargo, estos últimos en ocasiones señalan el inconveniente de dejar en manos de los responsables del servicio la determinación de los patrones de filtrado del spam. 3. Clasificación del antispam según acción del a. Interactivos: el sistema señala y enumera posibles correos spam y queda a la espera de que el receptor decida si lo son o no y establezca políticas al respecto. Su inconveniente es el tiempo de demora del receptor en revisar y clasificar los correos, cuando a diario se reciben grandes cantidades. La mayoría de los clientes de correo incluye este tipo de filtro antispam. b. No interactivos. El propio sistema elige y elimina los correos que considera spam. El mayor inconveniente de esta solución es que el software antispam todavía genera muchos falsos positivos, interfiriendo así en el envío o recepción de correos legítimos. Además, como sucede con los antivirus, las herramientas más potentes son más costosas.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 91 de 165
Instituto Nacional de Tecnologías de la Comunicación
Medidas proactivas 1. Listas negras: se consideradas una medida proactiva porque su implantación se realiza antes de que el correo llegue a los servidores, con el conocimiento previo de posibles fuentes de spam. Consisten en un conjunto de bases de datos online que pueden ser consultadas en tiempo real por los servidores de correo electrónico en cada transacción, para obtener una valoración (en términos de confianza) sobre un mensaje de correo entrante. En especial, estas listas disponen de valoración sobre el servidor de correo o el proveedor de servicios de Internet (ISP) que originó el mensaje y la posibilidad de que se trate de un servidor de correo malicioso. Estas listas negras son mantenidas generalmente por organizaciones independientes, como por ejemplo la lista llamada ZEN, de SpamHaus, que combina: a. Una lista de direcciones IP fuente de spam confirmadas, SBL (Spam Block List). 66 b. Una lista de direcciones IP de equipos posiblemente comprometidos por contener vulnerabilidades, XBL (Exploits Block List) 67 . c. Una lista de direcciones IP de s finales que no deben enviar correo directamente si no es a través de su ISP, PBL (Policy Block List) 68 . Tienen muchos inconvenientes, entre ellos, los casos en los que dominios lícitos se ven incluidos en las bases de datos por la acción de ciertos spammers que pretenden desacreditarlos, perjudicando así el flujo de sus correos legítimos o incluso implicando un problema legal 69 . Por otra parte, estas listas son accedidas muy frecuentemente y, por lo tanto, se convierten en un cuello de botella que deriva en un más lento procesamiento del correo.
66
Una lista de direcciones IP de equipos que han sido confirmados como generadores de correos spam. Esta lista se denomina lista de bloqueo de spam, SBL (del inglés, Spam Block List). 67
Una lista de direcciones IP de equipos potencialmente generadores de spam por presentar vulnerabilidades en su configuración. Esta lista se denomina lista de bloqueo de vulnerabilidades, XBL (del inglés Exploits Block List). 68
Una lista de direcciones IP de equipos, pertenecientes a s finales, que no pueden enviar correo directamente, sino que tienen que hacerlo a través de un Proveedor de servicios de Internet (ISP). Esta lista se denomina lista de bloqueo por política, PBL (del ingles Policy Block List). 69
En este sentido, pueden darse situaciones paradójicas, como una reciente sentencia en EE.UU. que condenaba a SpamHaus a pagar más de 11 millones de dólares, a e360insight, una compañía radicada en Gran Bretaña, por incluirla en una de sus listas. La sentencia no es del todo acertada puesto que las organizaciones que gestionan estas listas no bloquean ningún correo, ni tienen la capacidad técnica ni jurídica para hacerlo. Son los abonados a las listas quienes, por voluntad propia, deciden desechar el correo proveniente de estos dominios o servidores.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 92 de 165
Instituto Nacional de Tecnologías de la Comunicación
2. Listas blancas: el enfoque es el contrario al de las listas negras, su objetivo es contrarrestar los efectos perjudiciales de los posibles falsos positivos. Una lista blanca es una relación de direcciones de correo confiables cuyos envíos no deberían ser considerados spam, es decir, se asume que todo correo es spam a no ser que sea enviado por un remitente incluido en la lista blanca. Estas listas tienen el claro inconveniente de que, en principio, bloquearán, o al menos marcarán como spam, todo aquellos correos remitidos por un nuevo o. Por lo tanto, sólo resultará de interés para s finales o corporaciones, pero no para proveedores de servicio, que deben atender multitud de correos electrónicos en principio desconocidos y a los que sería imposible aplicar una lista blanca. 3. Listas grises 70 : aparecen como una medida paralela a las dos anteriores que intentan evitar que se marquen como servidores originarios de spam a servidores legítimos (problema de las listas negras). Su funcionamiento se basa en aprovechar la falta de insistencia de los servidores de correo spam: los servidores que emplean greylisting simulan una caída temporal del servicio y solicitan el reenvío posterior del correo en cuestión. Los servidores spam están centrados en el envío masivo de correos no deseados y, por lo tanto, suelen desechar los mensajes de reenvío. De esta manera, el servidor legítimo que aplique esta técnica podrá confeccionar una lista gris con esos servidores.Sin embargo, la lista gris se considera una lista de servidores sobre los cuales no se tiene una certeza absoluta de que sean fuentes confiables. Por un lado, pueden ser servidores lícitos cuya configuración no sea la más adecuada; por otro, las técnicas de los spammers pueden tratar de sortear esta medida, con el coste de desarrollo y de sobrecarga correspondiente. En una lectura positiva, esto puede verse como una ventaja ante el despliegue del spam, al acotar cada vez más las facilidades para su generación (bajo coste y sencillez técnica). Visto desde el servidor destino, las listas grises tienen un gran inconveniente que las hace poco aceptadas: el tiempo de latencia, que trascurre entre el envío y la recepción del correo, repercute en la transmisión del mensaje. El correo se ha convertido en una herramienta de trabajo y muchas veces los s están a la espera de su llegada, por lo que un retardo en su recepción puede ser muy costoso para las empresas y negocios que utilizan esta vía. Por eso, las listas grises son una solución interesante, pero que debe
70
http://www.greylisting.org/. Las listas grises están implementadas por SpamAssasin y han sido adoptadas también en SendMail (http://www.sendmail.org), que ha ido cediendo terreno frente a Postfix, debido principalmente a la sencillez de uso de este último. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 93 de 165
Instituto Nacional de Tecnologías de la Comunicación
usarse con especial cuidado y adaptarse a los tipos de cuentas que manipule el servidor. 4. Implementación de nuevos protocolos estandarizados: como se ha mencionado, una de las carencias más significativas en la implementación de los sistemas de correo electrónico es la falta de autenticación de la identidad de los remitentes, circunstancia que facilita, en buena medida, la proliferación del fenómeno del spam. El uso de técnicas criptográficas que aseguren la autenticidad del remitente puede ayudar a reducirlo; herramientas de firmas digitales con claves públicas del tipo PGP o S-MIME (Secure/Multipurpose Internet Mail Extensions, extensiones de correo de Internet de propósitos múltiples/seguros), entre otras, pueden ser muy útiles en este sentido. Sin embargo, la expansión de esta práctica a nivel global es difícil, por la propia dificultad de extender los sistemas de criptografía de clave pública a gran escala. A raíz de esto, se comenzaron a desarrollar mecanismos para determinar qué pasarelas de correo son las que deberían enviar mensajes asociados a un determinado dominio de correo. El objetivo de estos sistemas es que los es de un dominio concreto puedan establecer qué servidores de correo están autorizados para enviar correo desde el mismo. En este sentido, son de especial relevancia los siguientes protocolos estandarizados: − SPF (Sender Policy Framework o convenio de remitentes, RFC 4408): extensión del estándar SMTP creado por IETF (The Internet Engineering Task Force) que permite identificar direcciones de correo falsificadas a través de su dominio; la identificación en el comando “mail from” (cabecera “Return-Path”) permite clasificar el correo como posible spam. Aunque este tipo de solución no acabaría por completo con el problema del spam, sí puede ayudar a determinar si el dominio de un correo ha sido falseado, y la falsificación puede ser indicativa del intento de envío de spam. A su vez, esto permitiría asociar el spam a una serie de dominios concretos y facilitar la capacidad de reportar el incidente y de intervenir en contra del responsable istrativo del dominio, los servidores de correo o el proveedor de a Internet que le proporciona la conectividad. − DKIM (Domain Keys identified Mails o correos identificados por clave de dominio): propuesta que intenta ofrecer autenticación del remitente original, mejorando algunos problemas de las soluciones del tipo PGP (Pretty Good Privacy) 71 o
71
PGP: sistema que aplica la criptografía de clave pública para proteger información en movimiento por la Red, por ejemplo en correos electrónicos. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 94 de 165
Instituto Nacional de Tecnologías de la Comunicación
S/MIME. Se trata de un estándar en desarrollo por parte de la IETF 72 . Es una solución propuesta por desarrolladores de Yahoo que ha tomado ya dimensiones de estándar y que podría ser aplicado a cualquier solución, aunque su uso aun es muy reducido. Lo cierto es que no hay una solución ni exacta ni global para el problema del spam. Se hace necesaria la aplicación e implicación de todas las herramientas descritas para combatirlo, con el objeto de reducir su impacto. Las técnicas de los spammers cambian continuamente a medida que aparecen nuevas estrategias para evitarlo, es un fenómeno en constante desarrollo que requiere de una atención y dedicación continua. A continuación se describen los aspectos más representativos de la aplicación de las técnicas de protección contra el spam por parte de los distintos agentes entrevistados: 1. Las medidas de protección reactivas son las utilizadas. Su aplicación reduce el impacto del spam en las organizaciones mediante filtros que determinan su eliminación, marcado, redirección, puesta en cuarentena, etcétera. Esta técnica particular puede ser empleada en los clientes de correo de los s y en los servidores de correo de la organización. Esta última ubicación de las herramientas de protección es la más recurrida, principalmente porque tiene efectos sobre la totalidad del correo manejado por la organización. Dentro de este grupo de técnicas, cabe hacer alguna apreciación sobre la técnica a través de la cual se realiza el filtrado. Así, y aunque tradicionalmente estas medidas se basaban en el análisis del contenido del correo spam, la mayoría de las herramientas implantadas en los agentes se centran en algoritmos de clasificación, que clasifican los correos recibidos dependiendo de su probabilidad de ser o no ser spam. 2. Es habitual la utilización de listas de filtrado blancas, negras, o grises. Se trata de mecanismos de seguridad proactivos, que pretenden evitar que los servidores de correo que emiten spam puedan comunicarse con servidores legítimos. En los agentes consultados se ha constatado la utilización de listas negras como complemento de otras protecciones antispam, ya que son muy útiles para la detección de servidores que envían habitualmente correos no deseados. 3. Aumentando la complejidad de las técnicas de protección, se ha identificado también la utilización de productos completos de hardware y software, denominados appliance, que implementan un sistema antispam (el coste
72
RFC 4871, 5016 http://www.ietf.org/rfc/rfc4871.txt.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 95 de 165
Instituto Nacional de Tecnologías de la Comunicación
económico de estas soluciones está por encima de las soluciones software más comunes). Su objetivo primordial es la reducción del spam de manera proactiva, es decir, sin que llegue a almacenarse en los servidores de correo de los s. Su técnica principal de filtrado es la reputación, obtenida a partir de la monitorización de grandes cantidades de correo, que consigue un alto grado de satisfacción de los agentes. 4. La extensión del protocolo SMTP, denominada SPF (Sender Policy Framework, Convenio de Remitentes) también se encuentra entre los mecanismos de protección empleados. Esta técnica proactiva permite identificar posibles correos spam mediante la revisión de las direcciones de envío de un determinado correo. El protocolo permite, a través de DNS (Domain Name System), consultar al servidor de correo que presuntamente envió el correo electrónico si ha autorizado o no dicho envío. La técnica es empleada por muchas empresas de seguridad que proporcionan soluciones antispam, y los porcentajes de filtrado obtenidos son muy interesantes. Sin embargo, es necesario también destacar que su aplicación supone una consulta en tiempo real acerca de la validez de procedencia del correo (lo que podría retrasar la llegada de correo legítimo) y que también es necesario que el servidor de DNS del dominio consultado disponga de tal servicio (cuestión que no es general). 5. Una particularidad interesante en cuanto a los servicios antispam empleados por los agentes estudiados es la redirección del correo para su filtrado. En estas situaciones, la organización gestiona su servicio de correo electrónico (empleando personal y equipos en una sede de la misma), mientras que el sistema antispam se ubica en las instalaciones del prestador del servicio. El funcionamiento se basa en reconfigurar en el servidor de DNS de forma adecuada para que el servidor de correo de la prestadora del servicio atienda el correo. Así, al recibir correo para la organización lo filtra de spam y, una vez limpio, lo envía para su recepción final. En estas ocasiones, así como en otras en las que el correo de la organización va a ser revisado o gestionado por otra empresa, es necesario firmar acuerdos que permitan establecer un marco legal de colaboración entre las partes para la prestación del servicio. Es interesante resaltar cómo en ocasiones las organizaciones estudiadas han probado distintas soluciones antispam. Estos cambios venían antecedidos por una insatisfacción sobre los resultados de filtrado obtenidos, por la existencia de falsos negativos o, lo que es más preocupante, de falsos positivos.. Por último, y a modo de resumen, cabe destacar que mientras algunas organizaciones consideran que sus soluciones antispam tienen controlado el impacto del correo no Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 96 de 165
Instituto Nacional de Tecnologías de la Comunicación
deseado de forma satisfactoria en un porcentaje muy importante, existen entidades en las que el problema tiene una influencia diaria y, aunque puede manejarse, genera una insatisfacción clara respecto a la solución implantada. 7.4 7.4.1
Protección frente al ‘spam’ de los agentes Perfil 1. istración Pública
Los organismos públicos entrevistados se encuentran altamente concienciados acerca de la necesidad de establecer medidas preventivas, proactivas y reactivas frente al spam. No en vano, en muchas ocasiones disponen de guías de utilización segura del correo electrónico, o incluso guías con recomendaciones específicas para evitar el spam. Todos los organismos realizan una inversión importante en herramientas antispam. La soluciones escogidas pertenecen tanto al ámbito comercial como al del software con licencia pública (en algunos casos particulares se da una combinación de ambas). La mayoría de las instituciones apuestan por las soluciones comerciales reactivas y proactivas proporcionando también el producto elegido protección frente a códigos maliciosos (por ejemplo: virus y spyware) difundidos a través del correo electrónico. En las organizaciones en las que las soluciones antispam utilizadas están principalmente basadas en productos de software libre existe un inconveniente: su uso pasa por la necesaria actualización de los sistemas de información que las incorporan, pues pueden verse afectados por spam cuando este se modifica su conducta o patrón de ataque respecto a los patrones de detección conocidos. Se hace necesario disponer de personal cualificado que sea capaz de mantener actualizadas en tiempo real estas tecnologías. En las istraciones consultadas se ha constatado, como práctica habitual, la utilización de listas negras como complemento de otras protecciones antispam, ya que son muy útiles para la detección de servidores que envían habitualmente correo no deseado. Sin embargo, estas listas también tienen algunos problemas, pues en ocasiones pueden incluirse en ellas dominios lícitos que han sido intencionadamente atacados por spammers. Una de las listas más empleadas por los agentes es SpamHaus Block List 73 , aunque su uso no es unánime, pues algunos mantienen que su aportación es muy limitada. En muchos casos, la utilización de listas negras ha venido acompañada de la aparición de falsos positivos. Las listas blancas pueden ser empleadas de forma excluyente, es decir, aceptando sólo el correo proveniente de servidores de correo incluidos en ellas. Sin embargo, en ninguno de los agentes estudiados se emplean de esta forma, pues existe un abanico muy amplio y
73
www.spamhaus.org
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 97 de 165
Instituto Nacional de Tecnologías de la Comunicación
cambiante de servidores de correo legítimos que pueden ser empleados. El uso de las listas blancas se complementa con otras medidas de protección frente al spam, pero no representa una solución completa al problema. 7.4.2
Perfil 2. Empresas de telecomunicaciones
Las soluciones antispam implantadas en este grupo pueden clasificarse de acuerdo a la siguiente distinción: •
Por un lado, las empresas de gran volumen de ámbito internacional, con gran número de clientes y con un número también muy significativo de empleados, en las que existe un sistema de información centralizado que da servicio a todas las delegaciones de la compañía. El servicio de correo electrónico no es una excepción y tanto los servidores de correo como el personal y los servicios antispam son gestionados de manera centralizada.
•
Por otro, compañías de diverso tamaño, desde pymes a grandes empresas, que gestionan por completo su propio sistema de información o externalizan algunos servicios. En cuanto al correo electrónico, y debido a la gran importancia que tiene para las organizaciones, las medianas y grandes compañías no lo externalizan y gestionan tanto el equipamiento hardware necesario como el software (aun cuando existen proveedores que ofrecen servicios de este tipo para pymes a bajo coste). Para este grupo de empresas, la gestión de salvaguardas antispam se basa en productos comerciales centrados en la protección proactiva y reactiva. La ubicación de estos servicios se realiza mayoritariamente en los servidores (con independencia de que puedan existir protecciones antispam reactivas en los clientes de correo).
Un hecho muy significativo con respecto a la ubicación de los sistemas antispam empleados por este tipo de empresas es que, aunque pueden estar implantados en los servidores de correo de la empresa o en su sistema de información, también se han encontrado agentes en los que se sitúan fuera de las instalaciones de la organización. En estos últimos, el correo se redirecciona a través de la empresa prestadora del servicio antispam, quien lo devuelve a la organización una vez filtrado. Esta arquitectura remota de filtrado cede el control del correo electrónico a la empresa prestadora del servicio y, por lo tanto, sólo puede realizarse cuando existe un nivel de calidad suficiente y bajo un acuerdo contractual que preserve la seguridad de los datos manejados. Aquellas empresas de este perfil en las que se ofrecen servicios de correo electrónico para otras empresas o s suelen complementar la oferta con servicios antispam asociados. La mayoría de las soluciones antispam empleadas proceden del ámbito comercial, pero también hay un número significativo de agentes que ofrecen soluciones
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 98 de 165
Instituto Nacional de Tecnologías de la Comunicación
propietarias o la aplicación complementaria de distintas soluciones software de licencia GPL (Generic Public Licence). 7.4.3
Perfil 3. Empresas de marketing electrónico
Los mecanismos antispam pueden afectar al envío de correos legítimos por parte de estas compañías y, por esta razón, las empresas de marketing electrónico establecen acuerdos con las grandes empresas de servicios de correo electrónico y con proveedores de servicios de Internet (ISP) para que permitan su envío. A esta facilidad se le denomina listas blancas comerciales, que permiten que los mensajes publicitarios no sean obstaculizados con las protecciones antispam. Así mismo, las empresas publicitarias se comprometen a hacer frente a las quejas y reclamaciones de los s. Los controles proactivos sobre el correo electrónico pueden soslayarse. Para manejar los filtros antispam reactivos, estas empresas realizan pruebas sobre los sistemas de protección más utilizados, verificando si los correos que van a enviar son marcados como spam. Si es necesario, realizan adaptaciones que permitan que sus comunicaciones no disparen los filtros. 7.4.4
Perfil 4. Empresas prestadoras de servicios de seguridad
La protección frente al spam posee ciertas ventajas frente a otros servicios de seguridad de Internet, pues sus características permiten que los filtros de los servidores no tengan que estar instalados en la propia organización. Esta arquitectura ha sido observada en muchas filiales españolas de empresas multinacionales, que reciben el correo electrónico una vez filtrado por los sistemas centrales de la compañía, y es también un servicio de seguridad ofrecido por compañías del ramo que les permite operar sobre el correo de sus clientes desde sus propias instalaciones, fomentando las economías de escala, reduciendo sus costes directos y ofertando servicios económicamente competitivos. Otra faceta de protección suministrada por las empresas de seguridad es el establecimiento de salvaguardas preventivas centradas en el uso de nuevos protocolos de correo electrónico. De manera general, su intención es dotar de autenticación a la comunicación entre los servidores de correo o a la propia comunicación asíncrona entre el emisor del mensaje y su receptor. Las técnicas a las que recurren son variadas, pero principalmente se basan en la utilización de certificados digitales y en el envío protegido de información. Cabe señalar que este tipo de tecnologías precisa de considerables recursos computacionales por parte de los equipos que los implementan, por lo que es necesario adaptar su aplicación cuando existan terminales móviles de bajo poder en la lectura o envío del correo electrónico.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 99 de 165
Instituto Nacional de Tecnologías de la Comunicación
7.4.5
Perfil 5. s
Los s, cada vez más familiarizados con el problema del correo no deseado, ponen en marcha medidas de protección que les permitan mitigar los efectos del spam. La instalación de programas antispam específicos o la activación de filtros integrados en los clientes de correo electrónico son las salvaguardas más comunes. La configuración adecuada de los productos antispam resulta en muchas ocasiones un inconveniente importante para los s; en este sentido, es necesario que los fabricantes realicen ciertas mejoras. Así mismo, se han podido identificar conductas preventivas de los s con mayor capacitación técnica: la no facilitación de la dirección de correo propia en foros descontrolados, la utilización de distintas cuentas de correo en función del entorno en el que se utilicen o la ocultación de los destinatarios (Blind Carbon Copy, BCC o Con Copia Oculta, CCO) en correos enviados a múltiples s.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 100 de 165
Instituto Nacional de Tecnologías de la Comunicación
8 RECOMENDACIONES Y PROPUESTAS 8.1
Tendencias previsibles y propuestas de mejora para las organizaciones y s
Los fundamentos tecnológicos del spam hacen prever que no podrá eliminarse a corto plazo. Es por ello necesario realizar un esfuerzo importante en cuanto a las mejoras de las medidas técnicas de protección, en concienciación y formación y también normativo para proteger a s y empresas. Todos los sectores afectados por este problema deben conocer la situación y naturaleza del spam y las políticas que pueden contribuir a reducirlo. Además, al tratarse de un problema global, es fundamental que las organizaciones sean conscientes de la necesidad de llegar a acuerdos y políticas conjuntas que ofrezcan soluciones de mayor calado y perdurabilidad. El resultado de las entrevistas realizadas y del grupo de trabajo detallan de manera independiente las recomendaciones más relevantes, estructuradas de la siguiente forma: •
Recomendaciones normativas. En base al análisis jurídico de la legislación española, ha sido posible identificar algunas recomendaciones normativas para la istración que pueden complementar la difícil regulación del fenómeno del correo electrónico no deseado en España.
•
Recomendaciones para empresas prestadoras de servicios o
Recomendaciones para empresas de marketing electrónico. Su objeto es fomentar la confianza en estas empresas, principalmente mediante el establecimiento de mejoras en su relación con los destinatarios de las informaciones comerciales.
o
•
Recomendaciones para empresas prestadoras de servicios de seguridad. El análisis ha puesto de manifiesto que existe un sector emergente de soluciones antispam en muchas empresas prestadoras de servicios de seguridad españolas. Estas recomendaciones pretenden ayudar en la identificación de necesidades por parte de las empresas y istraciones, así como mejorar los niveles de calidad de estos servicios.
Recomendaciones para s o
Recomendaciones para los sistemas de información de organizaciones: empresas y istración. Su objeto es mejorar el
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 101 de 165
Instituto Nacional de Tecnologías de la Comunicación
sistema de información (recomendaciones de carácter general) y el servicio de correo electrónico (recomendaciones específicas). El perfil de las empresas presenta muchas similitudes con el de la istración en cuanto al marco del spam. Por ello, se agrupa a las istraciones y las empresas en las recomendaciones, dado que las técnicas enumeradas son igualmente aplicables a los sistemas de información y servicios de correo electrónico de unas y otras. o
Recomendaciones para los s: Pymes e individuos. Los s son la pieza más importante para la resolución del problema del spam. Así mismo, se han encontrado deficiencias en la información consultada por muchos s. Estas recomendaciones tienen por objeto aumentar su conocimiento frente al fenómeno y dotarles de mecanismos que les permitan evitarlo.
8.2
Recomendaciones de carácter normativo: istración
Es justo señalar que el marco jurídico aplicable al fenómeno del correo electrónico no deseado en España se sitúa a la vanguardia de los regímenes jurídicos comunitarios y, a pesar de lo complicado del tratamiento de dicho fenómeno, refleja en su articulado su decidida convicción en la protección legal de todos los agentes involucrados en el mismo. Pese a lo anterior, para el actual sistema jurídico español se han identificado las siguientes recomendaciones de carácter normativo: a) En cuanto a la definición de comunicación comercial se podría incluir los nombres de dominio dentro de la definición de comunicación comercial, teniendo en cuenta que la función secundaria del nombre del dominio puede ser publicitaria (aparecen a menudo en los enlaces a las páginas web). b) En relación a la falta de definición de correo electrónico en la LSSICE en particular, y en todo el ordenamiento jurídico en general, así como a la necesaria extensión al ámbito comunitario, sería oportuna la inclusión de dicho concepto en la legislación española. c) Respecto a los requisitos que deben contener las comunicaciones comerciales, en concreto la necesidad de incluir al comienzo del mensaje la palabra “publicidad”, se podría concretar y exigir que el vocablo constara en el campo del mensaje dedicado a su título. d) En cuanto a la obligación de indicar en las comunicaciones comerciales la persona física o jurídica en nombre de la cual se realizan los envíos, sería más ventajoso para las empresas incluir también en el mensaje los datos del remitente
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 102 de 165
Instituto Nacional de Tecnologías de la Comunicación
efectivo, es decir, de los anunciantes, e incluso una dirección válida y funcional de correo electrónico con el objeto de dar una mayor transparencia al envío y confianza a los destinatarios. e) Por lo referente al envío de comunicaciones comerciales dentro de un proceso contractual, en el que no es necesario obtener el consentimiento por el remitente cuando promocione productos o servicios propios de características similares a los de la venta, se podría precisar dicha expresión genérica de “productos de características similares”, por ejemplo, similares en precio, en destino, en estilo, etcétera. f)
En materia de infracciones se debería especificar el concepto de “envío masivo de comunicaciones comerciales que contiene el artículo 38 LSSICE”; es decir, si se incluyen los envíos de muchos mensajes a un solo destinatario o de muchos mensajes individualizados a la vez.
g) En cuanto a la protección de datos, la LOPD sólo es aplicable a las personas físicas, a diferencia de la LSSICE, que protege tanto a las personas físicas como jurídicas. Por tanto, sería recomendable ampliar el ámbito de protección de la LOPD a las personas jurídicas. h) Respecto a la revocación del consentimiento en la protección de datos para la que no es necesaria la concurrencia de una causa justificada, a diferencia de lo que ocurre en la cesión de datos, se recomienda realizar la correspondiente reforma y unificar criterios. i)
Si se considera que se ha de proteger al destinatario de las comunicaciones comerciales no solicitadas por el carácter molesto de dichos envíos y lo que se trata es de prevenir la multitud de daños que se pueden causar, se hace recomendable plantear la regulación del spam en general y no exclusivamente de los correos publicitarios.
j)
8.3 8.3.1
Y, sobre todo, teniendo en cuenta las propias características de la Red, globalidad y universalidad, sería necesaria la consecución de acuerdos o tratados multilaterales (nacionales e internacionales), tal y como ha sucedido en otras materias en el ámbito de Internet, puesto que el mayor problema que se plantea en la lucha contra el spam es el origen del mismo. Recomendaciones para empresas prestadoras de servicios Recomendaciones para las empresas de marketing electrónico
Las empresas de marketing electrónico poseen ya un importante volumen de negocio; sin embargo, dada la gran potencialidad del sector, cabe esperar que su crecimiento en los Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 103 de 165
Instituto Nacional de Tecnologías de la Comunicación
próximos años sea significativo. A continuación se detallan algunas recomendaciones que puedan reforzar su posición: a) Generar confianza en clientes y destinatarios. Aunque el modelo de negocio de estas empresas tiene grandes diferencias con el spam, es conveniente transmitirlas tanto a empresas como a destinatarios esas diferencias y dar a conocer el respeto legal y ético que forma parte de las bases de su funcionamiento. b) Establecer las técnicas que permitan ajustar los contenidos anunciados a las necesidades de los destinatarios. Cuando los destinatarios reciben información que no se ajusta a sus necesidades, suelen reducir su confianza en las informaciones recibidas por esta vía. c) Facilitar y simplificar los medios puestos a disposición de los destinatarios para darse de baja de listas de envío de contenidos publicitarios. Este hecho conducirá también a una mayor confianza en los servicios ofrecidos por estas empresas. d) Fomentar las relaciones con empresas facilitadoras de servicios de correo electrónico (de telecomunicación, proveedores de servicios de Internet, de correo electrónico…), de forma que puedan facilitarse los cauces de llegada a los destinatarios de los correos electrónicos, por ejemplo mediante listas blancas comerciales. e) Agilizar la respuesta a las posibles reclamaciones o consultas de los destinatarios. Se trata de dotar a las comunicaciones comerciales de la información de o necesaria que permita que los s puedan transmitir sus reclamaciones o consultas a las empresas de marketing electrónico. 8.3.2
Recomendaciones para las empresas prestadoras de servicios de seguridad
Las empresas españolas complementan la oferta de las internacionales en el mundo de la seguridad informática. A partir de las entrevistas realizadas, cabe señalar algunas propuestas y recomendaciones para estas organizaciones: a) Consolidar el esfuerzo tecnológico. Los pasos dados por estas empresas hasta el momento están en la buena dirección y es conveniente mantener ese esfuerzo. b) Apoyar la calidad y efectividad de sus productos mediante certificaciones (o evaluaciones) de productos o servicios. Esto fomentará la mejora de los productos y permitirá ofrecer ventajas competitivas frente a otras compañías. Los agentes entrevistados han valorado de manera muy significativa estas certificaciones que, aunque no resultan definitivas, suponen un valor añadido para la compañía que las incorpora. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 104 de 165
Instituto Nacional de Tecnologías de la Comunicación
c) Desarrollar herramientas de seguridad para la protección del correo móvil. Las empresas y s están impulsando la expansión del correo móvil (en funcionamiento en la mayoría de los agentes entrevistados). La posibilidad de estar conectado en todo momento viene de la mano de la utilización de dispositivos móviles de reducido tamaño y, por ende, de prestaciones más limitadas. Los sistemas de recepción de correo proporcionan distintos servicios de seguridad para el correo electrónico móvil para proteger la comunicación entre el dispositivo y el servidor de correo o entre el emisor y el receptor de un mensaje. Debido a la previsible expansión de este tipo de comunicaciones, es conveniente fomentar la creación de soluciones de seguridad en esta área. d) Establecer mecanismos para el control de la emisión de correo por parte de ordenadores personales. Se han detectado técnicas de hacking en las que los spammers hacen uso de ordenadores personales de s anónimos para el envío masivo de spam. Los s atacados tardan cierto tiempo en detectar la intrusión en sus equipos y su utilización para el envío de correo no deseado. Deberían incluirse mejoras en algunas herramientas de protección de ordenadores personales para prevenir el uso no autorizado de los recursos del equipo, y estudiar soluciones a través de las cuales los propios proveedores de servicios de Internet (ISP) puedan ayudar en la alerta y detección de tales ataques. e) Aplicar en remoto sistemas antispam. Las particularidades técnicas del correo electrónico permiten que a través de la sencilla redirección en el servidor de DNS de la organización, todo su correo electrónico pueda ser redirigido para su filtrado a un prestador de servicios antispam remoto. Aunque ya existen compañías que ofrecen este servicio, conviene destacar sus ventajas tanto para prestadores del servicio como para clientes finales. f) Prever la evolución del spam. La constante mutación del correo electrónico no deseado provoca que los mecanismos empleados para su combate caduquen con celeridad. Es conveniente que las empresas desarrolladoras de productos y servicios de seguridad intensifiquen la investigación de forma que puedan responder con agilidad a las previsibles formas futuras del spam. g) Definir nuevos servidores de correo electrónico. Entre los agentes estudiados se han encontrado soluciones de seguridad que incorporan nuevos servidores de correo electrónico (frente a los usuales Postfix o Sendmail). La incorporación de mecanismos de protección de estos servidores es una vía de mejora que puede proporcionar productos interesantes, mediante el desarrollo de aplicaciones software que implementen mejoras de seguridad o con soluciones conjuntas de hardware y software que incorporen funcionalidades seguras para dichos servidores. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 105 de 165
Instituto Nacional de Tecnologías de la Comunicación
8.4
Recomendaciones para s
8.4.1
Recomendaciones para organizaciones: empresas y istración
Las recomendaciones se dividen en dos grupos: unas de carácter general, relativas al sistema de información, y otras relacionadas con el servicio de correo electrónico, que poseen un perfil más específico para la defensa frente al spam. Recomendaciones de carácter general La protección frente al correo electrónico no deseado debe fundamentarse en el mantenimiento de un nivel de seguridad aceptable para la organización. a) Actualización y mantenimiento de los sistemas de seguridad: la aplicación de mecanismos de protección precisa de la actualización constante y mantenimiento preventivo, de forma que puedan seguir siendo efectivos frente a las amenazas existentes. b) Establecimiento de una política de seguridad que determine sin ambigüedades las responsabilidades, mecanismos, condiciones y clasificaciones necesarias para el , almacenamiento, transmisión y eliminación de la información manejada en la organización. Esta política deberá ir acompañada de una estructura organizativa de gestión y un plan de seguridad que permitan desarrollar los objetivos establecidos. c) Establecimiento de un plan de recuperación de desastres y continuidad de negocio: en caso de que se materialice una amenaza que provoque disfunciones del servicio, es necesario disponer de un plan que establezca procedimientos y prioridades para la recuperación del servicio interrumpido. d) Establecimiento de planes de formación interna en aspectos relativos a la seguridad de la información: una de las salvaguardas con mayor efecto en la seguridad del sistema es la prevención de las amenazas mediante la impartición de cursos formativos que ayuden a concienciar a los empleados acerca de la importancia de su papel dentro de la seguridad del sistema de información. e) Accesibilidad de la información relativa a seguridad: es importante que la información sobre a esta materia sea accesible en todo momento para los empleados, de forma que pueda ser consultada de manera fácil. Una de las vías más utilizadas por los agentes entrevistados es la puesta a su disposición a través del servidor web de la organización.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 106 de 165
Instituto Nacional de Tecnologías de la Comunicación
Recomendaciones específicas sobre el servicio de correo electrónico a) Diseñar y aplicar políticas de uso del correo para empleados y para las empresas y los organismos con los que se relacionan: deben establecerse acuerdos de colaboración de los que se desprendan relaciones de confianza entre los servidores de correo de estas organizaciones y los servidores de terceros. b) Formar y difundir entre sus empleados información sobre cómo actuar frente al correo electrónico no deseado: a este respecto pueden resultar de utilidad las recomendaciones para s descritas en el apartado final de este capítulo. c) Evitar la publicación directa de direcciones de correo electrónico en sus páginas web, empleando mecanismos que eviten su recolección automática (harvesting) por los spammers. d) Cuando se ofrezcan servicios de creación de cuentas de correo para s a través de páginas Web, establecer mecanismos de protección que eviten su creación automatizada. En este sentido, el consorcio W3C (World Wide Web Consortium) posee información actualizada sobre las mejores técnicas aplicables, por ejemplo, aquellas basadas en tests de verificación visual. e) Cuando ofrezcan páginas Web desde las que enviar correos electrónicos, establecer mecanismos de autenticación previos para evitar que pueda realizarse ese envío de manera automática. Si no es posible establecer estos mecanismos, utilizar los comentados tests de verificación visual. f)
Evitar que los servidores de correo acepten el envío sin autenticación de s: cualquier servidor de correo sin protección puede ser utilizado por los spammers para, a través de él, enviar correo masivo (algunos de los agentes estudiados han tenido intentos de ataques en esta línea). Por ello, es aconsejable también sustituir los protocolos de y descarga de correo por protocolos seguros (por ejemplo, complementados mediante la aplicación del protocolo SSL (Secure Socket Layer).
g) Establecer salvaguardas proactivas en los servidores de correo: estos mecanismos de seguridad (listas grises, marco de trabajo SPF, etcétera) ofrecen la ventaja de que rechazan las conexiones de servidores de correo electrónico no deseado, por lo que estos correos no llegan a los buzones de los s. Ello supone, además de la protección de los s, beneficios en el sistema de información, pues se reducen los recursos computacionales, de almacenamiento y de red que serían necesarios si esos correos spam fueran eliminados con posterioridad.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 107 de 165
Instituto Nacional de Tecnologías de la Comunicación
h) Fomentar la activación de funcionalidades SPF 74 (Sender Policy Framework) en los servidores de nombres de dominio (DNS) de las organizaciones. La salvaguarda denominada SPF permite identificar a las máquinas autorizadas para el envío de correos electrónicos en cada dominio. Su funcionamiento precisa que las organizaciones integren registros SPF dentro de sus servidores DNS, permitiendo así resolver consultas de este tipo por parte de servidores de correo. i)
Establecer salvaguardas reactivas en servidores de correo y en clientes de correo: esta recomendación complementa a las dos anteriores, pues seguirá existiendo correo no deseado que consiga llegar a los buzones de los s y en ese momento deberán ser aplicadas medidas reactivas que los detecten (en el propio servidor o en el cliente de correo del ) y puedan filtrarlos.
j)
Recuperar falsos positivos: en ocasiones, algunos sistemas de protección consideran spam a mensajes legítimos. Este problema puede empeorar si el mensaje es eliminado directamente del buzón del y almacenado en una carpeta específica. Debido al alto porcentaje de spam recibido por los s, el contenido de esta carpeta se elimina periódicamente. Por ello, es conveniente que los es definan su caducidad de forma que permita la recuperación de estos falsos positivos (los valores temporales para esta caducidad en los agentes entrevistados van desde una semana a un mes). La determinación de ese tiempo debe tener en cuenta el perfil de empleado del que se trate, aumentando paralelamente a la responsabilidad de su cargo.
k) Controlar la redirección del correo electrónico por los empleados: en las entrevistas realizadas a los agentes se han identificado organizaciones donde muchos de sus s redireccionan su correo profesional a alguna cuenta de correo gratuito en Internet. Esto implica que todas las comunicaciones de correo electrónico de este sean reenviadas a un servidor que escapa del control de la organización, lo que perjudica a la seguridad de su sistema de información. Por ello, debe ser controlado por los es del sistema para determinar en qué condiciones y qué s pueden hacerlo. l)
74
Difundir entre los empleados información relativa a las salvaguardas antispam implantadas por la organización: este hecho contribuye a su concienciación sobre el problema del spam. En algunas de las organizaciones entrevistadas, los empleados pueden tomar decisiones acerca de la severidad de su filtro antispam. Aunque este hecho contribuye a la concienciación de los s, su aplicación, sin embargo, debe ser precedida de un esfuerzo formativo
El procedimiento técnico puede ser consultado en http://old.openspf.org/
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 108 de 165
Instituto Nacional de Tecnologías de la Comunicación
de la organización que asegure que los empleados conocen las implicaciones que la configuración de filtro antispam tiene. 8.4.2
Recomendaciones para s particulares: PYMES e individuos
Si bien es cierto que los s poseen una concienciación significativa del problema del spam, también lo es que en las entrevistas realizadas se ha podido detectar cierta desinformación, un conocimiento parcial del problema y una falta de referencias sobre fuentes de información fiables en aspectos de seguridad informática, en ocasiones, los s acuden a fuentes sin solvencia o poco acreditadas. Todo ello justifica los esfuerzos de formación, divulgación y concienciación llevados a cabo por las istraciones públicas. Sin embargo, y a pesar del los problemas que crea el spam, los s son cada vez más dependientes del correo electrónico; manejan diariamente un volumen importante de correos y parece claro que su uso seguirá aumentando de manera significativa. Por ello, una buena información, extraída de fuentes rigurosas y fiables, constituirá la base para el uso seguro y óptimo del correo electrónico. A continuación se detallan algunas recomendaciones y pautas a seguir: Recomendaciones de carácter general para los s particulares a) Aplicar normas básicas de seguridad, pues las amenazas de Internet hacen imprudente obviar cualquier tipo de protección para los ordenadores. Es indispensable mantener el equipo protegido, con los antivirus actualizados y con cortafuegos personales que detecten intentos de conexión no autorizados. b) Solicitar al proveedor de servicios de Internet (ISP) la aplicación de salvaguardas de seguridad. Ello permitirá disponer de un primer nivel de protección frente a las diversas amenazas. c) Uso compartido de ordenadores. Es muy habitual que un mismo ordenador sea utilizado por diversas personas, sobre todo en el ámbito familiar. Es importante que todos los s comprendan y apliquen las necesarias pautas de seguridad. Recomendaciones específicas sobre el correo electrónico para los s particulares a) Desconfiar de los correos que prometen interesantes beneficios, generalmente desproporcionados. Muchos correos no deseados prometen interesantes beneficios económicos, solicitan ayuda para personas u organismos en situaciones dramáticas, etcétera. Ante estos correos se debe actuar con la
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 109 de 165
Instituto Nacional de Tecnologías de la Comunicación
misma precaución que en el caso de que un desconocido planteara esta situación en la vida cotidiana. No hay mejor norma de seguridad que el sentido común. b) No responder nunca a un correo electrónico no deseado, por muy realista que parezca. Los spammers utilizan esta técnica para refinar las listas de correos, por lo que una respuesta provocará que la dirección sea considerada como válida y por lo tanto susceptible de envío o recepción de spam. c) Nunca visitar, o hacerlo con extrema precaución, direcciones web recibidas o incluidas en correos electrónicos. Mediante un sencillo clic, los spammers pueden recopilar diversa información relativa a una cuenta de correo, principalmente si la dirección de correo utilizada es válida. d) Nunca solicitar ser eliminado de una lista de distribución de correo en la cual no se ha inscrito. Seguramente, la intención del emisor será comprobar si la dirección de correo que está utilizando es válida. En ocasiones también pueden recibirse correos similares en los que se informa al receptor que se le va a imponer una multa o cargo a su cuenta a no ser que conteste a ese correo, o de que ha sido premiado. Su intención es idéntica y ante ellos debe actuarse de la misma forma: sin darle respuesta. e) Cuando se envía un correo a una lista de direcciones conocidas, utilizar la copia ciega (Bcc, Ccc), respetando así la privacidad de cada uno de los os. Si no se hace así, todas las direcciones del correo podrían ser recopiladas por spammers. f)
Mantener siempre activas las herramientas de filtro antispam. La utilización de esta herramienta en todo momento aporta dos beneficios: uno directo, el filtrado de los correos detectados como spam; y la adquisición de nuevos conocimientos por la herramienta, que cada vez será más certera, gracias a sus motores de aprendizaje.
g) No publicitar la cuenta de correo de manera directa en Internet. Utilizar técnicas que impidan su recolección automática (harvesting). Sustituir los símbolos más habituales del correo electrónico mediante el empleo de combinaciones de letras autoexplicativas, imágenes en lugar de texto, etcétera. h) Utilizar varias cuentas de correo electrónico y emplearlas en su entorno adecuado (laboral, personal, ocio…). Esto permitirá reducir la recepción de spam en algunas de ellas, a cambio de que las cuentas más expuestas reciban mayores cantidades de correo no deseado. En este último caso, la cuenta podrá eliminarse y ser sustituida por una nueva, y las cuentas provenientes de ámbitos con mayor
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 110 de 165
Instituto Nacional de Tecnologías de la Comunicación
nivel de seguridad (como el laboral) no podrán ser recolectadas por spammers en entornos más inseguros. i)
8.5
Si es posible, utilizar nombres para las cuentas de correo poco identificables. Los spammers utilizan métodos de generación automática de cuentas de correo (basados en nombres habituales, apodos, palabras de diccionario, etcétera). Por ello, cuando sea posible (por ejemplo, para la utilización en el ámbito familiar o de ocio), es conveniente escoger direcciones de correo difícilmente generables de manera automática. El papel de la industria
En este epígrafe hemos contado con la opinión de tres empresas del sector de la seguridad TIC que ofrecen productos y servicios para controlar y minimizar los efectos del spam. Según MessageLabs En el futuro el resto en la lucha contra el spam será el constante cambio de los códigos del spam, es por eso que los sistemas tradicionales basados en software o hardware, no serán capaces de atajar el problema del spam, ya que se trata de sistemas pasivos basados en firmas, es decir virus y spam conocido. Hay que tener en cuenta que el objetivo de los spammers es llegar a los s finales. Es por eso que continuamente van cambiando los códigos e incluso cambiando la dirección IP desde dónde emiten el spam. Desde MessageLabs entendemos que la mejor manera de atajar el problema del spam es atajarlo en la raíz del problema. En este sentido, mediante una gran cantidad de honeypots con los que cuenta es capaz de captar las direcciones IP desde donde se está emitiendo masivamente el spam, y a continuación proceder a la ralentización de los mensajes mediante dos técnicas: la gestión del tráfico y la gestión de conexión. Así, cabe destacar que MessageLabs en marzo de 2008 se han procesado una media de 3.900 Millones de conexiones SMTP al día, de las cuales el 22,3 % fueron devueltas a los spammers a través de la ralentización por gestión del tráfico y por otra parte el 47,7 % era proveniente de botnets. Por tanto se puede afirmar que el mejor sistema para abordar el problema del spam en el futuro será mediante sistemas reactivos y externalizados, que permitirán a las empresas estar completamente protegidas contra las amenazas de los virus, el spam y el phishing, y con unos compromisos de servicio (SLA) inmejorables.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 111 de 165
Instituto Nacional de Tecnologías de la Comunicación
Según Spamina El correo electrónico no solicitado, también conocido como spam, se ha convertido en los últimos años en un problema que afecta seriamente al correo electrónico en general como medio de comunicación, tanto a nivel de empresas, como de instituciones y s particulares. El correo electrónico es un medio de comunicación rápido, eficaz y de bajo costo, que como consecuencia de los avances tecnológicos y de la masificación de los mismos, se ha convertido en una herramienta fundamental para la agilización de las comunicaciones entre individuos, así como también de muchos procesos industriales. En este contexto apareció el spam como una forma económica de publicidad por un lado, y por otro lado, como un peligroso medio de contagio y propagación de software maligno que, sin el consentimiento del , realiza actividades ilícitas o perjudiciales (conocidos en forma general como códigos maliciosos). En este sentido, el spam responde a un modelo de contaminación del espacio de las comunicaciones que, si prosiguiera su evolución sin que se tomen medidas al respecto, podría acabar con todas las ventajas que el correo electrónico ofrece, y por lo tanto, con el correo electrónico mismo. Actualmente más del 90% del correo electrónico que circula por la Internet es spam. Entre los riesgos y costes más importantes que introduce spam se pueden citar los siguientes: •
Espionaje industrial y recolección ilícita de datos. Los virus informáticos que se propagan a través del spam pueden ser utilizados para tomar en forma ilícita información sobre s y empresas, revelando información personal y secretos industriales o comerciales de las empresas a terceros.
•
Terrorismo informático. Los virus también pueden ser utilizados para atentar contra grandes sistemas informáticos, provocando su mal funcionamiento o incluso su destrucción, mediante una técnica conocida como 'Ataque de denegación de servicio distribuido' (DDoS), entre otras.
•
Incremento de los costos de comunicación. Como consecuencia del gran tráfico de datos que provoca el spam, las empresas y proveedores de Internet o aplicaciones en línea se ven obligados a contratar canales de comunicación de mayor velocidad, y servidores más potentes con el fin de poder procesar el correo electrónico.
•
Pérdida de tiempo y riesgo de pérdida de información. Cuando los s reciben una gran cantidad de correo electrónico, de la cual solo una pequeña parte es útil, se ven obligados a revisar y separar el correo útil del spam, perdiendo mucho tiempo en el proceso y corriendo el riesgo de eliminar accidentalmente información útil.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 112 de 165
Instituto Nacional de Tecnologías de la Comunicación
Las técnicas disponibles para combatir el spam pueden clasificarse en tres grandes grupos: 1. Técnicas de precaución o 'precavidas'. Son todas aquellas técnicas que buscan convencer a las personas/empresas que generan spam (conocidos como spammers) de no hacerlo. Normalmente se utilizan recursos legales a tal fin, como son las políticas de uso aceptable, cuya violación en algunos países es penada con grandes multas o incluso con cárcel. La dificultad más grande que poseen estas técnicas es la naturaleza internacional del correo electrónico y de la Internet en general, que hace que sea muy difícil que exista un marco legal uniforme para juzgar y condenar a los spammers. Por otro lado, los spammers utilizan avanzados recursos técnicos para ocultar su identidad, lo que en muchos casos los hace prácticamente imposibles de identificar. 2. Técnicas reactivas. Son aquellas técnicas que buscan separar automáticamente los correos provenientes de spammers de aquellos que son genuinos. Normalmente se utilizan clasificadores basados en el análisis del contenido del correo electrónico, a fin de encontrar patrones que delaten la naturaleza spam del mismo. Estas técnicas son costosas y muy imprecisas. Es necesario recibir el correo para poder analizarlo por lo que el canal de comunicación y el espacio en los servidores se consume de todas formas. Además, las técnicas de inteligencia artificial que se utilizan para clasificar el correo consumen mucho poder de procesamiento, y no son exactas. Los errores que cometen los clasificadores pueden causar que un correo legítimo sea clasificado como spam, conocido como 'falso positivo', y por lo tanto generar pérdidas de información. 3. Técnicas proactivas. Son aquellas técnicas que buscan identificar o desalentar al spammer en el momento en que se conecta al servidor de correo para transmitir los mensajes. Para identificar el origen del spam se utilizan, entre otras cosas, grandes listas normalmente públicas, que se pueden consultar cada vez que se recibe una conexión a fin de rechazarla directamente, evitando el uso innecesario del canal de comunicación y de los recursos de los servidores. Para desalentar al spammer se utilizan técnicas que lo obligan a reintentar varias veces antes de aceptarle los correos, de forma tal que el costo de envío se incremente para el spammer. Estas técnicas presentan el problema de que actualmente existen muchos orígenes de correo electrónico genuino que, por no respetar las normas técnicas que rigen el correo electrónico, son confundidos con spammers, por lo que sus correos no pueden ser entregados. Este efecto genera incomunicación en muchos casos en que este problema no es atendido con la suficiente celeridad. s particulares, instituciones y empresas disponen de dos grandes formas de paliar el flagelo del spam: Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 113 de 165
Instituto Nacional de Tecnologías de la Comunicación
a) Usar herramientas disponibles públicamente. Cualquier , institución o empresa puede utilizar herramientas disponibles públicamente para reducir el spam. Estas herramientas se basan normalmente en algunas de las técnicas mencionadas arriba, y poseen un buen desempeño. Sin embargo, se debe destacar que no existe una solución de punto final para el spam, dado que los spammers evolucionan constantemente con el fin de superar estas herramientas. Por esta razón el interés y el trabajo necesario para tener un buen resultado es un proceso continuo que requiere de atención permanente. b) Contratar a una empresa especializada. Las empresas especializadas, como Spamina, utilizan una combinación de herramientas y técnicas que está sujeta a constante revisión, investigación y mejora a fin de que sus clientes no deban invertir tiempo ni esfuerzo en la lucha contra el spam. En este caso, el correo es recibido y procesado por la empresa especializada, entregando solamente el correo útil a sus clientes. Este servicio puede prestarse a través de un servidor central, sito en las dependencias de la empresa especializada, que luego transmite el correo útil al servidor del cliente, o bien mediante un servidor especialmente armado que se instala en la dependencia del cliente, antes de su servidor de correo. Normalmente se elige una forma u otra en función del tamaño, infraestructura y política del cliente. La inclinación por resolver el problema por medios propios, o contratar una empresa especializada depende fundamentalmente de la naturaleza del , institución, o empresa. Un cuidadoso análisis de costo-beneficio para cada caso en particular es sin duda la mejor forma de elegir.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 114 de 165
Instituto Nacional de Tecnologías de la Comunicación
9 CONCLUSIONES Ante el uso indiscriminado del correo electrónico en comunicaciones no deseadas comerciales o fraudulentas, que suponen un claro impacto y amenaza para las organizaciones y particulares, el Observatorio de la Seguridad de la Información de INTECO se ha implicado en la realización de este estudio sobre el spam. Se ha pretendido dar una visión cualitativa y cuantitativa del fenómeno, con especial atención a la situación actual en España, y analizarlo desde los planos tecnológico, social y jurídico. Con este fin, se han desarrollado trabajos de análisis e investigación, estimando el impacto que el spam tiene en las empresas y s, analizando de manera cuantitativa y cualitativa la percepción del mismo y, finalmente, estableciendo recomendaciones y propuestas conducentes a la minimización de sus efectos. Partiendo de los aspectos técnicos relacionados con el spam, destaca la incesante transformación a la que se encuentran sometidas las técnicas empleadas por los spammers, por lo que es igualmente necesaria la mejora de las soluciones antispam para que sigan siendo efectivas. A esto se añade la utilización de redes de ordenadores zombies, las llamadas botnets, en las que se incluyen miles de equipos comprometidos y se derivan las responsabilidades del spam enviado. La evolución de los tipos y nuevos medios por los que se envía el spam, a través de telefonía móvil, Voz sobre IP o mensajería instantánea, confirma que las técnicas empleadas por los spammers son cada vez más ingeniosas y sofisticadas, persiguiendo ir un paso por delante y sortear las protecciones antispam. La problemática del spam ha hecho surgir el debate sobre qué correos electrónicos pueden considerarse spam y cuáles no. Aunque las listas de distribución y el propio spam tienen en común el envío de un volumen grande de correos, existen dos mecanismos básicos para el control y diferenciación de estos envíos: la opción de aceptación, o sistema opt-in, previa a la primera comunicación, y la opción de cancelación u opt-out en cada comunicación. Estos sistemas, que ya están regulados normativamente, exigen el consentimiento del de modo explícito, incluso mediante una doble confirmación, además de ofrecer la opción de cancelación de los correos que el está recibiendo. Fuera de esta validación, todo correo masivo se entiende como spam. En este sentido, los expertos señalan el desajuste entre países con sus correspondientes marcos jurídicos que dificultan la focalización nítida del problema. La simple diferencia entre los sistemas opt-in u opt-out según la parte del globo de que se trate puede abrir brechas en un problema que no conoce fronteras. Teniendo en cuenta las propias características de la Red, globalidad y universalidad, sería necesario la consecución de Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 115 de 165
Instituto Nacional de Tecnologías de la Comunicación
acuerdos o tratados multilaterales (nacionales e internacionales), puesto que los mayores problemas que se plantean en la lucha contra el spam radican en el origen del mismo. No hay que olvidar, por ejemplo, que en la mayoría de las ocasiones el spam recibido procede de fuera de nuestro país y, en consecuencia, extralimita nuestro marco jurídico y escapa a su persecución y sanción. Dentro del marco legal del spam, los expertos juristas reafirman y destacan la encomiable labor del cuerpo jurídico español en defensa de los ciudadanos y organizaciones ante un problema tan complejo, que se desarrolla en un contexto no menos complejo como el de Internet como piedra basal de la Sociedad de la Información. Señalan así las medidas de carácter normativo, como la LOPD (Ley Orgánica de Protección de Datos de Carácter Personal), la LSSICE (Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico) y, con un carácter más amplio, la Ley General de Telecomunicaciones. Como novedad del estudio, se han obtenido resultados acerca del impacto económico y social del spam. Hay que reseñar la dificultad metodológica que plantea analizar información de este tipo, tanto de las empresas como de los s domésticos; reside en realizar estimaciones sobre datos de inversión realizada para mitigar el fenómeno del spam. En este sentido se han analizado fuentes documentadas ya existentes para comparar metodologías. Desde INTECO se considera que el coste económico para una empresa, basado en el coste por trabajador y tiempo de trabajo, como consecuencia del spam, se puede estimar en 165 €/año por trabajador en el año 2006 y de 179€/año en 2007. Resulta necesario también destacar los resultados obtenidos sobre el impacto social del spam. Las cifras indican que este tipo de incidencia es más frecuente que otros, como el phishing o incluso el malware. Los s colocan a la publicidad como el mayor problema de Internet, tanto la que se emite en ventanas emergentes (pop-ups) como la recibida en el correo spam. La mayor consecuencia es que el spam ha generado una desconfianza relativa entre los s habituales del correo electrónico; sin embargo no ha podido constatarse una reducción de su uso. Los expertos ponen el acento en la necesidad, entre otras, de la inclusión de la definición de correo electrónico, así como de la matización de conceptos como el de “envío masivo de comunicaciones comerciales" del artículo 38 LSSICE, que en ocasiones puede derivar en una interpretación desacertada. En cuanto a las comunicaciones comerciales por correo electrónico, indican las ventaja que podría suponer incluir ciertas modificaciones en estas comunicaciones para dar una mayor transparencia al envío y confianza a los destinatarios.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 116 de 165
Instituto Nacional de Tecnologías de la Comunicación
En el plano cuantitativo, el estudio ha contemplado un conjunto de mediciones, tanto a nivel internacional como incluyendo a España como sujeto activo y pasivo y su relación con el spam. La situación internacional viene marcada por una evolución creciente del volumen de spam, su tipología y los efectos negativos causados en los últimos años, con el resultado de que tres de cada cuatro correos que se envían a través de la Red son spam, aunque en los últimos meses se ha producido un movimiento de estabilización. El país que más spam emite es EE.UU., con un volumen del spam mundial (22,5%) muy superior al de Corea del Sur, que ocupa la segunda posición (6,5%). En el lado contrario, los países que más spam reciben son Israel y Hong Kong. Por otra parte, se añade su vinculación con otros ataques, como la propagación de códigos maliciosos (virus, troyanos) o servir debase al fraude online (phishing). Los efectos del spam en las comunidades de s de Internet son cada vez más importantes y su impacto es todavía más difícil de cuantificar. Analizando la situación de España, se extraen las siguientes conclusiones: − El volumen de correo no deseado con origen y destino en España ha aumentado significativamente en los últimos años. − El 84,6% de los mensajes de correo en circulación analizados por INTECO son identificados como spam. − En cuanto a la generación de spam, España se posiciona en el undécimo lugar a nivel mundial desde 2006, por detrás de Estados Unidos, China, Corea del Sur y Francia. Mientras en los tres primeros países se han reducido progresivamente los niveles de emisión, en España se ha doblado la cifra de generación de spam en menos de un año y continúa en aumento. − El correo no deseado recibido en España tiene como origen fundamentalmente tres zonas geográficas: EE.UU., Europa del Este y Asia, si bien la tendencia es creciente en cuanto a spam procedente de países latinoamericanos. Al mismo tiempo, a través de este informe se ha pulsado el estado de opinión del sector y de los s, esencialmente en empresas, con la finalidad de alinear futuras iniciativas privadas y públicas orientadas a frenar el avance de esta práctica ilícita. El fenómeno de spam subsistirá frente a cualquier sofisticada solución tecnológica mientras las prácticas de s y organizaciones no sean reconducidas hacia un uso adecuado de las tecnologías de la información y, en concreto, el empleo responsable del correo electrónico.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 117 de 165
Instituto Nacional de Tecnologías de la Comunicación
Siguiendo en esta línea, el informe ha señalado las opiniones de los expertos en cuanto a las actuaciones que conviene tener presentes en la protección global frente al spam. Así, se hace necesario insistir en los siguientes puntos: − La motivación hacia la formación de s y organizaciones prevalece como mejor herramienta para prevenir el ser víctima o involuntario actor de un posible ataque de spam. − La adecuada gestión de seguridad de los sistemas de información, en la que debe contemplarse el establecimiento de una política de seguridad que determine sin ambigüedades las responsabilidades, mecanismos, condiciones y clasificaciones necesarias para el , almacenamiento, transmisión y eliminación de la información manejada en las organizaciones. − El diseño y aplicación de políticas de uso del correo electrónico en toda la estructura de las organizaciones, así como en aquellas otras entidades públicas o privadas con las que se establecen relaciones istrativas o comerciales necesarias para el desarrollo de su actividad. − La aplicación de sencillas medidas preventivas ante hábitos inadecuados como el de la publicación directa de direcciones de correo electrónico en las páginas web corporativas o el empleo de servicios de correo vía web (web mail) sin políticas de uso bien diseñadas. − El establecimiento de protecciones proactivas (listas grises, marco de trabajo SPF, etcétera) en los servidores de correo, en combinación con salvaguardas reactivas en ellos y en los propios clientes de correo. Expertos en seguridad de la información concluyen con un conjunto de aspectos particulares que deberían sumarse a los anteriores en aras de conseguir soluciones globales y robustas al spam. En este sentido, destacan: − Impulso decidido hacia la calidad y efectividad en los sistemas, mediante certificaciones o evaluaciones de productos o servicios antispam. − Demanda de esfuerzo en la consolidación tecnológica, desarrollando herramientas y mecanismos más potentes que permitan mayor control, por ejemplo, en la emisión de correo desde ordenadores personales, sin olvidar la especial atención que requieren tendencias como la del correo electrónico móvil, irremisible a corto plazo. Si bien para las grandes empresas, multinacionales en algunos casos, suele existir un sistema de información centralizado que da servicio a las distintas delegaciones de la Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 118 de 165
Instituto Nacional de Tecnologías de la Comunicación
compañía y los servicios antispam son gestionados de manera interna y centralizada, algunos expertos apuntan a un nuevo e interesante nicho de mercado para empresas dedicadas a la seguridad de la información y comunicaciones. Ante el volumen de correo no deseado, pueden pasar de centrarse en productos de tipo reactivo ante el spam (software antispam en el lado del cliente) a otras medidas proactivas de protección que permitan rechazar los correos electrónicos no deseados en el servidor de correo mediante una estrategia basada en la externalización del servicio. De esta manera, dicho servicio es proporcionado por personal técnico cualificado y dedicado exclusivamente a la seguridad de correo. Esto tiene especial incidencia en pequeñas y medianas empresas, que de esta manera evitan la constante actualización de equipos o software de seguridad para el control del correo y optimizan el empleo de su personal para el objeto central de su negocio. Estas medidas se aplican cuando se constata un nivel adecuado de seguridad y calidad del servicio por parte de la empresa externa y bajo un acuerdo contractual que preserve la seguridad de los datos manejados. Hay que tener en cuenta que, más allá de los s particulares, son los empleados de las pequeñas y medianas empresas, sin una solución adecuada frente al spam, las que sufren este fenómeno en términos de productividad, pues invierten un tiempo nada despreciable en eliminar y filtrar el correo no deseado o recuperar falsos positivos. De otro lado, los responsables de empresas de marketing electrónico ponen el acento en la relevancia e impacto del spam en el desarrollo de su actividad empresarial. Dado que el ejercicio de su modelo de negocio requiere del envío lícito de correos masivos, este debe quedar bien diferenciado del spam, para poder llegar a sus clientes soslayando las medidas antispam establecidas por las estafetas de correo que les dan servicio. Los mecanismos antispam pueden afectar al envío de correos legítimos desde estas empresas, por lo que sus responsables han puesto en marcha estrategias para asegurar su actividad, contribuyendo activamente a la protección y reducción del impacto del correo no deseado. Los expertos señalan como fundamentales las siguientes líneas de actuación: − Establecer acuerdos con las grandes empresas que ofrecen servicios de correo electrónico y con proveedores de servicios de Internet para que permitan el envío de estos correos, basados en la elaboración de listas blancas. − Compromiso frente a las posibles quejas o reclamaciones de s, que son también víctimas y parte perjudicada en esta relación comercial y que como clientes esperan actitudes de solvencia y garantía de la empresa de marketing. − Esfuerzos en la divulgación de su modelo de negocio y de los aspectos legales que diferencian el correo propio del marketing electrónico del spam. En tanto que el Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 119 de 165
Instituto Nacional de Tecnologías de la Comunicación
marco jurídico español vela por el derecho de estas empresas a realizar su actividad comercial, las mismas trabajan por el refuerzo y cumplimiento de la legislación española en lo referido a sus intereses. Las conclusiones de los expertos consultados en el informe y procedentes de distintos sectores señalan la labor fundamental en la mitigación del spam que deben desarrollar las istraciones públicas: iniciativas de concienciación, formación, evaluación, protección, coordinación y organización de los diferentes agentes que se enfrentan a este problema.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 120 de 165
Instituto Nacional de Tecnologías de la Comunicación
ANEXO I: MARCO JURÍDICO DEL CORREO ELECTRÓNICO NO DESEADO (SPAM): NORMATIVA APLICABLE, INFRACCIONES, SANCIONES Y CASOS PRÁCTICOS I
Introducción
El correo electrónico no deseado (o spam) en la forma de comunicaciones comerciales a través de este medio es un instrumento de promoción empresarial y una actividad publicitaria en sí misma, que se ha convertido en una de los métodos de marketing más utilizados por las empresas. Pero el ejercicio abusivo y agresivo de dichas técnicas ha supuesto la reacción del legislador, promulgando una normativa específica para proteger a los consumidores y s. Junto con la regulación de su contenido, dirigida a hacer de ellas actividades veraces y transparentes, se procura que las comunicaciones comerciales enviadas a través de Internet sean totalmente identificables como tales y que se haga un uso lícito de los datos personales utilizados para preparar las promociones a través del correo electrónico. Las comunicaciones comerciales enviadas a través de la Red ofrecen innumerables ventajas, pero también ciertas incertidumbres jurídicas que precisan del establecimiento de un marco jurídico adecuado. Diariamente estas prácticas de difusión comercial masiva son poco respetuosas con el derecho a la intimidad y a la privacidad de las personas; en particular, las intromisiones no deseadas y la difusión de datos personales con finalidad comercial, fuente de gran parte de las ofertas y publicidad no deseada. Estas prácticas suelen ir acompañadas con relativa frecuencia de una violación de la normativa vigente en materia de protección de datos, ya que para formar una base con direcciones de e-mail no cuentan con el consentimiento de los titulares de dichos datos. En cualquier caso, es necesario recordar que este tipo de publicidad no puede suponer en modo alguno un menoscabo de los derechos y legítimos intereses de sus destinatarios, al igual que ocurre con el resto de formas de publicidad que se realizan a través de otros medios. Por todo ello, en el presente informe se intenta plasmar el régimen jurídico de las comunicaciones comerciales vía electrónica en su conjunto, desde su definición y normativa aplicable, pasando por los requisitos que los empresarios deben cumplir para enviar comunicaciones que no hayan sido solicitadas por los destinatarios de las mismas, hasta el sistema de responsabilidad correspondiente a las infracciones cometidas y daños ocasionados en la materia y desde un punto de vista amplio, ya que no se estudiará sólo la legislación española sino el origen de la misma, que se encuentra en el ámbito comunitario Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 121 de 165
Instituto Nacional de Tecnologías de la Comunicación
(la protección de los consumidores es uno de los principios básicos de la Unión Europea, recogido como política autónoma en el artículo 153 del Tratado de la Comunidad Europea). I.1
Objeto
El presente anexo es un complemento al Estudio sobre la situación, naturaleza e impacto económico del spam para ciudadanos y empresas en lo que al marco legal se refiere. Hasta el momento son pocas las referencias especializadas en esta materia, aun cuando su importancia en la mitigación de los efectos de las comunicaciones electrónicas no deseadas y el fenómeno del spam es muy significativa. Las peculiaridades de la concreción en la terminología y definiciones empleadas por la normativa, la garantía de los derechos y obligaciones de los destinatarios y entidades emisoras de correo masivo, la protección de datos personales involucrada, así como el régimen sancionador aplicable son detalladas en los próximos epígrafes. Se completa este anexo con casos de estudio sobre sentencias recientes en el panorama nacional, que arrojan datos prácticos sobre la aplicación de la ley y reflejan las bondades y carencias del régimen jurídico en España frente a la problemática económico-social asociada al spam. I.2
Consideraciones previas sobre el correo electrónico no deseado (spam)
Se puede afirmar que el spam es una adaptación a la nueva Sociedad de la Información de la tradicional propaganda enviada por correo postal, debido a las similares molestias que ambos presentan. En cuanto al concepto de spam, en la actualidad no existe ni en la doctrina ni en el Derecho comparado unanimidad a la hora de determinarlo, entendiéndose, en términos generales, como todo aquel e-mail no solicitado que llega a los buzones de correo electrónico, independientemente del tema que trate. A modo de ejemplo, se debe señalar que en ocasiones se define spam como aquellos correos electrónicos comerciales no solicitados y masivos no solicitados procedentes de una misma persona. Incluso intentando concretar la definición de spam, lo que resulta común en ambos casos es que se trata de correos electrónicos no solicitados, pero dicha condición, aun siendo necesaria, no es requisito suficiente para considerarlo como tal, pues el rasgo que lo cualifica es su carácter comercial o la cantidad enviada. En el ordenamiento jurídico español los correos electrónicos no deseados de contenido no comercial no han tenido un tratamiento legal, ya que la legislación española se ha centrado única y exclusivamente en la regulación del que se podría denominar spam comercial, correos electrónicos comerciales no deseados o comunicaciones comerciales no solicitadas. Precisamente sobre este último término gira la regulación española, tal y como se verá más adelante.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 122 de 165
Instituto Nacional de Tecnologías de la Comunicación
Por todo ello, se llega a la conclusión que no se puede confundir el término genérico de spam con la prospección comercial no solicitada de las empresas, que no siempre es spam, ya que está permitido enviar comunicaciones comerciales no solicitadas cuando se cumple la normativa vigente. En consecuencia, se realiza un exhaustivo estudio, únicamente, de las comunicaciones comerciales no solicitadas. II
Marco jurídico aplicable al fenómeno del spam en España
II.1
Definición de las comunicaciones comerciales vía electrónica
A pesar de que las comunicaciones comerciales podrían ser entendidas como todo aquel mensaje publicitario destinado a impulsar una actividad comercial a través de cualquier medio de comunicación, se debe atender estrictamente a su definición legal que se recogió, por primera vez, en la letra f) del artículo 2 de la Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la Sociedad de la Información, en particular del comercio electrónico en el mercado, más conocida como Directiva sobre Comercio Electrónico (en adelante DCE). En dicho apartado se pueden diferenciar claramente dos partes. Por un lado, señala que se entiende por comunicación comercial “todas las formas de comunicación destinada a proporcionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesiones reguladas”. Por otro lado, completa la citada definición con aquellas actividades que no se consideran como tales; en concreto, no se consideran comunicaciones comerciales ni los datos que permitan acceder directamente a la actividad de la empresa, organización o persona y, en particular, el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, servicios o a la imagen de la empresa, organización o persona elaboradas de forma independiente a ella, en particular cuando se realicen sin contrapartida económica. En el ordenamiento jurídico español, la Ley 34/2002 de Servicios de la Sociedad de la Información y Comercio Electrónico, de 11 de julio, denominada Ley de Comercio Electrónico o LSSICE, que traspone la mencionada Directiva, recoge en el párrafo f) del Anexo el concepto de comunicación comercial en el mismo sentido al indicado anteriormente. El legislador español define las comunicaciones comerciales como “toda forma de comunicación dirigida a la promoción directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional”, excluyendo de tal definición “los datos que permiten Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 123 de 165
Instituto Nacional de Tecnologías de la Comunicación
acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezcan cuando sean elaboradas por un tercero y sin contraprestación económica”. Por tanto, se excluyen del concepto de comunicaciones comerciales las actividades desarrolladas por terceros sin encargo del titular de los bienes o servicios y sin remuneración, los enlaces a páginas web de contenido publicitario o la indicación de direcciones de correo electrónico. Aunque no se mencionan explícitamente, quedarían excluidas del concepto de comunicaciones comerciales todas aquellas menciones que gozan de carácter informativo, ausentes de toda finalidad comercial o empresarial como la propaganda institucional, política y religiosa. En consecuencia, tanto la Directiva como la LSSICE, al hacer referencia a la expresión "toda forma de comunicación", abogan por un concepto muy amplio de comunicación comercial en el que se incluyen todas las comunicaciones comerciales emitidas online, salvo las excepciones analizadas, independientemente de la forma y el formato que los mensajes reciban (gráfico, audio, audiovisual). II.2
Normativa aplicable
Las comunicaciones comerciales vía electrónica no sólo se regirán por la LSSICE, sino que se aplicarán otras normas, tal y como lo establece el artículo 19 LSSICE, que especifica leyes aplicables a las mismas: la propia LSSICE, su normativa y la vigente en materia comercial y de publicidad, así como la normativa de protección de datos. Por tanto, cuando se envíen comunicaciones comerciales será de aplicación la Ley 34/1988, de 11 de noviembre, General de Publicidad (en adelante, LGP), que delimitará la ilicitud de las actividades publicitarias, el artículo 20 LSSICE y, supletoriamente, el Título II de la Ley 7/1996, de 15 de enero, de Ordenación del Comercio Minorista (LOCM) en lo referente a la modalidad y contenido de las comunicaciones como actividad de promoción o marketing; la Ley 26/1984, de 19 de julio, General de Defensa de los Consumidores y s (en adelante, LGDCU), y la Ley Orgánica de Protección de Datos (LOPD) en lo que concierne al tratamiento de datos personales. II.3
Sujetos protegidos
El envío de comunicaciones comerciales es un servicio de la Sociedad de la Información cuyos destinatarios son personas físicas o jurídicas. La LSSICE ampara tanto a las personas físicas como a las personas jurídicas destinatarias del servicio frente al envío de comunicaciones comerciales no solicitadas.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 124 de 165
Instituto Nacional de Tecnologías de la Comunicación
II.4
Las comunicaciones comerciales no solicitadas
Como ya se expresa en la introducción de este informe, uno de los motivos esenciales en el estudio de la situación actual del envío de comunicaciones comerciales vía electrónica es el problema que supone la recepción de correos electrónicos no solicitados. Por tanto, al suponer en principio una actividad molesta para sus destinatarios, el legislador español ha establecido unos requisitos, que se procede a analizar, para poder enviar comunicaciones comerciales no solicitadas válidamente. II.4.1
La regulación en el derecho español
El párrafo primero del artículo 13 de la Directiva 2002/58/CE, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, establece que sólo se podrá autorizar la utilización de sistemas de correo electrónico con fines de venta directa respecto de aquellos abonados que hayan dado su consentimiento previo, es decir, se llegó a la postura más beneficiosa para el destinatario estableciendo el sistema conocido como opt-in. La elección de dicha modalidad por el legislador comunitario, e intrínsecamente por el español, es importante, ya que supone apartarse del sistema americano que prohíbe el envío de mensajes por correo electrónico cuando el destinatario haya manifestado previamente su oposición a ello, es decir, el denominado sistema opt-out. Continuando con la regulación en nuestro ordenamiento jurídico, el artículo 21 LSSICE establece que queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. En primer lugar, se deberá saber cuándo se deben cumplir los mismos, es decir, a través de qué medios de comunicación queda prohibido el envío de comunicaciones publicitarias o promocionales. De la lectura del artículo se deducen dos medios a través de los cuales quedará prohibido el envío de comunicaciones comerciales no solicitadas en el supuesto de que no se cumpla cada uno de los requisitos señalados en la normativa: a) El correo electrónico. b) comunicación electrónica equivalente.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 125 de 165
Instituto Nacional de Tecnologías de la Comunicación
Así, el correo electrónico, que se presenta como uno de los medios de comunicación señalados por la ley para remitir comunicaciones comerciales no solicitadas, resulta de especial interés a los efectos del presente informe. El ordenamiento jurídico español no contiene ninguna definición de correo electrónico, puesto que la LSSICE no la recogió dentro de su amplio anexo de definiciones. Por tanto, se debe acudir al artículo 2 h) de la Directiva 2002/58/CE, donde se define como “todo mensaje de texto, voz, sonido o imagen enviado a través de una red de comunicaciones pública que pueda almacenarse en la red o en el equipo terminal del receptor hasta que éste acceda al mismo”. En cuanto al segundo aspecto, se incluye en la expresión “comunicación electrónica equivalente” el envío de mensajes mediante telefonía móvil, y se excluyen los servicios de telefonía vocal, fax o télex. II.4.2
El consentimiento en el envío de comunicaciones comerciales no solicitadas
El artículo 21.1 LSSICE establece la prohibición de enviar comunicaciones comerciales publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. Por tanto, el ordenamiento español obliga a las empresas a que las comunicaciones electrónicas hayan sido previamente solicitadas por los destinatarios de las mismas o a solicitar el consentimiento expreso de los destinatarios de los mensajes. En consecuencia, en cuanto al primer supuesto de que las comunicaciones hayan sido solicitadas no se plantea ningún problema, a diferencia de lo que ocurre con el segundo supuesto, que se procede a analizar. El consentimiento expreso Es precisamente en la obtención del consentimiento donde se encuentran los principales problemas para el envío de comunicaciones comerciales, debido a que en la práctica las empresas no suelen solicitar el consentimiento expreso, sino que ofrecen simplemente la posibilidad de darse de baja del servicio enviando un mensaje de correo electrónico o accediendo a determinados enlaces. Esto, obviamente, no supone dar autorización expresa para recibir comunicaciones comerciales no solicitadas, sino un consentimiento tácito. Para obtener el consentimiento de los destinatarios de las comunicaciones comerciales, las empresas utilizan distintos métodos, entre los que se pueden destacar:
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 126 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Las casillas marcadas previamente.
•
Las llamadas casillas seleccionables.
•
La doble manifestación del destinatario de las comunicaciones comerciales confirmando su inscripción mediante el envío de un mensaje automático a su buzón.
En conclusión, la exigencia del consentimiento expreso que establece la LSSICE aumenta de modo muy importante las restricciones para el remitente de la comunicación comercial y las garantías para el destinatario, además de introducir un plus de exigencia respecto de la LOPD, que únicamente exige un consentimiento inequívoco, puesto que la LSSICE no permite itir el consentimiento tácito e implícito en el envío de comunicaciones comerciales no solicitadas. En la práctica, las empresas remitentes de comunicaciones comerciales no solicitadas ya no pueden enviar correos electrónicos que ofrezcan al destinatario la posibilidad de no recibir más promociones no solicitadas, como ocurría hasta la entrada en vigor de la LSSICE. El consentimiento incluido dentro de un proceso contractual En la mayoría de ocasiones los destinatarios de las comunicaciones comerciales son los clientes de las empresas remitentes, y en este supuesto se excluye el requisito del consentimiento expreso, tal y como establece el párrafo segundo del artículo 21 LSSICE, que afirma que no será de aplicación el requisito del consentimiento expreso cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de o del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En primer lugar, para poder el empresario eximirse del requisito de la obtención del consentimiento cuando pretende enviar comunicaciones comerciales no solicitadas es necesario que haya existido entre éste y el futuro destinatario una “relación contractual previa”, es decir, tuvo que haber existido o una venta concluida o negociaciones previas con un cliente para cualquier contrato y en cualquier momento, puesto que la ley no especifica nada más. Por tanto, por el mero hecho de haber comprado en un determinado comercio cierto tiempo atrás, una persona puede recibir sin ser previamente avisado correos electrónicos no solicitados sobre otros productos de la firma. Además, señala dicho artículo que, en todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 127 de 165
Instituto Nacional de Tecnologías de la Comunicación
mediante un procedimiento sencillo y gratuito, tanto en el momento de la recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. II.4.3
Otros requisitos de licitud de las comunicaciones comerciales
Las comunicaciones comerciales por vía electrónica que se realicen por correo electrónico u otro medio de comunicación electrónica, además de haber sido expresamente autorizadas, deben reunir los siguientes requisitos que recoge el artículo 20 LSSICE: Las comunicaciones comerciales deberán ser claramente identificables como tales El artículo 6 DCE no incluye ninguna palabra o frase modelo, común para todos los estados y que haga más uniforme la identificación por los receptores de las comunicaciones comerciales, sino que exige, de forma general, que las comunicaciones comerciales como mínimo sean claramente identificables como tales, a diferencia de lo que ocurre en la legislación estadounidense, en la cual se utiliza la expresión “spam” como fórmula más utilizada para especificar el contenido del mensaje. En cambio, el legislador español, después de señalar el citado requisito, afirma a continuación que en el supuesto en el que las comunicaciones comerciales se realicen a través de correo electrónico o medios equivalentes se deberá incluir al comienzo del mensaje la palabra “publicidad”, o la abreviatura “publi” si se modifica el citado artículo 20 LSSICE a través de la promulgación del actual Proyecto de Ley de Medidas de Impulso de la Sociedad de la Información. Por tanto, cuando se envíen correos electrónicos comerciales no deseados se deberá identificar el mismo con la palabra “publicidad” al comienzo del mensaje, pero el legislador no señala exactamente qué debe entenderse con la expresión “al comienzo”, sino que lo contempla como un lugar general, a diferencia de multitud de estados norteamericanos que exigen que conste una palabra o unas siglas al principio del encabezamiento del mensaje. Las comunicaciones comerciales deberán indicar la persona física o jurídica en nombre de la cual se realizan los envíos El objeto del legislador ha sido que el destinatario de las comunicaciones comerciales conozca su origen. No obstante, hay que tener en cuenta que el legislador señala como persona a incluir en la comunicación comercial no solicitada la persona en nombre de quien se realiza el envío, que obviamente no tiene por qué coincidir con quien envía de hecho el mensaje. En el ámbito de la publicidad, en la mayoría de las ocasiones, no coincidirá porque la empresa
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 128 de 165
Instituto Nacional de Tecnologías de la Comunicación
que realiza el envío efectivo de las comunicaciones comerciales es una organización contratada para ello. Por tanto, esta redacción obligará a las empresas a asegurarse de con quién contrata los servicios de distribución de su publicidad, puesto que un mal uso de este servicio puede suponer sanciones por incumplimiento de la ley para la empresa anunciante y un deterioro de su imagen. En el supuesto de que las comunicaciones comerciales sean ofertas promocionales, como las que incluyan descuentos, premios y regalos, y de concursos o juegos promocionales se exige que se identifiquen claramente como tales y que las condiciones de o participación se expresen de forma clara e inequívoca Respecto a la expresión “condiciones de ”, deberá entenderse la necesaria fijación de la duración de la oferta y, en su caso, las reglas especiales aplicables a la misma. En definitiva, se persigue garantizar que el anuncio de una promoción contenga un contenido realmente ventajoso al que se pueda acceder con facilidad. No obstante, hay que tener en cuenta que se está tramitando en el seno de la Unión Europea un reglamento relativo a las promociones de ventas en el mercado interior, concretamente la Propuesta COM/2001/0546 modificada por la Propuesta COM (2002) 585. La aprobación, no a muy largo plazo, de esta propuesta de reglamento supondrá, además de la unificación de esta materia en el Derecho europeo (campo donde existen notables diferencias), la introducción de considerables modificaciones. Revocación del consentimiento Además de cumplir los requisitos anteriores cuando envíen comunicaciones comerciales no solicitadas, las empresas deben ofrecer la posibilidad al destinatario de las mismas, que consintió en su día el envío de mensajes de naturaleza publicitaria, de revocar la autorización en cualquier momento con la mera notificación de su voluntad al remitente, mediante la habilitación de un procedimiento sencillo y gratuito. II.5
Infracciones y sanciones en el ámbito de las comunicaciones comerciales no solicitadas
La protección que se dispensa y que se ha analizado sería inútil si, a la vez, no se estableciera un régimen disciplinario que garantice el cumplimiento de la legislación. Concretamente, el artículo 37 LSSICE establece que los prestadores de servicios de la Sociedad de la Información, cuando les sea de aplicación la citada ley, estarán sujetos al régimen sancionador de la misma.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 129 de 165
Instituto Nacional de Tecnologías de la Comunicación
Las infracciones, recogidas en el artículo 38 LSSICE, se calificarán como muy graves, graves y leves. En relación a la materia del presente informe pueden ser cometidas las siguientes: Son infracciones graves: 1. El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente o el envío, en el plazo de un año, de más de tres comunicaciones comerciales por los medios aludidos a un mismo destinatario, cuando en dichos envíos no se cumplan los requisitos anteriormente mencionados. Por tanto, dicho precepto considera dos supuestos como infracciones graves: •
El envío de más de tres comunicaciones comerciales en el plazo de un año.
•
El envío masivo de comunicaciones comerciales.
En cuanto al primer supuesto, es muy importante la cantidad de comunicaciones comerciales enviadas, puesto que si sólo se puede demostrar el envío de tres comunicaciones comerciales, la infracción sería calificada como leve y la multa difiere notoriamente de las infracciones graves, sin olvidar, además, que estas pueden llevar aparejado el establecimiento de medidas provisionales. Respecto al segundo supuesto, a pesar de que no se recoge su significado, puede entenderse de una forma deductiva que el concepto de “envío masivo de mensajes” no incluye el supuesto de que se envíen muchos mensajes a un solo destinatario, en cuyo caso se estaría en la infracción anterior, sino los casos en que se envía un solo mensaje a muchos destinatarios. El problema es que no se determina si dicho envío masivo se produce cuando se envían muchos correos electrónicos a la vez o cuando se envía de manera habitual mensajes prohibidos. 2. El incumplimiento significativo de la obligación del prestador de servicios establecida en el apartado 1 del artículo 22, en relación con los procedimientos para revocar el consentimiento prestado por los destinatarios. 3. El incumplimiento significativo de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 130 de 165
Instituto Nacional de Tecnologías de la Comunicación
Son infracciones leves: 1. El incumplimiento de lo previsto en el artículo 20 para las comunicaciones comerciales, ofertas promocionales y concursos. 2. El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave. 3. El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya una infracción grave. 4. El incumplimiento de la obligación del prestador de servicios establecida en el apartado 1 del artículo 22, en relación con los procedimientos para revocar el consentimiento prestado por los destinatarios cuando no constituya infracción grave. Las infracciones graves prescribirán a los dos años y las leves, a los seis meses, de conformidad con el artículo 45 LSSICE. Respecto a las sanciones: La comisión de las infracciones que se acaban de analizar llevarán aparejadas las siguientes sanciones, tal y como establece el párrafo primero del artículo 39 de la LSSICE: 5. Por la comisión de infracciones graves, multa de 30.001 a 150.000 euros. 6. Por la comisión de infracciones leves, multa de hasta 30.000 euros. El plazo de prescripción de las mismas es de dos años por faltas graves y uno por faltas leves. Como se puede observar, el intervalo de la cuantía de las sanciones es bastante amplio; por dicho motivo, el artículo 40 LSSICE establece los siguientes criterios: 7. La existencia de intencionalidad. 8. El plazo de tiempo durante el que se haya venido cometiendo la infracción. 9. La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme. 10. La naturaleza y cuantía de los perjuicios causados. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 131 de 165
Instituto Nacional de Tecnologías de la Comunicación
11. El volumen de facturación a que afecte la infracción cometida. Además de las sanciones señaladas, las infracciones graves y muy graves podrán llevar aparejada la publicación, a costa del sancionado, de la resolución sancionadora en el Boletín Oficial del Estado, en el diario oficial de la istración Pública que, en su caso, hubiera impuesto la sanción, en dos periódicos cuyo ámbito de difusión coincida con el de la actuación de la citada istración o en la página de inicio del sitio de Internet del prestador, una vez que aquella tenga carácter firme. El órgano competente para imponer las sanciones señaladas será, de conformidad con el artículo 43 LSSICE, el Ministro de Ciencia y Tecnología, en la actualidad correspondería al Ministro de Industria, Turismo y Comercio, en el caso de infracciones muy graves, y el Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información en el supuesto de infracciones graves y leves. No obstante, la imposición de sanciones por incumplimiento de las resoluciones dictadas por los órganos competentes en función de la materia o entidad de que se trate a que se refieren los párrafos a) y b) del artículo 38.2 de esta ley corresponderá al órgano que dictó la resolución incumplida. Igualmente, corresponderá a la Agencia Española de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3 c), d) e i) y 38.4 d), g) y h) de esta Ley. Tampoco se puede obviar el hecho de que en los procedimientos sancionadores por infracciones graves o muy graves se podrán adoptar, con arreglo a la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las istraciones Públicas y del Procedimiento istrativo Común y sus normas de desarrollo, las medidas de carácter provisional previstas en dichas normas que se estimen necesarias para asegurar la eficacia de la resolución que definitivamente se dicte, el buen fin del procedimiento, evitar el mantenimiento de los efectos de la infracción y las exigencias de los intereses generales, de conformidad con el artículo 41 de la LSSICE. En particular, podrán acordarse las siguientes: 12. Suspensión temporal de la actividad del prestador de servicios y, en su caso, cierre provisional de sus establecimientos. 13. Precinto, depósito o incautación de registros, soportes y archivos informáticos y de documentos en general, así como de aparatos y equipos informáticos de todo tipo. 14. Advertir al público de la existencia de posibles conductas infractoras y de la incoación del expediente sancionador de que se trate, así como de las medidas adoptadas para el cese de dichas conductas.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 132 de 165
Instituto Nacional de Tecnologías de la Comunicación
15. Como siempre, se respetará, en todo caso, el principio de proporcionalidad de la medida a adoptar con los objetivos que se pretendan alcanzar en cada supuesto. En el supuesto que no se cumplan las medidas provisionales, el órgano istrativo competente para resolver el procedimiento sancionador podrá imponer multas coercitivas por importe que no exceda de 6.000 euros por cada día que transcurra sin cumplir las medidas provisionales que hubieran sido acordadas, en virtud del artículo 42 de la LSSICE. Por último, debe señalarse que estas obligaciones que garantizan la licitud de las comunicaciones comerciales no solicitadas remitidas por vía electrónica van a ser exigibles tanto a los prestadores de los servicios de la Sociedad de la Información emplazados en España, como a aquellos que se encuentren establecidos en un país miembro de la Unión Europea o del Espacio Económico Europeo cuando el destinatario de los servicios radique en España. II.6
Responsabilidad de los intermediarios
Como se ha afirmado anteriormente, el uso de Internet puede causar daños y perjuicios a terceros que se han de reparar. La cuestión estriba en determinar qué responsabilidad tendrán los prestadores de servicios de intermediación, ya que para poder alojar, almacenar o transmitir los contenidos ilícitos en la Red es necesaria la intervención técnica de los mismos. En el ámbito comunitario se adoptó el citado sistema de responsabilidad de los prestadores del servicio en la DCE, donde se reconocen una serie de supuestos específicos de exención de responsabilidad que se aplicarán cuando se cumplan los requisitos señalados para cada una de ellas; en el supuesto de que no se cumplan, entrará en juego nuestro sistema general de responsabilidad. II.7
La exención de responsabilidad civil por contenidos ajenos en Internet
Las exenciones de responsabilidad establecidas tanto en la DCE como en la LSSICE sólo se aplican a aquellos casos en que la actividad del prestador de servicios de la Sociedad de la Información se limita al proceso técnico de explotar y facilitar el a una red de comunicación mediante la cual la información facilitada por terceros es transmitida o almacenada temporalmente, con el fin de hacer que la transmisión sea más eficiente. Por tanto, el hecho de que los contenidos que un prestador del servicio transmite o almacena hayan sido proporcionados por terceros, esto es, que sean contenidos ajenos al prestador de servicios de intermediación, resulta esencial desde el punto de vista de la exención de responsabilidad, ya que en el supuesto que sea el propio prestador de Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 133 de 165
Instituto Nacional de Tecnologías de la Comunicación
servicios el que coloca en la Red o transmite contenidos propios, las exenciones de responsabilidad no podrían aplicarse, y se acudiría a las reglas generales de responsabilidad civil, penal y istrativa establecidas en el ordenamiento jurídico español. Las exenciones que se establecen se pueden agrupar en las siguientes categorías: •
Los servicios de mera transmisión de datos y de provisión de a Internet.
•
La prestación del servicio de hosting o almacenamiento de datos.
•
El caching o servicio de realización y almacenamiento de copias.
Como se observa, se reconocen las exenciones conforme a la naturaleza de la actividad realizada y no respecto a la condición del sujeto. Puede ocurrir que el prestador del servicio no cumpla cada uno de los requisitos que se verán más delante de cada una de estas exenciones y, por tanto, no se le puedan aplicar; ello no determina que se le atribuya responsabilidad, puesto que se procedería a analizar si en la actuación del prestador del servicio concurren los elementos exigidos por nuestro régimen general de responsabilidad. II.7.1
Los servicios de mera transmisión de datos y de provisión de a Internet
El primer supuesto de exención se recoge en el párrafo primero del artículo 12 DCE, de donde se deduce que el prestador del servicio no podrá ser considerado responsable de los datos transmitidos cuando haya cumplido con los siguientes requisitos: 16. No haber originado él mismo la transmisión, es decir, cuando el prestador no haya creado el contenido ni tampoco haya sido quien haya tomado la iniciativa de realizar la transmisión concreta, convirtiéndose en un simple ejecutor de la orden de envío de las comunicaciones comerciales, frecuentemente dada por el titular o anunciante de los bienes y servicios publicitados en la comunicación comercial. 17. No haber seleccionado al destinatario de la transmisión, ya que si los prestadores eligen a los destinatarios de la transmisión ya no sería una simple actividad de intermediación, pasiva y automática, sino una acción activa y de control sobre uno de los elementos de la transmisión: los destinatarios. 18. No haber seleccionado ni modificado los datos transmitidos.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 134 de 165
Instituto Nacional de Tecnologías de la Comunicación
Esta exención de responsabilidad se establece en términos sustancialmente idénticos en el artículo 14 LSSICE. No obstante, en este último punto el citado precepto añade la especificación de que no se entiende por “modificar la información”, “la manipulación estrictamente técnica de los archivos que alberguen los datos que tiene lugar durante su transmisión". Para que el prestador de servicios pueda disfrutar de la exención debe cumplir los tres requisitos citados. En la medida en que no concurra alguno de ellos no se podrá aplicar la exención. Por último, es necesario señalar la posibilidad de que un tribunal o una autoridad exijan al prestador de servicios que suspenda la transmisión de contenidos ilícitos, de conformidad con el párrafo tercero del artículo 12 DCE. Si se produjera el supuesto señalado y se solicitara al prestador la finalización de su actuación, el cumplimiento de dicha orden no se establece en el texto comunitario como requisito para gozar de la exención y, por tanto, el incumplimiento de la misma no implicará la pérdida de la exención si se dan las condiciones establecidas. En nuestro ordenamiento jurídico, en el párrafo primero del artículo 11 LSSICE se contempla expresamente la posibilidad de que se pueda ordenar a los prestadores de estos servicios “que suspendan la transmisión, el alojamiento de datos, el a las redes de telecomunicaciones o la prestación de cualquier otro servicio equivalente de intermediación que realizaran”, y, de modo general, para todos los servicios de intermediación “cuando un órgano competente por razón de la materia, en el ejercicio de las funciones que legalmente tenga atribuidas, hubiera decretado la interrupción de la prestación de un servicio de la Sociedad de la Información o la retirada de determinados contenidos provenientes de prestadores establecidos en España, y para ello fuera necesaria la colaboración de los prestadores de servicios de intermediación”. II.7.2
La prestación del servicio de hosting
Se entiende por hosting, de conformidad con el artículo 14 DCE, el servicio de la Sociedad de la Información consistente en “almacenar datos facilitados por el destinatario del servicio”. Las condiciones que se deben cumplir para disfrutar de la exención de responsabilidad en la prestación del servicio de alojamiento son las siguientes: 19. Falta de conocimiento efectivo de la ilicitud de la actividad o de la información que se alberga, con carácter general para cualquier tipo de responsabilidad, tanto civil como penal.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 135 de 165
Instituto Nacional de Tecnologías de la Comunicación
La Directiva no especifica qué deberá entenderse por "conocimiento efectivo", pero se evidencia que no basta conocer efectivamente la existencia de una actividad o de unos datos, sino que es necesario conocer la calificación jurídica de ilícitos de los mismos. 20. Actuar con prontitud para retirar los datos o para hacer que el a los mismos sea imposible después de que el prestador adquiere un conocimiento efectivo de la ilicitud, y en el caso de una acción de daños y perjuicios desde el momento en que conoció hechos o circunstancias reveladores de la ilicitud. El artículo 16 LSSICE recoge la citada exención de responsabilidad para los servicios de alojamiento en términos muy similares a los empleados por la Directiva, pero distingue entre el conocimiento efectivo de que la actividad o la información almacenada sea ilícita o de que lesione bienes o derechos de un tercero susceptibles de indemnización. No obstante, el citado artículo trata de concretar el significado de esa exigencia de “conocimiento efectivo” señalando que “sin perjuicio de los procedimientos de detección y retirada de contenidos que los prestadores apliquen en virtud de acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse”, se entenderá que el prestador de servicios tiene conocimiento efectivo de que la actividad o la información almacenada es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización “cuando un órgano competente haya declarado la ilicitud de los datos, ordenado su retirada o que se imposibilite el a los mismos, o se hubiera declarado la existencia de la lesión y el prestador conociera la correspondiente resolución”. Por tanto, se deduce del precepto que existen otros dos supuestos que pueden dar lugar, en su caso, a un resultado equivalente: •
“Los procedimientos de detección y retirada de contenidos que los prestadores apliquen en virtud de acuerdos voluntarios”, es decir, procedimientos de detección y retirada que hayan sido pactados con entidades de gestión de derechos de propiedad intelectual, donde el prestador se obligaría a retirar el material de que se trate una vez cumplidos los requisitos de procedimiento consensuados.
•
“Otros medios de conocimiento efectivo que pudieran establecerse”, como, por ejemplo, códigos de conducta a los que se haya adherido el prestador y que deberán ser aceptados por quien proporciona contenidos, en la medida en que este deberá permitir al prestador la libre retirada de la información cuando, de conformidad con lo establecido en el código de conducta, resulte pertinente.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 136 de 165
Instituto Nacional de Tecnologías de la Comunicación
No obstante, se entiende que el citado listado sirve de ejemplo y, en todo caso, el órgano judicial competente deberá apreciar si el prestador tuvo o no conocimiento efectivo de la ilicitud de la información por cualquier medio de prueba itido en Derecho. Teniendo en cuenta que para que sea aplicable la exención por el servicio de alojamiento se requiere que los contenidos sean ajenos, el artículo 14.2 DCE y el 16.2 LSSICE establecen que cuando el destinatario del servicio actúa bajo la autoridad o el control del prestador de servicios, la exención de responsabilidad no le será de aplicación, ya que en este supuesto el prestador del servicio no actúa como un mero intermediario. Por último, de acuerdo con el artículo 14.3 DCE, la exención en el servicio de alojamiento de datos no afectará a la "posibilidad de que un tribunal o una autoridad istrativa, de conformidad con los sistemas jurídicos de los Estados , exijan al prestador de servicios poner fin a una infracción o impedirla, ni a la posibilidad de que los Estados establezcan procedimientos por los que se rija la retirada de datos o impida el a ellos". Si la orden consiste en que se retire determinada información o se bloquee el a la misma, su incumplimiento equivale a no cumplir con uno de los requisitos expresamente previstos para el otorgamiento de la exención: el de actuar "con prontitud para retirar los datos” o “hacer que el a ellos sea imposible" y, en consecuencia, no se aplica la exención de responsabilidad. II.7.3
La exención de responsabilidad por caching de datos
El denominado caching se regula en el artículo 13 DCE y el artículo 15 LSSICE, donde se exige a los Estados que “cuando se preste un servicio de la Sociedad de la Información consistente en transmitir por una red de comunicaciones datos facilitados por el destinatario del servicio, el prestador del servicio no pueda ser considerado responsable del almacenamiento automático, provisional y temporal de esta información, realizado con la única finalidad de hacer más eficaz la transmisión ulterior de la información a otros destinatarios del servicio, a petición de éstos”, siempre que no modifique la información y cumpla con los siguientes requisitos: •
Cumplir las condiciones de a la información a nivel comunitario y las condiciones impuestas a tal fin, por el destinatario cuya información se solicita a nivel nacional; es decir, el prestador del servicio que tiene una copia caché de un determinado sitio web debe exigir a los s que le soliciten visitarlo las mismas condiciones que impone la web original.
•
Cumplir las normas relativas a la actualización de la información, con el objetivo de evitar que las copias en memoria caché queden obsoletas y muestren una
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 137 de 165
Instituto Nacional de Tecnologías de la Comunicación
información distinta de la que se ofrece en el sitio original que pueda producir daños y perjuicios. •
No interferir en la utilización lícita de tecnología ampliamente reconocida y utilizada por el sector con el fin de obtener datos sobre la utilización de la información en los ámbitos comunitario y estatal, para lo cual se precisa que el prestador no interfiera “en la utilización lícita de tecnología generalmente aceptada y empleada por el sector, con el fin de obtener datos sobre la utilización de la información”.
•
Actuar “con prontitud para retirar la información que haya almacenado, o hacer que el a ella sea imposible, en cuanto tenga conocimiento efectivo del hecho de que la información ha sido retirada del lugar de la red en el que se encontraba inicialmente, de que se ha imposibilitado el a dicha información o de que un tribunal o una autoridad istrativa ha ordenado retirarla o impedir que se acceda a ella”.
Por tanto, no basta con que la actividad coincida con la descrita en el supuesto de hecho, sino que el beneficio de la exención dependerá de que el prestador haya cubierto además los siguientes mínimos de diligencia que la propia Directiva determina. II.8
Las obligaciones de supervisión y comunicación
De acuerdo con el párrafo primero del artículo 15 DCE, los estados no pueden imponer a los prestadores de servicios una obligación general, ya sea de supervisar los datos que transmitan o almacenen o bien de realizar búsquedas activas de hechos o circunstancias que indiquen actividades ilícitas en relación a los servicios de alojamiento, tanto en los servicios de transmisión de datos, como en los de provisión de a la Red, caching o hosting. La Directiva comunitaria no sólo excluye la obligación de supervisión o control en términos generales, sino que prohíbe incluso la obligación de conservación o retención del tráfico de los datos. En cambio, el artículo 12.1 LSSICE estableció la obligación de los prestadores del servicio de retener los datos relativos a las comunicaciones electrónicas por un periodo máximo de 12 meses. II.9
El spam y la protección de datos de carácter personal
Una vez analizado el régimen jurídico de las comunicaciones comerciales es necesario efectuar un estudio de la misma para que todo el proceso de envío de correos electrónicos comerciales no deseados se realice correctamente en cuanto a la obtención de los datos y al propio envío de las mismas. Hay que tener en cuenta que el envío de las comunicaciones comerciales depende, en primer lugar, de las condiciones en que las
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 138 de 165
Instituto Nacional de Tecnologías de la Comunicación
empresas hayan recogido una serie de datos personales donde enviar las mismas en general y las direcciones de correo electrónico en particular (en este sentido, se pronuncia un Informe de 1999 de la Comisión Nacional de Informática y Libertades de Francia, que señalaba que el envío de mensajes electrónicos se basa en la recogida previa de direcciones electrónicas). Así mismo hay que recordar que, de conformidad con el artículo 19 LSSICE, es aplicable la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), II.9.1
El derecho al tratamiento de datos de carácter personal
En primer lugar, se debe afirmar que cuando se habla del derecho al tratamiento de datos de carácter personal se entiende por tal el derecho fundamental a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento automatizado de datos, y que permite acceder, rectificar y cancelar la información almacenada y disponer de los propios datos personales, tal y como lo reconoce el Tribunal Constitucional, en las STC 254/1993, de 9 de mayo (RTC 1993\254) o STC 11/1998, de 13 de enero (RTC 1998\11), entre otras. Para finalizar con este epígrafe es importante matizar que, en la actualidad, se debe hablar del derecho a la protección de datos de carácter personal, cuyo contenido será el mismo que se ha mencionado, ya que tras la entrada en vigor de la LOPD el ámbito de aplicación de este derecho, recogido en el artículo 2, se extiende a todos los datos de carácter personal registrados en soporte físico, es decir, tanto en soporte papel como en soporte informático o telemático, siempre que sean susceptibles de tratamiento, quedando obsoleto, por tanto, el término “informática” que calificaba a esta pretendida libertad. II.10 La Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal II.10.1 Titularidad El ordenamiento jurídico español limita a las personas físicas la titularidad de la protección del derecho a la protección de datos de carácter personal, a diferencia de la LSSICE, que incluye tanto a personas físicas como jurídicas. La exclusión de las personas jurídicas del amparo de este derecho se deduce del artículo 3 a) LOPD, que establece que los datos de carácter personal son cualquier información concerniente a personas físicas identificadas o identificables, y e) al considerar como afectado o interesado a la persona física titular de los datos que sean objeto del tratamiento. En el mismo sentido se pronuncia la Agencia Española de Protección de Datos, que en el Fundamento Jurídico II de la Resolución de 27 de febrero de 2001 ha afirmado que la protección conferida por la LOPD no es aplicable a las personas jurídicas, que no gozarán Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 139 de 165
Instituto Nacional de Tecnologías de la Comunicación
de ninguna de las garantías establecidas en la ley y, por extensión, lo mismo ocurrirá con los profesionales que organizan su actividad bajo la forma de empresa, ostentando, en consecuencia, la condición de comerciante a la que se refieren los artículos primero y siguientes del Código de Comercio, y con los empresarios individuales que ejercen una actividad comercial y respecto de los cuales sea posible diferenciar su actividad mercantil de su propia actividad privada. Por tanto, se incluye en el concepto de personas físicas aquellos profesionales liberales que no tuvieran organizada su actividad profesional bajo la forma de empresa, es decir, que no posean la condición de comerciante, y los empresarios individuales cuando no fuera posible diferenciar su actividad mercantil de su propia actividad privada, y se excluyen tanto las personas jurídicas como los profesionales y los comerciantes individuales, cuando sus datos hayan sido tratados tan sólo en su consideración de empresarios. II.10.2 Concepto de dato personal De acuerdo con el artículo 3 a) de la LOPD, se entiende por dato personal cualquier información concerniente a personas físicas identificadas o identificables (definición coincidente con el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea), de modo que el carácter personal del dato viene determinado por el hecho de ser concerniente a una persona física, no por ser un dato a través del cual se identifica a una persona. Es decir, lo relevante no es que el dato personal permita identificar a una persona, sino que dicha información debe estar referida o ser relativa a una persona física, quien puede estar identificada o ser identificable, según lo ha afirmado el Tribunal Constitucional en los fundamentos jurídicos sexto y séptimo de la Sentencia 292/2000, de 30 de noviembre. En parecidos términos se pronuncia la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Concretamente, el artículo 2 a) establece esa consideración de identificable en la posibilidad de determinar, directa o indirectamente, la identidad de una persona mediante un número de identificación o uno o varios elementos específicos característicos de su identidad física, fisiológica, psíquica, económica, cultural o social. Para intentar dilucidar el concepto de dato personal, se debe acudir al artículo 1.4 del Real Decreto 1332/1994, por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de los Datos de carácter personal, que lo define como “toda información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de ser recogida, registro, tratamiento o transmisión, concerniente a una persona física identificada o identificable”.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 140 de 165
Instituto Nacional de Tecnologías de la Comunicación
La vaguedad y amplitud del término “dato personal” no permite ofrecer una respuesta clara e inmediata de qué datos concretamente se incluyen en la consideración de personales y, en particular, si la dirección de correo electrónico puede ser amparada por dicha expresión. Por ello, se procede a analizar la cuestión de manera específica. La dirección de correo electrónico como dato personal En primer lugar, se debe recordar que se entiende por dato personal cualquier información concerniente a personas físicas identificadas o identificables. Por tanto, han de darse dos circunstancias para que se pueda entender que son datos de carácter personal: que exista una información y que se refiera a una persona que sea identificable o esté identificada. Se ha discutido mucho acerca de la consideración de la dirección de correo electrónico como dato personal, cuestión muy importante a los efectos de remitir comunicaciones comerciales no solicitadas, sobre todo en relación a aquellas direcciones que no aparecen vinculadas a la persona que la utiliza. Por ello, se pueden distinguir dos clases de direcciones de correo electrónico, atendiendo al grado de identificación que la misma realiza con el titular de la cuenta de correo: •
Aquellas en que voluntaria o involuntariamente la dirección de correo electrónico contenga información acerca de su titular, pudiendo aludir tanto a su nombre y apellidos como a la empresa en que trabaja o a su país de residencia. En este supuesto, no existe duda de que la dirección de correo electrónico identifica, incluso de forma directa al titular de la cuenta, por lo que en todo caso la dirección ha de ser considerada como dato de carácter personal. El modelo característico de este supuesto sería aquella dirección de correo electrónico en la que se hace constar el nombre y, en su caso, los apellidos del titular (o sus iniciales), correspondiéndose el dominio de primer nivel con el propio del país en que se lleva a cabo la actividad y el dominio de segundo nivel con la empresa en que se prestan los servicios (pudiendo incluso así delimitarse el centro de trabajo en que se realiza la prestación).
•
Un segundo supuesto sería aquel en que, en principio, la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta, por referirse, por ejemplo, a una denominación abstracta o a una simple combinación alfanumérica sin significado alguno. Un primer examen de este tipo de dirección de correo electrónico podría afirmar que este supuesto no es un dato de carácter personal. Sin embargo, incluso en
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 141 de 165
Instituto Nacional de Tecnologías de la Comunicación
este caso la dirección de correo electrónico aparecerá necesariamente referenciada a un dominio concreto, de tal forma que podrá procederse a la identificación del titular mediante la consulta del servidor en que se gestione dicho dominio. No pueda considerarse que esto lleve aparejado un esfuerzo desproporcionado por parte de quien procede a la identificación, siguiendo los pronunciamientos tanto del Grupo de Trabajo sobre Protección de Datos del artículo 29 de la Comisión en el documento de trabajo “Privacidad en Internet: enfoque comunitario integrado de la protección de datos en línea”, de 21 de noviembre de 2000, como de la Agencia Española de Protección de Datos en su Memoria 1999. Es decir, la dirección IP necesariamente vinculada a la dirección de correo electrónico también puede revelarnos datos personales del . Por ello, se procede a analizar en profundidad la consideración de la dirección IP como dato de carácter personal. La dirección IP como dato personal Al respecto se ha pronunciado la Agencia Española de Protección de Datos en el Informe 327/2003, afirmando que la dirección IP es un dato de carácter personal, principalmente sobre la base de que los proveedores de a Internet y los es de redes locales pueden identificar por medios razonables a los s de Internet a los que han asignado direcciones IP. Por ejemplo, un proveedor de a Internet que tiene un contrato con un abonado, normalmente mantiene un fichero histórico con la dirección IP (fija o dinámica) asignada, el número de identificación del abonado, la fecha, la hora y la duración de la asignación de dirección. Es más, si el de Internet está utilizando una red pública de telecomunicaciones, como un teléfono móvil o fijo, la compañía telefónica registrará el número marcado, junto con la fecha, la hora y la duración, para la posterior facturación. En consecuencia, con la asistencia de terceras partes responsables de la asignación se puede identificar a un de Internet, es decir, obtener su identidad civil (nombre, dirección, número de teléfono, etcétera), por medios razonables y, por tanto, puede hablarse de datos de carácter personal en el sentido de la letra a) del artículo 3 LOPD. En conclusión, se debe afirmar rotundamente que el correo electrónico, en todo caso, independientemente de su manifestación, es un conjunto de datos personales del y como tal, se encuentra amparado por la LOPD. II.10.3 El consentimiento del titular de los datos De forma semejante a lo que sucedía con el envío de comunicaciones comerciales no solicitadas, para las que era necesaria la obtención del consentimiento del destinatario, la
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 142 de 165
Instituto Nacional de Tecnologías de la Comunicación
regla general en materia de tratamiento de datos personales es la exigencia de recabar el consentimiento. En el contexto del régimen jurídico en el tratamiento de datos de carácter personal, el artículo 3 h) LOPD define el consentimiento del interesado como toda manifestación de voluntad, libre, inequívoca, específica e informada mediante la que consiente en el tratamiento de datos que le conciernen. La LOPD establece tres formas de obtener el consentimiento para el tratamiento, según a qué clase de datos de carácter personal se haga referencia: •
Para la obtención y tratamiento de datos de carácter personal es necesario tener el consentimiento inequívoco del titular de los datos salvo que la ley disponga otra cosa.
•
Para los datos de carácter personal relacionados con las creencias, ideología o religión, la necesidad de que el titular de los mismos otorgue su consentimiento expreso y por escrito para que puedan ser tratados.
•
Para los datos que hagan referencia al origen racial, a la salud y a la vida sexual es necesario que otorgue el consentimiento expreso.
En principio, la dirección de correo electrónico es un dato de carácter personal que no hace referencia a las creencias, a la ideología, a la religión, al origen racial, a la salud ni a la vida sexual del titular. En consecuencia, es necesario sólo el consentimiento inequívoco. La LOPD habla únicamente de consentimiento inequívoco, por lo que se incluye en dicho concepto no sólo el consentimiento expreso sino también el consentimiento tácito, siempre y cuando se otorgue al afectado un plazo prudencial para que pueda claramente tener conocimiento de su omisión de oponerse al tratamiento de sus datos. No se puede obviar el hecho de que el consentimiento es susceptible de revocación cuando exista causa justificada, es decir, cuando existe una “quiebra de la confianza entre el afectado y el responsable del fichero”, de modo que “se podría solicitar la cesación del tratamiento de datos con la simple alusión a la voluntad de preservar su derecho a la intimidad”. Excepciones al consentimiento El régimen general del consentimiento del titular de los datos personales se exceptúa en los siguientes supuestos: a) Cuando los datos personales se recojan para el ejercicio de las funciones propias de las istraciones públicas en el ámbito de sus competencias. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 143 de 165
Instituto Nacional de Tecnologías de la Comunicación
b) Cuando se refieran a las partes de un contrato o precontrato de una relación de negocios, laboral o istrativa y sean necesarios para su mantenimiento o cumplimiento. c) Cuando el tratamiento de los datos especialmente protegidos resulte necesario para la prevención o para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto o cuando el tratamiento tenga por finalidad proteger el interés vital del interesado en el supuesto de que esté física o jurídicamente incapacitado para dar su consentimiento. d) Cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el tercero a quien se comuniquen los datos. Se debe profundizar sobre la última excepción, ya que los remitentes de comunicaciones comerciales no solicitadas suelen obtener los datos personales de fuentes accesibles al público. Se consideran como fuentes accesibles al público, según el artículo 3 j) LOPD, aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación y, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos regulados, las listas de personas pertenecientes a grupos profesionales que contengan únicamente los datos de nombre, título, actividad, grado académico, dirección e indicación de su pertenencia al grupo, los diarios y boletines oficiales y medios de comunicación. Es importante averiguar si esta lista que establece la LOPD como medios accesibles al público es una lista numerus clausus o numerus apertus, es decir, es una lista cerrada en la cual no cabe ningún otro tipo de medio accesible al público o es simplemente una enumeración exhaustiva en la que se puede incluir con tal consideración otra fuente de , ya que en el entorno tecnológico en el que se desarrolla el objeto de investigación del presente informe, Internet se ha convertido en la mayor base de datos de carácter personal. En un primer momento, tal y como se configura Internet –un medio de comunicación en el que se vierten múltiples informaciones y de libre a todos los s conectados a la Red—, se podría pensar que la recopilación de direcciones de correo electrónico sin necesidad de recabar el consentimiento del afectado estaría permitido.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 144 de 165
Instituto Nacional de Tecnologías de la Comunicación
Por el contrario, la Agencia Española de Protección de Datos en el Informe del año 2000 se ha pronunciado al respecto afirmando que no considera que la procedencia de los datos recogidos en Internet sea la de fuente accesible al público, siendo necesario, por lo tanto, la obtención del consentimiento inequívoco, específico e informado del afectado para realizar tratamientos con los datos personales publicados en Internet, aunque estos se hayan publicado de forma que cualquier de Internet pueda acceder a los mismos. Sin embargo, se debe señalar que el carácter de fuente accesible tiene una serie de limitaciones, ya que cuando los datos aparezcan editados en forma de libro u otro soporte físico la nueva edición hará decaer el mismo, en virtud del párrafo tercero del artículo 28 LOPD y en el caso de que se obtenga copia de la lista en formato electrónico, esta perderá el carácter de fuente accesible al público en el plazo de un año contando desde el momento de la obtención. Del mismo modo, el transcurso del año hace perder la vigencia de los datos recogidos en el censo promocional, de conformidad con el párrafo segundo del artículo 31 LOPD. Incluso en el supuesto de que se entendiera que Internet tiene la consideración de fuente accesible al público, es imprescindible, para que concurra la excepción, que dicho tratamiento sea necesario para satisfacer el interés legítimo perseguido por el responsable del fichero o por el tercero a quien se comuniquen los datos y, en este sentido, sería cuestionable si como interés legitimo cabría entender el envío de publicidad, promociones u ofertas. Como complemento a la excepción del consentimiento se prevé, en el párrafo cuarto del artículo 6 LOPD, el derecho de oposición, que consiste en la negativa a la continuación del tratamiento, es decir, la cancelación genérica respecto de todos los datos que pudieran estar sometidos. Dicho precepto establece que “en los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El párrafo cuarto del artículo 30 LOPD, por su parte, contempla el derecho de oposición, pero respecto de los tratamientos de datos con fines de prospección comercial y publicidad directa al señalar que los “interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 145 de 165
Instituto Nacional de Tecnologías de la Comunicación
Al respecto se debe plantear cuál es el plazo de validez de la declaración sobre la oposición del consumidor al tratamiento de sus datos, es decir, hasta cuándo debe entenderse vigente esa manifestación de oposición al tratamiento y de exclusión a aparecer en las fuentes accesibles al público. La postura mayoritaria entiende que con la actualización del censo o la publicación de una nueva guía decae la manifestación emitida. El régimen del consentimiento para la cesión de datos personales El artículo 3 i) LOPD define la cesión o comunicación de datos como toda revelación de datos realizada a una persona distinta del interesado. El artículo 11 LOPD establece como regla general en la cesión de datos la necesidad de obtener el consentimiento del interesado, al igual que sucedía para el tratamiento de datos personales. Dicho consentimiento, también como en el caso del tratamiento de datos, tiene un carácter revocable, aunque en este caso no se exige la concurrencia de causa justificada. Se establece, asimismo, que será considerado nulo el consentimiento prestado para la cesión o comunicación, según el artículo 11 en su párrafo tercero, “cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien pretende comunicar”. Esta regla general de exigencia para la cesión de datos personales del “previo consentimiento del interesado” no se aplicará, según el párrafo segundo del citado precepto, en los siguientes casos: •
Cuando la cesión esté autorizada en una ley.
•
Cuando se trate de datos recogidos de fuentes accesibles al público.
•
Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso, la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique, lo que debe interpretarse en sentido estricto o restringido y no permitir otras cesiones que las estrictamente necesarias para la ejecución de lo contratado.
•
Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los jueces o tribunales o el Tribunal de Cuentas,
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 146 de 165
Instituto Nacional de Tecnologías de la Comunicación
en el ejercicio de las funciones que tienen atribuidas, o a instituciones autonómicas análogas al Defensor del Pueblo o al Tribunal de Cuentas. •
Cuando la cesión se produzca entre istraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
•
Cuando la cesión de datos personales relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.
II.10.4 El «deber de información en la recogida de datos» El llamado «deber de información en la recogida de datos» se establece en el artículo 5 LOPD y su contenido varía dependiendo de las diferentes modalidades de recogida de datos. Modalidad directa de obtención de datos Esta modalidad consiste en obtener la dirección de correo electrónico del propio titular, en cuyo caso los interesados a los que soliciten datos personales deberán ser previamente informados, de modo expreso, preciso e inequívoco de las siguientes cuestiones: •
De la existencia de un fichero o tratamiento de datos de carácter personal, y de los destinatarios de la información.
•
De la finalidad de la recogida de los datos, puesto que los mismos deben ser “adecuados, pertinentes y no excesivos” en función de la finalidad o finalidades para los que se han obtenido. Además, se exige una compatibilidad entre los fines para los que los datos fueron recogidos y los fines a los que efectivamente se destina su tratamiento, ya que si se quisiera utilizar un determinado dato con una finalidad distinta para la que se hubiera obtenido, sería necesario contar de nuevo con el requisito de la obtención del consentimiento.
•
Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
•
De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
•
De la posibilidad de ejercitar los derechos de , oposición y rectificación y cancelación.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 147 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
De la identidad y dirección del responsable del tratamiento, es decir, según el artículo 3 d) LOPD la persona física o jurídica, de naturaleza pública o privada u órgano istrativo que decida sobre la finalidad, contenido y uso del tratamiento, o, en su caso, de su representante.
Además de los extremos anteriores, cuando la recogida de los datos personales sea a través de Internet, deberá constar el código de inscripción asignado por el Registro General de Protección de Datos con el fin de asegurar el conocimiento del interesado de la posibilidad de ejercitar los derechos de , cancelación y modificación, de conformidad con las recomendaciones de la Agencia de Protección de Datos al sector del comercio electrónico, para la adecuación de su funcionamiento a la LOPD. En cuanto a la manera de facilitar la citada información, la ley es tajante en este aspecto. De acuerdo con el artículo 5 LOPD, los interesados a los que se soliciten datos personales deberán estar previamente informados de modo expreso, preciso e inequívoco, por lo que dicha información deberá ser perfectamente visible en el proceso de recogida de los datos. Además, se debe pensar en los distintos métodos de recogida de los mismos: •
Si se utilizan cuestionarios u otros impresos para la recogida de los datos figurarán en los mismos, en forma claramente legible, los extremos anteriormente analizados.
•
Si los datos se recogen a través de una página web, deberá hacerse expresa referencia a estas cuestiones en el formulario correspondiente, no bastando la simple inclusión de esta información en un aviso legal o política de privacidad ubicado en otra página distinta dentro del sitio web, ni la mera mención en las cláusulas adicionales a las condiciones generales que rigen la vinculación del vendedor con el comprador al hecho de que los datos que se faciliten serán protegidos de acuerdo a la ley. No obstante, la Agencia Española de Protección de Datos, en su Memoria de 2001, señala que cabe la posibilidad de obtener dicha información a la que se ha hecho referencia mediante un clic en un botón adecuadamente etiquetado, aunque no se considere la opción más adecuada.
Se debe concluir este apartado señalando que no será necesario contemplar el carácter obligatorio o facultativo de su respuesta a las preguntas que son planteadas, las consecuencias de la obtención de los datos o de la negativa a suministrarlos y la posibilidad de ejercitar los derechos de , rectificación, cancelación y oposición, si se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 148 de 165
Instituto Nacional de Tecnologías de la Comunicación
Modalidad indirecta de obtención de datos En este supuesto los datos de carácter personal no han sido recabados del interesado, sino que la dirección de correo electrónico se ha obtenido de otra empresa por cesión de datos o incluso por otra persona. En este supuesto, el párrafo cuarto del artículo 5 LOPD establece la obligación del responsable del fichero o su representante de informar de forma expresa, precisa e inequívoca al interesado de los extremos que contempla el derecho de información, que se han analizado en el apartado anterior, dentro de los tres meses siguientes al momento del registro de los datos. Esta obligación supone que necesariamente el remitente debe ponerse en o con los futuros destinatarios de comunicaciones comerciales para cumplir estos requisitos, aunque sea a través del correo electrónico. No obstante, esta obligación se elimina cuando el interesado ya hubiera sido informado con anterioridad del contenido del tratamiento de la procedencia de dichos datos, de la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de estos, de los destinatarios de la información, de la posibilidad de ejercitar los derechos de , rectificación, cancelación y oposición y de la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Obtención de datos de fuentes accesibles al público Si la dirección de correo electrónico se obtiene por fuentes accesibles al público y se destina a actividades de publicidad o prospección comercial, en cada comunicación que se dirija al interesado se le informará del origen de los datos, de la identidad del responsable del tratamiento y de los derechos de , cancelación, rectificación y oposición a los mismos. La cesación del deber de información se justifica en estos supuestos, ya que el interesado tiene la oportunidad de oponerse a la inclusión de forma genérica según se dispone en el artículo 28 LOPD, que establece que los interesados tendrán derecho a exigir gratuitamente la exclusión de la totalidad de sus datos personales que consten en el censo promocional por las entidades encargadas del mantenimiento de dichas fuentes. Del mismo modo, los profesionales que constan en las guías elaboradas por los colegios profesionales tienen derecho a que la entidad responsable del mantenimiento de los listados indique gratuitamente que sus datos personales no pueden utilizarse para fines de publicidad o prospección comercial.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 149 de 165
Instituto Nacional de Tecnologías de la Comunicación
Al respecto, también se pronuncia el artículo 38.6 de la Ley 32/2003 General de Telecomunicaciones, que establece que en la elaboración y comercialización de las guías de abonados a los servicios de comunicaciones electrónicas y la prestación de los servicios de información se garantizará, en todo caso, a los abonados el derecho a la protección de sus datos personales, incluyendo el de no figurar en dichas guías. II.11 Régimen sancionador de la LOPD El artículo 43 LOPD establece que estarán sujetos al régimen sancionador los responsables de los ficheros y los encargados de los tratamientos. Las infracciones, del mismo modo que ocurría con la LSSICE, se calificarán como leves, graves o muy graves, de conformidad con el artículo 44 LOPD. Se procede a señalar las infracciones que se podrán cometer en el ámbito del estudio del presente trabajo: •
Infracciones leves:
a) No atender, por motivos formales, la solicitud del interesado de rectificación o cancelación de los datos personales objeto de tratamiento cuando legalmente proceda. b) Proceder a la recogida de datos de carácter personal de los propios afectados sin proporcionarles la información que señala el artículo 5 LOPD. •
Infracciones graves:
a) Proceder a la recogida de datos de carácter personal sin recabar el consentimiento expreso de las personas afectadas, en los casos en que este sea exigible. b) Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la LOPD o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave. c) Impedir u obstaculizar el ejercicio de los derechos de y oposición y la negativa a facilitar la información que sea solicitada. d) Mantener datos de carácter personal inexactos o no efectuar las rectificaciones o cancelaciones de los mismos. e) Incumplir el deber de información cuando los datos hayan sido recabados de persona distinta del afectado.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 150 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Infracciones muy graves:
a) La recogida de datos en forma engañosa y fraudulenta. b) La comunicación o cesión de los datos de carácter personal, fuera de los casos en que estén permitidas. c) No cesar en el uso ilegítimo de los tratamientos de datos de carácter personal cuando sea requerido para ello por el director de la Agencia de Protección de Datos o por las personas titulares del derecho de . d) Tratar los datos de carácter personal de forma ilegítima o con menosprecio de los principios y garantías que les sean de aplicación, cuando con ello se impida o se atente contra el ejercicio de los derechos fundamentales. e) No atender, u obstaculizar de forma sistemática, el ejercicio de los derechos de , rectificación, cancelación u oposición. f)
No atender de forma sistemática el deber legal de notificación de la inclusión de datos de carácter personal en un fichero. Las infracciones que la ley tipifica prescriben, según lo establecido en el artículo 47.1 LOPD, por el transcurso de un año las leves, dos años las graves y tres años las muy graves, que comenzarán a contar desde el día en que se cometió la infracción. Asimismo, se interrumpirá la prescripción con la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviera paralizado durante más de seis meses por causa no imputable al presunto infractor. •
Sanciones El artículo 45 fija las sanciones correspondientes a las infracciones cometidas. Concretamente, las infracciones leves serán sancionadas con multa de 601,01 a 60.101,21 euros, las infracciones graves serán sancionadas con multa de 60.101,21 a 300.506,05 euros y las infracciones muy graves serán sancionadas con multa de 300.506,05 a 601.012,10 euros. La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas y a terceras personas, y a cualquier
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 151 de 165
Instituto Nacional de Tecnologías de la Comunicación
otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Si en razón de las circunstancias concurrentes se apreciara una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate. En ningún caso podrá imponerse una sanción más grave que la fijada en la ley para la clase de infracción en la que se integre la que se pretenda sancionar. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años, y las impuestas por faltas leves al año. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquél en que adquiera firmeza la resolución por la que se impone la sanción. Las resoluciones de la Agencia Española de Protección de Datos u órgano correspondiente de la Comunidad Autónoma agotan la vía istrativa y sólo serán susceptibles de impugnación en la jurisdicción contencioso-istrativa. A efectos de responsabilidad, la normativa de protección de datos señala que ostentará la condición jurídica de responsable del fichero aquél que decide los fines y medios del tratamiento de los datos personales, bien una sola persona física individual o conjunta siendo varios los responsables o incluso entidades, mientras que el proveedor de servicios será el que realiza el tratamiento por cuenta del responsable del fichero y de acuerdo con sus instrucciones. La relación entre ambas figuras se regula en el contrato; en él se establecerá que el encargado del tratamiento se obliga a tratar los datos según las instrucciones del responsable del fichero, que no comunicará los datos a terceros, que no los usará con fin distinto al pactado y que los destruirá o devolverá una vez finalizada la relación contractual. Asimismo, deberán fijarse las medidas de seguridad de índole técnica y organizativa que aplicará el encargado del tratamiento a los ficheros. Por todo, será la precisa y correcta redacción de los términos del contrato la determinante para la delimitación de eventuales responsabilidades entre las partes, y para la consiguiente aplicación del régimen sancionador establecido en la LOPD, en caso de ser necesario. II.12 Problemática de la doble imposición de sanciones Llegados a este punto, se ha visto que el envío de correos electrónicos comerciales no deseados son susceptibles de cometer infracciones tanto de la LOPD como de la LSSICE, y en consecuencia llevar anexo una doble imposición de sanciones. Dicho tema debe ser estudiado porque la tradición jurídica en el Derecho español prohíbe la citada figura. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 152 de 165
Instituto Nacional de Tecnologías de la Comunicación
Por ello, se debe plantear en este punto la situación de que una infracción de la LSSICE en materia de comunicaciones comerciales pueda teóricamente coincidir con el mismo hecho que esté también sancionado por la LOPD. Para resolver esta cuestión es necesario acudir a las infracciones contenidas en la LSSICE para observar si alguna de ellas tiene su correspondiente sanción en la LOPD y, en este caso, cómo se resolvería la doble regulación. No ofrece duda el hecho de que algunas obligaciones de la LSSICE como, por ejemplo, la identificación de los mensajes comerciales, la indicación de la persona física o jurídica en nombre de quien se envían estos o la transparencia en las ofertas promocionales no tienen equivalente en la LOPD y, por lo tanto, las sanciones que se impongan por estas causas difícilmente pueden incurrir en la figura de la doble imposición. El mayor problema sobre esta cuestión se encuentra en el supuesto de que el prestador de servicios hubiera enviado un correo electrónico sin haber recabado anteriormente el consentimiento expreso del destinatario, infringiendo, por tanto, el artículo 21 LSSICE, y, además, hubiera infringido la LOPD por haber obtenido la dirección de correo de manera antijurídica. En este caso se considera que se trata de infracciones diferentes, puesto que la LSSICE y la LOPD tienen ámbitos de aplicación diferentes, aunque ciertamente interrelacionados, y, en consecuencia, cabría una sanción conforme a la LSSICE por lo que respecta al envío de correos comerciales no solicitados o autorizados expresamente y una segunda sanción conforme a la LOPD por lo que respecta a la infracción cometida al obtener los datos de una fuente ilegítima. En el resto de los supuestos en los que se pudiera pensar en hipotéticas colusiones reales de infracciones, deberían dirimirse las mismas teniendo muy presentes los principios generales del Derecho, como el principio de especialidad, optando por la aplicación de la LSSICE cuando la infracción se refiera expresamente a un correo electrónico. II.13 Acción de cesación Como se ha dicho en secciones precedentes, el artículo 19 LSSICE hace remisión expresa a la normativa de publicidad. Si se toma como referencia el artículo 2 LGP, en cuanto define la “publicidad” como “toda forma de comunicación realizada por una persona física o jurídica, pública o privada, en el ejercicio de una actividad comercial, artesanal o profesional, con el fin de promover de forma directa o indirecta la contratación de muebles o inmuebles, servicios, derechos y obligaciones” y considera “ilícita” a “la publicidad que atente contra la dignidad de la persona o vulnere los valores o derechos reconocidos en la Constitución...”, en virtud del artículo 3 a) se podría afirmar, sin gran dificultad por todos los
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 153 de 165
Instituto Nacional de Tecnologías de la Comunicación
motivos anteriormente expuestos, que las comunicaciones comerciales no solicitadas constituyen “publicidad ilícita”. En consecuencia, serían ejercitables las acciones de cesación y rectificación y el ejercicio de las acciones civiles, istrativas, penales o de otro orden que correspondan y con la persecución y sanción como fraude de la publicidad engañosa por los órganos istrativos competentes en materia de protección y defensa de los consumidores y s, según el artículo 32 LGP. En concreto, la LGP establece que cualquier persona natural o jurídica que resulte afectada y, en general, quienes tengan un derecho subjetivo o un interés legítimo, podrán solicitar del anunciante la cesación o, en su caso, la rectificación de la publicidad ilícita, es decir, el ejercicio de las acciones de cesación y de rectificación. Los amplios términos en los que se pronuncia el artículo 25 LGP al reconocer legitimación activa, para el ejercicio de las acciones de cesación y rectificación, tanto a órganos istrativos como a las asociaciones de consumidores, a las entidades de otros Estados de la Comunidad Europea (las cuales deberán estar constituidas para la protección de los intereses colectivos y de los intereses difusos de los consumidores que estén habilitadas mediante su inclusión en la lista publicada a tal fin en el Diario Oficial de las Comunidades Europeas) y, en general, a quien tenga un derecho subjetivo o interés legítimo, no permiten, sin embargo, que pueda pensarse que las empresas competidoras del sector puedan actuar contra quien remite este tipo de publicidad ilícita –las comunicaciones comerciales no solicitadas– a no ser que se acredite el perjuicio directo que para ellas hayan supuesto esas actuaciones infractoras. El objeto de actuación de la presentación de estas acciones, como su propio nombre indica, es la cesación de la conducta contraria a la presente Ley y la prohibición de una reiteración futura. Asimismo, la acción podrá ejercerse para prohibir la realización de una conducta cuando esta haya finalizado al tiempo de ejercitar la acción, si existen indicios suficientes que hagan temer su reiteración de modo inmediato, según el párrafo segundo del artículo 29 LGP. La solicitud de estas acciones, tal y como lo establece el párrafo tercero del artículo 25 LGP, se hará por escrito, en forma que permita tener constancia fehaciente de su fecha, de su recepción y de su contenido. En cuanto a los plazos de ejercicio de las citadas acciones, el párrafo primero del artículo 26 LGP establece que la cesación podrá ser solicitada desde el comienzo hasta el fin de la actividad publicitaria, mientras que la rectificación, según el párrafo primero del artículo 27 LGP, podrá solicitarse desde el inicio de la actividad publicitaria hasta siete días después de finalizada la misma.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 154 de 165
Instituto Nacional de Tecnologías de la Comunicación
III
Casos de Estudio
Un vez expuesta la normativa española y comunitaria en la materia y habiendo analizado cada uno de los puntos referentes al envío de comunicaciones comerciales no solicitadas, se debe estudiar alguno de los casos que se han dado en la realidad social y que pueden ser considerados como los más interesantes para observar cuál es la línea de denuncias de la sociedad española. III.1 Caso de Estudio 1º Procedimiento Nº PS/00029/2007 •
Resumen de la materia
Es necesario recabar el consentimiento del destinatario de comunicaciones comerciales no solicitadas, aunque la dirección de correo electrónico haya sido obtenida de Internet. •
Legislación vulnerada
Artículo 21.1 LSSICE dispone que “queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Artículo 3 j) LOPD, son fuentes accesibles al público “aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación y, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos regulados, las listas de personas pertenecientes a grupos profesionales que contengan únicamente los datos de nombre, título, actividad, grado académico, dirección e indicación de su pertenencia al grupo, los diarios y boletines oficiales y medios de comunicación”. •
Exposición de los hechos
En el supuesto que se examina, ha quedado acreditado que la empresa remitente de la comunicación comercial, ni autorizada ni solicitada, no tenía ninguna relación contractual que justificara el envío de la citada comunicación publicitaria o promocional, de conformidad con lo dispuesto en el artículo 21.2 de la LSSICE. La denunciante alegó que la dirección de correo electrónico del denunciante donde se habían remitido las comunicaciones comerciales no solicitadas aparecía en varias páginas de Internet. •
Resolución dictada
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 155 de 165
Instituto Nacional de Tecnologías de la Comunicación
El hecho de haber obtenido la dirección de correo a través de la Red no autoriza para que se remitan comunicaciones publicitarias o promocionales. Por tanto, el presente supuesto ha incurrido en la infracción prevista en el artículo 21 LSSICE y se ajusta al tipo de infracción establecido en el artículo 38.4 d), calificado como infracción leve, al tratarse de un único envío de una comunicación comercial no deseada por correo electrónico. •
Comentarios al respecto
En el presente caso, lo realmente importante es lo relativo al calificativo de “fuente accesible al público”. En un primer momento, tal y como se configura Internet –un medio de comunicación en el que se vierten múltiples informaciones y de libre a todos los s conectados a la Red—, se podría pensar que se incluye dentro de la definición de fuentes accesibles al público. No obstante, la enumeración de fuentes accesibles al público que señala la LOPD es una lista cerrada. Así se pronuncia la Agencia de Protección de Datos, al considerar que es necesaria la obtención del consentimiento del afectado en la procedencia de datos recogidos en Internet. III.2 Caso de Estudio 2º Procedimiento Nº PS/00210/2006 •
Resumen de la materia
Sanción de 1.000 euros por el envío de un único e-mail no solicitado con información comercial, no teniendo ninguna relación contractual previa con el remitente de la información. •
Legislación vulnerada
Párrafo primero del artículo 21 LSSICE, que dispone que “queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”, •
Exposición de los hechos
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 156 de 165
Instituto Nacional de Tecnologías de la Comunicación
El denunciante recibió en su dirección de correo una comunicación comercial no solicitada sobre cursos que posiblemente le podrían interesar y que le ofrecían la inscripción a los mismos, previo pago de la matrícula o petición de subvención correspondiente. El mismo manifiesta no haber mantenido relación comercial alguna con el remitente del correo electrónico, ni haber sido informado, en ningún momento, de la inclusión de su dirección de correo personal en la base de datos del referido remitente. •
Resolución dictada
La Agencia Española de Protección de Datos, en cumplimiento del artículo 21 LSSICE, entiende que el envío de una única comunicación comercial sin disponer de autorización previa del destinatario o sin que conste la existencia de una relación contractual previa es una actitud que infringe la normativa, aunque de manera leve, y como tal es merecedora de una sanción pecuniaria de 1.000 euros. •
Comentarios al respecto
La Agencia no toma en consideración que la comunicación incluyera en su e-mail publicitario la advertencia legal (práctica muy frecuente), lo siguiente: De conformidad con la Ley 15/1999, estos datos están recogidos en el fichero automatizado [...] cuyo responsable […]. Podrán ejercer sus derechos de [...]. Si desea no volver a recibir este boletín informativo envíe un e-mail, indicando en el asunto “BAJA”, a la siguiente dirección... Se debe recordar que para la LSSICE, lo realmente importante es que el destinatario haya dado el consentimiento expreso para recibir esas comunicaciones, y si no lo ha hecho esa actividad es merecedora de una sanción. Esta característica de la necesidad del consentimiento expreso se diferencia de lo que ocurría antes de la entrada en vigor de la citada Ley atendiendo a la LOPD, que únicamente exige un consentimiento inequívoco, es decir, se itía el consentimiento tácito e implícito en el envío de comunicaciones comerciales no solicitadas, lo que suponía en consecuencia que se ajustaba a la legalidad el envío de correos electrónicos no solicitados pero que ofrecían al destinatario la posibilidad de no recibir más promociones no solicitadas. •
Resoluciones similares
Véanse también en el mismo los siguientes procedimientos de la AEPD:
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 157 de 165
Instituto Nacional de Tecnologías de la Comunicación
− Procedimiento Nº PS/00136/2006: Se enviaron dos comunicaciones publicitarias sin disponer de autorización expresa y previa del destinatario y sin que conste la existencia de una relación contractual anterior que justifique el envío del mensaje, de conformidad con lo dispuesto en el artículo 21.2 de la LSSI. − Procedimiento Nº PS/00234/2006: en el que se denuncia que se ha recibido un correo comercial no solicitado y que así mismo el denunciante no ha consentido el envío de dicha comunicación comercial ni ha mantenido relación comercial previa con dicha entidad. − Procedimiento Nº PS/00282/2006: el denunciante recibió una comunicación comercial en su dirección de correo electrónico y alega que no tiene ninguna relación con el remitente del mensaje, ni ha autorizado su envío. − Procedimiento Nº PS/00158/2006: en este caso, al igual que los anteriores, se denunció la recepción de un correo comercial sin tener autorización para ello, ni ser solicitado, ni quedar acreditado que se mantuviera en algún momento relación comercial alguna con la empresa emisora de la comunicación comercial. III.3 Caso de Estudio 3º Procedimiento Nº PS/00151/2006 •
Resumen de la materia
Remisión de comunicaciones comerciales no deseadas a una persona jurídica sin disponer de autorización expresa y previa del destinatario y sin que conste la existencia de una relación contractual con el remitente de la información que justifique el envío del mensaje. •
Legislación vulnerada
Párrafo primero del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, que dispone que “queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. •
Exposición de los hechos
El denunciante, una sociedad limitada, presentó ante la Agencia de Protección de Datos un escrito en el que denunciaba la existencia de una infracción leve, al tratarse del envío de una única comunicación comercial no deseada por correo electrónico.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 158 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Resolución dictada
La Agencia Española de Protección de Datos resolvió imponer a la entidad demandada, por una infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4 d) de dicha norma, una multa de 1.000 euros, de conformidad con lo establecido en el artículo 39.1 y 40 de la citada Ley. •
Comentarios al respecto
En este caso es muy importante recordar que, a diferencia de lo que ocurre con la LOPD, el envío de comunicaciones comerciales es un servicio de la Sociedad de la Información cuyos destinatarios son personas físicas o jurídicas. La LSSICE ampara tanto a las personas físicas como a las personas jurídicas destinatarias del servicio frente al envío de comunicaciones comerciales no solicitadas, de conformidad con la definición de consumidor de la letra e) del Anexo de la LSSICE que incluye tanto persona física como jurídica. IV
Conclusiones
Una vez concluido el análisis pormenorizado del objeto de estudio, se puede afirmar que el ordenamiento jurídico ha regulado este fenómeno de forma adecuada, logrando un justo equilibrio entre los intereses de los agentes publicitarios y los destinatarios de dichas comunicaciones comerciales. Aunque no se puede negar la evidencia de la existencia de riesgos para el derecho a la intimidad y el derecho al tratamiento de datos de carácter personal por la utilización de las nuevas tecnologías, estos derechos están suficientemente protegidos en el ordenamiento jurídico español, siempre y cuando la normativa actual se adapte a las nuevas realidades, con el único fin de que los medios tecnológicos, que son necesarios para el progreso de la sociedad, no afecten al normal desarrollo del individuo lesionando los derechos que le corresponden. En este sentido, la protección del destinatario de comunicaciones comerciales se ve reforzada frente a otros mecanismos que vulneran el derecho a la protección de datos de las personas mediante una doble regulación sobre el envío de comunicaciones comerciales no solicitadas: una relativa a su ejercicio (Directiva 2002/58/CE, Ley 34/2002 LSSICE y Ley General de Telecomunicaciones) y otra relativa a sus límites, especialmente intimidad y protección de datos (Directiva 95/46/CE y Ley Orgánica de Protección de Datos). Por un lado, conforme a la LOPD, la entidad deberá informar al interesado de una serie de cuestiones relativas al uso de su dirección de correo electrónico, a las finalidades a las que
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 159 de 165
Instituto Nacional de Tecnologías de la Comunicación
se van a destinar dichos datos, a la existencia de un fichero y a los derechos que le asisten en relación con los mismos. Por otra parte, conforme a la LSSICE y siguiendo las directrices establecidas por la Unión Europea, se exige que las comunicaciones comerciales sean identificables como tales y que se haya obtenido el consentimiento para poder enviar comunicaciones comerciales no solicitadas, pero en este caso se refuerza, exigiéndose que sea expreso, sin realizar mención alguna al requisito de que sea previo. La novedad de la situación actual consiste en la tendencia hacia la uniformidad y el consenso, cada vez más extendido, respecto a la necesidad de disponer de principios de referencia comunes, con el fin de establecer un marco general que incluya a los distintos países en el marco europeo y los diferentes medios tecnológicos. También se debe apuntar a la existencia de una disparidad de regímenes entre Europa y Estados Unidos, ya que la primera se rige por el sistema opt-in y Estados Unidos por el sistema opt-out; se hace necesario un tratado internacional sobre la materia que armonice los distintos sistemas jurídicos. La celebración de este tipo de acuerdos es necesaria si se pretende reafirmar los propios rasgos de Internet como instrumento de globalización de la Sociedad del Conocimiento. En resumen, el marco jurídico en España regula el correo electrónico comercial no deseado o spam con rigor y profundidad, sin bien se presenta difuso en algunas de sus definiciones y requisitos.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 160 de 165
Instituto Nacional de Tecnologías de la Comunicación
ANEXO II: RELACIÓN DE PARTICIPANTES •
Alejandro Morillo. Office IT de Vodafone Spain
•
Andreu Gil. Chief Executive Officer de Spamina
•
Blanca E. Sánchez. Técnico del Observatorio de la Seguridad de la Información
•
Carlos Alonso. Responsable de Comunicación de Emailing Solutions
•
Carlos Tico. Director General de Serena mail
•
David Sancho. Senior AV Researcher de TrendMicro
•
Didac Lee. Presidente y fundador de Spamina
•
Emilio Herraiz. Área de Seguridad IGECIS del Ministerio de Defensa
•
Enrique Curiel. Ingeniero de seguridad de ISDEFE
•
Francisco Cabeza. Corporate Manager Southern Europe de MessageLabs
•
Francisco Javier García. Responsable del Servicio de Informática de Universidad Pontificia Comillas
•
Gonzalo Cruz. Departamento técnico de Gravity Net
•
Hector René Suárez. Técnico del Observatorio de la Seguridad de la Información
•
Ignacio Berrozpe. Ingeniero de ventas de Nokia Spain
•
Israel Hernandez. Manager - Advisory PI - IT Security de PricewaterhouseCoopers
•
Javier Hernández. Dirección General de Salud Pública del Instituto de Salud Pública de la Comunidad Autónoma de Madrid
•
Jesús Gago. Jefe de sistemas del Servicio de Informática de la Universidad Carlos III de Madrid.
•
Jordi Xapelli. Responsable de I+D. Spamina
•
Jorge Chinea. Técnico de Seguridad Informática del INTECO-CERT
•
José Ángel Rodríguez. Departamento de Comunicaciones del Ministerio de Industria, Turismo y Comercio
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 161 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
José Manuel Lucena. Responsable de Sistemas Distribuidos de la Confederación Española de Cajas de Ahorros (CECA)
•
Juan Carlos Sánchez. Servicio de Planificación Informática y Comunicaciones de la Universidad Politécnica de Madrid (UPM)
•
Juan Díez. Técnico de Seguridad Informática del INTECO-CERT
•
Julian Inza. Director de Albalia Interactiva
•
Mario Velarde. Country Manager de IronPort
•
Pablo Olabarria. Oracle University de Oracle
•
Pablo Pérez. Gerente del Observatorio de la Seguridad de la Información
•
Pablo Teijeira. Business Development - Sophos Southern Europe de Sophos
•
Pedro Gómez Quevedo. Jefe del Departamento de Sistemas y Tecnologías de Informática del Ayuntamiento de Madrid
•
Raúl Rubio. Departamento legal de Landwell
•
Xavier Vilar. Responsable de Producción de Infraestructuras y Correo Electrónico Corporativos del Grupo Santander
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 162 de 165
Instituto Nacional de Tecnologías de la Comunicación
ANEXO III: ÍNDICE DE GRÁFICOS Gráfico 1: Servicios de Internet utilizados por los s en sus hogares (%).................12 Gráfico 2: Volumen de spam en mensajes de correo en Internet 2005-2007 (%)...............64 Gráfico 3: Distribución mundial de correo y spam enviado, por zona geográfica (%) .........65 Gráfico 4: Países generadores de spam en Internet en el año 2007 (%)............................66 Gráfico 5: Relación de volumen de spam respecto al total de correos enviados (%) .........68 Gráfico 6: Porcentaje de spam recibido por cada país respecto al volumen total de todos los correos que recibe. 2005-2006 (%)................................................................................70 Gráfico 7: Porcentaje de spam recibido por país respecto al volumen total de todos los correos. 2007 (%) ................................................................................................................71 Gráfico 8: Tipos de spam en el año 2005 (%) .....................................................................72 Gráfico 9: Tipos de spam en febrero del 2007 (%)..............................................................73 Gráfico 10: Peso en Kb de los correos de spam (%)...........................................................74 Gráfico 11: Spam en España (%, del 1 de enero al 11 de marzo de 2008) ........................78 Gráfico 12: Porcentaje del spam rechazado y no rechazado sobre el total de spam..........79 Gráfico 13: Volúmenes absolutos de spam con destino España por país de origen ..........80 Gráfico 14: 10 países con mayor volumen de spam enviado hacia España (%, del 1 de enero al 11 de marzo de 2008)............................................................................................80 Gráfico 15: Porcentaje de spam detectado sobre el total de mensajes procesados para cada país de origen (%, del 1 de enero al 11 de marzo de 2008).......................................81 Gráfico 16: Niveles de spam detectado por día de la semana para el periodo de estudio .82
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 163 de 165
Instituto Nacional de Tecnologías de la Comunicación
ANEXO IV: ÍNDICE DE TABLAS Tabla 1: Comparativa de métodos de recolección de direcciones ......................................28 Tabla 2: Impacto económico del spam en Suiza (2005)......................................................52 Tabla 3: Impacto económico del spam en EEUU (2007).....................................................53 Tabla 4: Zonas generadoras de spam (%) ..........................................................................66 Tabla 5: Países con mayor cantidad de máquinas comprometidas ....................................67 Tabla 6: Spam en España (del 1 de enero al 11 de marzo de 2008) ..................................77 Tabla 7: Porcentaje del spam detectado (del 1 de enero al 11 de marzo de 2008) ............78
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 164 de 165
Instituto Nacional de Tecnologías de la Comunicación
http://www.inteco.es http://observatorio.inteco.es
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado ‘spam’
OBSERVATORIO DE LA SEGURIDAD DE LA INFORMACIÓN
Instituto Nacional de Tecnologías de la Comunicación
Edición: junio 2008
INTECO quiere agradecer su colaboración en la elaboración de este estudio a:
La presente publicación pertenece a Instituto Nacional de Tecnologías de la Comunicación (INTECO) y está bajo una licencia Reconocimiento-No comercial 2.5 España de Creative Commons, y por ello esta permitido copiar, distribuir y comunicar públicamente esta obra bajo las condiciones siguientes: • Reconocimiento: El contenido de este informe se puede reproducir total o parcialmente por terceros, citando su procedencia y haciendo referencia expresa tanto a INTECO como a su sitio web: www.inteco.es. Dicho reconocimiento no podrá en ningún caso sugerir que INTECO presta apoyo a dicho tercero o apoya el uso que hace de su obra. • Uso No Comercial: El material original y los trabajos derivados pueden ser distribuidos, copiados y exhibidos mientras su uso no tenga fines comerciales. Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra. Alguna de estas condiciones puede no aplicarse si se obtiene el permiso de INTECO como titular de los derechos de autor. Nada en esta licencia menoscaba o restringe los derechos morales de INTECO. Texto completo de la licencia: http://creativecommons.org/licenses/by-nc/2.5/es/
Instituto Nacional de Tecnologías de la Comunicación
INDICE
PUNTOS CLAVE...................................................................................................................6
1
I
Correo electrónico no deseado: el spam............................................................................ 6
II
Impacto económico y social del spam................................................................................ 6
III
El ‘spam’ en cifras ................................................................................................................. 8
IV
Posicionamiento y papel actual de los agentes ................................................................ 8
V
Recomendaciones y propuestas ......................................................................................... 9
Introducción, objetivos y metodología.....................................................................12 1.1
Presentación.................................................................................................................... 12
Estudio sobre la situación, naturaleza e impacto económico del ‘spam’ ................ 13 1.2 1.2.1 Objetivos generales ...................................................................................................... 13 1.2.2 Objetivos operativos y secundarios .............................................................................. 13 Entidades participantes ................................................................................................. 14 1.3 1.3.1 Instituto Nacional de Tecnologías de la Comunicación................................................ 14 1.3.2 Empresas Colaboradoras ............................................................................................. 15 Diseño metodológico ..................................................................................................... 16 1.4 1.4.1 Fase I: investigación ..................................................................................................... 16 1.4.2 Fase II: análisis documental ......................................................................................... 17 1.4.3 Fase III: conclusiones y recomendaciones .................................................................. 18 1.5
2
Estructura de contenidos............................................................................................... 18
Correo electrónico no deseado: ‘spam’ ...................................................................19 2.1
Definición de ‘spam’ ....................................................................................................... 19
2.2
Remitentes de ‘spam’: los ‘spammers’ ........................................................................ 20
2.3
Uso de redes comprometidas para el envío de ‘spam’: las botnets. ........................ 21
Ciclo de vida del ‘spam’ ................................................................................................. 24 2.4 2.4.1 Fase I: recolección de direcciones de correo ............................................................... 26 2.4.2 Fase II: creación del correo .......................................................................................... 28 2.4.3 Fase III: envío masivo................................................................................................... 29 2.4.4 Fase IV: refinamiento de listas ..................................................................................... 33 Tipos de ‘spam’ ............................................................................................................... 34 2.5 2.5.1 Clasificación por contenido del mensaje ...................................................................... 35 2.5.2 Clasificación por formato del texto del mensaje ........................................................... 37 Evolución y nuevos tipos de ‘spam’ ............................................................................. 38 2.6 2.6.1 Spam por Internet ......................................................................................................... 38 Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 3 de 165
Instituto Nacional de Tecnologías de la Comunicación
2.6.2 2.6.3
Spam por telefonía móvil .............................................................................................. 39 Spam por Voz sobre IP ................................................................................................ 39
Formas permitidas de correo masivo ........................................................................... 40 2.7 2.7.1 Sistema opt-in ............................................................................................................... 40 2.7.2 Sistema opt-out............................................................................................................. 40
3
Marco jurídico del correo electrónico no deseado .................................................42 3.1.1 3.1.2 3.1.3 3.1.4
4
Definición de las comunicaciones comerciales vía electrónica .................................... 43 Requisitos de licitud de las comunicaciones comerciales ............................................ 44 Responsabilidades ....................................................................................................... 45 Infracciones y sanciones .............................................................................................. 46
Impacto económico y social del correo ‘spam’ .......................................................48 4.1 Impacto económico ........................................................................................................ 49 4.1.1 Impacto económico del ‘spam’ en las empresas españolas ........................................ 54 4.2
5
Impacto social ................................................................................................................. 58
Resultado cuantitativo del estudio: el ‘spam’ en cifras..........................................63 5.1 Situación del ‘spam’ en el panorama mundial ............................................................. 63 5.1.1 Zonas y países emisores de ‘spam’ ............................................................................. 65 5.1.2 Países receptores de ataques de ‘spam’ ..................................................................... 69 5.1.3 Evolución de la tipología de ‘spam’ en el ámbito internacional .................................... 71 5.1.4 Escritura del ‘spam’ ...................................................................................................... 73 5.1.5 Tamaño de los mensajes de spam............................................................................... 74 5.1.6 El ‘spam’ en otros servicios: móvil y voz sobre IP ........................................................ 75
6
Situación del ‘spam’ en España ................................................................................76 6.1 Situación del ‘spam’ en España: resultados cuantitativos de la red de sensores de ‘spam’ de INTECO ........................................................................................................................ 76 6.1.1 Análisis descriptivo por categorías ............................................................................... 77 6.1.2 Países emisores de ‘spam’ con dirigidos a España ..................................................... 79 6.1.3 Evolución temporal del volumen de ‘spam’ .................................................................. 81
7
Resultado cualitativo: posicionamiento y papel actual de los agentes ................83 7.1
Introducción .................................................................................................................... 83
7.2
Los agentes ..................................................................................................................... 83
Situación de los agentes implicados ............................................................................ 84 7.3 7.3.1 Perfil 1. istración Pública .................................................................................... 84 7.3.2 Perfil 2. Empresas de telecomunicaciones .................................................................. 85 7.3.3 Perfil 3. Empresas de marketing electrónico ................................................................ 86 7.3.4 Perfil 4. Empresas prestadoras de servicios de seguridad .......................................... 87 7.3.5 Perfil 5. s .......................................................................................................... 87 7.3.6 Medidas de protección frente al ‘spam’ ........................................................................ 88 7.4
Protección frente al ‘spam’ de los agentes .................................................................. 97
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 4 de 165
Instituto Nacional de Tecnologías de la Comunicación
7.4.1 7.4.2 7.4.3 7.4.4 7.4.5
8
Perfil 1. istración Pública .................................................................................... 97 Perfil 2. Empresas de telecomunicaciones .................................................................. 98 Perfil 3. Empresas de marketing electrónico ................................................................ 99 Perfil 4. Empresas prestadoras de servicios de seguridad .......................................... 99 Perfil 5. s ........................................................................................................ 100
Recomendaciones y propuestas ............................................................................101 8.1
Tendencias previsibles y propuestas de mejora para las organizaciones y s 101
8.2
Recomendaciones de carácter normativo: istración ..................................... 102
Recomendaciones para empresas prestadoras de servicios .................................. 103 8.3 8.3.1 Recomendaciones para las empresas de marketing electrónico ............................... 103 8.3.2 Recomendaciones para las empresas prestadoras de servicios de seguridad ......... 104 Recomendaciones para s ............................................................................... 106 8.4 8.4.1 Recomendaciones para organizaciones: empresas y istración ....................... 106 8.4.2 Recomendaciones para s particulares: PYMES e individuos ........................ 109 8.5
9
El papel de la industria ................................................................................................. 111
Conclusiones ............................................................................................................115
ANEXO I: MARCO JURÍDICO DEL CORREO ELECTRÓNICO NO DESEADO (SPAM): NORMATIVA APLICABLE, INFRACCIONES, SANCIONES Y CASOS PRÁCTICOS ...121 ANEXO II: RELACIÓN DE PARTICIPANTES ..................................................................161 ANEXO III: ÍNDICE DE GRÁFICOS..................................................................................163 ANEXO IV: ÍNDICE DE TABLAS......................................................................................164
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 5 de 165
Instituto Nacional de Tecnologías de la Comunicación
PUNTOS CLAVE I
Correo electrónico no deseado: el spam •
El correo electrónico no deseado, spam, aparecido a finales de los años setenta, se define comúnmente como "correo electrónico masivo no deseado”, en inglés UBE (Unsolicited Bulk E-Mail).
•
El empleo del spam ha servido como vehículo de diversas formas de ataques informáticos, a menudo basados en técnicas de ingeniería social, como es el caso del phishing.
•
El spam se desarrolla las distintas fases de existencia de:
CICLO DE VIDA DEL SPAM 1. Recolección de las direcciones de correo
2. Creación del correo de spam
4. Refinamiento de listas de direcciones de correo
3. Envío masivo del spam Fuente: INTECO
•
Resulta complicado homogeneizar una clasificación de los diferentes tipos de spam por la diversidad de técnicas empleadas por los spammers, pero se puede agrupar por el contenido del mensaje, por el formato del texto del mensaje o por sus evoluciones, nuevos medios o contenidos (mensajería instantánea o través del teléfono móvil).
•
En la actualidad existe una importante discusión sobre qué se considera spam, centrada en el marco de los correos masivos de listas de distribución y publicitarios. Han aparecido dos sistemas de control sobre la recepción de este tipo de correos para regularlos: la aceptación previa para la primera comunicación (sistema conocido por opt-in) o la opción de cancelación en cada comunicación (sistema opt-out).
II Impacto económico y social del spam •
Las consecuencias del spam se analizan sobre los efectos derivados de este, tales como pérdidas en tiempo, desconfianza en el servicio, consumos de ancho de
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 6 de 165
Instituto Nacional de Tecnologías de la Comunicación
banda y en capacidad de almacenamiento, tiempos de recuperación y reestablecimiento, etcétera. •
De forma genérica, se concluye que el grueso del impacto económico está relacionado con las pérdidas de tiempo de proceso y humano, la necesaria inversión en nuevas infraestructuras tecnológicas, técnicos cualificados y herramientas antispam, y las pérdidas económicas como consecuencia de la pérdida de información relevante para la actividad.
•
El tiempo que cada trabajador dedica a eliminar el spam de su buzón de correo está entre dos y cuatro minutos al día por término medio.
•
Sólo por la pérdida de tiempo que supone la eliminación del spam, en el año 2007 el coste económico asociado a cada trabajador que utiliza diariamente el correo electrónico en su puesto de trabajo, se estima en 179€.
•
La catalogación como spam de correos electrónicos legítimos, los llamados falsos positivos, tienen asociados importantes perjuicios para las organizaciones. En el mejor de los casos, es necesario que los s y técnicos del sistema inviertan un tiempo significativo en la recuperación de esos correos legítimos, si no ha sido eliminado definitivamente. Las pérdidas monetarias que puede ocasionar la no recepción de esos correos no pueden ser calculadas.
•
Los s colocan el spam como la incidencia más frecuente, por encima de los códigos maliciosos (troyanos, programas espía, etcétera) y la falta de confidencialidad.
•
Todo esto ha generado una desconfianza relativa entre los s habituales del correo electrónico. El grado de desconfianza es mayor en el entorno laboral que en el doméstico, dada la importancia asociada al contenido de los mensajes en cada caso. Sin embargo, en ninguna de estas dos situaciones provoca la renuncia al uso del correo electrónico.
•
Los s reclaman medidas formativas y de carácter legislativo. Es común encontrar opiniones sobre la necesidad de fortalecer medidas normativas inequívocas que esclarezcan las posibles acciones y sanciones correspondientes frente a los spammers.
•
Empieza a experimentarse un cambio en la conducta del ante el correo electrónico como consecuencia del spam. Es cada vez más habitual que tome medidas de protección (programas antispam).
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 7 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
El fenómeno del spam ya no está solo encerrado en las barreras de Internet, sino que intenta llegar a otros servicios de comunicación. Un ejemplo es la telefonía móvil, que lo sufre actualmente por medio de los mensajes SMS y MMS, y la telefonía de voz sobre IP (VoIP).
III El ‘spam’ en cifras •
Se revela un incremento en los últimos años: en la actualidad, tres de cada cuatro correos que se encuentran en circulación en la Red son spam, aunque. Los filtros de correo depuran muchos de ellos hasta llegar al final.
•
La mayoría del spam surge en los Estados Unidos, aunque resulta preocupante el incremento en su generación que se observa en Europa, a pesar de que las leyes diseñadas contra los spammers son más restrictivas que las estadounidenses.
•
En Europa, países como España, Suecia, Francia o Italia comenzaron a reportar porcentajes elevados de spam a partir de 2005.
•
España se coloca en el undécimo lugar en el ámbito mundial en generación de spam desde el año 2006, por detrás de países como Estados Unidos, China, Corea del Sur y Francia. Mientras en los tres primeros vienen reduciéndose progresivamente los niveles de emisión, en España se ha doblado la cifra de producción de spam en menos de un año.
•
El 84,6% de los mensajes de correo, de un total de 92 millones de correos analizados por INTECO para España entre el 1 de enero y el 11 de marzo de 2008 a través de 14 servidores para España, fueron identificados como spam.
•
El volumen analizado por la red de sensores de INTECO indica claramente que entre Estados Unidos, China, Corea del Sur y Rusia envían más del 50% del total de mensajes no deseados que se recibe en España.
•
No existe un patrón semanal definido en cuanto al porcentaje de spam recibido.
IV Posicionamiento y papel actual de los agentes •
Existe un denominador común, la concienciación existente en todas las organizaciones frente al problema del spam.
•
Los organismos públicos suelen gestionar el correo de manera interna; tanto los equipos como los registros y bases de datos se encuentran en la sede de la organización, siendo habitualmente el personal encargado de dicha gestión técnicos pertenecientes a la propia istración.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 8 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
La mayoría de las organizaciones de mediano y gran tamaño suelen gestionar de manera interna tanto su sistema de información como su servicio de correo electrónico.
•
En cuanto a la aplicación de mecanismos antispam, cabe destacar: o
Los agentes estudiados disponen en todos los casos de medidas de seguridad para la protección frente al correo electrónico no deseado, desde medidas de índole técnico, las más utilizadas, hasta aquellas organizativas y de carácter normativo.
o
Las medidas de protección más utilizadas son las reactivas (una vez que éste se encuentra almacenado en el buzón del ), como la aplicación de filtros en el análisis del contenido de los correos electrónicos.
o
El volumen de spam ha alcanzado volúmenes muy importantes por lo que se ha hecho indispensable combatir el problema con anterioridad almacenamiento del spam en los buzones de los s.
o
al
Es habitual la utilización de mecanismos de protección basados en listas de filtrado de direcciones (blancas, negras o grises).
o
Una particularidad interesante en cuanto a los servicios antispam empleados por los agentes estudiados es la tendencia a redirigir el correo a otras entidades para su filtrado.
V Recomendaciones y propuestas •
El spam es un problema global, por ello es fundamental que todas las organizaciones sean conscientes de la necesidad de establecer acuerdos y políticas conjuntas perdurabilidad.
•
que
ofrezcan
soluciones
de
mayor
calado
y
Es necesario reforzar el desarrollo de herramientas técnicas de protección, sistemas antispam más potentes y autónomos.
•
Es también necesario intensificar la concienciación y formación de la comunidad de Internet sobre el fenómeno.
•
Recomendaciones normativas: istración. Si bien el desarrollo normativo español en materia de spam está muy avanzado, se recomienda principalmente un mayor esfuerzo que permita proteger a los s y las empresas, estableciendo acuerdos y tratados multilaterales en los ámbitos nacional e internacional. En particular se recomienda en este caso, entre otras:
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 9 de 165
Instituto Nacional de Tecnologías de la Comunicación
o
Incluir nuevos conceptos dentro de la legislación para combatir el spam: como los nombres de dominio en la definición de comunicación comercial o la definición de correo electrónico en la LSSICE.
o
Por otra parte exigir la incorporación de la palabra “publicidad” y los datos del anunciante en los mensajes, y determinar claramente el concepto de “envío masivo” para las comunicaciones comerciales.
o
Ampliar el ámbito de protección de la LOPD a las personas jurídicas.
•
Recomendaciones para empresas prestadoras de servicios:
En el caso de las empresas de marketing electrónico se les recomienda, entre otras: o
Generar confianza en clientes y destinatarios, por ejemplo facilitando los medios para darse de baja de listas de envío de contenido publicitario, agilizar la respuesta a las posibles reclamaciones o consultas de los destinatarios o establecer las técnicas que permitan ajustar los contenidos anunciados a las necesidades de los destinatarios.
Recomendaciones para las empresas que prestan servicios de seguridad: o
Básicamente se centran en recomendaciones de carácter técnico como, por ejemplo, apoyar la calidad de los productos mediante certificaciones, desarrollar herramientas de seguridad para la protección del correo móvil y establecer mecanismos para el control de la emisión de correo por parte de los ordenadores personales de s anónimos.
o
•
En otro sentido también se les recomienda prever la evolución del spam, intensificando la investigación de forma que se pueda responder con agilidad a las previsibles formas futuras del spam. Recomendaciones para s:
Recomendaciones para organizaciones: empresas y istración 1. A nivel general se les sugiere establecer una política de seguridad y un plan de recuperación de desastres y continuidad de negocio. 2. Establecer planes de formación interna a sus empleados en seguridad de la información. Difundir entre sus empleados información sobre cómo actuar frente al correo electrónico no deseado y a las salvaguardas antispam implantadas por la organización. Controlar la redirección del correo electrónico por los empleados.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 10 de 165
Instituto Nacional de Tecnologías de la Comunicación
o
De forma más específica se les recomienda:
1. Diseñar y aplicar políticas de uso del correo para empleados y para las empresas y los organismos con los que se relacionan y evitar la publicación directa de direcciones de correo electrónico en sus páginas Web. 2. Establecer salvaguardas proactivas en los servidores de correo y evitar que los estos servidores acepten el envío sin autenticación de s. Recomendaciones para los s particulares: PYMES e individuos A nivel general se recomienda aplicar normas básicas de seguridad y solicitar al proveedor de servicios de Internet (ISP) la aplicación de salvaguardas de seguridad. o
De modo particular se les recomienda:
1. Desconfiar de los correos que generalmente desproporcionados,
prometen
interesantes
beneficios,
2. No responder nunca a un correo electrónico no deseado, no visitar nunca direcciones Web recibidas o incluidas en correos electrónicos de incierta procedencia. 3. Si se recibe un aviso para ser dado de baja de una lista de distribución, en la cual no se ha inscrito, no responder dicha solicitud 4. Utilizar la copia ciega (Ccc) al enviar un correo a una lista de direcciones. 5. Mantener siempre activas las herramientas de filtro antispam. 6. No publicitar la cuenta de correo de manera directa en Internet. 7. Utilizar varias cuentas de correo electrónico y emplearlas en el entorno adecuado (laboral, personal…). 8. Utilizar nombres para las cuentas de correo que sean poco identificables.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 11 de 165
Instituto Nacional de Tecnologías de la Comunicación
1 INTRODUCCIÓN, OBJETIVOS Y METODOLOGÍA 1.1
Presentación
El actual impulso de la Sociedad de la Información, ha estimulado el aumento sustancial del número de s y de las posibilidades de uso aplicadas en la comunicación. Tanto la istración como las empresas y s finales emplean frecuentemente la comunicación electrónica a través de diversos canales, siendo el correo electrónico uno de los más utilizados 1 , como se observa en el Gráfico 1. En este marco se plantean nuevos retos, entre los que cabe destacar el control sobre el uso indiscriminado del correo electrónico para realizar comunicaciones comerciales no solicitadas o fraudulentas, que suponen una clara amenaza para organizaciones y particulares. Gráfico 1: Servicios de Internet utilizados por los s en sus hogares (%)
99,3 99,5
Correo electrónico 79,8
Búsqueda de información
67,2 67,9 65,7 64,1
Chat (Messenger, ICQ, etc.) Banca online (consulta de saldo, transferencias, etc.) 53,7 53,1 53,7 49,9
Compra online (libros, discos, dvd, viajes, entradas, etc) Foros (de mensajes, opinión, etc.) 40,9 43,7
Juegos online 32,8 28,9
Pagos por Internet (pay pal y servicios afines) 19,5 20,7 17,3 19,7 14,2 13,9
Blog (diario electrónico) Videoconferencia Telefonía por red (skype) 0 Abril
85,7
76,1 78,2
Descarga de archivos (documentos, información, etc...)
10
20
30
40
50
60
70
80
90
100
Enero
Fuente: INTECO
Ante esta situación, se han previsto acciones de refuerzo de la seguridad y confianza en la Red dirigidas a ciudadanos, empresas y istraciones públicas. A tal efecto, surge la necesidad de realizar un estudio sobre la situación actual del correo electrónico no deseado en España.
1
INTECO: Estudio sobre la Seguridad de la Información y e-Confianza de los hogares españoles (2ª Oleada: Feb-Abr 07), 2008. Disponible en http://observatorio.inteco.es. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 12 de 165
Instituto Nacional de Tecnologías de la Comunicación
1.2
Estudio sobre la situación, naturaleza e impacto económico del ‘spam’
El presente documento recoge los resultados del estudio describiendo, en primer lugar, los objetivos generales y secundarios que persigue la investigación. En los siguientes capítulos se detalla el análisis técnico sobre el spam y los hallazgos a nivel de impacto económico y social y datos cuantitativos más relevantes, basados en fuentes primarias y secundarias de información. Por último, se analiza el posicionamiento de los distintos agentes que se ven implicados en este fenómeno y se proponen una serie de recomendaciones para mejorar la de seguridad frente al problema del spam. 1.2.1
Objetivos generales
El estudio se articula en torno a los siguientes objetivos generales: 1. Estudio cuantitativo y cualitativo del fenómeno del spam en España a través de las cifras registradas y de la opinión y percepción de los agentes afectados por este, que darán un índice del impacto global del correo electrónico no solicitado. 2. Establecimiento de la dimensión del problema desde los planos tecnológico, social y jurídico para identificar las posibles vías de solución. 3. Recomendaciones generales y específicas para cada agente, orientadas a minimizar los efectos del fenómeno. 1.2.2
Objetivos operativos y secundarios 1. Definición y situación actual del fenómeno del spam, tomando como referencia sus orígenes y tendencias más recientes: a. Distintas formas de spam. b. Ciclo de vida del spam. c. Ataques conocidos y posibles soluciones. 2. Análisis del marco jurídico. 3. Impacto económico y social del spam. 4. El spam en cifras: importancia cuantitativa del spam en la Red. 5. Impacto en los agentes implicados según perfiles, posicionamiento y papel actual ante el fenómeno. 6. Recomendaciones de actuación y conclusiones.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 13 de 165
Instituto Nacional de Tecnologías de la Comunicación
1.3 1.3.1
Entidades participantes Instituto Nacional de Tecnologías de la Comunicación
El Instituto Nacional de Tecnologías de la Comunicación (INTECO), sociedad estatal promovida por el Ministerio de Industria, Turismo y Comercio, es una plataforma para el desarrollo de la Sociedad del Conocimiento a través de proyectos del ámbito de la innovación y la tecnología. La misión de INTECO es impulsar y desarrollar proyectos de innovación relacionados con el sector de las Tecnologías de la Información y la Comunicación (TIC) y, en general, en el ámbito de la Sociedad de la Información que mejoren la posición de España y aporten competitividad, extendiendo sus capacidades tanto al entorno europeo como al latinoamericano. Así, el Instituto tiene la vocación de ser un centro de desarrollo de carácter innovador y de interés público en el ámbito nacional que constituirá una iniciativa enriquecedora y difusora de las nuevas tecnologías en España en clara sintonía con Europa. El objeto social de INTECO es la gestión, asesoramiento, promoción y difusión de proyectos tecnológicos. Para ello, desarrollará actuaciones, al menos, en líneas estratégicas de seguridad tecnológica, accesibilidad, innovación en soluciones TIC para la Pyme, e-salud, e-democracia. http://www.inteco.es Observatorio de la Seguridad de la Información El Observatorio de la Seguridad de la Información se inserta dentro de la línea estratégica de actuación de INTECO en materia de seguridad tecnológica. El Observatorio nace con el objetivo de describir de manera detallada y sistemática el nivel de seguridad y confianza en la Sociedad de la Información y de generar conocimiento especializado en la materia. De este modo, se encuentra al servicio de los ciudadanos, las empresas y las istraciones públicas españolas para describir, analizar, asesorar y difundir la cultura de la seguridad de la información y la e-confianza. El Observatorio ha diseñado un Plan de Actividades y Estudios con el objeto de producir conocimiento especializado y útil en materia de seguridad, así como de elaborar recomendaciones y propuestas que definan tendencias válidas para la toma de decisiones futuras por parte de los poderes públicos. Dentro de este plan de acción se realizan labores de investigación, análisis, estudio, asesoramiento y divulgación que atenderán, entre otras, a las siguientes estrategias:
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 14 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Elaboración de estudios e informes propios en materia de seguridad de las Tecnologías de la Información y la Comunicación, con especial énfasis en la seguridad en Internet.
•
Seguimiento de los principales indicadores y políticas públicas relacionados con la seguridad de la información y la confianza en el ámbito nacional e internacional.
•
Generación de una base de datos que permita el análisis y evaluación de la seguridad y la confianza con una perspectiva temporal.
•
Impulso de proyectos de investigación centrados en la seguridad TIC.
•
Difusión de estudios e informes publicados por otras entidades y organismos nacionales e internacionales, así como de información sobre la actualidad nacional y europea relativa a la seguridad y confianza en la Sociedad de la Información.
•
Asesoramiento a las istraciones públicas en cuanto a seguridad de la información y confianza, así como apoyo a la elaboración, seguimiento y evaluación de políticas públicas en este ámbito.
http://observatorio.inteco.es 1.3.2
Empresas Colaboradoras
MessageLabs es uno de los principales proveedores de servicios de mensajería integrada y seguridad Web a nivel mundial. Cuenta con más de 17.000 clientes distribuidos en más de 86 países que abarcan desde pequeñas empresas hasta grandes compañías. La amplia gama de servicios de seguridad gestionada que ofrece MessageLabs permite proteger, controlar, cifrar y archivar comunicaciones por correo electrónico, Web y mensajería instantánea. MessageLabs Intelligence es una respetada fuente de datos, de análisis de seguridad de correos electrónicos, sitios Web y mensajería instantánea, y de tendencias. Además de ofrecer servicios de seguridad a más de 2.500 millones de conexiones de correo electrónico y 1.000 millones de peticiones Web cada día, dispone de información sobre las amenazas globales de seguridad del correo electrónico basándose en datos reales pertenecientes a sus sensores, distribuidos por todo el mundo. Más información en: http://www.messagelabs.com Sophos permite que empresas de todo el mundo protejan y controlen sus infraestructuras de TI. Sus soluciones de correo electrónico, Web, estaciones de trabajo y control de a la red simplifican la seguridad para ofrecer una defensa integrada contra programas maliciosos, programas espía, intrusiones, aplicaciones y correo no deseados, abuso de políticas, fugas de datos e incumplimiento de políticas. Con más de 20 años de experiencia, protegemos a más de 100 millones de s en aproximadamente 150 Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 15 de 165
Instituto Nacional de Tecnologías de la Comunicación
países con sus soluciones y servicios de seguridad. Sophos tiene sedes centrales en Boston, Massachusetts y en Oxford, Reino Unido. Más información en: http://esp.sophos.com Spamina es una empresa española que ofrece al mercado soluciones globales de seguridad para el correo electrónico, proporcionando todas las opciones para blindar a empresas y particulares contra los ataques que se producen a través del e-mail. Con sus diferentes soluciones, combate hasta el correo no deseado (spam), virus y correo fraudulento (phishing) o malicioso (spoof), y ofrece a sus s el control y movilidad total en la gestión de sus cuentas de correo, con independencia del dispositivo que se utilice para acceder a este (PC, portátil, PDA, BlackBerry, etc.). Spamina (Aegis Security) cuenta con oficinas en Barcelona, Madrid, Gerona y Buenos Aires (Argentina). Más información: http://www.spamina.com/ 1.4
Diseño metodológico
Para alcanzar los objetivos planteados, el estudio se ha realizado mediante una metodología en tres fases consecutivas: 1.4.1
Fase I: investigación
El objetivo de esta fase es la documentación y recogida de datos de distinta naturaleza bajo el marco del fenómeno del spam. 1. Estudio y documentación técnica sobre el origen, evolución y tendencias del spam. 2. Realización de 25 entrevistas a distintos agentes, entre los que se encuentran tanto expertos en seguridad como s de los ámbitos empresarial y doméstico. Se trata de identificar la visión del conjunto de estos agentes sobre el spam y sus demandas de actuación para mitigar sus efectos. Para un mejor análisis en fases posteriores, cada uno de los agentes involucrados se ha asociado a uno de los siguientes perfiles: Perfil 1: istración Pública. Perfil 2: Empresas de telecomunicaciones. Perfil 3: Empresas de marketing electrónico. Perfil 4: Empresas prestadoras de servicios de seguridad. Perfil 5: s.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 16 de 165
Instituto Nacional de Tecnologías de la Comunicación
3. Recolección de las cifras sobre el spam en España y en el ámbito mundial, a través de la información recopilada en fuentes primarias (proporcionada por INTECO) y secundarias. El estudio está basado en parte en una recopilación de datos extraídos de las distintas fuentes secundarias, lo que conlleva pequeñas diferencias en los volúmenes presentados. Los datos sobre el caso español proceden de INTECO, a través de su red de sensores de spam, que se compone de 14 sensores distribuidos geográficamente, situados en servidores de correo de pymes y s, y monitorizados a través de 13 herramientas antispam distintas. Se trata de una información muy amplia, que requiere de la adecuación y clasificación de los datos para su posterior análisis. 4. Investigación sobre los aspectos legales y las sentencias judiciales en España y la Unión Europea directamente relacionados con el spam, tratando de identificar las bondades y carencias del marco jurídico actual. 1.4.2
Fase II: análisis documental
Una vez recogida la información, se analiza para la obtención de las conclusiones, que serán debatidas y contrastadas. 1. Estudio cualitativo. Analiza en detalle el resultado de las entrevistas. De él deriva un conjunto de conclusiones preliminares. 2. Análisis cuantitativo de los datos obtenidos a través de sensores. Consta por un lado de un análisis descriptivo basado en las medias de posición y dispersión, así como una descripción gráfica adecuada al tipo de variables (histogramas, diagramas de barras, etcétera), y por otro de análisis y tests estadísticos de comparación. 3. Análisis del marco jurídico español. Se realiza un estudio completo, desarrollado en un anexo, sobre la normativa aplicable, las infracciones contempladas y las sanciones previstas, y se documenta con varios casos legales prácticos referidos al fenómeno del spam. Además, incluye sentencias que permiten completar las conclusiones fundamentales y orientar hacia las recomendaciones desde el plano legal 2 . 4. Debate sobre las conclusiones preliminares de esta fase mediante mesas de trabajo con representación de los perfiles de agentes identificados, que cuentan con toda la información documentada del trabajo, para extraer las conclusiones finales del estudio.
2
INTECO: Marco jurídico del correo electrónico no deseado (spam): normativa aplicable, infracciones, sanciones y casos prácticos, 2008. Disponible en http://observatorio.inteco.es.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 17 de 165
Instituto Nacional de Tecnologías de la Comunicación
1.4.3
Fase III: conclusiones y recomendaciones
Tiene como finalidad redactar un conjunto de recomendaciones que sintetice las líneas de actuación que pueden considerar los s, empleados y organizaciones, cada uno en virtud de sus competencias, para mitigar de forma preventiva, e incluso anular, los efectos del spam en la Sociedad del Conocimiento. En esta fase se constituirán las conclusiones finales del estudio. 1.5
Estructura de contenidos
El estudio se estructura de la siguiente forma: •
En primer lugar, se expone el origen, la definición, el ciclo de vida y la evolución del spam como parte de la panorámica global de las técnicas maliciosas a través de la Red.
•
En el siguiente capítulo se introduce el marco jurídico del spam, que incluye el estudio básico de los aspectos jurídicos relativos a este tipo de correo electrónico (capítulo 3). En un documento anexo se presenta, de forma exhaustiva, todo el análisis del marco jurídico y derecho comparado, tanto nacional como internacional, en referencia al spam. Se documenta la normativa aplicable a este fenómeno, las infracciones, repercusiones legales y las sanciones aplicables. También se incluyen casos reales sobre el spam, su desarrollo y sentencias.
•
En el siguiente capítulo se trata el impacto económico y social del spam. Se aportan cifras representativas en términos de coste para las organizaciones y su repercusión (capítulo 4).
•
Datos sobre el estudio cuantitativo. Se aporta información estadística sobre el spam, procedente de las mediciones realizadas por un conjunto de sensores de INTECO distribuidos por toda España y de otras fuentes (capítulo 5).
•
En el capítulo 6 se aborda el posicionamiento y papel de los agentes afectados por el spam, incluyendo entidades públicas y privadas, contemplando cual es su situación actual y qué medidas de actuación concretas están llevando a cabo. Se incluye aquí el análisis de los resultados del estudio cualitativo, obtenidos mediante las entrevistas y grupos de debate con expertos de los sectores de actividad involucrados.
•
En el capítulo 7, se identifican las principales propuestas y recomendaciones para afrontar el problema del spam para cada uno de los perfiles.
•
En el capítulo 8 de este informe se presentan las conclusiones finales del estudio.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 18 de 165
Instituto Nacional de Tecnologías de la Comunicación
2 CORREO ELECTRÓNICO NO DESEADO: ‘SPAM’ 2.1
Definición de ‘spam’
Los orígenes del spam se remontan a finales de los años setenta: el primer mensaje reconocido como tal fue enviado a los s de ARPANET 3 en mayo de 1978. El creador de este correo fue Gary Thuerk, un comercial de DEC (Digital Equipment Corporation), que envió un mensaje publicitario a una lista de s ARPANET, sobre los que su empresa deseaba ampliar mercado, hecha manualmente. Aunque la información enviada resultó de interés para alguno de los destinatarios, los problemas que ocasionó en el sistema iniciaron el debate sobre la conveniencia o no de controlar el correo y, de algún modo, censurar aquellos publicitarios de envío masivo. En 1994, los abogados Canter y Martha SIegel de Phoenix enviaron correos masivos publicitando exitosamente su firma, quedando así al descubierto las ventajas del uso de esta vía y la enorme influencia que tenía sobre los cada vez más s de la red global. Pero al tiempo que se abría esta puerta en beneficio de los negocios, se abrían otras muchas que no sólo favorecían el crecimiento del envío y reenvío incontrolado de estos mensajes no deseados, sino además otras amenazas de seguridad, como los códigos maliciosos (troyanos, spyware, etc.) o el phishing. El correo electrónico se ha consolidado como uno de los pilares fundamentales de la Sociedad de la Información. Al igual que otros muchos servicios a través e Internet, su empleo de forma universal ha servido como vehículo masivo de diversas formas de ataques informáticos, a menudo basados en técnicas de ingeniería social. Dentro del abanico de usos indebidos de esta tecnología de comunicación, llama especialmente la atención el auge que está adquiriendo el fenómeno del spam. Destacan dos definiciones del término, hasta el momento las más citadas, que aparecen publicadas en el proyecto Spamhaus 4 , dedicado a la protección en tiempo real del spam: •
La primera denomina spam al "correo electrónico masivo no deseado” (en inglés UBE, Unsolicited Bulk E- Mail).
•
La segunda lo define como todos aquellos correos publicitarios no autorizados (en inglés UCE, Unsolicited Comercial E-Mail).
3
ARPANET (Advanced Research Projects Agency Network) fue creada por encargo del Departamento de Defensa de los Estados Unidos como medio de comunicación para los diferentes organismos del país y está considerada la red que dio origen a Internet. 4
http://www.spamhaus.org/
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 19 de 165
Instituto Nacional de Tecnologías de la Comunicación
Una definición más formal, en términos de políticas de empleo aceptable del correo, es dada por Mail Abuse Prevention System 5 , por la que el correo electrónico debe ser considerado spam si cumple las siguientes condiciones: •
La identidad del destinatario del correo y el contenido son irrelevantes, por cuanto el mensaje no está personalizado y podría aplicarse a muchos otros receptores.
2.2
•
El destinatario no ha concedido permiso para que se le envíe el mensaje.
•
La recepción del mensaje brinda un beneficio al que lo recibe. Remitentes de ‘spam’: los ‘spammers’
Los responsables de desarrollar y/o desplegar el correo de tipo spam, ya sea de forma particular u organizada con fines lucrativos, son denominados spammers. Por su parte, se llama spamware al software desarrollado por los spammers para la generación y envío de spam. Así, el spamware puede incorporar, conjunta o separadamente, funcionalidades para la obtención o creación de direcciones de correo objetivos, el envío y distribución masiva de forma automática de e-mails o la explotación de vulnerabilidades de los sistemas. Aunque muchos correos basura, generados automáticamente o no, mueren en los propios buzones de destino al ser simplemente borrados por los receptores, otros son reenviados. Tras leer un correo interesante, sensacionalista o aparentemente ventajoso, los destinatarios deciden reenviárselo a sus conocidos o realizar otras acciones a las que el propio contenido del correo les induce (por ejemplo, ejecutar un fichero adjunto, visitar un determinado sitio web o hacer una compra online). Por ello, el spam forma parte de las amenazas de seguridad que recurren a la ingeniería social. Aunque hoy en día se están desarrollando diversas técnicas y medidas contra el spam (antispam), los spammers estudian estas variantes para generar nuevas formas que mejoran las anteriores y consiguen sortear la actuación de las herramientas. Incluso en muchos casos se aprovechan precisamente de su existencia para generar nuevos problemas en las comunicaciones y en los sistemas; téngase en cuenta, por ejemplo, la aparición de falsos positivos 6 cuando las herramientas antispam intentan filtrar el correo. Ante esto, muchos s solicitan a su del servicio de correo la desactivación de dicha protección ante el riesgo de perder correos importantes, fortaleciendo así la actividad de los spammers.
5
Mail Abuse Prevention System (MAPS): Asociación internacional de lucha contra el spam. http://www.mail-abuse.com/
6
Falsos positivos: aquellos correos electrónicos válidos que son filtrados por el software antispam como correo electrónico no deseado. Este concepto se contrapone al de falso negativo, correos electrónicos no deseados que los filtros antispam no reconocen como tales y pasan por correos válidos.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 20 de 165
Instituto Nacional de Tecnologías de la Comunicación
2.3
Uso de redes comprometidas para el envío de ‘spam’: las botnets.
Una de las características actuales en el envío del spam consiste en la utilización de las botnets o redes de ordenadores comprometidos como plataforma para el envío de los correos y ocultación del rastro del spammer. Son redes en las que los spammers instalan un software específico que les permite controlar y utilizar las máquinas a través de Internet para sus fines. Cada uno de estos ordenadores suele conocerse con el nombre de máquina zombie, y está bajo el control total del atacante 7 . Una vez que un ordenador ha sido comprometido, normalmente a través de un troyano, entra a formar parte automáticamente de la botnet, y para ello habitualmente se inicia una comunicación a través del protocolo IRC 8 , registrándose en un servidor y canal concreto, cuyo está protegido por contraseña, y el propio ordenador queda a la espera de instrucciones. Con esta idea ingeniosa, los diseñadores de este software consiguen varios objetivos de forma sencilla: •
Evitan la necesidad de diseñar e implementar su propio protocolo de comunicaciones, pues utilizan la sintaxis y la infraestructura del protocolo IRC.
•
Camuflan la comunicación entre las máquinas zombies y los servidores correspondientes dentro del tráfico IRC, que sin un análisis detallado, podría parecer inocua.
•
Pueden controlar cientos o miles de máquinas simultáneamente a través de una estructura jerárquica, lo que facilita esta tarea desde un único servidor IRC.
Sin embargo, este esquema tiene también una serie de desventajas. La más importante es que se basa en un diseño centralizado, por lo que si el servidor IRC falla o es desactivado, la comunicación con las máquinas zombies se pierde. Con el objetivo de superar esta limitación, los responsables maliciosos de estas redes han cambiado radicalmente el esquema. El nuevo esquema incluye características de las redes P2P 9 , descentralizadas por naturaleza, lo que hace su neutralización mucho más difícil. La importancia del uso de estas redes ha ido incrementándose paulatinamente, hasta el punto de que, en la actualidad, se estima que el 80% del spam es enviado utilizando este método. Se caracteriza por:
7
INTECO: “Amenazas silenciosas en la Red: rootkits y botnets”, 2007. http://observatorio.inteco.es
8
El protocolo IRC (Internet Relay Chat) es uno de los primeros protocolos de mensajería instantánea.
9
Peer-to-peer: red que no tiene clientes ni servidores fijos, sino una serie de nodos que se comportan simultáneamente como clientes y como servidores de los demás nodos de la Red. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 21 de 165
Instituto Nacional de Tecnologías de la Comunicación
− Eficiencia significativa en el envío masivo de spam en los métodos actuales que están más automatizados en la recogida de direcciones y envío de correos, frente a métodos más tradicionales. − Aprovechamiento de un gran ancho de banda. Al contar con un número muy elevado de máquinas, aunque cada una de ellas aporte un limitado ancho de banda, el resultado final es que estas redes pueden generar tráfico en tasas realmente elevadas. Sin embargo, se ha detectado recientemente una nueva tendencia en los spammers con más experiencia: utilizan tasas bajas de envío en cada nodo de la Red, de forma que, aunque siguen siendo capaces de enviar millones de correos en un día, el volumen de tráfico en cada nodo es demasiado bajo para ser detectado o clasificado como sospechoso. Por ejemplo, una red de 150.000 máquinas, cantidad habitual en las más grandes, puede enviar 50 millones de correos en un día. Sin embargo, cada nodo sólo tiene que procesar unos 330, pocos para levantar sospechas. − Dispersión de la fuente de envío. Al ser redes distribuidas por naturaleza, tanto en su modo de funcionamiento como geográficamente, no existe un único punto de envío que pueda ser neutralizado con mayor facilidad. − Facilidad para la recuperación. Otra consecuencia de la naturaleza distribuida de estas redes es que aumenta notablemente su resistencia al cierre por parte de las autoridades o ISP (Internet Service Provider, proveedor de servicios de Internet). Además, también se incrementa su tolerancia a fallos, pues aunque uno o varios nodos dejen de funcionar, lo que pasa muy a menudo, la Red es capaz de seguir operando a nivel global. Las distintas estrategias por las que los atacantes son capaces de comprometer nuevas máquinas e integrarlas en su botnet se conocen con el nombre de vectores de infección. Los más importantes y utilizados son: − Vector de infección basado en la navegación web. El simple hecho de navegar por Internet puede producir que una máquina sea comprometida, habitualmente aprovechando vulnerabilidades en los navegadores. − Vector de infección basado en redes P2P. Como es previsible, un método de propagación natural para los troyanos es la utilización de redes de intercambio de archivos P2P, en las que no existen mecanismos de seguridad integrados. Según algunos estudios recientes, casi el 50% de los programas ejecutables que pueden encontrarse en estas redes están infectados con alguna clase de malware. Para incrementar el atractivo de los archivos ejecutables y conseguir que el máximo
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 22 de 165
Instituto Nacional de Tecnologías de la Comunicación
número posible de s los descarguen y ejecuten, muchos de ellos están camuflados utilizando el reclamo del contenido de carácter sexual. − Vector de infección basado en el correo electrónico. El malware se camufla como un programa legítimo: salvapantallas, juegos, etcétera. Tradicionalmente, las máquinas constituyentes de las botnets han sido sobre todo ordenadores de s domésticos de Internet. Sin embargo, las redes corporativas o universitarias se ven involucradas cada vez más. Según fuentes de grandes compañías antivirus, los incidentes de seguridad relacionados con máquinas comprometidas para entrar a formar parte de una botnet se han multiplicado por cuatro respecto al 2006. El software de ataque y control de una máquina zombie no es muy diferente a otros tipos de malware, por lo que las medidas para evitar que el ordenador entre a formar parte de una red son también similares. A modo de resumen, se pueden citar las siguientes: − Bloquear todo el tráfico de correo entrante no solicitado en los cortafuegos perimetrales. Aun cuando los ordenadores del interior de la Red son comprometidos, estos no pueden ser finalmente activados si el atacante no puede comunicarse con ellos. Para sortear esta limitación, muchas botnets están diseñadas para que la máquina comprometida inicie la comunicación. En ese caso, es aconsejable restringir o, al menos, analizar el tráfico de protocolos como IRC o P2P en busca de patrones que puedan sugerir una infección. En este sentido, es muy aconsejable utilizar un sistema de detección de intrusión (IDS) para monitorizar el tráfico en busca de actividad sospechosa. Todo ello puede hacerse identificando horarios de conexión inusuales y volúmenes de tráfico inapropiados para estos servicios de mensajería. − Utilizar herramientas antivirus actualizadas. Aunque no es una garantía absoluta frente a las nuevas versiones de malware, muchas de las amenazas ya existentes sí son detectadas por un buen software antivirus. − Actualizar el sistema de los equipos. Las botnets, como otros tipos de malware, utilizan frecuentemente vulnerabilidades no parcheadas para tomar el control de las máquinas que atacan. − Bloquear del tráfico de salida en el puerto 25 (SMTP). Como se ha mencionado, muchos tipos de malware incorporan un servidor SMTP propio que utilizan para seguir propagándose o utilizar las máquinas atacadas como distribuidoras de spam. Por tanto, únicamente los servidores de correos autorizados deberían ser capaces de distribuir tráfico SMTP desde la red interna de una corporación.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 23 de 165
Instituto Nacional de Tecnologías de la Comunicación
2.4
Ciclo de vida del ‘spam’
El spam, como cualquier ataque a la seguridad, se desarrolla en diferentes etapas, destacando fundamentalmente las relacionadas con la búsqueda de los puntos de entrada al sistema, es decir, con la recolección de direcciones de correo electrónico. A continuación, se produce la creación del correo spam, seguida del envío y ataque y, por último, la comprobación de su éxito y el refinamiento de las listas empleadas. De esta forma, se pueden identificar las siguientes fases durante el ciclo de desarrollo del spam, que se explican a continuación: 1. Fase I: recolección de direcciones de correo. Se caracteriza por recopilar o generar de modo automático, direcciones de correo sobre las cuales lanzar el spam. Esta búsqueda utiliza diversas técnicas que permiten descubrir direcciones realmente activas, es decir, que están en uso y, por tanto, son revisadas por los s finales. 2. Fase II: creación del correo spam. Se genera un mensaje de correo que llame la atención al receptor para que decida leerlo. Además, estará escrito de forma clara y contener un mensaje creíble que induzca al destinatario a responderlo, reenviarlo o realizar cualquier otra acción. 3. Fase III: envío masivo. Es el momento en el cual el spammer elige y desarrolla diversas técnicas de envío del mensaje de correo para que llegue a sus múltiples destinos, evitando las posibles protecciones y ser descubierto como emisor del mensaje. Una vez realizado el reenvío continuado, se podrán desplegar ciertos ataques en cada máquina, a menudo con la colaboración involuntaria del . 4. Fase IV: refinamiento de listas. Mecanismo para chequear la existencia y uso de las direcciones de correo a los que se envía el spam. El ataque sólo tiene éxito si se lanza sobre direcciones activas.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 24 de 165
Instituto Nacional de Tecnologías de la Comunicación
CICLO DE VIDA DEL SPAM
Fase I: Recolección de direcciones de correo Recolección Pasiva: En páginas web En listas de correos Mediante ingeniería social
Recolección Activa: Mediante solicitud directa de la dirección de correo Mediante robots de búsqueda Mediante ataques a servidores de correo o PC Mediante ataques a aplicaciones de Internet Mediante búsquedas por diccionario
Fase II: Creación del correo Partes que, de forma conjunta o por separado, pueden presentarse en el correo de tipo spam: • • • • • • •
Reclamo de atención Presentación de credenciales Continuidad de la relación Introducción de la oferta Táctica de presión Solicitud de respuesta Política de salida cortés
Fase III: Envío masivo Técnicas de envío masivo: • • • •
Basadas en servidores de correo con configuración abierta Basadas en troyanos Basadas en servidores SMTP internos Basadas en redes de ordenadores comprometidos
Técnicas de tratamiento de los mensajes: • • •
Basadas en el falseo del remitente Basadas en la personalización de los mensajes Basadas en la ofuscación del mensaje: o Mediante imágenes o Mediante invisibilidad del texto o Mediante letras espaciadas o Mediante corte vertical o Mediante código script
Fase IV: Refinamiento de listas Técnicas de refinamiento: • • •
Pruebas de lectura Enlaces y páginas para dar de baja en listas Correos de confirmación
Fuente: INTECO
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 25 de 165
Instituto Nacional de Tecnologías de la Comunicación
2.4.1
Fase I: recolección de direcciones de correo
Para el envío de spam se requiere de un listado de direcciones de correo. A su vez, para que el envío tenga éxito es necesario que estas cuentas estén realmente activas. Por tal motivo, los spammers utilizan diversas técnicas para generar y obtener listas de direcciones eficientes. Algunas búsquedas se realizan de forma manual, personalmente por los propios spammers; este tipo es conocido como recolección pasiva y se suele realizar llevando a cabo una o varias de las técnicas descritas a continuación: 1. Recolección en páginas web: la captación de direcciones de correo que se encuentran listados en páginas web personales o de empresas, en los foros de discusiones, páginas blancas y amarillas, etcétera es el método más sencillo. 2. Recolección en listas de correo: listas de noticias, de distribución, chats, etcétera. 3. Recolección mediante ingeniería social: basada en técnicas de múltiples reenvíos entre s de correo con contenido de diversa índole. Así, los s incluirán los os de su libreta de direcciones en el correo reenviado, entre los cuales se encontrará el propio emisor. De esta manera, el spammer puede obtener un gran número de direcciones de correos, generalmente activas. La creación de las listas de direcciones de correo también puede hacerse de forma automatizada, por métodos de recolección activa. Algunos ejemplos de técnicas basadas en dicho métodos son: 1. Recolección mediante solicitud directa de la dirección de correo: métodos basados en páginas engañosas en las que se solicita a la víctima la dirección de correo para acceder a un determinado servicio, como el envío de postales electrónicas o las descargas gratuitas. 2. Recolección mediante robots de búsquedas: método más sofisticado basado en los robots de búsquedas o arañas, software que busca y colecciona direcciones de correo en los sitios web de forma masiva (en inglés, harvesting). Estos programas
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 26 de 165
Instituto Nacional de Tecnologías de la Comunicación
barren todas las páginas web accesibles en la Red, analizándolas en busca de patrones que encajen con direcciones de correo electrónico. 3. Recolección mediante ataque a servidores de correos o PC: técnicas de hacker de entrada ilícita en servidores de correo u ordenadores personales, explotando las brechas de seguridad de estos sistemas, para apropiarse de los directorios y libretas de os. 4. Recolección mediante ataque a aplicaciones de Internet: puede considerarse un subtipo del anterior. El caso más común es la explotación de las propiedades, y/o vulnerabilidades o errores de los navegadores web. Por ejemplo, son conocidas las técnicas de obtención de direcciones de correo electrónico basadas en el funcionamiento del protocolo FTP anónimo o en ciertas cabeceras del protocolo HTTP. 5. Recolección mediante búsqueda por diccionario: técnicas usadas en otros contextos, pero que también son aplicadas en la elaboración de listas de correos. En este caso, consiste en generar una larga lista, probando sistemáticamente posibles direcciones de correo electrónico; a continuación, se comienza un proceso de ensayo y error con estas cuentas para identificar si están activas. Las direcciones se componen alterando nombres comunes por combinaciones lógicas de patrones. Junto a las técnicas de recolección pasiva y activa, conviene destacar una tercer tipo consistente en la compra directa de bases de datos de direcciones de correo. Este último método es fraudulento e ilegal en la mayor parte de los países. Cada una de las técnicas que se han analizado (recolección pasiva, generación automática y compra de bases de datos) puede ser evaluada y comparada cualitativamente en términos de dificultad técnica, eficacia y recursos necesarios desde el punto de vista del spammer (Tabla 1). En relación a los recursos, cabe señalar que en estas técnicas los recursos económicos necesarios son por lo general reducidos; en el caso de la compra directa de bases de datos, el coste puede fluctuar drásticamente en función del volumen de que se trate, mientras que en los otros dos métodos el coste es independiente del tamaño de la lista. En cuanto a otros recursos necesarios, se señalan los materiales (equipos y ancho de banda, con el coste asociado de cada uno de ellos) y humanos. Para las técnicas de recolección activa mediante generación automática son necesarios una serie de programas. No son técnicamente muy complejos, aunque exigen ciertos conocimientos de redes y programación. Lamentablemente, cada vez son más los programas disponibles en Internet que pueden ser empleados por s con un nivel de conocimiento básico.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 27 de 165
Instituto Nacional de Tecnologías de la Comunicación
Tabla 1: Comparativa de métodos de recolección de direcciones
Técnica Recolección pasiva Generación automática Compra de listas
Dificultad técnica
Eficacia
Baja
Recursos necesarios Econ.
Mater.
Huma.
Baja
Bajos
Medios
Medios
Media
Baja
Bajos
Bajos
Bajos
Alta/Baja
Media
Altos/ Bajos
N/A
Medios Fuente: INTECO
2.4.2
Fase II: creación del correo
Existen diferentes tipos spam de contenido y objetivo variado. Por ello y por su constante evolución, resulta muy difícil describir un prototipo genérico de correo spam. A pesar de eso, todo correo spam necesita comunicar al receptor de forma clara un mensaje que le induzca a responderlo, reenviarlo o realizar cualquier otra acción requerida. Las principales partes que, de forma conjunta o por separado, pueden presentarse en un correo de tipo spam son: •
Reclamo de atención: el asunto del correo, corto y conciso, persigue el objetivo de que el receptor no lo borre, no asuma que es un correo spam, sino que desee abrirlo.
•
Presentación de credenciales: el cuerpo del mensaje destaca la solvencia de la organización y las ventajas que ofrece al .
•
Continuidad de la relación: se refiere generalmente a una falsa comunicación anterior y trata de convencer al de que ha solicitado cierta información, desviando la idea de que puede tratarse de un correo spam.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 28 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Introducción de la oferta: se divide generalmente en una enumeración detallada de los productos o servicios de la empresa con sus precios, seguido de los detalles de la oferta.
•
Táctica de presión: pretende incitar al a comprar inmediatamente el producto o realizar la acción solicitada.
•
Solicitud de respuesta: consiste en la descripción de la acción que se desea que el haga a partir del correo electrónico recibido, mezclándose con la táctica de presión para lograrlo. Puede caracterizarse por ofrecer datos de os como números de teléfono, dirección de correo o enlaces web, o incluir directamente hipervínculos. Esta parte constituye el elemento fundamental del correo spam, pues es la que define su objetivo y ataque. Aquí puede combinarse con otros ataques como los de phishing, inyección de virus, troyanos, etcétera.
•
2.4.3
Política de salida cortés: brinda una vía para no continuar recibiendo este tipo de mensajes (opción opt-out). A diferencia de los correos publicitarios lícitos, en los falsos esta opción persigue el objetivo de hacerlo más creíble y puede tratarse de una forma de desplegar un determinado ataque. Fase III: envío masivo
Distribuir un mensaje de correo a varios destinatarios es una tarea relativamente sencilla y económica; basta con conocer los pasos adecuados del protocolo de correo SMTP 10 . Su sencillez permite incluso que algunos correos spam sean generados muchas veces de manera manual, si bien esto no es una técnica común en un mundo digitalizado. El
10
SMTP, Simple Mail Transfer Protocol (SMTP): protocolo simple de transferencia de correo. Protocolo de red basado en texto utilizado para el intercambio de mensajes de correo electrónico entre computadoras o distintos dispositivos RFC 2821. http://www.ietf.org/rfc/rfc2821.txt. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 29 de 165
Instituto Nacional de Tecnologías de la Comunicación
fenómeno del spam toma dimensiones mayores con el desarrollo de los programas que implementan estas comunicaciones SMTP y que explotan sus vulnerabilidades para enviar los correos de forma automatizada y masiva. Las técnicas de envío masivo se detallan a continuación. 1. Técnicas basadas en servidores de correo con configuración abierta (en inglés, configuración Open Relay 11 ). Son servidores de correo que, por ejemplo, no necesitan un y contraseña para ser utilizados por terceras personas para el envío de correos electrónicos. Por lo tanto, un spammer puede emplearlos sin necesidad de ser cliente de ese servidor. Esto provoca que sea muy complicado identificar y rastrear a los creadores del correo spam así generado. 2. Técnicas basadas en troyanos. Los spammers han encontrado en los tradicionales troyanos, utilizados habitualmente en otros muchos contextos, la herramienta perfecta para sus actividades. Así, los utilizan para infectar y tomar el control de miles de máquinas en Internet. Esta nueva generación de troyanos, llamados troyanos spammers, implican una gran dificultad en la lucha contra el spam. Además del propio envío de correos electrónicos, pueden proporcionar una amplia variedad de servicios necesarios para los spammers, tales como el servicio de resolución de nombres de dominio o DNS 12 , el alojamiento de páginas web, la retransmisión de correo, los cambios dinámicos de direcciones IP para evitar la inclusión en listas negras, etcétera. De hecho, muchos de los últimos ataques de gusanos de amplia difusión, como los de MyDoom 13 o Bagle 14 , fueron lanzados expresamente para instalar troyanos spammers, con el fin de que las máquinas que hubieran resultado infectadas pudieran ser utilizadas posteriormente como plataformas de envío (epígrafe 2.3). 3. Técnicas basadas en servidores SMTP internos. Las propias herramientas de envío de spam incorporan un motor de envío de mensajes SMTP (es decir, un servidor de correo) para enviar automáticamente el correo sin tener que conectarse a un servidor externo. Esta técnica pretende sortear las listas negras de servidores y se combina generalmente con los troyanos spammers. 4. Técnicas basabas en redes de ordenadores comprometidos. Es el resultado un número importante de ordenadores comprometidos mediante la técnica basada en
11
Recomendaciones para proteger los servidores de correo frente a este ataque: http://www.mail-abuse.com
12
DNS, Domain Name Server: base de datos distribuida y jerárquica que relaciona los nombres de dominio con direcciones IP. 13
Gusano que se propaga rápidamente por correo electrónico. Fue detectado el 26 de enero de 2004 y a las pocas horas había infectado a miles de s. 14
Gusano que se propaga por correo electrónico utilizando su propio programa de correo SMTP para enviarse a todas las direcciones encontradas en el ordenador.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 30 de 165
Instituto Nacional de Tecnologías de la Comunicación
troyanos para envío masivo de spam. Los programas maliciosos instalados en esos ordenadores pueden hacer uso de direcciones de correo que encuentren en ellos y conectarse a los servidores SMTP externos configurados en los correspondientes clientes de correo o hacer poner en práctica la técnica basada en servidores SMTP interno. Por la importancia e impacto de esta técnica de envío masivo de correo malicioso, se detalla su estudio en el epígrafe 2.3. Las técnicas de envío masivo de mensajes de correo suelen combinarse con cierto tratamiento de los mensajes que dificulta aún más su detección y rastreo. Algunos métodos de tratamiento de los mensajes son: 1. Técnicas basadas en el falseo del remitente. Consiste en enviar un correo a nombre de un emisor falso. El objetivo es generar un flujo de mensajes innecesarios y no esperados. Con esta variante, el spammer no recibe el correo de respuesta, pero puede generar envíos de correos inútiles entre receptores y emisores desconocidos; se incluyen dentro de estos envíos los avisos de correos no entregados, en el caso de que las direcciones de los receptores no existan o no puedan ser accedidas. 2. Técnicas basadas en la personalización de los mensajes. Consiste en emplear un mensaje como plantilla general y adaptarlo con datos específicos de cada destinatario como el nombre, dirección postal, empresa en la que trabaja o cualquier otra información recolectada en Internet o extraída de la propia dirección de correo (por ejemplo, puede deducirse que el propietario de la cuenta [email protected] se llama José García). 3. Técnicas basadas en la ofuscación del mensaje. Consiste en ocultar de manera automática el texto del mensaje para crear nuevas versiones del mismo, de tal manera que sea difícil de detectar y rastrear por los filtros antispam. En la actualidad se utilizan varias técnicas de ofuscación de mensajes: a. Ofuscación mediante imágenes: consiste en enviar todo el mensaje spam como una figura incrustada en un texto HTML. En el mismo no aparece ningún texto, pues todo el contenido está incluido en la figura. Las figuras son muy difíciles de procesar por los filtros antispam, por lo que esta variante de spam puede llegar a un importante número de buzones sin ser detectado. La imagen puede además contener el hipervínculo que el spammer desea que el pinche para visitar una determinada página.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 31 de 165
Instituto Nacional de Tecnologías de la Comunicación
b. Ofuscación mediante invisibilidad del texto: técnica que intenta ocultar el mensaje dentro de un texto legítimo, de forma que pueda sortear los filtros antispam. Muchos filtros utilizan una técnica de clasificación basada en contar la cantidad de palabras comunes que aparece en los mensajes de correo, legítimos o no; con esta técnica, los spammers intentan aumentar la cantidad de palabras clasificadas como comunes. Estos mensajes se construyen generalmente como páginas HTML donde el texto se ocultan en el contenido de la página, de forma que no será visible para el ojo humano, pero sí analizada por los filtros (por ejemplo, un texto del mismo color que el fondo o un texto en el campo de búsqueda de páginas o en la sección de comentarios). c. Ofuscación mediante letras espaciadas: consiste en introducir caracteres o espacios blancos entre las letras. Esto dificulta el trabajo de los filtros, mientras que el receptor puede leer el contenido del mensaje sin demasiados problemas. d. Ofuscación mediante corte vertical: se trata de ocultar un texto en una tabla HTML. Se distribuye en celdas separadas de una misma tabla, de tal manera que cuando finalmente es visualizada por la aplicación cliente del receptor, este puede leer el texto enviado por el spammer. e. Ofuscación mediante código script: consiste en enviar el mensaje como un código JavaScript u otro lenguaje de tipo script 15 que pueda ser procesado por la aplicación cliente (páginas dinámicas), y que como resultado devuelve el texto que desea que el destinatario reciba. Muchos filtros antispam ignoran el código en lenguajes script por lo complejo que es implementar un analizador sintáctico para ellos. Es decir, en vez de enviar el contenido del spam en texto en claro, el puede enviar un script que lo genere. Por ejemplo un spam con el siguiente contenido en claro: Aproveche esta oportunidad. Compre el producto a muy buen precio. Haga ahora su solicitud aquí. Puede ser generado al interpretar el siguiente código en JavaScript: <script type='text/javascript'> document.write ('Aproveche esta oportunidad. Compre el producto a muy buen precio.
15
Lenguaje script: se conoce como lenguaje interpretado y es un lenguaje de programación diseñado para ser ejecutado por medio de un intérprete, en este caso un navegador u cualquier otro cliente que permita visualizar páginas web.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 32 de 165
Instituto Nacional de Tecnologías de la Comunicación
Haga ahora su solicitud aquí '); Junto a las causas fundamentales ya descritas que explican la existencia del spam (bajo coste y sencillez técnica), conviene señalar que se hace aun más comprensible la proliferación de este fenómeno si se atiende al hecho de que no suelen emplearse medidas de autenticación en los protocolos de envío de correo electrónico. La autenticación es el servicio que permite tener la certeza de la identidad de las partes involucradas en una comunicación; sumada a la privacidad e integridad, es uno de los aspectos imprescindibles para que podamos hablar de seguridad en el tratamiento de la información. Los protocolos de envío de correo no proveen de autenticación del remitente. Esto se traduce en que cualquier individuo u organización puede poner en marcha un servidor de correo y enviar y recibir un número ilimitado de correos electrónicos. 2.4.4
Fase IV: refinamiento de listas
Los spammers dedican esfuerzo e ingenio en refinar sus listas, con el objetivo de eliminar direcciones de correo desactivadas o inexistentes y aumentar el número de os válidos. Las técnicas que se utilizan para este propósito son muy variadas. A continuación se resumen las más representativas: 1. Pruebas de lectura. Suelen utilizarse para comprobar quién, cuándo y desde qué ordenador se visita una página web o se lee un correo electrónico. Aunque existen varias formas de implementación, uno de los métodos más engañosos consiste en el envío de un correo con contenido HTML en el cuerpo del mensaje, en el que se incluye una imagen (normalmente de un píxel de tamaño y de color transparente) cuya dirección URL 16 es la del correo del receptor (por ejemplo www.yyy.zzz/[email protected]). De esta manera, si el cliente de correo realiza una visualización previa del contenido 17 o lee su contenido, solicitará el envío de esa imagen al servidor Web (es decir a www.yyy.zzz), que los spammers
16
Uniform Resource Locator, en español, localizador uniforme de recurso. Es una secuencia de caracteres, de acuerdo a un formato estándar, que se usa para nombrar recursos, como documentos e imágenes en Internet, por su localización. 17
Eudora y Outlook poseen un de previsualización que visualiza tanto correos en texto en plano como correos HTML.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 33 de 165
Instituto Nacional de Tecnologías de la Comunicación
han habilitado. Finalmente, en los ficheros logs del servidor quedarán recogidas todas las URL 18 de las imágenes solicitadas y por lo tanto, todas las direcciones de correos activas que lo han leído.Los spammers podrán chequear quien lo ha solicitado, en los ficheros logs del servidor y, por tanto, descubrir qué direcciones de correo han visto el spam. Estas variantes pueden ser controladas por los proveedores de correo restringiendo la carga de imágenes y, en general, el código HTML en los correos recibidos, lo que están empezando a realizar los grandes proveedores de correo gratuito. Así, la gran mayoría de variantes de la técnica anterior se vuelven inútiles. 2. Enlaces y páginas para darse de baja en listas. En ocasiones, parte del spam recibido contiene enlaces para, supuestamente, tramitar la baja de la dirección en las listas de suscripción. Por supuesto, en la mayoría de las ocasiones dicha baja no sólo no se produce, sino que conlleva un aumento del volumen de spam recibido. Al solicitar la baja, se está confirmando que la dirección es válida y, automáticamente, queda incluida en nuevas listas y es utilizada por más spammers. Existen formas sencillas de mitigar este problema: no se debe solicitar la baja de este tipo de correos y, en general, no es aconsejable seguir ningún enlace incluido en un spam, pues, habitualmente, apuntará a páginas que contienen troyanos spammers u otro tipo de malware. El servicio de tramitación de baja sólo puede utilizarse cuando la entidad que envía el correo no solicitado ofrece las suficientes garantías. 3. Correos de confirmación. Existe un tipo de spam que aparentemente no trata de vender ningún producto ni de engañar al receptor para que visite cierta página Web. de aspecto inofensivo, se limita: o bien a pedir al que responda al correo, sin proporcionar ningún dato, o bien le indique que su silencio se tomará como una aceptación a estar en la lista. Estos correos, cuyo carácter no es legítimo, tienen como objetivo comprobar que la dirección de envío es correcta, con el fin de refinar las listas generadas de forma automática y hacerlas más efectivas. 2.5
Tipos de ‘spam’
La clasificación de los diferentes tipos de spam resulta complicada, pues las técnicas empleadas por los spammers son cada vez más ingeniosas y sofisticadas y consiguen sortear las protecciones, así como crear mensajes que logren engañar a los receptores.
18
Uniform Resource Locator, en español, localizador uniforme de recurso. Es una secuencia de caracteres, de acuerdo a un formato estándar, que se usa para nombrar recursos, como documentos e imágenes en Internet, por su localización. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 34 de 165
Instituto Nacional de Tecnologías de la Comunicación
En los próximos epígrafes se presenta una clasificación 19 ilustrativa (no limitativa) de los distintos tipos de correo no deseado. TIPOS DE SPAM Por contenido del mensaje: • • • • • • • • •
Adultos Financieros Fraudes de empresas Estafas (scams) Productos o servicios informáticos Publicitarios Ocio Sensacionalistas Espirituales o sentimentales
Por formato del texto del mensaje: • • • •
Spam en texto plano (TXT spam) Spam en lenguaje HTML (HTML spam) Spam con archivos adjuntos habituales Spam en archivos adjuntos de audio
Evolución y nuevos tipos de spam: • • • • • •
Spam por mensajería instantánea (Spim) Spam por ventanas emergentes o pop-ups Spam en grupos de noticias Spam en foros Spam en blogs Spam en otros servicios: o Spam por telefonía móvil o Spam por Voz sobre IP
Fuente: INTECO 2.5.1
Clasificación por contenido del mensaje
Según el tipo de contenido del mensaje, el spam puede clasificarse en correo para adultos, financieros, fraudes de empresas, estafas, productos informáticos, publicitarios, de ocio, sensacionalistas o espirituales, etcétera. A continuación, se revisan algunas características de los distintos tipos. 1. Adultos: correo electrónico con contenido relacionado con la sexualidad. Son los correos más repudiados y por lo tanto, suelen ser eliminados y no reenviados por los s. En la mayoría de los casos, los s deciden filtrar automáticamente la recepción de estos correos, circunstancia que resulta fácil por su inequívoco contenido; la búsqueda de las palabras clave generalizadas en torno a esta temática facilita la labor. Aun así, el tráfico de este spam sigue siendo muy elevado. 2. Financieros: incluyen ofertas de dinero, regalos y deslumbrantes oportunidades en ciertos negocios. Los más típicos son los que anuncian regalos de dinero sin
19
La clasificación que se presenta está basada en la realizada por Symantec Corporation (http://www.symantec.com/). La mayoría de los ejemplos que presentamos están en inglés, pues es el lenguaje que generalmente utiliza el spam. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 35 de 165
Instituto Nacional de Tecnologías de la Comunicación
acción previa (loterías, premios, casinos), préstamos sin comisiones, inversiones, etcétera. 3. Fraudes de empresas: se presentan con el nombre de una empresa legítima con el objetivo de obtener información confidencial del destinatario y de atribuirle un perfil como cliente; por esta razón, se clasifican a menudo como correos de phishing 20 o de brand spoofing 21 . Las formas más habituales suelen basarse en falsas alertas bancarias sobre las cuentas de los clientes o relacionadas con sus datos de registro y los sistemas de seguridad de banca electrónica, lo que les induce a visitar una web falsa del banco e introducir sus datos. 4. Estafas (scams): aunque pueden estar incluidos dentro de los financieros (y dentro de los ataques de phishing por correo), merecen una distinción por su importancia y variedad. Se caracterizan por proponer tratos lucrativos para el remitente, con el objeto de estafar al destinatario cantidades económicas y/o información confidencial. Para ello, suelen ofrecer trabajos bien remunerados (generalmente de forma online), soluciones hipotecarias ventajosas o incluso versiones en línea del conocido fraude financiero piramidal (consistente en el establecimiento de una cadena de participantes, que forman la base de la pirámide, a los cuales se les asegura unas ganancias progresivas previo pago de una determinada cantidad). Junto a este tipo de estafas, conviene señalar el timo conocido por “banco nigeriano” o “timo 419” (por el número de artículo del código penal de Nigeria que viola), en el que el estafador obtiene dinero de la víctima en concepto de adelanto a cuenta de una supuesta fortuna que le han prometido. 5. Productos o servicios informáticos: los más comunes son los correos cuyo contenido hace referencia a versiones nuevas de software o hardware de uso común y extendido, así como a direcciones de descargas libres o con precios reducidos de productos muy costosos. 6. Publicitarios: correos relacionados con la oferta comercial de productos y servicios. Son bastante controvertidos, pues pueden confundirse con correos lícitos. Fueron los primeros correos de tipo spam en surgir y siguen siendo los más abundantes, casi siempre con fines lucrativos. Estos correos maliciosos son fáciles de determinar, porque ofrecen enormes ventajas y precios muy bajos para los potenciales clientes. Las más típicas son las ofertas relacionadas con la salud
20
INTECO: Estudio sobre s y profesionales de entidades públicas y privadas afectados por la práctica fraudulenta conocida como phishing, 2007. Disponible en http://observatorio.inteco.es. Phishing: técnica de ingeniería social por la cual un atacante intenta adquirir información confidencial de una víctima de forma fraudulenta, haciéndose pasar por un tercero de confianza. 21
Spoofing brand: técnica de suplantación de identidad, en este caso suplantación de marca.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 36 de 165
Instituto Nacional de Tecnologías de la Comunicación
(medicamentos sin prescripción) o con la estética (productos dietéticos, consultas a muy bajo precio, tratamientos, etcétera). Por su parte, los correos legítimos pertenecen generalmente a campañas publicitarias de empresas, pero se considerarán spam en función de la legislación de cada país. Este aspecto será discutido detalladamente más adelante en el presente informe. 7. Ocio: incluyen publicidad relacionada con opciones de ocio, tales como paquetes turísticos, juegos electrónicos o casinos online. 8. Sensacionalistas: su contenido generalmente incita a muchos s (sobre todo los que se inician en el uso del correo electrónico) a que crean en su mensaje y los reenvíen. Son conocidos también como correos místicos (en inglés, hoax). Alguno de los temas más comunes que abordan están relacionados con las ayudas humanitarias, la política o las falsas alertas de virus destructivos. 9. Espirituales o sentimentales: constituyen el correo spam más aceptado y difundido por los propios s e inducen a los propios receptores a convertirse en spammers reenviándolos a su directorio de os. Se suelen caracterizar por tratar motivos religiosos, poemas, citas famosas, animaciones o imágenes. 2.5.2
Clasificación por formato del texto del mensaje
El correo de tipo spam puede ser clasificado también según el formato con el que se ha editado el mensaje. A continuación se presentan los más comunes. 1. Spam en texto plano (TXT spam): el texto plano o .txt es un formato común en el cuerpo del mensaje de los correos electrónicos. Es una de las técnicas más utilizadas por lo sencillo de su creación, pero también constituye el más sencillo de detectar por filtrado de contenido. Utiliza principalmente técnicas de ingeniería social para persuadir a los receptores y desplegar su ataque o ser nuevamente enviado. 2. Spam en lenguaje HTML (HTML spam): el contenido del mensaje es un fichero HTML 22 que la mayoría de los clientes de correo permiten visualizar directamente. Este tipo de mensaje, por las propiedades de los ficheros HTML, permite incluir código y técnicas automatizadas para realizar sus acciones y ser reenviados. Actualmente, se están desarrollando variantes más novedosas, con objeto de evitar las medidas de protección.
22
HyperText Markup Language, en español Lenguaje de Marcas Hipertextuales. Es un lenguaje diseñado para estructurar textos y presentarlos en forma de hipertexto en las páginas web. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 37 de 165
Instituto Nacional de Tecnologías de la Comunicación
3. Spam con archivos adjuntos habituales: el contenido de tipo spam no es enviado en el cuerpo del mensaje, sino en un fichero adjunto. Las variantes más antiguas se realizaban mediante adjuntos con extensiones .ppt o .zip, pero en la actualidad se está extendiendo el uso del spam a imágenes y archivos .pdf. 4. Spam en archivos adjuntos de audio: constituye la tendencia más reciente en las técnicas empleadas por los spammers. Consiste en enviar mensajes codificados en archivos adjuntos de audio MP3. Estos mensajes están compuestos de un fichero MP3 de pocos segundos, grabado a un bajo nivel de bits y con una voz sintetizada que promociona un determinado producto. Dicha voz llega a los s de forma muy distorsionada para evitar así su detección por medio de sistemas antispam por búsqueda de patrones de voz, que localizan dentro del fichero adjunto pautas con las mismas características que en los spam de texto. 2.6
Evolución y nuevos tipos de ‘spam’
En la actualidad las técnicas que sustentan el spam están en constante adaptación y evolución. Bajo la consigna de "masivo y no deseado" rebasa la frontera del correo electrónico y se extiende a otras aplicaciones y servicios de Internet, apareciendo así nuevas modalidades. 2.6.1
Spam por Internet
1. Spam por mensajería instantánea (Spim): modalidad que utiliza sistemas de mensajería instantánea como ICQ, Messenger o Skype, entre otros. Generalmente, aprovecha vulnerabilidades de seguridad y sus posibilidades de envíos instantáneos, además de la información personal contenida en los directorios de s. En este caso, los spammers desarrollan programas que envían mensajes instantáneos, mediante el protocolo de comunicación del sistema en cuestión, a una lista de s detectados. A menudo, este proceso es automatizado y forma parte del funcionamiento de algún software malicioso que ha comprometido una máquina. 2. Spam por ventanas emergentes o pop-ups: se trata de enviar un mensaje bajo el control del spammer que emerge con formato de ventana durante la navegación por Internet, normalmente con alguna advertencia falsa dirigida hacia el y que suele conducir a un mensaje de carácter publicitario. Es muy común que se inserte en motores de búsqueda y en sitios visitados por un gran número de s. Aunque los primeros casos se dieron en Internet Explorer de Windows, han aparecido ya en otros navegadores. Se han detectado otras formas de spam
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 38 de 165
Instituto Nacional de Tecnologías de la Comunicación
que hacen uso de este tipo de ventanas de forma similar en aplicaciones con el protocolo SMB 23 . 3. Spam en grupos de noticias: modalidad que utiliza programas robot (en inglés, bots) que se conectan a salas de noticias y las bombardean con mensajes publicitarios, reiteración de preguntas u otra información no solicitada y en muchos casos incómoda para los s registrados en estos servicios. 4. Spam en foros: aprovecha la propiedad de envío masivo de los foros de discusiones. Generalmente, se caracteriza por la inclusión de repetidos mensajes que no contribuyen en nada al tema del foro e, incluso, de contenido ofensivo o molesto para el resto de participantes. 5. Spam en blogs: modalidad que se caracteriza por incluir comentarios en una entrada de un blog, con objetivos distintos a los previstos en dicha bitácora y que en realidad contienen enlaces a sitios comerciales, promocionan directamente algún producto o simplemente sirven de enlace a sitios maliciosos. Más allá de la comunicación en Internet con ordenadores, el spam ha llegado también a otros servicios, como la telefonía móvil o los sistemas de Voz sobre IP (VoIP): 2.6.2
Spam por telefonía móvil
Se produce a través del servicio de mensajes de texto cortos (SMS) o de mensajes multimedia (MMS). Esto puede resultar especialmente desconcertante para los s, no sólo por la molestia que supone recibir y leer mensajes que no son relevantes para ellos, sino también porque muchas veces son enviados desde otros países o destinos, y por lo tanto, los s deben pagar al recibirlos. Aun así, hasta el momento este tipo de spam no ha evolucionado en la misma medida que el resto, a pesar de los millones de abonados de telefonía móvil, por los propios costes de envíos y por la ausencia de pasarelas gratuitas. 2.6.3
Spam por Voz sobre IP
Se espera que las comunicaciones VoIP sean vulnerables al spam por mensajes pregrabados. Se han reportado muy pocos casos por lo reciente de este tipo de telefonía, pero ya se han desarrollado algunas herramientas de protección contra ello. También se presenta el fenómeno del spam en la vida cotidiana, aunque no se menciona como tal, a través de sistemas como el fax y el teléfono tradicional, en sistemas
23
Server Message Block (SMB), protocolo de nivel de aplicación que permite a los servidores enviar alertas, mediante ventanas emergentes (pop-up) a las estaciones de trabajo de Windows. Cuando estas se conectan a Internet con el servicio iniciado, y sin la protección de un firewall, este puede ser utilizado para enviar spam. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 39 de 165
Instituto Nacional de Tecnologías de la Comunicación
automáticos de envío y recepción de llamadas, puerta a puerta, a través de folletos y otras promociones que llegan a los hogares o empresas... 2.7
Formas permitidas de correo masivo
En la actualidad existe una importante discusión sobre qué se considera spam, en el marco del envío masivo de correos de listas de distribución y publicitarios. En ambos casos los mensajes se envían a un elevado número de destinatarios. Muchas de estas listas de distribución o de publicidad ofrecen dos sistemas de control sobre la recepción de estos correos: la aceptación previa a primera comunicación (opt-in) o la opción de cancelación en cada comunicación (opt-out). 2.7.1
Sistema opt-in
Consiste en la inscripción voluntaria de un a una lista de correo, expresando explícitamente su interés por recibir los correos que genere la empresa, grupo u asociación propietaria de la lista. . En Europa entró en vigor en 2002 una directiva contra el correo electrónico no solicitado (2002/58/CE, del Parlamento Europeo, de 31 de julio). En España, el spam comercial está prohibido por la Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico (Ley 34/2002, de Servicios de la Sociedad de la Información y Comercio Electrónico, de 11 de julio, denominada Ley de Comercio Electrónico o LSSICE). Hasta la entrada en vigor dicha normativa, los servicios online incluían la opción opt-in marcada por defecto; a partir de entonces, es el quien debe seleccionarla explícitamente. Para asegurar el carácter explícito del consentimiento, algunos sistemas exigen una nueva confirmación de esta inscripción o doble opt-in, pidiéndole al que responda a un correo de confirmación previamente a cualquier envío relativo a la lista. El objetivo es evitar que los s sean inscritos a una lista por terceros sin su consentimiento. 2.7.2
Sistema opt-out
Consiste en la inclusión de una opción de cancelación y denegación de subsiguientes envíos en cada correo recibido perteneciente a una determinada lista, sea solicitado o no. Como regla general, se exige la existencia de esta opción en todas las listas de correos. Dentro de las listas de correos, destacan aquellas utilizadas por empresas de marketing para enviar publicidad y ofrecer productos o servicios. Es evidente el incremento del uso del correo en la sociedad actual y, por lo tanto, constituye una vía que genera ventajas competitivas por lo reducido de su coste. El denominado marketing electrónico (e-mail marketing) debe ser extremadamente cuidadoso para no quedar catalogado como spam. Por ello, se exige que todos estos correos, encuadrados en una actividad de marketing lícita, incluyan una opción opt-out que permita al cancelar su participación como destinatario en cualquier momento. En la mayoría de los casos, también se exige la Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 40 de 165
Instituto Nacional de Tecnologías de la Comunicación
existencia de una opción opt-in para que el se inscriba previa y explícitamente a la lista de distribución. Hasta el momento es una exigencia más débil, pues aun en muchos casos y dependiendo de la legislación de cada país un correo publicitario no se considera spam si incluye una opción de aceptación para continuar el envío o una opción de cancelación, aun cuando no haya sido autorizado.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 41 de 165
Instituto Nacional de Tecnologías de la Comunicación
3 MARCO JURÍDICO DEL CORREO ELECTRÓNICO NO DESEADO En este apartado se hace una referencia sintética a todo el marco jurídico del spam; para una información más detallada, se recomienda la consulta del documento anexo a este estudio, Marco jurídico del correo electrónico no deseado (spam): normativa aplicable, infracciones, sanciones y casos prácticos, donde se realiza un análisis pormenorizado de todas las referencias legales sobre el tema y se incluyen casos reales con repercusión jurídica. El dato más destacado es que en España las medidas y el seguimiento de carácter normativo con referencia al spam se encuentran muy avanzados. Desde una perspectiva jurídica, no existe ni en la doctrina ni en el Derecho comparado unanimidad a la hora de determinar el concepto de spam. Sin embargo, a menudo se recurre a las siguientes aproximaciones: "correos electrónicos comerciales no solicitados" y "correos electrónicos masivos no solicitados procedentes de un mismo emisor". Es evidente que incluso intentando concretar la definición de spam, lo que resulta común en ambos casos es que se trata de correos electrónicos no solicitados, pero dicha condición, aun siendo necesaria, no es un requisito suficiente para que sea considerado como spam, puesto que lo que cualifica al correo no solicitado como spam desde el punto de vista jurídico es su carácter comercial o la cantidad enviada. Por tanto, en ordenamiento jurídico español los correos electrónicos no deseados de contenido no comercial no han tenido un tratamiento legal, ya que la legislación se ha centrado única y exclusivamente en la regulación de los que se podrían denominar spam comercial, correos electrónicos comerciales no deseados o comunicaciones comerciales no solicitadas. Precisamente sobre este último término gira la regulación española. Es necesario recordar que el ejercicio abusivo de técnicas de marketing y el empleo de métodos de venta agresivos a través del correo electrónico han supuesto la reacción del legislador, promulgando una normativa específica para proteger a los consumidores y s. Junto con la regulación de su contenido, dirigida a hacer de ellas unas actividades transparentes, se procura que las comunicaciones comerciales enviadas a través de Internet sean totalmente identificables como tales y que se haga un uso lícito de los datos personales utilizados para realizar las promociones a través del correo electrónico. Las comunicaciones comerciales enviadas a través de la Red ofrecen innumerables ventajas, pero también ciertas incertidumbres jurídicas que precisan del establecimiento de un marco adecuado, ya que diariamente estas prácticas de difusión comercial masiva son poco respetuosas con el derecho a la intimidad y a la privacidad de las personas; en
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 42 de 165
Instituto Nacional de Tecnologías de la Comunicación
particular, las intromisiones no deseadas y la difusión de datos personales con finalidad comercial son fuente de gran parte de las ofertas y publicidad no deseada. Por todo ello, se llega a la conclusión de que no se puede confundir el término genérico de spam con la prospección comercial no solicitada de las empresas. No toda prospección comercial no solicitada es spam, ya que bajo ciertas premisas legales está permitido enviar ciertas comunicaciones comerciales no solicitadas. 3.1.1
Definición de las comunicaciones comerciales vía electrónica
En el ordenamiento jurídico español, la Ley 34/2002 de Servicios de la Sociedad de la Información y Comercio Electrónico, denominada como Ley de Comercio Electrónico o LSSICE, que traspone la Directiva 2000/31/CE 24 , define las comunicaciones comerciales como “toda forma de comunicación dirigida a la promoción directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional”, excluyendo de tal definición: •
Los datos que permiten acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico.
•
Las comunicaciones referentes a actividades desarrolladas por terceros sin encargo del titular y sin remuneración.
•
Los enlaces hacia páginas Web de contenido publicitario.
•
Y las comunicaciones de carácter informativo, ausentes de toda finalidad comercial o empresarial como la propaganda institucional, política y religiosa.
En cuanto a la normativa aplicable, las comunicaciones comerciales vía electrónica no sólo se rigen por la LSSICE, sino que también se ha de aplicar otras normas vigentes en materia comercial y de publicidad, así como la normativa de protección de datos (LOPD, Ley Orgánica de Protección de Datos). Conviene señalar que la LSSICE, por su parte, ampara tanto a las personas físicas como a las jurídicas destinatarias del servicio frente al envío de comunicaciones comerciales no solicitadas. Respecto a la utilización de sistemas de correo electrónico con fines de venta directa, la Directiva 2002/58/CE 25 establece que sólo está permitido en el caso de que el haya
24
Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, más conocida como Directiva sobre Comercio Electrónico, relativa a determinados aspectos jurídicos de los servicios de la Sociedad de la Información, en particular del comercio electrónico en el mercado.
25
Directiva 2002/58/CE, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 43 de 165
Instituto Nacional de Tecnologías de la Comunicación
dado su consentimiento previo (sistema opt-in). Por tanto, queda prohibido el envío por correo electrónico de comunicaciones publicitarias o promocionales que previamente no hubieran sido solicitadas o expresamente autorizadas por sus destinatarios. La elección de dicha modalidad por el legislador comunitario, e intrínsecamente por el legislador español (LSSICE), es importante, ya que supone distanciarse del sistema americano, basado en el sistema opt-out (cancelación previa). 3.1.2
Requisitos de licitud de las comunicaciones comerciales
La normativa española, según se articula en la LSSICE, obliga a las empresas a que las comunicaciones electrónicas hayan sido previamente solicitadas por los destinatarios mediante el consentimiento expreso. Es precisamente en la obtención de dicho consentimiento donde se encuentran los principales problemas para el envío de comunicaciones comerciales debido a que en la práctica las empresas no suelen solicitarlo, sino que ofrecen simplemente la posibilidad de darse de baja del servicio enviando un mensaje de correo electrónico o accediendo a determinados enlaces. Esto supone un consentimiento tácito y no una autorización expresa para recibir comunicaciones comerciales no solicitadas. En este punto debe reseñarse la circunstancia en la que se encuentre incluido el consentimiento en un proceso contractual. En la mayoría de las ocasiones, los destinatarios de las comunicaciones comerciales son los clientes de las empresas remitentes, y en este supuesto se excluye el requisito del consentimiento expreso, tal y como lo establece en la LSSICE, por existir una relación contractual previa. Por tanto, por el mero hecho de haber comprado en un determinado comercio cierto tiempo atrás, una persona puede recibir sin ser previamente avisado de ello correos electrónicos no solicitados sobre otros productos de la firma. Pueden obtenerse más detalles sobre este supuesto, así como otros requisitos de licitud, en el anexo Marco jurídico del correo electrónico no deseado (spam): normativa aplicable, infracciones, sanciones y casos prácticos. En cualquier caso, cuando las empresas envíen comunicaciones comerciales no solicitadas deberán cumplir con el requisito que les obliga a ofrecer la posibilidad al destinatario de revocar la autorización (revocación del consentimiento) en cualquier momento, mediante la habilitación un procedimiento de notificación sencillo y gratuito. Por otro lado, en tanto que el envío de comunicaciones no deseadas puede implicar el empleo de datos relativos a los destinatarios, el régimen jurídico español exige obtener, previamente, el consentimiento del titular de los datos personales. Así, la LOPD establece tres formas de consentimiento para el tratamiento de datos personales, según a qué tipo de estos se haga referencia:
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 44 de 165
Instituto Nacional de Tecnologías de la Comunicación
1. Para la obtención y tratamiento de datos de carácter personal es necesario tener el consentimiento inequívoco del titular de los datos. 2. Para los datos de carácter personal relacionados con las creencias, ideología o religión, es necesario de que el titular de los mismos otorgue su consentimiento expreso y por escrito para que puedan ser tratados. 3. Para los datos que hagan referencia al origen racial, a la salud y a la vida sexual es necesario que se otorgue el consentimiento expreso. En principio, la dirección de correo electrónico es un dato de carácter personal que no hace referencia a las creencias, a la ideología, a la religión, al origen racial, a la salud ni a la vida sexual del titular; en consecuencia, es necesario sólo el consentimiento inequívoco. La LOPD contempla también el derecho de oposición respecto del tratamiento de los datos personales con fines de prospección comercial y publicidad, de forma que los interesados disponen del derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren. 3.1.3
Responsabilidades
El uso inadecuado de las comunicaciones a través del correo electrónico puede causar daños y perjuicios a terceros que se han de reparar. La cuestión estriba en determinar la responsabilidad de los prestadores de servicios de la Sociedad de la Información, ya que para poder alojar, almacenar o transmitir los contenidos lícitos e ilícitos en la Red es necesaria la intervención técnica de los mismos. En el ámbito comunitario se adoptó el citado sistema de responsabilidad de los prestadores de servicio en la DCE, donde se reconocen una serie de supuestos específicos de exención de responsabilidad. Las exenciones de responsabilidad, establecidas tanto en la DCE como en la LSSICE, sólo se aplican a aquellos casos en los que la actividad del prestador de servicios de la Sociedad de la Información se limita al proceso técnico de explotar y facilitar el a una red de comunicación, mediante la cual la información facilitada por terceros es transmitida o almacenada temporalmente con el fin de hacer que la transmisión sea más eficiente. En el supuesto de que sea el propio prestador de servicios el que coloca en la Red o transmite contenidos propios, las exenciones de responsabilidad no podrían aplicarse, y se acudiría a las reglas generales de responsabilidad civil, penal y istrativa establecidas en el ordenamiento jurídico español. Las exenciones que se establecen se pueden agrupar en las siguientes categorías, según el tipo de servicio: Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 45 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Los servicios de mera transmisión de datos y de provisión de a Internet.
•
La prestación del servicio de hosting o almacenamiento de datos ajenos.
•
El caching o servicio de realización y almacenamiento de copias.
Para cada uno de estos casos, la ley prevé un conjunto de requisitos que han de cumplir los prestadores de servicios con el fin de eximir su responsabilidad. Pueden encontrarse más detalles sobre este aspecto en el anexo Marco jurídico del correo electrónico no deseado (spam): normativa aplicable, infracciones, sanciones y casos prácticos. 3.1.4
Infracciones y sanciones
La LSSICE en su artículo 37, establece que los prestadores de servicios de la Sociedad de la Información están sujetos al régimen sancionador de la misma. Las infracciones, recogidas en el artículo 38, se califican como graves y leves en el contexto de las comunicaciones a través del correo electrónico. Son infracciones graves: •
El incumplimiento significativo de la obligación del prestador de servicios en relación con los procedimientos para revocar el consentimiento prestado por los destinatarios.
•
El incumplimiento significativo de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos.
•
El envío de más de tres comunicaciones comerciales por correo electrónico en el plazo de un año. Respecto a este supuesto es muy importante la cantidad de comunicaciones comerciales enviadas, puesto que si sólo se puede demostrar el envío de tres comunicaciones comerciales, es calificada como infracción leve y la multa difiere notoriamente de las infracciones graves.
•
El envío masivo de comunicaciones comerciales. En este caso, a pesar de que no se recoge su significado, puede entenderse de una forma deductiva que el concepto de “envío masivo de mensajes” no recoge el supuesto de que se envíen muchos mensajes distintos a un solo destinatario, sino sólo los casos en que se envía un solo mensaje a muchos destinatarios.
Las infracciones graves prescriben a los dos años y las leves a los seis meses y, según marca la LSSICE, llevan aparejadas las siguientes sanciones: 1) Por la comisión de infracciones graves, multa de 30.001 hasta 150.000 euros. 2) Por la comisión de infracciones leves, multa de hasta 30.000 euros.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 46 de 165
Instituto Nacional de Tecnologías de la Comunicación
Por su parte, para los responsables de los ficheros y los encargados del tratamiento de los datos personales es objeto de aplicación el régimen sancionador de la LOPD, en el que están previstas las infracciones leves, graves y muy graves. Estas prescriben en el transcurso de uno, dos y tres años respectivamente. En cuanto a las sanciones, oscilan entre los 600 y los 600.000 euros dependiendo de la gravedad de cada infracción. Dado que el envío de correos electrónicos comerciales no deseados es susceptible de cometer una infracción, tanto contemplada en la LOPD como en la LSSICE, puede dar lugar a una problemática de doble imposición de sanciones. Dicho tema debe ser estudiado, en tanto que la tradición jurídica en el Derecho español prohíbe la citada figura.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 47 de 165
Instituto Nacional de Tecnologías de la Comunicación
4 IMPACTO ECONÓMICO Y SOCIAL DEL CORREO ‘SPAM’ Con objeto de completar el estudio del spam como fenómeno pernicioso para las relaciones empresariales o personales a través de la Red, es necesario analizar el impacto económico y social que puede llegar a producir. Esto es lo que convierte al spam en un importante desafío para la seguridad en la Sociedad de la Información. En referencia al impacto económico, conviene destacar la ausencia de información fidedigna o de estudios detallados que permitan arrojar cifras fiables. El cálculo preciso de las pérdidas generadas por el correo basura, se presenta muy dificultoso. Existen muchas variables implicadas en el proceso del spam que generan un marco de complejo análisis. Entre ellas se pueden encontrar los rápidos avances que se producen en la seguridad de la información, como las mejoras en los filtros antispam de los servidores de correo que no permiten un seguimiento homogéneo, o el hecho de que no todas las empresas tienen dichos filtros instalados en sus servidores. Que se complica también por las diferentes cifras que se manejan sobre volumen de spam en circulación o sobre la cantidad de spam que llega al buzón final de . A todo esto se añade que el coste laboral para la empresa, de cada uno de sus trabajadores, no es el mismo según el puesto que ocupen, lo que provoca realizar nuevas estimaciones sobre dicho dato. Y finalmente definir el impacto del número de trabajadores afectados que, ya no sólo utilizan el ordenador en su puesto de trabajo, sino que hacen uso frecuente del correo electrónico como herramienta de trabajo. Todo ello determina que en los cálculos sobre impacto económico se hable siempre de estimaciones basadas en predicciones estadísticas. Como en la mayoría de las evaluaciones de impacto de otros fenómenos, como por ejemplo el malware 26 , los análisis sobre las consecuencias del spam en organizaciones y s se realizan sobre los efectos derivados de él. En muchas ocasiones, es más común que estos efectos sean tratados en términos puramente cualitativos y no necesariamente económicos, como pérdidas en tiempo, desconfianza en el servicio, consumos de ancho de banda y de capacidad de almacenamiento, necesidad de un tiempo de recuperación y reestablecimiento del servicio, etcétera. No obstante, en el
26
Software malicioso (del inglés malicious software): es un software que tiene como objetivo infiltrarse en un ordenador o dañarlo, sin el conocimiento de sus s. Aunque su finalidad puede ser diversa, siempre hacen daño. En esta categoría encontramoslos troyanos, gusanos, spyware, virus, puertas traseras, etcétera. Un análisis pormenorizado de los efectos e incidencias del malware en los hogares españoles se puede encontrar en el Estudio sobre la Seguridad de la Información y e-Confianza de los hogares españoles (2ª Oleada: Feb-Abr 07), INTECO, 2008. Disponible en http://observatorio.inteco.es. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 48 de 165
Instituto Nacional de Tecnologías de la Comunicación
próximo epígrafe se trata de aportar algunas cifras que pueden ser indicativas del impacto económico y que permitirán extraer ciertas conclusiones. Respecto al impacto social, la información puntual recabada se completa con los datos obtenidos durante la fase de investigación del presente informe y procedentes de las entrevistas con s finales. 4.1
Impacto económico
Mientras en el apartado anterior se comentaba la dificultad de cálculo del impacto, basado en datos reales contrastados, en este punto se procede al estudio del impacto económico, en base a una recopilación de datos extraídos de distintas fuentes secundarias y de una estimación propia de INTECO. El estudio del impacto económico del spam se puede enfocar agrupando a los agentes implicados en dos elementos: empresas proveedoras de servicios de Internet y entre ellos, fundamentalmente, las proveedoras del servicio de correo electrónico, y sus organizaciones/s clientes. En este último grupo se incluye aquellas que autogestionan completamente su correo electrónico. Hay que indicar que, aunque no es posible presentar datos de impacto económicos para cada uno de los distintos agentes estudiados, sí ha sido posible realizar una estimación económica de impacto para el conjunto de empresas. Para las empresas proveedoras de servicios de Internet se estudian fundamentalmente las siguientes clases de impacto económico: •
Coste relacionado con la fiabilidad del servicio: resultado del análisis del coste y esfuerzo que estas empresas, especialmente como proveedoras de servicio de correo, deben invertir en infraestructuras primarias y de respaldo, en medidas de protección (especialmente preventivas, sin olvidar las reactivas y pro-activas), en I+D, etcétera, para brindar un servicio confiable, garantizando la seguridad y disponibilidad de un servicio ajustado a cada tipo de cliente, frente a la amenaza del spam.
•
Pérdidas relacionadas con la satisfacción de las organizaciones/s clientes: resultado del análisis por el que se estiman los costes que genera la insatisfacción de los clientes con respecto al servicio y que pueden causar su baja. En este sentido, el grado de insatisfacción del cliente a consecuencia del spam se puede modelar en función de la importancia que cada tipo de entidad (por ejemplo, empresa cliente, profesional o privado) conceda al servicio del correo electrónico y, dentro de cada tipo, según: o
El número de quejas recibidas.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 49 de 165
Instituto Nacional de Tecnologías de la Comunicación
o
El número de bajas en el servicio.
o
El número de consultas al soporte técnico.
o
La rapidez en la resolución de problemas.
De forma más general, para cualquier empresa u organización deben analizarse: 1. Pérdidas relacionadas con la productividad: a. El tiempo perdido por los empleados en la revisión y eliminación de sus correos frente a la presencia del spam en sus buzones menos el tiempo de uso del mismo en condiciones normales de trabajo, es decir, el tiempo realmente productivo. b. Pérdidas relacionadas con la recuperación frente al spam: las relacionadas con la recuperación de los falsos positivos, a partir del análisis que considera el coste de los recursos técnicos y humanos asumidos por las organizaciones para brindar opciones de recuperación de los correos perdidos o considerados spam, en ocasiones vitales para la actividad de la organización. 2. Gestión de infraestructuras. Extraídas del análisis donde se estima, para las empresas clientes del servicio o aquellas que autogestionan su correo. Coste relacionado con la fiabilidad del servicio de autogestión del correo electrónico: derivado de las inversiones en recursos técnicos y humanos realizadas por aquellas empresas u organizaciones que autogestionan su correo electrónico y deben realizar tareas de mantenimiento y mejoras frente al spam. La mayoría de los estudios concluyen de forma genérica que el grueso del impacto económico del spam está relacionado con: •
Las pérdidas de tiempo de proceso y humano.
•
La inversión en nuevas infraestructuras tecnológicas que suponen un mayor ancho de banda y el incremento de las capacidades de almacenamiento y de realización de copias de seguridad para dar soporte a esta avalancha de correos.
•
La inversión en técnicos cualificados.
•
La inversión en herramientas antispam y sus actualizaciones.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 50 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
En menor medida, las pérdidas económicas como consecuencia de la pérdida de información relevante para la actividad; en ocasiones, se trata de una pérdida de información temporal.
Empresas y organizaciones En una primera aproximación respecto a los efectos económicos del spam, no se puede obviar que puede consistir en sí mismo en un negocio. Por lo tanto, puede llegar a tener una repercusión económica positiva para aquellas empresas que utilizan el correo masivo como medio de publicidad de sus servicios, sin olvidar a los spammers 27 , que hacen de esta técnica su propio negocio. La facilidad para enviar spam frente a los potenciales beneficios anima a algunos a convertirse en spammers. La motivación de un beneficio portencialmente alto y rápido les anima a crear sus propias botnets. Pérdidas por productividad del empleado El spam no es sólo un problema de las empresas proveedoras de servicio de correo electrónico, sino que su repercusión llega a todas aquellas organizaciones que hacen uso del servicio. El análisis se fundamenta principalmente en las pérdidas económicas reales que genera el spam en términos de productividad del empleado. Aunque también en este apartado resulta difícil su estimación. En este sentido, aspectos como el número de trabajadores con ordenador, cuánto tiempo lo utilizan, la estimación del tiempo utilizado para borrar correos no deseados o cuánto spam logra traspasar todos los filtros y llegar al final, impiden realizar estimaciones robustas sobre las cantidades económicas implicadas en el marco del spam. Sin embargo se pueden establecer algunas estimaciones al respecto, calculando el tiempo que este invierte diariamente en discriminar, de entre todos los correos recibidos, aquellos legítimos. Las pérdidas de productividad por empleado, para aquellos que utilizan habitualmente el correo electrónico pueden calcularse de la siguiente manera 28 : Pérdidas de productividad por cada empleado que usa el correo electrónico = nCORREO
dT * (
∑t i =1
,
Ei d , spam
*cEi ,h )
Donde: E i – Representa a un empleado.
27
Por ejemplo, en una entrevista publicada en Internet (https://rejo.zenger.nl/abuse/1085493870.php), un spammer holandés detalla el gasto que le supuso enviar correos masivos durante 25 días y lo que obtuvo finalmente; su ganancia neta en ese tiempo fue de entre 2.000 y 3.000 euros. 28
Dabendofer, Thomas P.: Impact Analysis of spam,Swiss Federal Institute of Technology, Zurich, 2005.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 51 de 165
Instituto Nacional de Tecnologías de la Comunicación
d T – Días de trabajo, por año, de un empleado E i n CORREO – Números de empleados que usan el correo. t Ei,d,spam – Tiempo promedio, en horas y por días, que el empleado E i invierte en gestionar el spam de su buzón. c Ei,h – Promedio del coste horario del empleado E i Para tener una idea de estos valores, en estudios realizados por el Swiss Federal Institute of Technology de Zurich (ETH Zurich 29 ), en el año 2005 se estimó una pérdida de productividad de las empresas suizas a consecuencia del spam de aproximadamente 2.220 millones de euros, a partir de los datos que se reflejan en la Tabla 2: Tabla 2: Impacto económico del spam en Suiza (2005) Factores Total de empleados (n CORREO ) Días de trabajo, por año, de un empleado (d T ) Horas de trabajo, por año, de un empleado Coste medio anual por empleado Coste medio diario por empleado Coste medio por horas de un empleado (c Ei,h ) En concepto de spam el empleado gastaba diariamente (t Ei,d,spam ) Pérdida económica diaria asociada al spam por empleado Pérdida económica anual asociada al spam por empleado Pérdidas de productividad anual por el spam
Valor 3.590.000 230 días 1.880 h/año 63.278 EUR 274,97 EUR 33,66 EUR 0,08 h (5 minutos/día) 2,7 €/día 621 €/año 2.220 millones €/año Fuente: ETH Zurich
Se pueden enumerar otras estimaciones realizadas en empresas estadounidenses 30 aun más preocupantes, dado el alto nivel de spam que soporta EE.UU.: ya en el año 2003 señalaban que el spam estaba provocando pérdidas anuales de 10.000 millones de dólares. Ese mismo año se publicaron estimaciones de pérdidas en el mundo cercanas a los 20.500 millones de dólares 31 . Estos datos han ido con certeza en aumento en los últimos años, debido al incremento significativo de este fenómeno.
29
http://www.ethz.ch/
30
Ferris Research: http://www.ferris.com/
31
Radicati Group: http://www.radicati.com. Datos extraídos de artículo publicado en el New York Times http://www.nytimes.com/2003/07/28/technology/28SPAM.html?ex=1374811200&en=6550b1fd9c0ce99e&ei=5007&partner=U SERLAND Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 52 de 165
Instituto Nacional de Tecnologías de la Comunicación
Otro estudio más reciente, “spam, the repeat offender” de Nucleus Research 32 estima que, en la actualidad, los empleados de empresas de Estados Unidos invierten un 1,2% de su tiempo, aproximadamente 5,7 minutos diarios, en identificar los correos electrónicos de spam, generando así un coste medio de 712 dólares anuales por empleado en concepto de pérdida de productividad, lo que implica unas pérdidas anuales de 70.000 millones de dólares para un total aproximado de 100 millones de empleados que utilizan el correo electrónico. Aunque según estas estadísticas se produjo una mejora considerable en el año 2007 con respecto a 2004, cuando el empleado desperdiciaba el 3,1% de su tiempo reportando un gasto de 1.934 dólares anuales, señalan que no debe considerarse un triunfo, pues las pérdidas continúan siendo considerables y se ha detectado un incremento de falsos positivos en las soluciones antispam. De esta forma, se pierde un número apreciable de correos válidos para la empresa, cuya pérdida económica resulta realmente difícil de estimar. Las tasas de error de las herramientas de protección contra el spam, han generado un cierto rechazo hacia ellas. . Tabla 3: Impacto económico del spam en EEUU (2007) Factores Total de empleados (n CORREO ) En concepto de spam el empleado gastaba diariamente (t Ei,d,spam ) Pérdida económica asociada al spam por empleado Pérdidas de productividad anual por el spam
Valor 100.249.046 5,7 minutos 712 USD 70.000 millones USD Fuente: Nucleus Research
En este sentido hay que señalar que las fuentes consultadas presentan datos menos homogéneos para realizar el cálculo del impacto económico para las pérdidas por productividad, basado en el tiempo que pierde un trabajador en seleccionar y eliminar el spam. Las fuentes internacionales señalan en su mayoría que el tiempo medio para eliminar el spam del buzón de correo de un trabajador está entre 3 y aproximadamente 10 minutos diarios. Según el “The McAfee® Americans and spam Survey” de McAfee, elaborado en el año 2003, el 49% de los americanos pasa más de 40 minutos a la semana borrando spam, o el de Nucleus Research que afirma un trabajador pasa 10 minutos al día borrando spam Otro informe “National Technology Readiness”, elaborado por Rockbridge Associates Inc. y el “Center for Excellence in Service” de la Universidad de Maryland, señala que el tiempo medio que un pasa borrando spam es de 2,8 minutos diarios.
32
Nucleus Research: extraído de Spam, the repeat offender, Report H22, Notes and Reports, abril de 2007.http://nucleusresearch.com/research/notes-and-reports/spam-the-repeat-offender/
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 53 de 165
Instituto Nacional de Tecnologías de la Comunicación
4.1.1
Impacto económico del ‘spam’ en las empresas españolas
Con respecto a España, según la Agencia Española de Protección de Datos, en datos del año 2005, cada trabajador español necesita una media entre 15 y 20 minutos diarios para eliminar el spam de su buzón, es decir aproximadamente un 3,64% de su jornada laboral. Los datos recabados por INTECO, según los expertos consultados apuntan que el tiempo medio diario que un trabajador español necesita para eliminar el spam de su buzón de correo oscila entre dos y cuatro minutos. Esto representa una media del 0,63% de la jornada laboral. Aunque no se encuentran publicados los costes y posibles pérdidas económicas se pueden realizar las siguientes estimaciones: si se tiene en cuenta que el coste laboral por empleado en términos netos fue de 26.360 euros en el año 2006 33 , el resultado es que las pérdidas por productividad de los empleados en las empresas como consecuencia del spam se puede situar en 165€ al año por trabajador que utiliza habitualmente el correo electrónico en su puesto de trabajo. Si se considera esta cifra para el año 2007, el las pérdidas representan 179€ al año por trabajador 34 . Por otra parte, diversos estudios 35 plantean un incremento significativo del volumen de spam, con valores superiores al 70% del total de correos que circulan por la Red a finales del año 2007 y con cifras cercanas al 80% 36 , en los primeros meses de 2008. Además, el incremento del tamaño de los propios mensajes spam, con las nuevas variantes en ficheros .pdf 37 o .mp3 38 , genera la necesidad de prestar servicios de Internet con anchos de banda cada vez mayores, más costosos, que eviten saturaciones y mejoren la calidad. Estos crecimientos, de la cantidad de spam en circulación y de su tamaño, requieren también de inversiones en infraestructuras de soporte, como dispositivos de almacenamiento con mayor capacidad y sistemas de almacenamiento de respaldo, así como de inversiones en actualización de los sistemas informáticos (por ejemplo, versiones de sistemas operativos actualizadas y estables, servidores de correo más potentes que puedan manipular mayor tráfico de mensajes, etcétera). A la vez que se invierte en estas nuevas infraestructuras, las empresas también tienen que invertir en muchos casos en la contratación de nuevo personal cualificado para el mantenimiento de las mismas y la protección frente al spam.
33
INE: Encuesta Anual de Coste Laboral, año 2006 (publicada el http://www.ine.es/jaxi/menu.do?type=pcaxis&path=%2Ft22/p132&file=inebase&L=0
5
de
septiembre
de
2007).
34
Estimación sobre el dato del coste laboral bruto del 4º trimestre del 2007 de la Encuesta Trimestral de Coste Laboral, INE (datos publicados el 14 de marzo de 2008). 35
MessageLabs y Symantec Corporation.
36
Symantec Corporation, en el último informe de febrero de 2008, ha reportado una media del 75,0%-80,0% http://www.symantec.com/enterprise/security_response/weblog/2008/02/february_state_of_spam_report.html
37
Por ejemplo: http://blog.hispasec.com/laboratorio/images/noticias/spam-pdf.PNG
38
Por ejemplo: http://www.gfi.com/news/en/mp3spam.htm
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 54 de 165
Instituto Nacional de Tecnologías de la Comunicación
Las inversiones persiguen un objetivo importante, lograr la fiabilidad en el servicio de correo electrónico. A diferencia de otros servicios informáticos, en estas inversiones están involucradas no sólo las empresas proveedoras de servicios de Internet (ISP), sino todas aquellas organizaciones que manejan el correo e incluso, en muchos casos, los propios s privados. Por supuesto, esta inversión es mayor para los ISP, las cuales finalmente trasladan estos gastos en concepto de servicios añadidos a los s finales. El coste medio para una empresa con 1.000 cuentas de correo electrónico que externaliza todo su servicio se sitúa aproximadamente en 0,045-0,064€/cuenta/día, es decir, entre 9.900 y 14.000euros al año. Por esta inversión, el servicio podría incluir prestaciones como el filtrado de virus y spam, el almacenamiento seguro de 150GB con sistema de respaldo, el soporte de ocho nombres de dominio o la optimización y monitorización del tráfico de correo. Sin embargo, las nuevas inversiones persiguen el objetivo de lograr fiabilidad en el servicio de correo. Un hecho en los agentes estudiados que merece la pena destacar es el problema que el spam provoca en el almacenamiento y copias de seguridad (backup) de los correos de los s, especialmente acuciante en las organizaciones de cierto tamaño y con salvaguardas reactivas frente al spam, con gran número de s y donde el correo no deseado alcanza porcentajes de entre el 55% y el 90%. Según los expertos, los buzones de correo de estos s alcanzan fácilmente el máximo de su capacidad, sobre todo con la inclusión de spam en ficheros de tipo .pdf, imágenes o contenidos multimedia. Para un que desee almacenar 100 MB de correos legítimos, será necesario dimensionar su buzón con un tamaño entre 0,7 y 1 GB; un servidor que sirva a 6.000 s requerirá 6 TB. Por otro lado puede ocurrir que la falta de fiabilidad en el filtro antispam propicie que algunos empleados busquen sus propias alternativas, relegando la cuenta de correo de la organización a un segundo plano y potenciando el uso del correo electrónico gratuito, mientras se producen consultas al servicio técnico ante el retraso en la contestación de un correo electrónico o cualquier incidencia que le ocurra, en cuyo caso se aplican las políticas de filtro de spam del proveedor del correo. Es muy importante que todos los agentes involucrados participen de manera activa en la reducción del impacto que el spam puede causar. En comparación con el resto de las amenazas de seguridad a los sistemas de información, la probabilidad de recepción de un correo de tipo spam es más alta, pues las medidas de salvaguardia no consiguen eliminarlos completamente (falsos negativos), por lo que se hace necesario que los propios agentes inviertan en modernos y actualizados mecanismos de protección antispam que ayuden en la reducción de su número de incidencias, y por consiguiente, de su impacto.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 55 de 165
Instituto Nacional de Tecnologías de la Comunicación
Conviene destacar que la aplicación de mecanismos de protección antispam produce, en muchas ocasiones, efectos colaterales con un impacto negativo en el sistema. Estos efectos pueden venir de la mano del retardo en la recepción del correo por la comprobación de los correos, la limitación de los destinatarios de envío para un mensaje para que no sea considerado spam, las limitaciones de tamaño del buzón de correo de los s y, especialmente, la aparición de falsos positivos. Aunque no existen datos contrastados sobre estos aspectos, se configuran como elementos que dificultan a los sistemas de una empresa la prestación del servicio de correo a sus s. Los falsos positivos tienen asociados importantes perjuicios para las organizaciones, pues dan lugar a la eliminación de correos electrónicos legítimos cuyo contenido puede ser trascendente para los s o las organizaciones. En el mejor de los casos, es necesario que los s y técnicos del sistema inviertan un tiempo muy significativo en la recuperación de esos correos legítimos, si no han sido eliminados definitivamente. En este sentido, alguno de los agentes entrevistados cifra entre una hora y una hora y media el tiempo de recuperación de un solo mensaje que ha sido erróneamente clasificado como spam. A lo que se añade que las pérdidas monetarias que puede ocasionar la no recepción de esos correos no pueden ser estimadas con precisión. Coste total para las empresas Finalmente, se puede decir que el coste total que puede ocasionar el spam para las empresas se calcula a partir de la suma de: •
Las pérdidas por productividad de los empleados.
•
Y el coste necesario para lograr la fiabilidad del correo electrónico frente al spam, dividido en: o
Costes de personal.
o
Costes de infraestructuras tecnológicas: para una empresa puede calcularse a partir de los costes de licencias de herramientas software, como las antispam, y el coste de equipos informáticos de comunicaciones, soporte y almacenamiento.
s La propia tecnología del correo electrónico y sus protocolos asociados repercute en el eslabón más débil de la cadena de la seguridad: el final. Los s son el componente más vulnerable, especialmente aquellos con menos formación en seguridad que hacen uso del correo electrónico con fines no profesionales.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 56 de 165
Instituto Nacional de Tecnologías de la Comunicación
Existen efectos del spam que tienen relación con tiempo invertido 39 , especialmente cuando se trata de s que utilizan una conexión a Internet cuyo cobro se factura por minutos, lo más habitual en conexiones móviles a través de tarjetas GPRS/3G. En este sentido, los límites de capacidad de navegación o volumen, a lo que se añade el tiempo que se emplea en borrar el spam, agudizan la repercusión que sufre el de estos sistemas de conexión. El spam también incrementa el coste de otros servicios de Internet, como el alojamiento Web con cuentas de correo, donde el pago está condicionado por el volumen de información que se envía, se recibe y se almacena. Otros efectos económicos derivados del spam En este análisis de impacto económico no se puede obviar que el spam no sólo genera problemas por sí mismo, como ataque a la seguridad, sino que además constituye una fuente fundamental de propagación de malware, ataques de phishing, etcétera. Muchas de las pérdidas relacionadas con estos ataques pueden verse asociadas también al spam como medio de propagación del mismo. Aunque es difícil discernir qué cantidades generales de pérdidas son provocadas por uno u otro método de propagación, sí resulta importante destacar que el uso del spam constituye una de las vías de ataque y propagación más baratas, y por lo tanto, altamente peligrosa. En igual medida, los correos de tipo spam que intentan lograr fraudes piramidales, desacreditan empresas, difunden publicidad fraudulenta, etcétera generan también pérdidas monetarias para organizaciones y s, aunque es prácticamente imposible calcular su acción sobre la economía. Repercusiones derivadas del impacto económico del spam El análisis muestra que existen pérdidas económicas fruto de la actividad del spam, y que en cierta medida se pueden estimar (aunque con matizaciones, dada la dificultad de obtener valores monetarios reales), pues se conoce que el spam: •
Afecta a la capacidad de almacenamiento de los servidores, que se saturan de correo basura, e incluso de los correos personales. Por lo tanto, incrementa los costes dirigidos a asegurar mayores dispositivos de almacenamiento.
•
Provoca una asignación poco eficiente de los recursos informáticos como el ancho de banda, pues se genera un tráfico no deseado de correos que congestiona las infraestructuras de comunicaciones utilizadas para el servicio del
39
Asociación de Internautas: www.internautas.org
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 57 de 165
Instituto Nacional de Tecnologías de la Comunicación
correo electrónico y la conexión a Internet en general. Por ello, aumenta los costes asociados a un mayor ancho de banda que garantice este u otros servicios. •
Hace perder tiempo a los s, que deben revisar los correos (tanto personales como de empresa) y borrar el spam, lo que genera costes de productividad.
•
Aumenta el coste de tiempo, almacenamiento, productividad e infraestructuras para instalar filtros antispam en servidores y ordenadores personales. Además, este coste incrementa el de personal cualificado para estas tareas.
En cambio, existen otros factores con clara influencia en la economía, pero cuyos valores reales son de difícil estimación. Se sabe que el spam: •
Afecta a los recursos de los servidores, ya que procesar spam hace lento el tratamiento y proceso del correo normal, tanto en el momento en que los correos son analizados en los servidores como en los ordenadores personales con filtros antispam.
•
Constituye una herramienta de propagación de malware y ataques de phishing y, por lo tanto, debe tenerse en cuenta en tanto su problemática, como así también en soluciones y recuperación.
•
4.2
Puede menoscabar la reputación de las empresas y, en consecuencia, sus ganancias. El envío de correos falsos a su nombre puede generar rechazo hacia estas empresas y afectar a la cantidad de clientes que utilicen o soliciten sus servicios. Impacto social
El spam se ha convertido en un problema de seguridad para todos los s que hacen uso de las redes de comunicación y sus servicios. Muchos de ellos, poco relacionados con las Tecnologías de la Información y la Comunicación, pueden no reconocer los problemas tecnológicos asociados al spam, ni incluso su nombre técnico, pero tras una breve descripción afirman no sólo conocerlo sino padecerlo. Así, puede señalarse que el spam es un problema de los sistemas informáticos que afecta a todos los de la Sociedad de la Información. Se puede afirmar con certeza que el grupo de afectados por el spam es aun más amplio que el que sufre ataques como el phishing (que suele requerir que los s estén habituados a realizar compras o transacciones bancarias en Internet, en las que se comprometen datos críticos), o incluso códigos maliciosos (malware), que con buenas
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 58 de 165
Instituto Nacional de Tecnologías de la Comunicación
conductas y medidas de protección automáticas pueden ser controlados. Se puede considerar que el spam constituye uno de los problemas de seguridad informática más extendidos en la actualidad, pues el correo electrónico es uno de los servicios más usados de Internet. Los s lo describen como un problema muy molesto que satura sus buzones de correo, ocupa su tiempo en eliminar los mensajes y en discriminar los correos legítimos y que provoca en muchas ocasiones errores propios que terminan con la eliminación o consideración de correos legítimos como spam. Una de las conclusiones más interesantes que señalan los expertos consultados es la pérdida de confianza en el filtro antispam de la organización en la que trabajan y, por tanto, en su servicio de correo electrónico, debido a la posibilidad de que la aplicación pueda provocar, como efecto colateral, la aparición de falsos positivos. En ocasiones, estos s terminan relegando su cuenta de correo de la organización, corporativa o profesional, a un segundo plano para potenciar el uso de cuentas de correo electrónico gratuito, además de emplear el acuse de recibo en el envío de todos sus correos electrónicos o, lo que quizás sea más perjudicial para el sistema de información, realizar consultas frecuentes al servicio técnico ante el retraso en la contestación de un correo electrónico o cualquier incidencia poco significativa. Por otra parte, el fenómeno del spam se ha convertido en el principal promotor del uso de los sitios Web para el manejo del correo, el denominado correo online de propósito general y más extendido (Yahoo, Hotmail, Gmail, etcétera), que muestran buenos índices de filtrado de spam y bajos valores de falsos positivos (dado que disponen de mayores recursos para su solución) .Mediante este servicio el puede chequear informaciones de su buzón, como la cantidad de correos recibidos y sus asuntos, remitentes, tamaño, documentos adjuntos, etcétera, sin necesidad de bajar el cuerpo de todos los mensajes. Esto resulta especialmente útil en aplicaciones donde el paga por tiempo conectado o por flujo de información trasmitido, como el correo móvil. Este hecho resulta preocupante pues, como se ha comentado, en algunos casos se redirigen hacia esas direcciones correos con información confidencial para las empresas ,que por políticas de seguridad no deberían entrar en un circuito externo a la propia organización. Todo esto ha generado una desconfianza relativa entre los s habituales del correo electrónico. En este punto, es interesante distinguir el entorno en el que se utiliza; lógicamente, el grado de desconfianza del es mayor en el entorno laboral que en el doméstico, dada la importancia asociada al contenido de los mensajes en cada caso. En ninguna de las dos situaciones resulta fácil renunciar al uso del correo, por razones profesionales en el primer caso y por necesidades sociales u ocio en el segundo. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 59 de 165
Instituto Nacional de Tecnologías de la Comunicación
Parece clara la inmersión cada vez mayor de los s en la comunicación global mediante el correo electrónico, a pesar de los riesgos y dificultades del spam. Sin embargo, es importante señalar que la sustitución del correo por otros medios cibernéticos para comunicarse, tanto en el entorno doméstico como en el laboral, es cada vez más notable; se observa un uso creciente de las tecnologías de mensajería instantánea para la comunicación en múltiples planos de las relaciones personales y profesionales. Si bien es cierto que este cambio viene favorecido por las claras ventajas que estas tecnologías presentan, como la conversación textual, la transferencia de ficheros, voz e imagen, etcétera, no se puede descartar que esta circunstancia tenga un efecto al menos limitador en la proliferación del spam. Entre las demandas de los s para hacer frente al problema del spam se encuentra la petición de utilidades o programas que implementen soluciones integrales y que sean transparentes en su funcionamiento y fáciles de usar, es decir, que no requieran un perfil técnico en su implementación. Además, cada vez se reclaman más medidas formativas y de carácter legislativo 40 . En particular para el caso del spam, es común encontrar opiniones sobre la necesidad de fortalecer medidas normativas que recrudezcan las sanciones a los spammers 41 . Por otra parte se empiezan también a adoptar algunos cambios de conducta frente al correo electrónico directamente relacionados con las medidas preventivas que pueden realizar los propios s y, más concretamente, con aquellas que se pueden adoptar mediante herramientas especializadas. Con mayor frecuencia, el medio emplea tiempo y dedicación a instalar, actualizar y mantener sus herramientas antispam. Los programas integrales de seguridad del sistema, facilitan ciertamente esta gestión de la seguridad en el ordenador doméstico. Además los esfuerzos por mejorar la usabilidad de los programas se convierte en un acicate que los dota de valor añadido y mejores actualizaciones y más competitivas. Estas mejoras orientadas hacia el medio son imprescindibles ante la complejidad de esta tecnología, que se acaba traduciendo en un sinfín de parámetros de configuración. Se empieza también a experimentar un cambio en el uso y comportamiento del ante el correo electrónico como consecuencia del spam por medio de acciones proactivas. Las más sencillas y quizás las más extendidas se centran en:
40
INTECO: Estudio sobre la Seguridad de la Información y e-Confianza de los hogares españoles (1ª Oleada: Dic-Ene 07), 2007. Disponible en http://observatorio.inteco.es 41
Esto se corrobora en diferentes opiniones expresadas en la Asociación de Internautas sobre el spam. Revocada la primera sanción que hubo en España por SPAM, http://www.internautas.org/html/4373.html, para evitar el spam http://www.internautas.org/html/1479.html Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 60 de 165
Instituto Nacional de Tecnologías de la Comunicación
− No facilitar la dirección de correo propia a través de medios web, manuscritos, telefónicos, etcétera ante la sospecha de que puedan ser accedidos por terceras personas. − Disponer de cuentas de correo separadas en función del entorno de uso, profesional o doméstico, y dentro de este último, de cuentas con distintos perfiles, por ejemplo, suscripciones, amistades, etcétera. − No reenviar los mensajes por defecto, ya que consume el tiempo del , quien es cada vez más consciente del problema del spam derivado de los correos aparentemente inocuos. Adicionalmente, va en aumento el número de s concienciados que aprovechan tales correos para informar a sus os remitentes sobre el perjuicio que pueden causar con estas prácticas. Obviamente, todos estos cambios de conducta deberían estar a la orden del día en el ámbito profesional. Otro aspecto menos abordado hasta el momento, pero que comienza a ser preocupante, es que el fenómeno del spam ya no está solo encerrado en las barreras de Internet, sino que intenta llegar a otros servicios de comunicación. La telefonía móvil sufre actualmente envío de spam por medio de los SMS y MMS 42 . Esta nueva forma de ataque afecta en menor medida que el spam ordinario; hasta el momento resulta todavía alentador, en este aspecto, la inexistencia de pasarelas gratuitas de envío y, por lo tanto, el coste de los mensajes, ha impedido que el fenómeno cobre mayor fuerza. Por otra parte, la mensajería instantánea se ha visto afectada con el envío indiscriminado de mensajes, los denominados spim. Según los informes de Ferris Research, en 2003 se enviaban ya 1.000 millones de mensajes spim entre las herramientas de mensajería estudiadas, MSN Messenger, AOL IM, Yahoo! Messenger e ICQ, y el fenómeno presentaba una tendencia a duplicarse 43 . Aunque esto puede detenerse por las propias políticas de los s de no aceptar mensajes de desconocidos, muchos spammers estudian y utilizan vulnerabilidades de estos sistemas para realizar envíos indiscriminados. Hasta ahora, no ha alcanzado valores realmente elevados como para desatacar su impacto sobre los s o en las comunicaciones, pero se dedican esfuerzos en la corrección de vulnerabilidades que podrían ser explotadas con este objetivo. También comienza a mencionarse el spam sobre tecnología de Voz sobre IP. Se denomina SPIT (en inglés, spam over Internet telephony). Un no autorizado puede
42
Uno de los primeros casos de este tipo de spam fue registrado en el año 2004, cuando el spammer Dmitry Androsov fue acusado de desarrollar un código Perl que envió SMS a más de 16.000 teléfonos móviles de la compañía rusa Megafon. 43
http://www.informationweek.com/news/showArticle.jhtml?articleID=17300905
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 61 de 165
Instituto Nacional de Tecnologías de la Comunicación
iniciar una comunicación no solicitada o no deseada como, por ejemplo, una llamada de telemarketing. Si bien este problema no ha tomado gran auge y no es relevante el impacto que ocasiona entre los s, el incremento de su uso podría ocasionar futuros problemas asociados al spam. A pesar de las posibles formas que el spam puede adoptar en otros servicios, todo sigue apuntando a que seguirá siendo un problema de seguridad con un desarrollo incremental dentro del servicio de correo electrónico. Sus objetivos son cada vez más amplios y trabaja por realizar ataques cada vez más sofisticados ante la pericia que va adquiriendo la comunidad de s. Son las organizaciones las que dedican importantes esfuerzos a minimizar el impacto del spam entre sus empleados como s finales. La recepción de correo no deseado alcanza a la totalidad de s de las organizaciones quienes, al igual que los es técnicos de los sistemas, se encuentran familiarizados con el fenómeno y disponen de conductas adquiridas con el tiempo para manejarlo. El spam se ha convertido en una característica más del correo electrónico en España y con esa normalidad es tratado por directivos, es y s. Durante el estudio se ha podido constatar que generalmente en las organizaciones de gran tamaño el impacto del spam se ha reducido de manera muy significativa, llevándolo a niveles totalmente satisfactorios para los es y s. Por tanto, estos últimos se han visto beneficiados por la labor de su empresa en la lucha contra el spam (que a menudo incluye la formación específica) y reconocen un bajo impacto del fenómeno sobre sus hábitos y tareas profesionales. Sin embargo, esta situación de plena satisfacción no se produce en las empresas de menor tamaño, pequeñas y medianas, en las que sigue existiendo un considerable impacto en el tiempo que invierten sus s en filtrar el correo no deseado o en la recuperación de falsos positivos.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 62 de 165
Instituto Nacional de Tecnologías de la Comunicación
5 RESULTADO CUANTITATIVO DEL ESTUDIO: EL ‘SPAM’ EN CIFRAS Uno de los objetivos del estudio es presentar datos fiables y robustos sobre la problemática del correo no deseado. Esta parte se centra en la cuantificación del fenómeno del spam. En este capítulo se ha realizado primeramente una labor de recopilación de estudios de fuentes secundarias, que incluyen metodologías de análisis distintas. Esto conlleva pequeñas diferencias en los datos, por ejemplo del volumen de spam en circulación. De otro lado, se recogen cifras sobre el spam en España, a través de los datos de la red de sensores de spam de INTECO. Esta red se compone de 14 sensores distribuidos geográficamente que envían información regularmente, situados en servidores de correo de pymes y s, y monitorizados a través de 13 herramientas antispam distintas. 5.1
Situación del ‘spam’ en el panorama mundial
Internacionalmente, el spam ha alcanzado en los últimos años proporciones preocupantes. Las fuentes de datos son diversas 44 , pero todas coinciden en el incremento de estos correos en los últimos años. Un reciente estudio presentado por Symantec sobre la estimación del tráfico de correo electrónico detallaba que, desde el año 2004, se ha producido un incremento progresivo. Según los datos correspondientes al primer semestre de 2006, el porcentaje de spam fue de un 54,0%, culminando dicho año con valores del 59,0%; en los informes mensuales de enero y febrero de 2007, el nivel de spam ascendió desde un 60,0% a un 80,0% aproximadamente. Según Aladdin 45 se produce un incremento acumulado del tráfico de correo electrónico no deseado a razón de un 40% anual. Por su parte, MessageLabs detectó también en sus estadísticas trimestrales un incremento del volumen de spam a finales del 2006, que llegó hasta un 73,5% del total. El Gráfico 2 presenta la evolución del tráfico de spam para los valores medios trimestrales entre los años 2005 y 2007:
44
Symantec (http://investor.symantec.com) publica informes sobre el estado del spam a nivel mundial a partir de las respuestas proporcionadas por sus productos antispam. Es el mismo caso de MessageLabs (http://www.messagelabs.com/)
45
Aladdin, http://www.aladdin.com/csrt/security-statistics.aspx
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 63 de 165
Instituto Nacional de Tecnologías de la Comunicación
Gráfico 2: Volumen de spam en mensajes de correo en Internet 2005-2007 (%) 80% 70%
76,1% 68,3%
60%
73,5% 66,0% 61,7%
50%
59,2%
60,4%
76,0%
73,7%
72,8%
75,5%
63,9%
40% 30% 20% 10%
20 07
O ct -N ov
-S ep
20 07
20 07 Ju l
-J un
Ab r
ar 20 07
eM
20 06 En
O ct -D ic
20 06
-S ep
20 06 Ju l
-J un
Ab r
ar 20 06
eM
20 05 En
O ct -D ic
20 05
-S ep
20 05 Ju l
-J un
Ab r
En
eM
ar 20 05
0%
Fuente: MessageLabs
Según los datos de Symantec y MessageLabs, durante todo el año 2007 no se han detectado mejoras y el volumen de correos electrónicos no deseados sigue siendo considerable 46 : cerca de tres de cada cuatro correos electrónicos que se envían a través de la Red son correos electrónicos no deseados, spam. Las causas de este incremento pueden tener orígenes diversos. Por una parte, el aumento de conexiones a Internet de forma global ha supuesto también un notable crecimiento del número de posibles objetivos. Por otra parte, la proliferación de las redes de ordenadores zombies, junto con el refinamiento reciente de las técnicas empleadas para formarlas, se suman a las causas que justifican este crecimiento en el volumen del spam. La evolución mensual del volumen del spam detectado a nivel mundial, como se observa en el gráfico siguiente, muestra una estabilización del mismo en el último año. En el mes de febrero de 2008 ha alcanzado valores de 72,7%.
46
Los resultados de los estudios llevados a cabo por Symantec y MessageLabs fueron obtenidos de sus servicios de control, cifrado y archivo de comunicaciones electrónicas, así como de sus herramientas antispam, lo cual permite analizar el estado del spam a nivel mundial de manera fiable. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 64 de 165
Instituto Nacional de Tecnologías de la Comunicación
Un factor que hay que tener en cuenta al hacer un análisis geográfico del spam es el idioma en el que se envía el correo. La lengua más utilizada es el inglés (80,0%); sin embargo, en el último año el uso del ruso y el alemán han aumentado significativamente, así como del chino, fundamentalmente en los mensajes enviados a Hong Kong. 5.1.1
Zonas y países emisores de ‘spam’
Resulta interesante estudiar las cifras del spam en función de los países desde los que se envía. En el Gráfico 3 se aprecian claramente las tres zonas geográficas donde se genera mayoritariamente: EE.UU., Europa y Asia. Estados Unidos es la región desde la que se envían más mensajes de correo electrónico no deseado (56,0%), seguida de cerca por Europa (33,0%) y, a mayor distancia, Asia (17,0%). Estas cifras hacen pensar en el impacto que puede llegar a provocar el spam en zonas geográficas como la de Estados Unidos, que además resulta ser la zona de origen de la mayoría de correos detectados como spam (43,0%). Gráfico 3: Distribución mundial de correo y spam enviado, por zona geográfica (%) 56%
60% 50%
43%
40%
33% 26%
30% 20%
13%
17% 5% 6%
10%
3% 3%
2% 2%
Áf ric a
a /O ce an í Au s
tra lia
da m ér ic a Su
As ia
a ro p Eu
No rt e
Am
ér ic a
0%
%Correo
%Spam
Fuente: Symantec (2007)
Aunque el porcentaje de mensajes de correo enviados desde Europa, con respecto al total, es bastante menor que el de EE.UU., el índice de spam es bastante próximo, de lo que se deduce que el ratio de spam generado en Europa sobre el total de mensajes enviados alcanza unas cifras preocupantes. Una posible explicación a este fenómeno es el hecho de que muchas de las redes de ordenadores zombies operan desde países de
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 65 de 165
Instituto Nacional de Tecnologías de la Comunicación
Europa del Este. Aun así, y como se observa en la siguiente tabla, la mayoría del spam se origina en los Estados Unidos. Tabla 4: Zonas generadoras de spam (%) % del total de mensajes
Países
2005 70,0% 13,0% 13,0% 2,0% 1,3% 0,2%
Estados Unidos Asia Europa América del Sur Australia/Oceanía África
Feb 2007 55,0% 13,0% 28,0% 2,0% 2,0% 0,5%
% de spam 2005 55,0% 24,0% 16,0% 3,0% 1,6% 0,2%
Feb 2007 43,0% 15,0% 36,0% 3,0% 2,0% 0,5% Fuente: Symantec
Como se puede ver en el Gráfico 4 de la lista de países en los que se genera el spam, EE.UU. encabeza la lista, seguido de Corea del Sur y China. Gráfico 4: Países generadores de spam en Internet en el año 2007 (%) EEUU
22,5%
Corea del Sur
6,5%
China
6,0%
Polonia
4,9%
Rusia
4,7%
Brasil
3,8%
Alemania
3,5%
Francia
3,5%
Turquía
3,1%
Italia
2,7%
España
2,7%
India
2,6% 0%
10%
20%
30%
Fuente: Sophos
Según Sophos, entre los años 2005 y 2008, España se ha mantenido entre la quinta y undécima posición en la lista de países que más spam generan. Según los últimos
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 66 de 165
Instituto Nacional de Tecnologías de la Comunicación
datos recogidos, el 2,7% del spam mundial tiene su origen en España, que se sitúa en la undécima posición 47 . El alto volumen de spam enviado desde EE.UU. es debido en gran parte a que este país encabeza la lista de los países con mayor número de máquinas comprometidas 48 , como se observa en la Tabla 5. España se sitúa como el noveno país con ordenadores comprometidos, lo que confirma la relación actual entre el envío de spam y las redes de ordenadores zombi. A pesar de los esfuerzos dedicados en EE.UU. a desarrollar software antispam 49 y a las nuevas leyes diseñadas para combatir el fenómeno del spam 50 , aun no se han producido los resultados esperados en la eliminación de spam, ni en la detección y sanción de los spammers. Tabla 5: Países con mayor cantidad de máquinas comprometidas
Países Estados Unidos China Corea del Sur Alemania Francia Brasil Japón Reino Unido España
% de máquinas comprometidas 19,08% 14,56% 9,61% 5,99% 5,69% 5,56% 3,70% 3,13% 2,96%
Total 964.020 735.598 485.492 302.618 287.368 281.168 186.691 158.009 149.634 Fuente: CipherTrust
Resulta también preocupante el incremento en la generación de spam que se observa en Europa, a pesar de que las leyes diseñadas contra los spammers son mucho más restrictivas que las estadounidenses. Como se muestra en el Gráfico 5, la relación entre el volumen de spam generado en Europa y el porcentaje de volumen mundial de correo alcanza ya cifras significativos.
47
Sophos: http://esp.sophos.com/
48
Portal dedicado a las investigaciones de seguridad en Internet http://www.ciphertrust.com/resources/statistics/zombie.php
49
Un elevado porcentaje de las empresas desarrolladoras de filtros antispam son estadounidenses o tienen una importante sede en EE.UU. 50
CAM-SPAM
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 67 de 165
Instituto Nacional de Tecnologías de la Comunicación
Gráfico 5: Relación de volumen de spam respecto al total de correos enviados (%)
43,0%
Es ta do s
U
ni do
s
55,0%
28,0%
Eu
ro p
a
36,0%
15,0% As ia
13,0%
0%
10% Total de correo en %
20%
30%
40%
50%
60%
Correo spam en %
Fuente: Symantec
Según el portal TopTenReview 51 , que presenta una recopilación de resultados estadísticos, procedentes de estudios de diversas fuentes como Google, Brightmail y Symantec, Jupiter Research, eMarketer, Gartner, MailShell, Harris Interactive, y Ferris Research 52 que se basan en la clasificación de los propios clientes de correo. Los principales resultados obtenidos son: •
El número de mensajes de spam recibidos a diario por una persona suscrita a una cuenta de correo es aproximadamente seis, frente a una cantidad total aproximada de correos de diez.
•
La cantidad diaria que se envía de spam asciende 12.400 millones, frente a un total de 31.000 millones de correos.
51
Evett, Don: Spam statistics 2006. TopTenReview, http://spam-filter-review.toptenreviews.com/
52
http://www.jupiterresearch.com/bin/item.pl/home
http://www.emarketer.com/ http://www.gartner.com/ http://www.mailshell.com/ http://www.harrisinteractive.com/ http://www.ferris.com/ Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 68 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Anualmente, una persona suscrita a una aproximadamente 2.200 mensajes de spam.
•
El coste anual de todos los s de Internet que no pertenecen a una empresa es aproximadamente 255 millones de dólares.
•
El 28,0% de los s responde al correo spam.
•
Entre el 15,0% y el 20,0% de correos legítimos corporativos es clasificado como
cuenta
de
correo
recibe
correo spam (falsos positivos) y por tal motivo se pierde. Esta pérdida es muy difícil de cuantificar en términos económicos. •
5.1.2
La pérdida de tiempo promedio por es de cuatro a cinco segundos por cada correo spam, considerando que solamente decida eliminarlos.
Países receptores de ataques de ‘spam’
En el Gráfico 6 53 se presenta el porcentaje de spam recibido en cada país respecto al volumen total de correos que recibe. Los países más afectados en 2006 fueron India, Hong Kong y EE.UU. En países como España, Suecia, Francia o Italia, que hasta el año 2005 no presentaban cifras significativas de spam, comenzaron entonces a reportar valores elevados, en torno al 40,1%, 40,9%, 49,8% y 57,4% respectivamente. Este crecimiento se ha reflejado también en Asia, particularmente en Hong Kong, donde el volumen de spam creció de un 61,6% en el 2005 a un 71,1% en 2006. En Australia pasó de un 39,9% ª a un 48,1% en las mismas fechas y en Singapur, del 35,3% al 50,7%. Una conclusión importante de este estudio es la relación directa entre el rápido crecimiento de la economía global y el incremento del volumen de spam. El spam recibido en España se estudia con mayor detalle en el apartado 6, a través de los datos suministrados por la red de sensores de spam de INTECO.
53
Para el año 2005 no se dispone de datos de volumen de spam en todos los países. Corresponden a aquellos casos marcados con 0,0%. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 69 de 165
Instituto Nacional de Tecnologías de la Comunicación
30%
36,1% 30,1%
40,1%
40,9%
39,9% 48,1%
40%
50,5% 49,1%
49,8%
50,2% 50,6%
35,3%
50,7%
56,3% 51,7%
55,2%
50%
59,9% 54,9%
77,0%
55,5%
60%
64,4% 56,9%
57,4%
70%
77,0%
80%
63,5%
75,2%
90%
61,6% 71,7%
Gráfico 6: Porcentaje de spam recibido por cada país respecto al volumen total de todos los correos que recibe. 2005-2006 (%)
0,0%
0,0%
0,0%
0,0%
In
di a H Es .K ta on do g s U ni do s I rl an da Al em an ia Ca na da E. Ar ab Re es in o Un id o Bé lg ic Si a ng ap ur e Au st ri a Fr an ci a Ho la nd a Au st ra lia Su ec ia Es pa ña Ja pó n
0%
0,0%
10%
0,0%
20%
2005
2006
Fuente: MessageLabs
En el año 2007 se confirmó el crecimiento en países como Israel o Francia. El caso de Israel, cuyo volumen de spam se ha mantenido muy elevado durante el último año, se debe a que este país ha sido la base de dos de las peores operaciones de spam de 2007 54 . También se confirma la relación entre el idioma utilizado en el spam y el país objetivo. La lengua predominante es el inglés, que completa entre el 70,0% y el 80,0% del total; sin embargo, se incrementa el spam en chino, particularmente el que tiene como objetivo Hong Kong.
54
SpamHaus Project.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 70 de 165
Instituto Nacional de Tecnologías de la Comunicación
Gráfico 7: Porcentaje de spam recibido por país respecto al volumen total de todos los correos. 2007 (%)
Israel
68,9%
Hong Kong
64,5%
Alemania
55,2%
EEUU
54,2%
Francia
53,8%
0%
10%
20%
30%
40%
50%
60%
70%
80%
Fuente: MessageLabs
5.1.3
Evolución de la tipología de ‘spam’ en el ámbito internacional
Una característica de la evolución actual del spam es el nuevo uso que se le da. En los inicios de la era de la información, las comunicaciones electrónicas no deseadas comenzaron siendo inofensivas; se enfocaban principalmente hacia la pérdida de tiempo, preocupante principalmente para las empresas, y su principal objetivo era el de atacar a los servidores de correos llenándolos de basura hasta saturarlos, mediante DDoS (Distributed Denial of Service, ataque de denegación de servicios), o llenar los buzones de los s. Sin embargo, en la actualidad el spam ha evolucionado hasta convertirse en una herramienta para usos más sofisticados: obtención de información privada, fraudes que pueden ocasionar ventas y acciones no reales con perjuicios económicos, etcétera. Según la empresa Symantec, desde el año 2005 se ha producido un incremento de esta tipología de spam en diversos países. El spam comercial de venta engañosa de productos y el de tipo financiero son los más comunes, con un 20,0% y 19,0% respectivamente (Gráfico 8), sobrepasando considerablemente los de contenido pornográfico, generalmente los más mencionados por los s. Para TopTenReview se revela un estado muy parecido al recogido por Symantec en cuanto a la distribución por tipos de spam: encabezando la lista los mensajes de venta de productos comerciales (25,0%) y financieros (20,0%), pero también muestran un valor muy
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 71 de 165
Instituto Nacional de Tecnologías de la Comunicación
elevado los de contenido adulto (19,0%, frente al 7,0% mostrado por Symantec 55 en el mismo año). Este dato se asocia al carácter masivo y de uso personal de las cuentas de correo estudiadas. Gráfico 8: Tipos de spam en el año 2005 (%)
7% 20%
10%
10%
Com ercial Financiero Salud Internet Estafas Ocio Adulto Fraude de em presas
19%
10%
11%
13%
Fuente: Symantec
Los datos del año 2007 revelan un considerable aumento del fraude financiero online basado en la inversión en acciones o en las compras en línea. La tipología general del spam deriva hacia los grupos de spam financiero, comercial, salud e Internet, disminuyendo los porcentajes de spam de tipo ocio o de contenido para adultos. A su vez los estudios revelan que la ofensiva sobre los correos spam ha tenido un gran éxito en los mensajes con contenido para adultos pues, generalmente, son más sencillos de filtrar por las herramientas disponibles dadas las características de sus palabras y expresiones. Otros tipos de contenido del spam han sufrido un gran descenso, como aquellos sensacionalistas y espirituales.
55
http://www.symantec.com/region/de/PressCenter/spam.html
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 72 de 165
Instituto Nacional de Tecnologías de la Comunicación
Gráfico 9: Tipos de spam en febrero del 2007 (%) 4%
3%
4% 5%
25%
13%
Financiero Com ercial Salud Internet Ocio Estafas Adulto Fraude de em presas
23% 23%
Fuente: Symantec
Sin embargo, esto no alivia el problema del spam, puesto que se está produciendo un nuevo fenómeno: fórmulas antiguas de spam, como los mensajes relacionados con la salud o la venta de medicamentos, están siendo retomadas por los spammers con nuevas formas, generalmente mediante ataques enfocados a s menos expertos, lo cual revela un comportamiento cíclico en cuanto a los tipos de spam que se producen. Es decir, variantes de spam que desaparecen temporalmente de la circulación, vuelven a ser utilizadas por los spammers. Este fenómeno es en gran medida debido a la evolución de los propios s de Internet, ya que el correo electrónico ha dejado de ser tan sólo una herramienta empleada por los profesionales en su ámbito laboral, a ser un servicio más en la vida cotidiana de los ciudadanos. 5.1.4
Escritura del ‘spam’
Por otra parte, los spammers estudian constantemente las herramientas de protección con el objetivo de desarrollar técnicas que las vulneren. De esta forma, toman auge técnicas más novedosas, como el spam con imágenes, más difíciles de detectar, analizar y procesar por los filtros y con capacidad para consumir más recursos. Según Symantec, durante los meses finales de 2006 se produjo un aumento de correos spam con imágenes de hasta un 46% del total de todos el spam, lo cual se contrasta con los valores del primer semestre, que no sobrepasaron el 30%, lo que indica la rápida aceptación del spam mediante imágenes, y ya a principios de 2007 registraba valores de hasta un 53%.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 73 de 165
Instituto Nacional de Tecnologías de la Comunicación
Por otro lado, los resultados presentados por MessageLabs en octubre de 2007 no muestran las cifras del volumen de spam por imágenes como preocupantes, pues sólo supondrían un 5,0% del total de spam detectado. Según estos informes, el spam en formato de correo TEXT sigue siendo el formato más utilizado (aproximadamente el 50,0% del total), junto con el spam HTML, con un 40,0%, en gran medida por la sencillez de su creación. Otros nuevos formatos de spam son aquellos relacionados con el envío de archivos adjuntos en formato .pdf o .zip, que por el momento representan tan sólo un 0,5% del total del volumen de spam. Es de esperar que esta tipología crezca en los próximos años. 5.1.5
Tamaño de los mensajes de spam
Según Kaspersky en su informe “Kaspersky Security Bulletin 2007. El spam en 2007”, los correos de spam suelen contener un texto corto y un vínculo (70%). Esto significa que el peso de los mensajes no es muy grande. Aproximadamente un 40% de los mensajes spam no sobrepasan los 5 KB. En el caso de spam de mayor peso, la mayor parte de los mensajes spam de 5 a 10 KB de tamaño incluyen textos publicitarios, o mensajes con texto adicional al azar. Los spammers prefieren enviar mensajes con menos de 10 KB porque cuanto más corto sea es el texto más rápidamente llegan a los s. Gráfico 10: Peso en Kb de los correos de spam (%)
45% 40%
40% 35%
35% 30% 25% 20%
13%
15% 8%
10% 5%
2%
2%
≤100 Kb
≤200 Kb
0% ≤5 Kb
≤10 Kb
≤20 Kb
≤50 Kb
0%
0%
≤400 Kb
Más de 400 Kb
Fuente: Kaspersky
Otro dato significativo en el peso de los mensajes es que el 13% del spam corresponde a mensajes de 20 a 50 KB. Esta categoría, bastante popular a mediados del 2007, incluye spam gráfico y mensajes spam con adjuntos (pdf).
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 74 de 165
Instituto Nacional de Tecnologías de la Comunicación
5.1.6
El ‘spam’ en otros servicios: móvil y voz sobre IP
Otro aspecto preocupante del fenómeno del spam es que ya no está sólo ligado al uso de Internet, sino que está traspasando barreras y tratando de llegar a otros servicios de comunicación. La telefonía móvil sufre actualmente el envío de spam por medio de los SMS y MMS. Resulta alentador, en este aspecto, la inexistencia de plataformas gratuitas para su envío, por lo que el coste de los mensajes ha impedido que este fenómeno cobre fuerza. La mensajería instantánea vía Internet se ha visto afectada con el envío indiscriminado de mensajes. También comienza a surgir el spam sobre tecnología de Voz sobre IP, denominado SPIT (en inglés, Spam over Internet Telephony). Un , malicioso o no, puede iniciar una comunicación no solicitada o no deseada como una llamada de travesura 56 o de marketing 57 , entre otras. Aunque son todavía pocos los s de este sistema, el incremento de su uso podría ocasionar futuros ataques de spam. Sin embargo, en la actualidad el volumen de todo este tipo de spam no constituye un porcentaje significativo frente al enviado mediante correo electrónico, por lo que no se dispone de cifras relativas a estos tipos de incidencias.
56
Llamadas con contenidos bromistas, pero que saturan la Red y hacen perder tiempo. Generalmente incluyen sonidos o música. 57
Llamada telefónica para vender productos o servicios a un consumidor.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 75 de 165
Instituto Nacional de Tecnologías de la Comunicación
6 SITUACIÓN DEL ‘SPAM’ EN ESPAÑA En el ámbito nacional en relación al correo electrónico no deseado en España, la base de los datos procede de la red de sensores de spam de INTECO. Esta se compone de 14 sensores distribuidos geográficamente, y situados en servidores de correo de pymes y s. En ellos se procede a la monitorización de los correos que por ellos circulan, donde son analizados y clasificados en detalle, a través de 13 herramientas antispam distintas. También se han analizado fuentes externas y sus resultados más destacados. En un ámbito estrictamente nacional, y según datos de la Asociación de Internautas, la cantidad de correos spam que recibe de media un es de un 60,0% sobre el total. Según la red de sensores de la empresa Sophos, España estaba por detrás de países como Estados Unidos, China, Corea del Sur y Francia en generación de spam a nivel mundial en el año 2006, pero mientras los tres primeros están reduciendo sus niveles de emisión, España ha duplicado el volumen de spam generado en menos de un año. Para Hispasec, los resultados en España son mucho más desalentadores que los de otros países, si se tienen en cuenta indicadores como el número de habitantes o el número de conexiones de Internet con banda ancha por habitante, situándose de esta forma tan sólo por detrás de Corea del Sur. Los resultados más destacables son: 1. Corea del Sur, con unos 44 millones de habitantes, envía un 0,1431% de spam por millón de habitantes. 2. España, también con unos 44 millones, envía un 0,1318% de spam por millón de habitantes. 3. Polonia con 38,5 millones de habitantes, envía un 0,1246% de spam por millón de habitantes. 4. Francia, con unos 63 millones, envía un 0,1000% por millón de habitantes. 6.1
Situación del ‘spam’ en España: resultados cuantitativos de la red de sensores de ‘spam’ de INTECO
Los datos primarios de resultados para España provienen de la red de sensores antispam de INTECO. Este análisis supone una de las primeras iniciativas nacionales en cuanto al estudio estadístico sobre datos del volumen de correo electrónico no deseado. La información es proporcionada por diversos sensores situados en servidores de correos de pymes y s. Se trata de una información muy amplia que abarca el número de mensajes procesados, el spam detectado, los mensajes rechazados y los métodos por los cuales un correo electrónico es identificado como spam. Un análisis posterior permite conocer el país de origen del mensaje, la organización remitente o el dominio, entre otros. Los resultados extraídos de la red de sensores evidencian la fortaleza del fenómeno Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 76 de 165
Instituto Nacional de Tecnologías de la Comunicación
global del spam, así como una tendencia similar a la que ya se ha producido en otros países, como EE.UU. La información proporcionada por los diversos sensores, situados en servidores de correos de pymes y s, se trata de información muy amplia, que recoge:
6.1.1
•
Número de mensajes procesados: todos los mensajes recibidos, spam o no.
•
Spam detectado: número total de mensajes que se consideran spam.
•
Mensajes rechazados: spam descartado automáticamente.
Análisis descriptivo por categorías
Para el análisis de referencia se han tomado los datos correspondiente al periodo más actual, comprendido entre el 1 de enero el 11 de marzo de 2008, un total de 10 semanas. El volumen de correos procesados, detectados y rechazados se presenta en la Tabla 6 y el Gráfico 11. Tabla 6: Spam en España (del 1 de enero al 11 de marzo de 2008) Correos
Totales
Muestra (procesados)
91.582.112
Spam detectado
77.441.839
Porcentaje
84,6% Fuente: INTECO
Como se observa en el gráfico, de los más de 91 millones de correos procesados en la muestra por los sensores, 77,4 millones fueron considerados spam, lo que corresponde al 84,6% del total de mensajes.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 77 de 165
Instituto Nacional de Tecnologías de la Comunicación
Gráfico 11: Spam en España (%, del 1 de enero al 11 de marzo de 2008)
15,4%
84,6%
Spam Correo legítimo
Fuente: INTECO
Del total de mensajes detectados como spam en la muestra de los sensores (77 millones), fueron rechazados casi 52 millones, un 67,1%, y nunca llegaron al como se muestra en la Tabla 7. Tabla 7: Porcentaje del spam detectado (del 1 de enero al 11 de marzo de 2008) 58 Correos
Totales
Porcentaje
Spam detectado
77.441.839
Spam rechazado
51.999.472
67,1%
Spam no rechazado
25.442.367
32,9% Fuente: INTECO
El resto, otros 25 millones aproximadamente (32,9%), se consideran spam y, sin embargo, terminan en el buzón de correo electrónico del . Esto se debe a que, según las políticas de filtrado que los es imponen, se puede filtrar todo el spam o sólo
58
Mensajes procesados: todos los mensajes recibidos, spam o no.
Spam detectado: número total de mensajes que se consideran spam. Spam rechazado: spam descartado automáticamente. Spam no rechazado: spam que ha atravesado los filtros.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 78 de 165
Instituto Nacional de Tecnologías de la Comunicación
una parte, en función de unos parámetros seleccionados previamente. Todo esto dado que puede darse el caso de que no se deseen filtrar los correos para que no se pierda ningún correo legítimo y se produzca un caso de falso positivo. Gráfico 12: Porcentaje del spam rechazado y no rechazado sobre el total de spam (%, del 1 de enero al 11 de marzo de 2008)
67,1% 32,9%
Spam rechazado Spam no rechazado
Fuente: INTECO
6.1.2
Países emisores de ‘spam’ con dirigidos a España
En el Gráfico 13 se muestra el volumen acumulado del correo procesado, detectado y rechazado por la red de sensores de INTECO de los 10 países que más spam enviaron a España en el periodo muestral. Esta misma información se presenta en términos porcentuales en el Gráfico 14. En ambos gráficos se aprecia claramente que el origen del spam destinado a España se encuentra mayoritariamente en Estados Unidos, China, Corea del Sur y Rusia. Entre estos cuatro países envían a España más del 50,0% del total de mensajes no deseados en circulación. En el Gráfico 14 se muestra el porcentaje de spam detectado sobre el total de correos procesados para cada uno de los 10 países que mayor volumen de spam envían a España. A diferencia de la situación internacional, en el caso del spam recibido en España, Rusia ocupa un lugar destacado.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 79 de 165
Instituto Nacional de Tecnologías de la Comunicación
Gráfico 13: Volúmenes absolutos de spam con destino España por país de origen
1,0 1,0
1
1,1 1,0
1,5 1,2
1,6 1,5
2
1,3 1,2
2,4 2,4
2,7 2,4
3
1,3 1,2
4
2,3 2,0
3,9
5
4,4
(muestra en millones de correos, del 1 de enero al 11 de marzo de 2008)
Correos Procesados
Fr an ci a
le Ch i
a om bi Co l
Tu rq uí a
Es pa ña
Ar ge
nt in a
ia Ru s
r Su de l
Co re a
op .C hi na
Re p. P
EE U
U
0
Spam Detectado
Fuente: INTECO
Gráfico 14: 10 países con mayor volumen de spam enviado hacia España (%, del 1 de enero al 11 de marzo de 2008)
6%
5% 21%
7%
7%
EEUU Rep. Pop. China Corea del Sur Rusia Argentina España Turquía Colom bia Chile Francia
8%
14%
8% 12%
12%
Fuente: INTECO
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 80 de 165
Instituto Nacional de Tecnologías de la Comunicación
Un aspecto interesante es que existe spam originado precisamente en España (8,0%), así como mensajes no deseados procedentes de países de habla hispana como Argentina o Colombia. Estos resultados tienen su razón de ser en el progresivo aumento de las máquinas comprometidas en estos países a través de redes botnets y en las estrategias de los spammers de enfocar sus ataques a nuevos s sin mucho conocimiento sobre el fenómeno. En este sentido, los países cuya relación entre el volumen de spam que envían hacia España es mayor respecto al volumen total de correos son Corea del Sur (96,6%), Colombia (95,7%) y Chile (94,7%). Es importante señalar que en la lista de países con mayor relación entre el spam y el total de correos enviados, todos superan más del 75,0% de spam. Gráfico 15: Porcentaje de spam detectado sobre el total de mensajes procesados para cada país de origen (%, del 1 de enero al 11 de marzo de 2008)
96,6%
Corea del Sur
95,7%
Colombia
94,7%
Chile
93,6%
Argentina
91,6%
Francia Rusia
90,1%
Rep. Pop. China
89,6%
EEUU
89,4%
Turquía España
86,7% 79,3%
Fuente: INTECO
6.1.3
Evolución temporal del volumen de ‘spam’
El objetivo de este análisis es la búsqueda de patrones de comportamiento temporal (diarios, semanales, mensuales) que permitan predecir el volumen de spam y adoptar las medidas de protección adecuadas. Se ha realizado un análisis estacional de la serie con el objetivo de identificar la posible existencia de un patrón semanal en la serie de correos detectados. En el Gráfico 16 se representa, para cada uno de los siete días de la semana, el número medio de correos (línea roja) y los datos de cada día en las distintas semanas (líneas azules). Se puede
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 81 de 165
Instituto Nacional de Tecnologías de la Comunicación
apreciar que las medias son muy similares, por lo que cabría concluir que el patrón para cada día de la semana es muy similar a lo largo del periodo de estudio, aunque jueves y viernes parecen ser los días en que hay un mayor tráfico de correo no deseado. Para comprobar estadísticamente la hipótesis de igualdad entre el volumen medio de spam detectado los distintos días de la semana, se realiza un análisis de la varianza 59 en el que se concluye que no existe en la muestra evidencia de que las medias para cada uno de los días sean significativamente distintas. Gráfico 16: Niveles de spam detectado por día de la semana para el periodo de estudio (del 1 de enero al 11 de marzo de 2008)
Fuente: INTECO
59
Análisis de la Varianza (ANOVA): técnica estadística que compara si los valores de un determinado grupo de datos son significativamente distintos a los de otro u otros grupos. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 82 de 165
Instituto Nacional de Tecnologías de la Comunicación
7 RESULTADO CUALITATIVO: POSICIONAMIENTO PAPEL ACTUAL DE LOS AGENTES 7.1
Y
Introducción
En este capítulo se exponen los resultados correspondientes al análisis cualitativo llevado a cabo durante la fase de investigación del estudio. Partiendo de la fase de documentación y generación de resultados, se analiza la problemática del spam en los cuarenta agentes entrevistados. A continuación, se reseñan las medidas de protección más utilizadas y el impacto que para las organizaciones y sus procesos tiene el correo electrónico no deseado. El denominador común en todas las entrevistas realizadas ha sido la concienciación de todas las organizaciones frente al spam. Este hecho ha facilitado que las entrevistas hayan ganado en profundidad y que, al mismo tiempo, hayan podido ser tratados todos los aspectos que en la actualidad se interrelacionan en el tema del spam. Los avanzados conocimientos técnicos y organizativos de los entrevistados han permitido mantener un enfoque global del problema y, lo que es más importante, afianzar la necesidad de llevar a cabo medidas de protección integrales frente al spam. 7.2
Los agentes
El correo electrónico no deseado es un problema que afecta a s particulares, empresas, instituciones y organismos públicos. En este sentido, se han realizado cuarenta entrevistas a agentes pertenecientes a los distintos sectores, prestando especial atención a los organismos públicos, en los ámbitos local, provincial y estatal, y a las empresas de comercio electrónico con el fin de completar la información que permita evaluar la situación del correo no deseado en España. El procedimiento de análisis ha partido de la identificación del perfil de los agentes, pertenecientes a los diferentes sectores involucrados en el fenómeno del spam, que se relacionan a continuación: − PERFIL 1. istración Pública o
Organismos públicos en los ámbitos estatal, provincial y local.
− PERFIL 2. Empresas de telecomunicaciones o
Operadores de telecomunicaciones proveedoras de servicios de Internet.
y
telefonía
móvil,
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
empresas
Página 83 de 165
Instituto Nacional de Tecnologías de la Comunicación
o
Asociaciones empresariales, cámaras oficiales de comercio, industria y navegación y colegios profesionales.
o
es y prestadores de servicios de alojamiento Web, así como proveedores de servicios de correo electrónico.
− PERFIL 3. Empresas de marketing electrónico o
Empresas de marketing directo y comercio electrónico, incluyendo anunciantes, empresas de venta a distancia, agencias de publicidad, etcétera.
− PERFIL 4. Empresas prestadoras de servicios de seguridad o
Empresas desarrolladoras de productos y servicios de seguridad.
o
Expertos en seguridad informática (ámbitos tecnológico y legal).
− PERFIL 5. s finales o
s habituales de correo electrónico.
Con el objetivo de identificar la gran variedad de organizaciones y empresas españolas se ha pretendido caracterizar cada uno de los agentes por el volumen de s de correo electrónico. Así, se entrevistaron agentes en cuyo servicio estaban registrados 1.000 s de correo electrónico y, al mismo tiempo, grandes organizaciones con más de 70.000 s. Del mismo modo, en cuanto al tráfico de correo electrónico manejado, las cifras ascienden a una horquilla entre 50.000 y 500.000 correos diarios, dependiendo de la entidad estudiada. 7.3
Situación de los agentes implicados
En las siguientes secciones de este apartado se tratarán de manera particular las características de los perfiles de los distintos agentes identificados. Para cada uno de ellos, y de manera general, se describen las particularidades de su sistema de información y, en concreto, de su servicio de correo electrónico. 7.3.1
Perfil 1. istración Pública
Los sistemas de información de las istraciones públicas se ven afectados en gran medida por el problema del spam, pues en general ofrecen a los ciudadanos servicios online como pieza clave en la emergente Sociedad de la Información. Los organismos públicos suelen gestionar el correo de manera interna; tanto los equipos como los registros y bases de datos se encuentran en la sede de la
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 84 de 165
Instituto Nacional de Tecnologías de la Comunicación
organización. En cuanto al personal encargado de dicha gestión, se trata habitualmente de técnicos pertenecientes a la propia istración, aunque existe un número muy significativo de personal subcontratado. Esto no es una característica exclusiva del servicio de correo electrónico y suele corresponderse con la forma habitual de gestionar los sistemas en organizaciones de gran tamaño. En universidades y otros organismos públicos existen políticas de utilización del correo electrónico y otras herramientas y aplicaciones informáticas y de telecomunicaciones. Es una buena práctica, recomendable y extrapolable a otras organizaciones, para evitar problemas y litigios de utilización del correo electrónico en el ámbito laboral (tamaño del buzón, vía de , soluciones ineficientes ante el spam, etcétera). En cuanto a los aspectos técnicos, los servidores de correo utilizados en las istraciones públicas se basan principalmente en el sistema operativo Unix (Postfix 60 es una de las aplicaciones de correo más utilizadas), aunque también están extendidas las soluciones de Microsoft. Estos sistemas permiten la descarga del correo a través de protocolos estandarizados como POP3 e IMAP o sus versiones seguras, y la mayoría dispone de correo web. Para este perfil, los volúmenes de s del servicio son muy dispares por la propia naturaleza de cada organismo considerado, pero se cifra entre los 5.000 s para los más reducidos y los 40.000 para los de mayor volumen, como es el caso de ministerios y universidades. 7.3.2
Perfil 2. Empresas de telecomunicaciones
Dentro de este perfil, se han analizado empresas españolas cuyos objetivos de negocio tienen relación con las telecomunicaciones, la telefonía móvil, los servicios de Internet o el comercio electrónico. Entre estas últimas se encuentran empresas de software, prestadoras de servicios tecnológicos y entidades financieras españolas con una parte muy significativa de su negocio basado en tecnologías online. La organización del sistema de información de las empresas pertenecientes a este perfil depende de manera directa del volumen de la entidad. Así, las pequeñas empresas suelen subcontratar los servicios de correo electrónico, al no disponer de personal para la gestión del sistema. Por otro lado, la mayoría de las organizaciones de mediano y gran tamaño suelen gestionar de manera interna tanto su sistema de información como su servicio de correo electrónico. Entre estas últimas es necesario realizar la salvedad, las empresas multinacionales, pues en estos casos el sistema de información y el servicio de correo electrónico suele ser gestionados de manera centralizada para todas
60
Postfix es un software de uso extendido que implementa una estafeta de correo electrónico (http://www.postfix.org).
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 85 de 165
Instituto Nacional de Tecnologías de la Comunicación
las delegaciones, generalmente de manera externa. Estas empresas, además de disponer de servicios de correo electrónico para sus empleados, en ocasiones lo ofrecen a sus clientes, con una separación entre las arquitecturas que implementan unos y otros. El al correo electrónico puede realizarse a través de los protocolos convencionales (IMAP y POP3) y en la mayoría de los casos se dispone de un web para la consulta del correo mediante navegadores convencionales. Es también destacable cómo, en la gran mayoría de estas organizaciones, se encuentran en funcionamiento protocolos de descarga del correo electrónico móvil, aunque en algunas este servicio posee un número reducido de s o se encuentra en funcionamiento de manera experimental. Estas entidades disponen de clientes de correo electrónico del tipo push-mail que permiten la recepción inmediata de correo electrónico en el dispositivo móvil; los sistemas empleados son Blackberry, DirectPush o Real Mail. Se pone de manifiesto una maduración importante en cuanto a la concienciación sobre la necesidad de protección frente al spam, teniendo ya un bagaje importante en la lucha contra él y evolucionando hacia unas soluciones cada vez más eficientes. 7.3.3
Perfil 3. Empresas de marketing electrónico
Las empresas de marketing electrónico utilizan el correo para llegar a un amplio número de destinatarios. En esta característica coinciden con los objetivos de los spammers, pero las diferencias existentes entre ellos son evidentes: − Cumplen con la legislación vigente referente a su modelo de negocio. − Poseen códigos éticos sobre las informaciones que envían. − Trabajan de manera principal con marketing de fidelización. − Establecen controles para determinar la efectividad de los envíos realizados. − Respetan los derechos de los destinatarios de los correos. Este modelo de negocio está creciendo en España en los últimos años. Según los expertos consultados, el volumen de correos que envían estas empresas alcanza una media de 1.000.000 de mensajes diarios, que pueden ser enviados directamente por las empresas de marketing (como un servicio completo) o ponerse a disposición de los clientes aplicativos para que sean ellos mismos los que controlen el envío. En cualquier caso, estas empresas son conscientes de que la reducción del problema del spam será beneficiosa para el desarrollo de su propio negocio. Por esta razón, entienden que se debe contribuir activamente en la lucha frente al correo electrónico no Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 86 de 165
Instituto Nacional de Tecnologías de la Comunicación
deseado y la reducción de su impacto, fomentando la divulgación de su modelo de negocio entre los s de correo y transmitiendo las diferencias que presenta frente al spam. El modelo de negocio del marketing electrónico está en constante expansión en todo el mundo y evoluciona dentro de la Sociedad de la Información creando un interesante mercado publicitario que permite generar valor. La evolución del modelo en España tiene aún un largo camino que recorrer; es necesaria una mayor concienciación por parte de todos los agentes involucrados, principalmente s, acerca de las claras diferencias existentes entre el marketing electrónico y el spam. 7.3.4
Perfil 4. Empresas prestadoras de servicios de seguridad
En España el correo electrónico no deseado afecta a muchos agentes de la Sociedad de la Información, y la prevención, protección y reducción de su impacto es fundamental para el desarrollo de muchas organizaciones. Por ello, los expertos y empresas que ofrecen servicios de seguridad juegan un papel muy importante en este contexto. En un primer momento las empresas prestadoras de servicios de seguridad proporcionaron medidas reactivas de protección frente al spam: una vez que el correo no deseado se encontraba almacenado en los buzones de los s, se le aplicaban filtros para detectarlo. Estas protecciones, basadas en patrones o en heurísticas 61 , complementaban a otras, como antivirus o antispyware, y eran suficientes cuando la dimensión del problema era reducida. Pero el volumen de correo no deseado ha alcanzado porcentajes muy importantes que han provocado problemas de saturación en las redes internas de las organizaciones y en sus sistemas informáticos, Por lo que se ha hecho indispensable combatir el problema con anterioridad al almacenamiento del spam en los buzones de los s. En un principio las medidas que se plantearon eran principalmente de carácter reactivo. A medida que el problema fue aumentando, a comienzos del año 2004, las protecciones iban tomando carácter reactivo y proactivo, para servidores y clientes de correo. 7.3.5
Perfil 5. s
El fenómeno del spam es conocido y percibido por la inmensa mayoría de los s de correo electrónico. Los datos así lo confirman: el 64,2% de los s habituales de Internet lo ha sufrido en la última semana y un 87,2%, en el último año 62 , siendo la incidencia que más frecuentemente afirman sufrir. Este hecho pone de manifiesto la
61
Los algoritmos heurísticos tienen la capacidad de realizar innovaciones en su funcionamiento para alcanzar sus objetivos.
62
INTECO (2008) Estudio sobre la Seguridad de la Información y e-Confianza de los hogares españoles (2ª Oleada: Feb-Abr 07) (Disponible en http://observatorio.inteco.es)
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 87 de 165
Instituto Nacional de Tecnologías de la Comunicación
dimensión del problema, pues todos los s entrevistados han recibido correos de este tipo y habitualmente necesitan manejarlo dentro de sus buzones de correo. Sin embargo, y a pesar de la comentada familiarización de los s con el spam, se han podido identificar en ellos ciertas deficiencias en cuanto a la identificación de las causas que lo provocan, los problemas que puede provocar y, lo que es más importante, las pautas a seguir para evitarlo y reducirlo. Es necesario resaltar en este sentido el importante esfuerzo llevado a cabo por distintos organismos públicos (Agencia Española de Protección de Datos –AEPD– y agencias autonómicas, Instituto Nacional de Tecnologías de la Comunicación –INTECO–, Red.es, Secretaría de Estado de Telecomunicaciones y para la Sociedad de la Información, etcétera) 63 , cuyas iniciativas se centran en la promoción, formación y concienciación de los s frente a las amenazas de seguridad en Internet. Ejemplo de ello son las campañas contra el fraude online y por la seguridad en la Red promovidas por INTECO o las guías de lucha contra el spam que pone a disposición la AEPD. 7.3.6
Medidas de protección frente al ‘spam’
Antes de entrar a analizar qué medidas han sido implantadas por los distintos agentes, y para conocer qué posibilidades existen, se explican detalladamente las distintas herramientas y acciones disponibles para combatir el spam. Los agentes estudiados disponen en todos los casos de medidas de seguridad para la protección frente al correo electrónico no deseado. Abarcan desde las medidas de índole técnico (las más utilizadas) hasta las organizativas y de carácter normativo. Las más significativas son las medidas de protección técnica frente al spam, Se mecanismos software o hardware que pretenden proteger el sistema de información frente a las diferentes formas de spam existentes. En función de su objetivo de protección, se pueden clasificarse en: 1. Preventivas: tienen por objeto evitar que puedan realizarse el envío de correo spam. 2. Reactivas: son aplicadas una vez que el spam ya ha llegado a los servidores de correo de los destinatarios y tienen por objeto su filtrado. 3. Proactivas: tienen por objeto evitar que los servidores de spam puedan llegar a comunicarse con los servidores de correo de los destinatarios.
63
AEPD: https://www.agpd.es
RED.es: http://www.red.es/ Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 88 de 165
Instituto Nacional de Tecnologías de la Comunicación
Medidas preventivas De forma general, la mayoría de las medidas preventivas se centran en aspectos legislativos y de formación. En cuanto a las soluciones tecnológicas, se señalan principalmente las relativas a la configuración adecuada de las aplicaciones o servicios. Se aconseja, por ejemplo: 1. Eliminar la previsualización de los clientes de correos, sobre todo la de contenido HTML, evitando que sea explotada por los spammers con correos que incorporen HTML con imágenes y código script. 2. Configurar correctamente los proveedores de servicio de Internet (en especial servidores de correos), evitando la conexión y envío de correo a terceras partes no autorizadas (open relay). 3. Configurar las trazas y sistemas de registro de eventos en los proveedores de servicios de Internet. Por otra parte, es esencial el enmascaramiento de las direcciones de correo para protegerse contra el software que de forma automatizada y exhaustiva busca direcciones en los sitios web. De esta manera, se utilizan diversas técnicas para ocultar la dirección real. Una de las más sencillas consiste en modificar el texto donde aparece la dirección de correo (por ejemplo, sustituyendo el símbolo "@" por su nombre en inglés, at, y el punto por dot: cuentaATsubdominioDOTdominio). Evidentemente, esta técnica es muy débil y su utilidad quedó limitada cuando fue descubierta e incluida en la búsqueda del software tipo harvesting. Actualmente se utilizan técnicas de enmascaramiento mucho más sofisticadas, incluyendo código de programación Javascript en el texto de enlace de tipo mailto:, que pueda ser interpretado por el navegador, pero que es mucho más difícil de descubrir por búsqueda automática. Un ejemplo sería incluir en lugar del correo del el siguiente código script: <script TYPE="text/javascript"> ' + emailE + '') //--> Medidas reactivas Se trata de las salvaguardas más representativas de las herramientas antispam. Se basan en el análisis del correo, que clasifican como "posible spam detectado", "spam rechazado" o "no spam aceptado". Actualmente, existen diferentes herramientas de Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 89 de 165
Instituto Nacional de Tecnologías de la Comunicación
filtrado, diferenciadas según la técnica de filtrado, la ubicación de la herramienta o la acción del en el análisis del spam. 1. Técnicas de filtrado en los antispam a. Filtrado simple por contenido: formado casi siempre por cadenas de caracteres y datos que puedan encontrarse en el remite, el tema, el cuerpo del mensaje, etcétera. Las herramientas que utilizan esta técnica marcan como spam aquellos mensajes que contengan alguna palabra clave (por ejemplo, "viagra", "sexo"…), perteneciente una lista previamente especificada. Obviamente, no es una solución completa, pues marcará como spam multitud de correos legítimos que hagan uso de alguna de las palabras clave. Además, este sistema es fácilmente evitable, pues basta con insertar separadores, modificaciones tipográficas, etcétera para que la búsqueda de palabras clave falle. b. Filtrado basado en técnicas de clasificación: consiste en identificar los correos según dos tipos: "spam rechazado" o "aceptado". Los primeros suelen ser generalmente filtrados o marcados como tal, mientras que los segundos pasarán a la bandeja de entrada del remitente. Pueden usar diversas estrategias: i. Reputación: basada en la valoración que dan los s de un número importante de correos. Es muy común en servidores de correo online que poseen una gran masa de s, como Gmail, Yahoo o Hotmail. ii. Redes bayesianas 64 : sistema adaptativo de clasificación que se utiliza para determinar los grupos de correos spam, como correo legítimo. Es una de las técnicas de clasificación más usadas. Su sistema de entrenamiento puede estar supervisado manualmente con la ayuda de los s (utilizando las técnicas de reputación antes mencionadas) o con un grupo de entrenamiento basado en correos tipo 65 . 2. Ubicación de los antispam
64
Las técnicas de inteligencia artificial fueron aplicadas por primera vez al problema del spam en 1998 por Mehran Sahami. Desde entonces se ha convertido, probablemente, en el enfoque más utilizado y eficaz.
65
Una amplia cantidad de software, tanto dirigido a es como al final, implementa filtros bayesianos como parte de sus medidas antispam. Entre los primeros destacan BogoFilter, DSPAM o SpamAssasin,y entre los clientes de correo, Mozilla, Thunderbird y Microsoft Outlook. Un grupo de entrenamiento basado en correos tipo consiste en un conjunto amplio de ejemplos de correos reconocidos como spam. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 90 de 165
Instituto Nacional de Tecnologías de la Comunicación
a. En clientes: filtros ubicados en la aplicación cliente de correo. Generalmente son filtros de contenido donde las palabras clave las establece el cliente. Estos filtros solucionan lo que más interesa al final: no ver spam. Desde este punto de vista, son bastante eficientes. Además, son muy aceptados, pues trasladan al la decisión de configurar sus propios filtros y es él quien marca lo que considera o no spam. En cambio, no solucionan la recepción de spam, que sigue llegando al buzón de su servidor. b. En servidores: generalmente, son filtros de contenidos bajo el control del del sistema. Solucionan los mismos problemas que los de cliente, pero además evitan que el spam llegue al buzón de los s. Sin embargo, estos últimos en ocasiones señalan el inconveniente de dejar en manos de los responsables del servicio la determinación de los patrones de filtrado del spam. 3. Clasificación del antispam según acción del a. Interactivos: el sistema señala y enumera posibles correos spam y queda a la espera de que el receptor decida si lo son o no y establezca políticas al respecto. Su inconveniente es el tiempo de demora del receptor en revisar y clasificar los correos, cuando a diario se reciben grandes cantidades. La mayoría de los clientes de correo incluye este tipo de filtro antispam. b. No interactivos. El propio sistema elige y elimina los correos que considera spam. El mayor inconveniente de esta solución es que el software antispam todavía genera muchos falsos positivos, interfiriendo así en el envío o recepción de correos legítimos. Además, como sucede con los antivirus, las herramientas más potentes son más costosas.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 91 de 165
Instituto Nacional de Tecnologías de la Comunicación
Medidas proactivas 1. Listas negras: se consideradas una medida proactiva porque su implantación se realiza antes de que el correo llegue a los servidores, con el conocimiento previo de posibles fuentes de spam. Consisten en un conjunto de bases de datos online que pueden ser consultadas en tiempo real por los servidores de correo electrónico en cada transacción, para obtener una valoración (en términos de confianza) sobre un mensaje de correo entrante. En especial, estas listas disponen de valoración sobre el servidor de correo o el proveedor de servicios de Internet (ISP) que originó el mensaje y la posibilidad de que se trate de un servidor de correo malicioso. Estas listas negras son mantenidas generalmente por organizaciones independientes, como por ejemplo la lista llamada ZEN, de SpamHaus, que combina: a. Una lista de direcciones IP fuente de spam confirmadas, SBL (Spam Block List). 66 b. Una lista de direcciones IP de equipos posiblemente comprometidos por contener vulnerabilidades, XBL (Exploits Block List) 67 . c. Una lista de direcciones IP de s finales que no deben enviar correo directamente si no es a través de su ISP, PBL (Policy Block List) 68 . Tienen muchos inconvenientes, entre ellos, los casos en los que dominios lícitos se ven incluidos en las bases de datos por la acción de ciertos spammers que pretenden desacreditarlos, perjudicando así el flujo de sus correos legítimos o incluso implicando un problema legal 69 . Por otra parte, estas listas son accedidas muy frecuentemente y, por lo tanto, se convierten en un cuello de botella que deriva en un más lento procesamiento del correo.
66
Una lista de direcciones IP de equipos que han sido confirmados como generadores de correos spam. Esta lista se denomina lista de bloqueo de spam, SBL (del inglés, Spam Block List). 67
Una lista de direcciones IP de equipos potencialmente generadores de spam por presentar vulnerabilidades en su configuración. Esta lista se denomina lista de bloqueo de vulnerabilidades, XBL (del inglés Exploits Block List). 68
Una lista de direcciones IP de equipos, pertenecientes a s finales, que no pueden enviar correo directamente, sino que tienen que hacerlo a través de un Proveedor de servicios de Internet (ISP). Esta lista se denomina lista de bloqueo por política, PBL (del ingles Policy Block List). 69
En este sentido, pueden darse situaciones paradójicas, como una reciente sentencia en EE.UU. que condenaba a SpamHaus a pagar más de 11 millones de dólares, a e360insight, una compañía radicada en Gran Bretaña, por incluirla en una de sus listas. La sentencia no es del todo acertada puesto que las organizaciones que gestionan estas listas no bloquean ningún correo, ni tienen la capacidad técnica ni jurídica para hacerlo. Son los abonados a las listas quienes, por voluntad propia, deciden desechar el correo proveniente de estos dominios o servidores.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 92 de 165
Instituto Nacional de Tecnologías de la Comunicación
2. Listas blancas: el enfoque es el contrario al de las listas negras, su objetivo es contrarrestar los efectos perjudiciales de los posibles falsos positivos. Una lista blanca es una relación de direcciones de correo confiables cuyos envíos no deberían ser considerados spam, es decir, se asume que todo correo es spam a no ser que sea enviado por un remitente incluido en la lista blanca. Estas listas tienen el claro inconveniente de que, en principio, bloquearán, o al menos marcarán como spam, todo aquellos correos remitidos por un nuevo o. Por lo tanto, sólo resultará de interés para s finales o corporaciones, pero no para proveedores de servicio, que deben atender multitud de correos electrónicos en principio desconocidos y a los que sería imposible aplicar una lista blanca. 3. Listas grises 70 : aparecen como una medida paralela a las dos anteriores que intentan evitar que se marquen como servidores originarios de spam a servidores legítimos (problema de las listas negras). Su funcionamiento se basa en aprovechar la falta de insistencia de los servidores de correo spam: los servidores que emplean greylisting simulan una caída temporal del servicio y solicitan el reenvío posterior del correo en cuestión. Los servidores spam están centrados en el envío masivo de correos no deseados y, por lo tanto, suelen desechar los mensajes de reenvío. De esta manera, el servidor legítimo que aplique esta técnica podrá confeccionar una lista gris con esos servidores.Sin embargo, la lista gris se considera una lista de servidores sobre los cuales no se tiene una certeza absoluta de que sean fuentes confiables. Por un lado, pueden ser servidores lícitos cuya configuración no sea la más adecuada; por otro, las técnicas de los spammers pueden tratar de sortear esta medida, con el coste de desarrollo y de sobrecarga correspondiente. En una lectura positiva, esto puede verse como una ventaja ante el despliegue del spam, al acotar cada vez más las facilidades para su generación (bajo coste y sencillez técnica). Visto desde el servidor destino, las listas grises tienen un gran inconveniente que las hace poco aceptadas: el tiempo de latencia, que trascurre entre el envío y la recepción del correo, repercute en la transmisión del mensaje. El correo se ha convertido en una herramienta de trabajo y muchas veces los s están a la espera de su llegada, por lo que un retardo en su recepción puede ser muy costoso para las empresas y negocios que utilizan esta vía. Por eso, las listas grises son una solución interesante, pero que debe
70
http://www.greylisting.org/. Las listas grises están implementadas por SpamAssasin y han sido adoptadas también en SendMail (http://www.sendmail.org), que ha ido cediendo terreno frente a Postfix, debido principalmente a la sencillez de uso de este último. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 93 de 165
Instituto Nacional de Tecnologías de la Comunicación
usarse con especial cuidado y adaptarse a los tipos de cuentas que manipule el servidor. 4. Implementación de nuevos protocolos estandarizados: como se ha mencionado, una de las carencias más significativas en la implementación de los sistemas de correo electrónico es la falta de autenticación de la identidad de los remitentes, circunstancia que facilita, en buena medida, la proliferación del fenómeno del spam. El uso de técnicas criptográficas que aseguren la autenticidad del remitente puede ayudar a reducirlo; herramientas de firmas digitales con claves públicas del tipo PGP o S-MIME (Secure/Multipurpose Internet Mail Extensions, extensiones de correo de Internet de propósitos múltiples/seguros), entre otras, pueden ser muy útiles en este sentido. Sin embargo, la expansión de esta práctica a nivel global es difícil, por la propia dificultad de extender los sistemas de criptografía de clave pública a gran escala. A raíz de esto, se comenzaron a desarrollar mecanismos para determinar qué pasarelas de correo son las que deberían enviar mensajes asociados a un determinado dominio de correo. El objetivo de estos sistemas es que los es de un dominio concreto puedan establecer qué servidores de correo están autorizados para enviar correo desde el mismo. En este sentido, son de especial relevancia los siguientes protocolos estandarizados: − SPF (Sender Policy Framework o convenio de remitentes, RFC 4408): extensión del estándar SMTP creado por IETF (The Internet Engineering Task Force) que permite identificar direcciones de correo falsificadas a través de su dominio; la identificación en el comando “mail from” (cabecera “Return-Path”) permite clasificar el correo como posible spam. Aunque este tipo de solución no acabaría por completo con el problema del spam, sí puede ayudar a determinar si el dominio de un correo ha sido falseado, y la falsificación puede ser indicativa del intento de envío de spam. A su vez, esto permitiría asociar el spam a una serie de dominios concretos y facilitar la capacidad de reportar el incidente y de intervenir en contra del responsable istrativo del dominio, los servidores de correo o el proveedor de a Internet que le proporciona la conectividad. − DKIM (Domain Keys identified Mails o correos identificados por clave de dominio): propuesta que intenta ofrecer autenticación del remitente original, mejorando algunos problemas de las soluciones del tipo PGP (Pretty Good Privacy) 71 o
71
PGP: sistema que aplica la criptografía de clave pública para proteger información en movimiento por la Red, por ejemplo en correos electrónicos. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 94 de 165
Instituto Nacional de Tecnologías de la Comunicación
S/MIME. Se trata de un estándar en desarrollo por parte de la IETF 72 . Es una solución propuesta por desarrolladores de Yahoo que ha tomado ya dimensiones de estándar y que podría ser aplicado a cualquier solución, aunque su uso aun es muy reducido. Lo cierto es que no hay una solución ni exacta ni global para el problema del spam. Se hace necesaria la aplicación e implicación de todas las herramientas descritas para combatirlo, con el objeto de reducir su impacto. Las técnicas de los spammers cambian continuamente a medida que aparecen nuevas estrategias para evitarlo, es un fenómeno en constante desarrollo que requiere de una atención y dedicación continua. A continuación se describen los aspectos más representativos de la aplicación de las técnicas de protección contra el spam por parte de los distintos agentes entrevistados: 1. Las medidas de protección reactivas son las utilizadas. Su aplicación reduce el impacto del spam en las organizaciones mediante filtros que determinan su eliminación, marcado, redirección, puesta en cuarentena, etcétera. Esta técnica particular puede ser empleada en los clientes de correo de los s y en los servidores de correo de la organización. Esta última ubicación de las herramientas de protección es la más recurrida, principalmente porque tiene efectos sobre la totalidad del correo manejado por la organización. Dentro de este grupo de técnicas, cabe hacer alguna apreciación sobre la técnica a través de la cual se realiza el filtrado. Así, y aunque tradicionalmente estas medidas se basaban en el análisis del contenido del correo spam, la mayoría de las herramientas implantadas en los agentes se centran en algoritmos de clasificación, que clasifican los correos recibidos dependiendo de su probabilidad de ser o no ser spam. 2. Es habitual la utilización de listas de filtrado blancas, negras, o grises. Se trata de mecanismos de seguridad proactivos, que pretenden evitar que los servidores de correo que emiten spam puedan comunicarse con servidores legítimos. En los agentes consultados se ha constatado la utilización de listas negras como complemento de otras protecciones antispam, ya que son muy útiles para la detección de servidores que envían habitualmente correos no deseados. 3. Aumentando la complejidad de las técnicas de protección, se ha identificado también la utilización de productos completos de hardware y software, denominados appliance, que implementan un sistema antispam (el coste
72
RFC 4871, 5016 http://www.ietf.org/rfc/rfc4871.txt.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 95 de 165
Instituto Nacional de Tecnologías de la Comunicación
económico de estas soluciones está por encima de las soluciones software más comunes). Su objetivo primordial es la reducción del spam de manera proactiva, es decir, sin que llegue a almacenarse en los servidores de correo de los s. Su técnica principal de filtrado es la reputación, obtenida a partir de la monitorización de grandes cantidades de correo, que consigue un alto grado de satisfacción de los agentes. 4. La extensión del protocolo SMTP, denominada SPF (Sender Policy Framework, Convenio de Remitentes) también se encuentra entre los mecanismos de protección empleados. Esta técnica proactiva permite identificar posibles correos spam mediante la revisión de las direcciones de envío de un determinado correo. El protocolo permite, a través de DNS (Domain Name System), consultar al servidor de correo que presuntamente envió el correo electrónico si ha autorizado o no dicho envío. La técnica es empleada por muchas empresas de seguridad que proporcionan soluciones antispam, y los porcentajes de filtrado obtenidos son muy interesantes. Sin embargo, es necesario también destacar que su aplicación supone una consulta en tiempo real acerca de la validez de procedencia del correo (lo que podría retrasar la llegada de correo legítimo) y que también es necesario que el servidor de DNS del dominio consultado disponga de tal servicio (cuestión que no es general). 5. Una particularidad interesante en cuanto a los servicios antispam empleados por los agentes estudiados es la redirección del correo para su filtrado. En estas situaciones, la organización gestiona su servicio de correo electrónico (empleando personal y equipos en una sede de la misma), mientras que el sistema antispam se ubica en las instalaciones del prestador del servicio. El funcionamiento se basa en reconfigurar en el servidor de DNS de forma adecuada para que el servidor de correo de la prestadora del servicio atienda el correo. Así, al recibir correo para la organización lo filtra de spam y, una vez limpio, lo envía para su recepción final. En estas ocasiones, así como en otras en las que el correo de la organización va a ser revisado o gestionado por otra empresa, es necesario firmar acuerdos que permitan establecer un marco legal de colaboración entre las partes para la prestación del servicio. Es interesante resaltar cómo en ocasiones las organizaciones estudiadas han probado distintas soluciones antispam. Estos cambios venían antecedidos por una insatisfacción sobre los resultados de filtrado obtenidos, por la existencia de falsos negativos o, lo que es más preocupante, de falsos positivos.. Por último, y a modo de resumen, cabe destacar que mientras algunas organizaciones consideran que sus soluciones antispam tienen controlado el impacto del correo no Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 96 de 165
Instituto Nacional de Tecnologías de la Comunicación
deseado de forma satisfactoria en un porcentaje muy importante, existen entidades en las que el problema tiene una influencia diaria y, aunque puede manejarse, genera una insatisfacción clara respecto a la solución implantada. 7.4 7.4.1
Protección frente al ‘spam’ de los agentes Perfil 1. istración Pública
Los organismos públicos entrevistados se encuentran altamente concienciados acerca de la necesidad de establecer medidas preventivas, proactivas y reactivas frente al spam. No en vano, en muchas ocasiones disponen de guías de utilización segura del correo electrónico, o incluso guías con recomendaciones específicas para evitar el spam. Todos los organismos realizan una inversión importante en herramientas antispam. La soluciones escogidas pertenecen tanto al ámbito comercial como al del software con licencia pública (en algunos casos particulares se da una combinación de ambas). La mayoría de las instituciones apuestan por las soluciones comerciales reactivas y proactivas proporcionando también el producto elegido protección frente a códigos maliciosos (por ejemplo: virus y spyware) difundidos a través del correo electrónico. En las organizaciones en las que las soluciones antispam utilizadas están principalmente basadas en productos de software libre existe un inconveniente: su uso pasa por la necesaria actualización de los sistemas de información que las incorporan, pues pueden verse afectados por spam cuando este se modifica su conducta o patrón de ataque respecto a los patrones de detección conocidos. Se hace necesario disponer de personal cualificado que sea capaz de mantener actualizadas en tiempo real estas tecnologías. En las istraciones consultadas se ha constatado, como práctica habitual, la utilización de listas negras como complemento de otras protecciones antispam, ya que son muy útiles para la detección de servidores que envían habitualmente correo no deseado. Sin embargo, estas listas también tienen algunos problemas, pues en ocasiones pueden incluirse en ellas dominios lícitos que han sido intencionadamente atacados por spammers. Una de las listas más empleadas por los agentes es SpamHaus Block List 73 , aunque su uso no es unánime, pues algunos mantienen que su aportación es muy limitada. En muchos casos, la utilización de listas negras ha venido acompañada de la aparición de falsos positivos. Las listas blancas pueden ser empleadas de forma excluyente, es decir, aceptando sólo el correo proveniente de servidores de correo incluidos en ellas. Sin embargo, en ninguno de los agentes estudiados se emplean de esta forma, pues existe un abanico muy amplio y
73
www.spamhaus.org
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 97 de 165
Instituto Nacional de Tecnologías de la Comunicación
cambiante de servidores de correo legítimos que pueden ser empleados. El uso de las listas blancas se complementa con otras medidas de protección frente al spam, pero no representa una solución completa al problema. 7.4.2
Perfil 2. Empresas de telecomunicaciones
Las soluciones antispam implantadas en este grupo pueden clasificarse de acuerdo a la siguiente distinción: •
Por un lado, las empresas de gran volumen de ámbito internacional, con gran número de clientes y con un número también muy significativo de empleados, en las que existe un sistema de información centralizado que da servicio a todas las delegaciones de la compañía. El servicio de correo electrónico no es una excepción y tanto los servidores de correo como el personal y los servicios antispam son gestionados de manera centralizada.
•
Por otro, compañías de diverso tamaño, desde pymes a grandes empresas, que gestionan por completo su propio sistema de información o externalizan algunos servicios. En cuanto al correo electrónico, y debido a la gran importancia que tiene para las organizaciones, las medianas y grandes compañías no lo externalizan y gestionan tanto el equipamiento hardware necesario como el software (aun cuando existen proveedores que ofrecen servicios de este tipo para pymes a bajo coste). Para este grupo de empresas, la gestión de salvaguardas antispam se basa en productos comerciales centrados en la protección proactiva y reactiva. La ubicación de estos servicios se realiza mayoritariamente en los servidores (con independencia de que puedan existir protecciones antispam reactivas en los clientes de correo).
Un hecho muy significativo con respecto a la ubicación de los sistemas antispam empleados por este tipo de empresas es que, aunque pueden estar implantados en los servidores de correo de la empresa o en su sistema de información, también se han encontrado agentes en los que se sitúan fuera de las instalaciones de la organización. En estos últimos, el correo se redirecciona a través de la empresa prestadora del servicio antispam, quien lo devuelve a la organización una vez filtrado. Esta arquitectura remota de filtrado cede el control del correo electrónico a la empresa prestadora del servicio y, por lo tanto, sólo puede realizarse cuando existe un nivel de calidad suficiente y bajo un acuerdo contractual que preserve la seguridad de los datos manejados. Aquellas empresas de este perfil en las que se ofrecen servicios de correo electrónico para otras empresas o s suelen complementar la oferta con servicios antispam asociados. La mayoría de las soluciones antispam empleadas proceden del ámbito comercial, pero también hay un número significativo de agentes que ofrecen soluciones
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 98 de 165
Instituto Nacional de Tecnologías de la Comunicación
propietarias o la aplicación complementaria de distintas soluciones software de licencia GPL (Generic Public Licence). 7.4.3
Perfil 3. Empresas de marketing electrónico
Los mecanismos antispam pueden afectar al envío de correos legítimos por parte de estas compañías y, por esta razón, las empresas de marketing electrónico establecen acuerdos con las grandes empresas de servicios de correo electrónico y con proveedores de servicios de Internet (ISP) para que permitan su envío. A esta facilidad se le denomina listas blancas comerciales, que permiten que los mensajes publicitarios no sean obstaculizados con las protecciones antispam. Así mismo, las empresas publicitarias se comprometen a hacer frente a las quejas y reclamaciones de los s. Los controles proactivos sobre el correo electrónico pueden soslayarse. Para manejar los filtros antispam reactivos, estas empresas realizan pruebas sobre los sistemas de protección más utilizados, verificando si los correos que van a enviar son marcados como spam. Si es necesario, realizan adaptaciones que permitan que sus comunicaciones no disparen los filtros. 7.4.4
Perfil 4. Empresas prestadoras de servicios de seguridad
La protección frente al spam posee ciertas ventajas frente a otros servicios de seguridad de Internet, pues sus características permiten que los filtros de los servidores no tengan que estar instalados en la propia organización. Esta arquitectura ha sido observada en muchas filiales españolas de empresas multinacionales, que reciben el correo electrónico una vez filtrado por los sistemas centrales de la compañía, y es también un servicio de seguridad ofrecido por compañías del ramo que les permite operar sobre el correo de sus clientes desde sus propias instalaciones, fomentando las economías de escala, reduciendo sus costes directos y ofertando servicios económicamente competitivos. Otra faceta de protección suministrada por las empresas de seguridad es el establecimiento de salvaguardas preventivas centradas en el uso de nuevos protocolos de correo electrónico. De manera general, su intención es dotar de autenticación a la comunicación entre los servidores de correo o a la propia comunicación asíncrona entre el emisor del mensaje y su receptor. Las técnicas a las que recurren son variadas, pero principalmente se basan en la utilización de certificados digitales y en el envío protegido de información. Cabe señalar que este tipo de tecnologías precisa de considerables recursos computacionales por parte de los equipos que los implementan, por lo que es necesario adaptar su aplicación cuando existan terminales móviles de bajo poder en la lectura o envío del correo electrónico.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 99 de 165
Instituto Nacional de Tecnologías de la Comunicación
7.4.5
Perfil 5. s
Los s, cada vez más familiarizados con el problema del correo no deseado, ponen en marcha medidas de protección que les permitan mitigar los efectos del spam. La instalación de programas antispam específicos o la activación de filtros integrados en los clientes de correo electrónico son las salvaguardas más comunes. La configuración adecuada de los productos antispam resulta en muchas ocasiones un inconveniente importante para los s; en este sentido, es necesario que los fabricantes realicen ciertas mejoras. Así mismo, se han podido identificar conductas preventivas de los s con mayor capacitación técnica: la no facilitación de la dirección de correo propia en foros descontrolados, la utilización de distintas cuentas de correo en función del entorno en el que se utilicen o la ocultación de los destinatarios (Blind Carbon Copy, BCC o Con Copia Oculta, CCO) en correos enviados a múltiples s.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 100 de 165
Instituto Nacional de Tecnologías de la Comunicación
8 RECOMENDACIONES Y PROPUESTAS 8.1
Tendencias previsibles y propuestas de mejora para las organizaciones y s
Los fundamentos tecnológicos del spam hacen prever que no podrá eliminarse a corto plazo. Es por ello necesario realizar un esfuerzo importante en cuanto a las mejoras de las medidas técnicas de protección, en concienciación y formación y también normativo para proteger a s y empresas. Todos los sectores afectados por este problema deben conocer la situación y naturaleza del spam y las políticas que pueden contribuir a reducirlo. Además, al tratarse de un problema global, es fundamental que las organizaciones sean conscientes de la necesidad de llegar a acuerdos y políticas conjuntas que ofrezcan soluciones de mayor calado y perdurabilidad. El resultado de las entrevistas realizadas y del grupo de trabajo detallan de manera independiente las recomendaciones más relevantes, estructuradas de la siguiente forma: •
Recomendaciones normativas. En base al análisis jurídico de la legislación española, ha sido posible identificar algunas recomendaciones normativas para la istración que pueden complementar la difícil regulación del fenómeno del correo electrónico no deseado en España.
•
Recomendaciones para empresas prestadoras de servicios o
Recomendaciones para empresas de marketing electrónico. Su objeto es fomentar la confianza en estas empresas, principalmente mediante el establecimiento de mejoras en su relación con los destinatarios de las informaciones comerciales.
o
•
Recomendaciones para empresas prestadoras de servicios de seguridad. El análisis ha puesto de manifiesto que existe un sector emergente de soluciones antispam en muchas empresas prestadoras de servicios de seguridad españolas. Estas recomendaciones pretenden ayudar en la identificación de necesidades por parte de las empresas y istraciones, así como mejorar los niveles de calidad de estos servicios.
Recomendaciones para s o
Recomendaciones para los sistemas de información de organizaciones: empresas y istración. Su objeto es mejorar el
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 101 de 165
Instituto Nacional de Tecnologías de la Comunicación
sistema de información (recomendaciones de carácter general) y el servicio de correo electrónico (recomendaciones específicas). El perfil de las empresas presenta muchas similitudes con el de la istración en cuanto al marco del spam. Por ello, se agrupa a las istraciones y las empresas en las recomendaciones, dado que las técnicas enumeradas son igualmente aplicables a los sistemas de información y servicios de correo electrónico de unas y otras. o
Recomendaciones para los s: Pymes e individuos. Los s son la pieza más importante para la resolución del problema del spam. Así mismo, se han encontrado deficiencias en la información consultada por muchos s. Estas recomendaciones tienen por objeto aumentar su conocimiento frente al fenómeno y dotarles de mecanismos que les permitan evitarlo.
8.2
Recomendaciones de carácter normativo: istración
Es justo señalar que el marco jurídico aplicable al fenómeno del correo electrónico no deseado en España se sitúa a la vanguardia de los regímenes jurídicos comunitarios y, a pesar de lo complicado del tratamiento de dicho fenómeno, refleja en su articulado su decidida convicción en la protección legal de todos los agentes involucrados en el mismo. Pese a lo anterior, para el actual sistema jurídico español se han identificado las siguientes recomendaciones de carácter normativo: a) En cuanto a la definición de comunicación comercial se podría incluir los nombres de dominio dentro de la definición de comunicación comercial, teniendo en cuenta que la función secundaria del nombre del dominio puede ser publicitaria (aparecen a menudo en los enlaces a las páginas web). b) En relación a la falta de definición de correo electrónico en la LSSICE en particular, y en todo el ordenamiento jurídico en general, así como a la necesaria extensión al ámbito comunitario, sería oportuna la inclusión de dicho concepto en la legislación española. c) Respecto a los requisitos que deben contener las comunicaciones comerciales, en concreto la necesidad de incluir al comienzo del mensaje la palabra “publicidad”, se podría concretar y exigir que el vocablo constara en el campo del mensaje dedicado a su título. d) En cuanto a la obligación de indicar en las comunicaciones comerciales la persona física o jurídica en nombre de la cual se realizan los envíos, sería más ventajoso para las empresas incluir también en el mensaje los datos del remitente
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 102 de 165
Instituto Nacional de Tecnologías de la Comunicación
efectivo, es decir, de los anunciantes, e incluso una dirección válida y funcional de correo electrónico con el objeto de dar una mayor transparencia al envío y confianza a los destinatarios. e) Por lo referente al envío de comunicaciones comerciales dentro de un proceso contractual, en el que no es necesario obtener el consentimiento por el remitente cuando promocione productos o servicios propios de características similares a los de la venta, se podría precisar dicha expresión genérica de “productos de características similares”, por ejemplo, similares en precio, en destino, en estilo, etcétera. f)
En materia de infracciones se debería especificar el concepto de “envío masivo de comunicaciones comerciales que contiene el artículo 38 LSSICE”; es decir, si se incluyen los envíos de muchos mensajes a un solo destinatario o de muchos mensajes individualizados a la vez.
g) En cuanto a la protección de datos, la LOPD sólo es aplicable a las personas físicas, a diferencia de la LSSICE, que protege tanto a las personas físicas como jurídicas. Por tanto, sería recomendable ampliar el ámbito de protección de la LOPD a las personas jurídicas. h) Respecto a la revocación del consentimiento en la protección de datos para la que no es necesaria la concurrencia de una causa justificada, a diferencia de lo que ocurre en la cesión de datos, se recomienda realizar la correspondiente reforma y unificar criterios. i)
Si se considera que se ha de proteger al destinatario de las comunicaciones comerciales no solicitadas por el carácter molesto de dichos envíos y lo que se trata es de prevenir la multitud de daños que se pueden causar, se hace recomendable plantear la regulación del spam en general y no exclusivamente de los correos publicitarios.
j)
8.3 8.3.1
Y, sobre todo, teniendo en cuenta las propias características de la Red, globalidad y universalidad, sería necesaria la consecución de acuerdos o tratados multilaterales (nacionales e internacionales), tal y como ha sucedido en otras materias en el ámbito de Internet, puesto que el mayor problema que se plantea en la lucha contra el spam es el origen del mismo. Recomendaciones para empresas prestadoras de servicios Recomendaciones para las empresas de marketing electrónico
Las empresas de marketing electrónico poseen ya un importante volumen de negocio; sin embargo, dada la gran potencialidad del sector, cabe esperar que su crecimiento en los Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 103 de 165
Instituto Nacional de Tecnologías de la Comunicación
próximos años sea significativo. A continuación se detallan algunas recomendaciones que puedan reforzar su posición: a) Generar confianza en clientes y destinatarios. Aunque el modelo de negocio de estas empresas tiene grandes diferencias con el spam, es conveniente transmitirlas tanto a empresas como a destinatarios esas diferencias y dar a conocer el respeto legal y ético que forma parte de las bases de su funcionamiento. b) Establecer las técnicas que permitan ajustar los contenidos anunciados a las necesidades de los destinatarios. Cuando los destinatarios reciben información que no se ajusta a sus necesidades, suelen reducir su confianza en las informaciones recibidas por esta vía. c) Facilitar y simplificar los medios puestos a disposición de los destinatarios para darse de baja de listas de envío de contenidos publicitarios. Este hecho conducirá también a una mayor confianza en los servicios ofrecidos por estas empresas. d) Fomentar las relaciones con empresas facilitadoras de servicios de correo electrónico (de telecomunicación, proveedores de servicios de Internet, de correo electrónico…), de forma que puedan facilitarse los cauces de llegada a los destinatarios de los correos electrónicos, por ejemplo mediante listas blancas comerciales. e) Agilizar la respuesta a las posibles reclamaciones o consultas de los destinatarios. Se trata de dotar a las comunicaciones comerciales de la información de o necesaria que permita que los s puedan transmitir sus reclamaciones o consultas a las empresas de marketing electrónico. 8.3.2
Recomendaciones para las empresas prestadoras de servicios de seguridad
Las empresas españolas complementan la oferta de las internacionales en el mundo de la seguridad informática. A partir de las entrevistas realizadas, cabe señalar algunas propuestas y recomendaciones para estas organizaciones: a) Consolidar el esfuerzo tecnológico. Los pasos dados por estas empresas hasta el momento están en la buena dirección y es conveniente mantener ese esfuerzo. b) Apoyar la calidad y efectividad de sus productos mediante certificaciones (o evaluaciones) de productos o servicios. Esto fomentará la mejora de los productos y permitirá ofrecer ventajas competitivas frente a otras compañías. Los agentes entrevistados han valorado de manera muy significativa estas certificaciones que, aunque no resultan definitivas, suponen un valor añadido para la compañía que las incorpora. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 104 de 165
Instituto Nacional de Tecnologías de la Comunicación
c) Desarrollar herramientas de seguridad para la protección del correo móvil. Las empresas y s están impulsando la expansión del correo móvil (en funcionamiento en la mayoría de los agentes entrevistados). La posibilidad de estar conectado en todo momento viene de la mano de la utilización de dispositivos móviles de reducido tamaño y, por ende, de prestaciones más limitadas. Los sistemas de recepción de correo proporcionan distintos servicios de seguridad para el correo electrónico móvil para proteger la comunicación entre el dispositivo y el servidor de correo o entre el emisor y el receptor de un mensaje. Debido a la previsible expansión de este tipo de comunicaciones, es conveniente fomentar la creación de soluciones de seguridad en esta área. d) Establecer mecanismos para el control de la emisión de correo por parte de ordenadores personales. Se han detectado técnicas de hacking en las que los spammers hacen uso de ordenadores personales de s anónimos para el envío masivo de spam. Los s atacados tardan cierto tiempo en detectar la intrusión en sus equipos y su utilización para el envío de correo no deseado. Deberían incluirse mejoras en algunas herramientas de protección de ordenadores personales para prevenir el uso no autorizado de los recursos del equipo, y estudiar soluciones a través de las cuales los propios proveedores de servicios de Internet (ISP) puedan ayudar en la alerta y detección de tales ataques. e) Aplicar en remoto sistemas antispam. Las particularidades técnicas del correo electrónico permiten que a través de la sencilla redirección en el servidor de DNS de la organización, todo su correo electrónico pueda ser redirigido para su filtrado a un prestador de servicios antispam remoto. Aunque ya existen compañías que ofrecen este servicio, conviene destacar sus ventajas tanto para prestadores del servicio como para clientes finales. f) Prever la evolución del spam. La constante mutación del correo electrónico no deseado provoca que los mecanismos empleados para su combate caduquen con celeridad. Es conveniente que las empresas desarrolladoras de productos y servicios de seguridad intensifiquen la investigación de forma que puedan responder con agilidad a las previsibles formas futuras del spam. g) Definir nuevos servidores de correo electrónico. Entre los agentes estudiados se han encontrado soluciones de seguridad que incorporan nuevos servidores de correo electrónico (frente a los usuales Postfix o Sendmail). La incorporación de mecanismos de protección de estos servidores es una vía de mejora que puede proporcionar productos interesantes, mediante el desarrollo de aplicaciones software que implementen mejoras de seguridad o con soluciones conjuntas de hardware y software que incorporen funcionalidades seguras para dichos servidores. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 105 de 165
Instituto Nacional de Tecnologías de la Comunicación
8.4
Recomendaciones para s
8.4.1
Recomendaciones para organizaciones: empresas y istración
Las recomendaciones se dividen en dos grupos: unas de carácter general, relativas al sistema de información, y otras relacionadas con el servicio de correo electrónico, que poseen un perfil más específico para la defensa frente al spam. Recomendaciones de carácter general La protección frente al correo electrónico no deseado debe fundamentarse en el mantenimiento de un nivel de seguridad aceptable para la organización. a) Actualización y mantenimiento de los sistemas de seguridad: la aplicación de mecanismos de protección precisa de la actualización constante y mantenimiento preventivo, de forma que puedan seguir siendo efectivos frente a las amenazas existentes. b) Establecimiento de una política de seguridad que determine sin ambigüedades las responsabilidades, mecanismos, condiciones y clasificaciones necesarias para el , almacenamiento, transmisión y eliminación de la información manejada en la organización. Esta política deberá ir acompañada de una estructura organizativa de gestión y un plan de seguridad que permitan desarrollar los objetivos establecidos. c) Establecimiento de un plan de recuperación de desastres y continuidad de negocio: en caso de que se materialice una amenaza que provoque disfunciones del servicio, es necesario disponer de un plan que establezca procedimientos y prioridades para la recuperación del servicio interrumpido. d) Establecimiento de planes de formación interna en aspectos relativos a la seguridad de la información: una de las salvaguardas con mayor efecto en la seguridad del sistema es la prevención de las amenazas mediante la impartición de cursos formativos que ayuden a concienciar a los empleados acerca de la importancia de su papel dentro de la seguridad del sistema de información. e) Accesibilidad de la información relativa a seguridad: es importante que la información sobre a esta materia sea accesible en todo momento para los empleados, de forma que pueda ser consultada de manera fácil. Una de las vías más utilizadas por los agentes entrevistados es la puesta a su disposición a través del servidor web de la organización.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 106 de 165
Instituto Nacional de Tecnologías de la Comunicación
Recomendaciones específicas sobre el servicio de correo electrónico a) Diseñar y aplicar políticas de uso del correo para empleados y para las empresas y los organismos con los que se relacionan: deben establecerse acuerdos de colaboración de los que se desprendan relaciones de confianza entre los servidores de correo de estas organizaciones y los servidores de terceros. b) Formar y difundir entre sus empleados información sobre cómo actuar frente al correo electrónico no deseado: a este respecto pueden resultar de utilidad las recomendaciones para s descritas en el apartado final de este capítulo. c) Evitar la publicación directa de direcciones de correo electrónico en sus páginas web, empleando mecanismos que eviten su recolección automática (harvesting) por los spammers. d) Cuando se ofrezcan servicios de creación de cuentas de correo para s a través de páginas Web, establecer mecanismos de protección que eviten su creación automatizada. En este sentido, el consorcio W3C (World Wide Web Consortium) posee información actualizada sobre las mejores técnicas aplicables, por ejemplo, aquellas basadas en tests de verificación visual. e) Cuando ofrezcan páginas Web desde las que enviar correos electrónicos, establecer mecanismos de autenticación previos para evitar que pueda realizarse ese envío de manera automática. Si no es posible establecer estos mecanismos, utilizar los comentados tests de verificación visual. f)
Evitar que los servidores de correo acepten el envío sin autenticación de s: cualquier servidor de correo sin protección puede ser utilizado por los spammers para, a través de él, enviar correo masivo (algunos de los agentes estudiados han tenido intentos de ataques en esta línea). Por ello, es aconsejable también sustituir los protocolos de y descarga de correo por protocolos seguros (por ejemplo, complementados mediante la aplicación del protocolo SSL (Secure Socket Layer).
g) Establecer salvaguardas proactivas en los servidores de correo: estos mecanismos de seguridad (listas grises, marco de trabajo SPF, etcétera) ofrecen la ventaja de que rechazan las conexiones de servidores de correo electrónico no deseado, por lo que estos correos no llegan a los buzones de los s. Ello supone, además de la protección de los s, beneficios en el sistema de información, pues se reducen los recursos computacionales, de almacenamiento y de red que serían necesarios si esos correos spam fueran eliminados con posterioridad.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 107 de 165
Instituto Nacional de Tecnologías de la Comunicación
h) Fomentar la activación de funcionalidades SPF 74 (Sender Policy Framework) en los servidores de nombres de dominio (DNS) de las organizaciones. La salvaguarda denominada SPF permite identificar a las máquinas autorizadas para el envío de correos electrónicos en cada dominio. Su funcionamiento precisa que las organizaciones integren registros SPF dentro de sus servidores DNS, permitiendo así resolver consultas de este tipo por parte de servidores de correo. i)
Establecer salvaguardas reactivas en servidores de correo y en clientes de correo: esta recomendación complementa a las dos anteriores, pues seguirá existiendo correo no deseado que consiga llegar a los buzones de los s y en ese momento deberán ser aplicadas medidas reactivas que los detecten (en el propio servidor o en el cliente de correo del ) y puedan filtrarlos.
j)
Recuperar falsos positivos: en ocasiones, algunos sistemas de protección consideran spam a mensajes legítimos. Este problema puede empeorar si el mensaje es eliminado directamente del buzón del y almacenado en una carpeta específica. Debido al alto porcentaje de spam recibido por los s, el contenido de esta carpeta se elimina periódicamente. Por ello, es conveniente que los es definan su caducidad de forma que permita la recuperación de estos falsos positivos (los valores temporales para esta caducidad en los agentes entrevistados van desde una semana a un mes). La determinación de ese tiempo debe tener en cuenta el perfil de empleado del que se trate, aumentando paralelamente a la responsabilidad de su cargo.
k) Controlar la redirección del correo electrónico por los empleados: en las entrevistas realizadas a los agentes se han identificado organizaciones donde muchos de sus s redireccionan su correo profesional a alguna cuenta de correo gratuito en Internet. Esto implica que todas las comunicaciones de correo electrónico de este sean reenviadas a un servidor que escapa del control de la organización, lo que perjudica a la seguridad de su sistema de información. Por ello, debe ser controlado por los es del sistema para determinar en qué condiciones y qué s pueden hacerlo. l)
74
Difundir entre los empleados información relativa a las salvaguardas antispam implantadas por la organización: este hecho contribuye a su concienciación sobre el problema del spam. En algunas de las organizaciones entrevistadas, los empleados pueden tomar decisiones acerca de la severidad de su filtro antispam. Aunque este hecho contribuye a la concienciación de los s, su aplicación, sin embargo, debe ser precedida de un esfuerzo formativo
El procedimiento técnico puede ser consultado en http://old.openspf.org/
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 108 de 165
Instituto Nacional de Tecnologías de la Comunicación
de la organización que asegure que los empleados conocen las implicaciones que la configuración de filtro antispam tiene. 8.4.2
Recomendaciones para s particulares: PYMES e individuos
Si bien es cierto que los s poseen una concienciación significativa del problema del spam, también lo es que en las entrevistas realizadas se ha podido detectar cierta desinformación, un conocimiento parcial del problema y una falta de referencias sobre fuentes de información fiables en aspectos de seguridad informática, en ocasiones, los s acuden a fuentes sin solvencia o poco acreditadas. Todo ello justifica los esfuerzos de formación, divulgación y concienciación llevados a cabo por las istraciones públicas. Sin embargo, y a pesar del los problemas que crea el spam, los s son cada vez más dependientes del correo electrónico; manejan diariamente un volumen importante de correos y parece claro que su uso seguirá aumentando de manera significativa. Por ello, una buena información, extraída de fuentes rigurosas y fiables, constituirá la base para el uso seguro y óptimo del correo electrónico. A continuación se detallan algunas recomendaciones y pautas a seguir: Recomendaciones de carácter general para los s particulares a) Aplicar normas básicas de seguridad, pues las amenazas de Internet hacen imprudente obviar cualquier tipo de protección para los ordenadores. Es indispensable mantener el equipo protegido, con los antivirus actualizados y con cortafuegos personales que detecten intentos de conexión no autorizados. b) Solicitar al proveedor de servicios de Internet (ISP) la aplicación de salvaguardas de seguridad. Ello permitirá disponer de un primer nivel de protección frente a las diversas amenazas. c) Uso compartido de ordenadores. Es muy habitual que un mismo ordenador sea utilizado por diversas personas, sobre todo en el ámbito familiar. Es importante que todos los s comprendan y apliquen las necesarias pautas de seguridad. Recomendaciones específicas sobre el correo electrónico para los s particulares a) Desconfiar de los correos que prometen interesantes beneficios, generalmente desproporcionados. Muchos correos no deseados prometen interesantes beneficios económicos, solicitan ayuda para personas u organismos en situaciones dramáticas, etcétera. Ante estos correos se debe actuar con la
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 109 de 165
Instituto Nacional de Tecnologías de la Comunicación
misma precaución que en el caso de que un desconocido planteara esta situación en la vida cotidiana. No hay mejor norma de seguridad que el sentido común. b) No responder nunca a un correo electrónico no deseado, por muy realista que parezca. Los spammers utilizan esta técnica para refinar las listas de correos, por lo que una respuesta provocará que la dirección sea considerada como válida y por lo tanto susceptible de envío o recepción de spam. c) Nunca visitar, o hacerlo con extrema precaución, direcciones web recibidas o incluidas en correos electrónicos. Mediante un sencillo clic, los spammers pueden recopilar diversa información relativa a una cuenta de correo, principalmente si la dirección de correo utilizada es válida. d) Nunca solicitar ser eliminado de una lista de distribución de correo en la cual no se ha inscrito. Seguramente, la intención del emisor será comprobar si la dirección de correo que está utilizando es válida. En ocasiones también pueden recibirse correos similares en los que se informa al receptor que se le va a imponer una multa o cargo a su cuenta a no ser que conteste a ese correo, o de que ha sido premiado. Su intención es idéntica y ante ellos debe actuarse de la misma forma: sin darle respuesta. e) Cuando se envía un correo a una lista de direcciones conocidas, utilizar la copia ciega (Bcc, Ccc), respetando así la privacidad de cada uno de los os. Si no se hace así, todas las direcciones del correo podrían ser recopiladas por spammers. f)
Mantener siempre activas las herramientas de filtro antispam. La utilización de esta herramienta en todo momento aporta dos beneficios: uno directo, el filtrado de los correos detectados como spam; y la adquisición de nuevos conocimientos por la herramienta, que cada vez será más certera, gracias a sus motores de aprendizaje.
g) No publicitar la cuenta de correo de manera directa en Internet. Utilizar técnicas que impidan su recolección automática (harvesting). Sustituir los símbolos más habituales del correo electrónico mediante el empleo de combinaciones de letras autoexplicativas, imágenes en lugar de texto, etcétera. h) Utilizar varias cuentas de correo electrónico y emplearlas en su entorno adecuado (laboral, personal, ocio…). Esto permitirá reducir la recepción de spam en algunas de ellas, a cambio de que las cuentas más expuestas reciban mayores cantidades de correo no deseado. En este último caso, la cuenta podrá eliminarse y ser sustituida por una nueva, y las cuentas provenientes de ámbitos con mayor
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 110 de 165
Instituto Nacional de Tecnologías de la Comunicación
nivel de seguridad (como el laboral) no podrán ser recolectadas por spammers en entornos más inseguros. i)
8.5
Si es posible, utilizar nombres para las cuentas de correo poco identificables. Los spammers utilizan métodos de generación automática de cuentas de correo (basados en nombres habituales, apodos, palabras de diccionario, etcétera). Por ello, cuando sea posible (por ejemplo, para la utilización en el ámbito familiar o de ocio), es conveniente escoger direcciones de correo difícilmente generables de manera automática. El papel de la industria
En este epígrafe hemos contado con la opinión de tres empresas del sector de la seguridad TIC que ofrecen productos y servicios para controlar y minimizar los efectos del spam. Según MessageLabs En el futuro el resto en la lucha contra el spam será el constante cambio de los códigos del spam, es por eso que los sistemas tradicionales basados en software o hardware, no serán capaces de atajar el problema del spam, ya que se trata de sistemas pasivos basados en firmas, es decir virus y spam conocido. Hay que tener en cuenta que el objetivo de los spammers es llegar a los s finales. Es por eso que continuamente van cambiando los códigos e incluso cambiando la dirección IP desde dónde emiten el spam. Desde MessageLabs entendemos que la mejor manera de atajar el problema del spam es atajarlo en la raíz del problema. En este sentido, mediante una gran cantidad de honeypots con los que cuenta es capaz de captar las direcciones IP desde donde se está emitiendo masivamente el spam, y a continuación proceder a la ralentización de los mensajes mediante dos técnicas: la gestión del tráfico y la gestión de conexión. Así, cabe destacar que MessageLabs en marzo de 2008 se han procesado una media de 3.900 Millones de conexiones SMTP al día, de las cuales el 22,3 % fueron devueltas a los spammers a través de la ralentización por gestión del tráfico y por otra parte el 47,7 % era proveniente de botnets. Por tanto se puede afirmar que el mejor sistema para abordar el problema del spam en el futuro será mediante sistemas reactivos y externalizados, que permitirán a las empresas estar completamente protegidas contra las amenazas de los virus, el spam y el phishing, y con unos compromisos de servicio (SLA) inmejorables.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 111 de 165
Instituto Nacional de Tecnologías de la Comunicación
Según Spamina El correo electrónico no solicitado, también conocido como spam, se ha convertido en los últimos años en un problema que afecta seriamente al correo electrónico en general como medio de comunicación, tanto a nivel de empresas, como de instituciones y s particulares. El correo electrónico es un medio de comunicación rápido, eficaz y de bajo costo, que como consecuencia de los avances tecnológicos y de la masificación de los mismos, se ha convertido en una herramienta fundamental para la agilización de las comunicaciones entre individuos, así como también de muchos procesos industriales. En este contexto apareció el spam como una forma económica de publicidad por un lado, y por otro lado, como un peligroso medio de contagio y propagación de software maligno que, sin el consentimiento del , realiza actividades ilícitas o perjudiciales (conocidos en forma general como códigos maliciosos). En este sentido, el spam responde a un modelo de contaminación del espacio de las comunicaciones que, si prosiguiera su evolución sin que se tomen medidas al respecto, podría acabar con todas las ventajas que el correo electrónico ofrece, y por lo tanto, con el correo electrónico mismo. Actualmente más del 90% del correo electrónico que circula por la Internet es spam. Entre los riesgos y costes más importantes que introduce spam se pueden citar los siguientes: •
Espionaje industrial y recolección ilícita de datos. Los virus informáticos que se propagan a través del spam pueden ser utilizados para tomar en forma ilícita información sobre s y empresas, revelando información personal y secretos industriales o comerciales de las empresas a terceros.
•
Terrorismo informático. Los virus también pueden ser utilizados para atentar contra grandes sistemas informáticos, provocando su mal funcionamiento o incluso su destrucción, mediante una técnica conocida como 'Ataque de denegación de servicio distribuido' (DDoS), entre otras.
•
Incremento de los costos de comunicación. Como consecuencia del gran tráfico de datos que provoca el spam, las empresas y proveedores de Internet o aplicaciones en línea se ven obligados a contratar canales de comunicación de mayor velocidad, y servidores más potentes con el fin de poder procesar el correo electrónico.
•
Pérdida de tiempo y riesgo de pérdida de información. Cuando los s reciben una gran cantidad de correo electrónico, de la cual solo una pequeña parte es útil, se ven obligados a revisar y separar el correo útil del spam, perdiendo mucho tiempo en el proceso y corriendo el riesgo de eliminar accidentalmente información útil.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 112 de 165
Instituto Nacional de Tecnologías de la Comunicación
Las técnicas disponibles para combatir el spam pueden clasificarse en tres grandes grupos: 1. Técnicas de precaución o 'precavidas'. Son todas aquellas técnicas que buscan convencer a las personas/empresas que generan spam (conocidos como spammers) de no hacerlo. Normalmente se utilizan recursos legales a tal fin, como son las políticas de uso aceptable, cuya violación en algunos países es penada con grandes multas o incluso con cárcel. La dificultad más grande que poseen estas técnicas es la naturaleza internacional del correo electrónico y de la Internet en general, que hace que sea muy difícil que exista un marco legal uniforme para juzgar y condenar a los spammers. Por otro lado, los spammers utilizan avanzados recursos técnicos para ocultar su identidad, lo que en muchos casos los hace prácticamente imposibles de identificar. 2. Técnicas reactivas. Son aquellas técnicas que buscan separar automáticamente los correos provenientes de spammers de aquellos que son genuinos. Normalmente se utilizan clasificadores basados en el análisis del contenido del correo electrónico, a fin de encontrar patrones que delaten la naturaleza spam del mismo. Estas técnicas son costosas y muy imprecisas. Es necesario recibir el correo para poder analizarlo por lo que el canal de comunicación y el espacio en los servidores se consume de todas formas. Además, las técnicas de inteligencia artificial que se utilizan para clasificar el correo consumen mucho poder de procesamiento, y no son exactas. Los errores que cometen los clasificadores pueden causar que un correo legítimo sea clasificado como spam, conocido como 'falso positivo', y por lo tanto generar pérdidas de información. 3. Técnicas proactivas. Son aquellas técnicas que buscan identificar o desalentar al spammer en el momento en que se conecta al servidor de correo para transmitir los mensajes. Para identificar el origen del spam se utilizan, entre otras cosas, grandes listas normalmente públicas, que se pueden consultar cada vez que se recibe una conexión a fin de rechazarla directamente, evitando el uso innecesario del canal de comunicación y de los recursos de los servidores. Para desalentar al spammer se utilizan técnicas que lo obligan a reintentar varias veces antes de aceptarle los correos, de forma tal que el costo de envío se incremente para el spammer. Estas técnicas presentan el problema de que actualmente existen muchos orígenes de correo electrónico genuino que, por no respetar las normas técnicas que rigen el correo electrónico, son confundidos con spammers, por lo que sus correos no pueden ser entregados. Este efecto genera incomunicación en muchos casos en que este problema no es atendido con la suficiente celeridad. s particulares, instituciones y empresas disponen de dos grandes formas de paliar el flagelo del spam: Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 113 de 165
Instituto Nacional de Tecnologías de la Comunicación
a) Usar herramientas disponibles públicamente. Cualquier , institución o empresa puede utilizar herramientas disponibles públicamente para reducir el spam. Estas herramientas se basan normalmente en algunas de las técnicas mencionadas arriba, y poseen un buen desempeño. Sin embargo, se debe destacar que no existe una solución de punto final para el spam, dado que los spammers evolucionan constantemente con el fin de superar estas herramientas. Por esta razón el interés y el trabajo necesario para tener un buen resultado es un proceso continuo que requiere de atención permanente. b) Contratar a una empresa especializada. Las empresas especializadas, como Spamina, utilizan una combinación de herramientas y técnicas que está sujeta a constante revisión, investigación y mejora a fin de que sus clientes no deban invertir tiempo ni esfuerzo en la lucha contra el spam. En este caso, el correo es recibido y procesado por la empresa especializada, entregando solamente el correo útil a sus clientes. Este servicio puede prestarse a través de un servidor central, sito en las dependencias de la empresa especializada, que luego transmite el correo útil al servidor del cliente, o bien mediante un servidor especialmente armado que se instala en la dependencia del cliente, antes de su servidor de correo. Normalmente se elige una forma u otra en función del tamaño, infraestructura y política del cliente. La inclinación por resolver el problema por medios propios, o contratar una empresa especializada depende fundamentalmente de la naturaleza del , institución, o empresa. Un cuidadoso análisis de costo-beneficio para cada caso en particular es sin duda la mejor forma de elegir.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 114 de 165
Instituto Nacional de Tecnologías de la Comunicación
9 CONCLUSIONES Ante el uso indiscriminado del correo electrónico en comunicaciones no deseadas comerciales o fraudulentas, que suponen un claro impacto y amenaza para las organizaciones y particulares, el Observatorio de la Seguridad de la Información de INTECO se ha implicado en la realización de este estudio sobre el spam. Se ha pretendido dar una visión cualitativa y cuantitativa del fenómeno, con especial atención a la situación actual en España, y analizarlo desde los planos tecnológico, social y jurídico. Con este fin, se han desarrollado trabajos de análisis e investigación, estimando el impacto que el spam tiene en las empresas y s, analizando de manera cuantitativa y cualitativa la percepción del mismo y, finalmente, estableciendo recomendaciones y propuestas conducentes a la minimización de sus efectos. Partiendo de los aspectos técnicos relacionados con el spam, destaca la incesante transformación a la que se encuentran sometidas las técnicas empleadas por los spammers, por lo que es igualmente necesaria la mejora de las soluciones antispam para que sigan siendo efectivas. A esto se añade la utilización de redes de ordenadores zombies, las llamadas botnets, en las que se incluyen miles de equipos comprometidos y se derivan las responsabilidades del spam enviado. La evolución de los tipos y nuevos medios por los que se envía el spam, a través de telefonía móvil, Voz sobre IP o mensajería instantánea, confirma que las técnicas empleadas por los spammers son cada vez más ingeniosas y sofisticadas, persiguiendo ir un paso por delante y sortear las protecciones antispam. La problemática del spam ha hecho surgir el debate sobre qué correos electrónicos pueden considerarse spam y cuáles no. Aunque las listas de distribución y el propio spam tienen en común el envío de un volumen grande de correos, existen dos mecanismos básicos para el control y diferenciación de estos envíos: la opción de aceptación, o sistema opt-in, previa a la primera comunicación, y la opción de cancelación u opt-out en cada comunicación. Estos sistemas, que ya están regulados normativamente, exigen el consentimiento del de modo explícito, incluso mediante una doble confirmación, además de ofrecer la opción de cancelación de los correos que el está recibiendo. Fuera de esta validación, todo correo masivo se entiende como spam. En este sentido, los expertos señalan el desajuste entre países con sus correspondientes marcos jurídicos que dificultan la focalización nítida del problema. La simple diferencia entre los sistemas opt-in u opt-out según la parte del globo de que se trate puede abrir brechas en un problema que no conoce fronteras. Teniendo en cuenta las propias características de la Red, globalidad y universalidad, sería necesario la consecución de Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 115 de 165
Instituto Nacional de Tecnologías de la Comunicación
acuerdos o tratados multilaterales (nacionales e internacionales), puesto que los mayores problemas que se plantean en la lucha contra el spam radican en el origen del mismo. No hay que olvidar, por ejemplo, que en la mayoría de las ocasiones el spam recibido procede de fuera de nuestro país y, en consecuencia, extralimita nuestro marco jurídico y escapa a su persecución y sanción. Dentro del marco legal del spam, los expertos juristas reafirman y destacan la encomiable labor del cuerpo jurídico español en defensa de los ciudadanos y organizaciones ante un problema tan complejo, que se desarrolla en un contexto no menos complejo como el de Internet como piedra basal de la Sociedad de la Información. Señalan así las medidas de carácter normativo, como la LOPD (Ley Orgánica de Protección de Datos de Carácter Personal), la LSSICE (Ley de Servicios de la Sociedad de la Información y de Comercio Electrónico) y, con un carácter más amplio, la Ley General de Telecomunicaciones. Como novedad del estudio, se han obtenido resultados acerca del impacto económico y social del spam. Hay que reseñar la dificultad metodológica que plantea analizar información de este tipo, tanto de las empresas como de los s domésticos; reside en realizar estimaciones sobre datos de inversión realizada para mitigar el fenómeno del spam. En este sentido se han analizado fuentes documentadas ya existentes para comparar metodologías. Desde INTECO se considera que el coste económico para una empresa, basado en el coste por trabajador y tiempo de trabajo, como consecuencia del spam, se puede estimar en 165 €/año por trabajador en el año 2006 y de 179€/año en 2007. Resulta necesario también destacar los resultados obtenidos sobre el impacto social del spam. Las cifras indican que este tipo de incidencia es más frecuente que otros, como el phishing o incluso el malware. Los s colocan a la publicidad como el mayor problema de Internet, tanto la que se emite en ventanas emergentes (pop-ups) como la recibida en el correo spam. La mayor consecuencia es que el spam ha generado una desconfianza relativa entre los s habituales del correo electrónico; sin embargo no ha podido constatarse una reducción de su uso. Los expertos ponen el acento en la necesidad, entre otras, de la inclusión de la definición de correo electrónico, así como de la matización de conceptos como el de “envío masivo de comunicaciones comerciales" del artículo 38 LSSICE, que en ocasiones puede derivar en una interpretación desacertada. En cuanto a las comunicaciones comerciales por correo electrónico, indican las ventaja que podría suponer incluir ciertas modificaciones en estas comunicaciones para dar una mayor transparencia al envío y confianza a los destinatarios.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 116 de 165
Instituto Nacional de Tecnologías de la Comunicación
En el plano cuantitativo, el estudio ha contemplado un conjunto de mediciones, tanto a nivel internacional como incluyendo a España como sujeto activo y pasivo y su relación con el spam. La situación internacional viene marcada por una evolución creciente del volumen de spam, su tipología y los efectos negativos causados en los últimos años, con el resultado de que tres de cada cuatro correos que se envían a través de la Red son spam, aunque en los últimos meses se ha producido un movimiento de estabilización. El país que más spam emite es EE.UU., con un volumen del spam mundial (22,5%) muy superior al de Corea del Sur, que ocupa la segunda posición (6,5%). En el lado contrario, los países que más spam reciben son Israel y Hong Kong. Por otra parte, se añade su vinculación con otros ataques, como la propagación de códigos maliciosos (virus, troyanos) o servir debase al fraude online (phishing). Los efectos del spam en las comunidades de s de Internet son cada vez más importantes y su impacto es todavía más difícil de cuantificar. Analizando la situación de España, se extraen las siguientes conclusiones: − El volumen de correo no deseado con origen y destino en España ha aumentado significativamente en los últimos años. − El 84,6% de los mensajes de correo en circulación analizados por INTECO son identificados como spam. − En cuanto a la generación de spam, España se posiciona en el undécimo lugar a nivel mundial desde 2006, por detrás de Estados Unidos, China, Corea del Sur y Francia. Mientras en los tres primeros países se han reducido progresivamente los niveles de emisión, en España se ha doblado la cifra de generación de spam en menos de un año y continúa en aumento. − El correo no deseado recibido en España tiene como origen fundamentalmente tres zonas geográficas: EE.UU., Europa del Este y Asia, si bien la tendencia es creciente en cuanto a spam procedente de países latinoamericanos. Al mismo tiempo, a través de este informe se ha pulsado el estado de opinión del sector y de los s, esencialmente en empresas, con la finalidad de alinear futuras iniciativas privadas y públicas orientadas a frenar el avance de esta práctica ilícita. El fenómeno de spam subsistirá frente a cualquier sofisticada solución tecnológica mientras las prácticas de s y organizaciones no sean reconducidas hacia un uso adecuado de las tecnologías de la información y, en concreto, el empleo responsable del correo electrónico.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 117 de 165
Instituto Nacional de Tecnologías de la Comunicación
Siguiendo en esta línea, el informe ha señalado las opiniones de los expertos en cuanto a las actuaciones que conviene tener presentes en la protección global frente al spam. Así, se hace necesario insistir en los siguientes puntos: − La motivación hacia la formación de s y organizaciones prevalece como mejor herramienta para prevenir el ser víctima o involuntario actor de un posible ataque de spam. − La adecuada gestión de seguridad de los sistemas de información, en la que debe contemplarse el establecimiento de una política de seguridad que determine sin ambigüedades las responsabilidades, mecanismos, condiciones y clasificaciones necesarias para el , almacenamiento, transmisión y eliminación de la información manejada en las organizaciones. − El diseño y aplicación de políticas de uso del correo electrónico en toda la estructura de las organizaciones, así como en aquellas otras entidades públicas o privadas con las que se establecen relaciones istrativas o comerciales necesarias para el desarrollo de su actividad. − La aplicación de sencillas medidas preventivas ante hábitos inadecuados como el de la publicación directa de direcciones de correo electrónico en las páginas web corporativas o el empleo de servicios de correo vía web (web mail) sin políticas de uso bien diseñadas. − El establecimiento de protecciones proactivas (listas grises, marco de trabajo SPF, etcétera) en los servidores de correo, en combinación con salvaguardas reactivas en ellos y en los propios clientes de correo. Expertos en seguridad de la información concluyen con un conjunto de aspectos particulares que deberían sumarse a los anteriores en aras de conseguir soluciones globales y robustas al spam. En este sentido, destacan: − Impulso decidido hacia la calidad y efectividad en los sistemas, mediante certificaciones o evaluaciones de productos o servicios antispam. − Demanda de esfuerzo en la consolidación tecnológica, desarrollando herramientas y mecanismos más potentes que permitan mayor control, por ejemplo, en la emisión de correo desde ordenadores personales, sin olvidar la especial atención que requieren tendencias como la del correo electrónico móvil, irremisible a corto plazo. Si bien para las grandes empresas, multinacionales en algunos casos, suele existir un sistema de información centralizado que da servicio a las distintas delegaciones de la Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 118 de 165
Instituto Nacional de Tecnologías de la Comunicación
compañía y los servicios antispam son gestionados de manera interna y centralizada, algunos expertos apuntan a un nuevo e interesante nicho de mercado para empresas dedicadas a la seguridad de la información y comunicaciones. Ante el volumen de correo no deseado, pueden pasar de centrarse en productos de tipo reactivo ante el spam (software antispam en el lado del cliente) a otras medidas proactivas de protección que permitan rechazar los correos electrónicos no deseados en el servidor de correo mediante una estrategia basada en la externalización del servicio. De esta manera, dicho servicio es proporcionado por personal técnico cualificado y dedicado exclusivamente a la seguridad de correo. Esto tiene especial incidencia en pequeñas y medianas empresas, que de esta manera evitan la constante actualización de equipos o software de seguridad para el control del correo y optimizan el empleo de su personal para el objeto central de su negocio. Estas medidas se aplican cuando se constata un nivel adecuado de seguridad y calidad del servicio por parte de la empresa externa y bajo un acuerdo contractual que preserve la seguridad de los datos manejados. Hay que tener en cuenta que, más allá de los s particulares, son los empleados de las pequeñas y medianas empresas, sin una solución adecuada frente al spam, las que sufren este fenómeno en términos de productividad, pues invierten un tiempo nada despreciable en eliminar y filtrar el correo no deseado o recuperar falsos positivos. De otro lado, los responsables de empresas de marketing electrónico ponen el acento en la relevancia e impacto del spam en el desarrollo de su actividad empresarial. Dado que el ejercicio de su modelo de negocio requiere del envío lícito de correos masivos, este debe quedar bien diferenciado del spam, para poder llegar a sus clientes soslayando las medidas antispam establecidas por las estafetas de correo que les dan servicio. Los mecanismos antispam pueden afectar al envío de correos legítimos desde estas empresas, por lo que sus responsables han puesto en marcha estrategias para asegurar su actividad, contribuyendo activamente a la protección y reducción del impacto del correo no deseado. Los expertos señalan como fundamentales las siguientes líneas de actuación: − Establecer acuerdos con las grandes empresas que ofrecen servicios de correo electrónico y con proveedores de servicios de Internet para que permitan el envío de estos correos, basados en la elaboración de listas blancas. − Compromiso frente a las posibles quejas o reclamaciones de s, que son también víctimas y parte perjudicada en esta relación comercial y que como clientes esperan actitudes de solvencia y garantía de la empresa de marketing. − Esfuerzos en la divulgación de su modelo de negocio y de los aspectos legales que diferencian el correo propio del marketing electrónico del spam. En tanto que el Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 119 de 165
Instituto Nacional de Tecnologías de la Comunicación
marco jurídico español vela por el derecho de estas empresas a realizar su actividad comercial, las mismas trabajan por el refuerzo y cumplimiento de la legislación española en lo referido a sus intereses. Las conclusiones de los expertos consultados en el informe y procedentes de distintos sectores señalan la labor fundamental en la mitigación del spam que deben desarrollar las istraciones públicas: iniciativas de concienciación, formación, evaluación, protección, coordinación y organización de los diferentes agentes que se enfrentan a este problema.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 120 de 165
Instituto Nacional de Tecnologías de la Comunicación
ANEXO I: MARCO JURÍDICO DEL CORREO ELECTRÓNICO NO DESEADO (SPAM): NORMATIVA APLICABLE, INFRACCIONES, SANCIONES Y CASOS PRÁCTICOS I
Introducción
El correo electrónico no deseado (o spam) en la forma de comunicaciones comerciales a través de este medio es un instrumento de promoción empresarial y una actividad publicitaria en sí misma, que se ha convertido en una de los métodos de marketing más utilizados por las empresas. Pero el ejercicio abusivo y agresivo de dichas técnicas ha supuesto la reacción del legislador, promulgando una normativa específica para proteger a los consumidores y s. Junto con la regulación de su contenido, dirigida a hacer de ellas actividades veraces y transparentes, se procura que las comunicaciones comerciales enviadas a través de Internet sean totalmente identificables como tales y que se haga un uso lícito de los datos personales utilizados para preparar las promociones a través del correo electrónico. Las comunicaciones comerciales enviadas a través de la Red ofrecen innumerables ventajas, pero también ciertas incertidumbres jurídicas que precisan del establecimiento de un marco jurídico adecuado. Diariamente estas prácticas de difusión comercial masiva son poco respetuosas con el derecho a la intimidad y a la privacidad de las personas; en particular, las intromisiones no deseadas y la difusión de datos personales con finalidad comercial, fuente de gran parte de las ofertas y publicidad no deseada. Estas prácticas suelen ir acompañadas con relativa frecuencia de una violación de la normativa vigente en materia de protección de datos, ya que para formar una base con direcciones de e-mail no cuentan con el consentimiento de los titulares de dichos datos. En cualquier caso, es necesario recordar que este tipo de publicidad no puede suponer en modo alguno un menoscabo de los derechos y legítimos intereses de sus destinatarios, al igual que ocurre con el resto de formas de publicidad que se realizan a través de otros medios. Por todo ello, en el presente informe se intenta plasmar el régimen jurídico de las comunicaciones comerciales vía electrónica en su conjunto, desde su definición y normativa aplicable, pasando por los requisitos que los empresarios deben cumplir para enviar comunicaciones que no hayan sido solicitadas por los destinatarios de las mismas, hasta el sistema de responsabilidad correspondiente a las infracciones cometidas y daños ocasionados en la materia y desde un punto de vista amplio, ya que no se estudiará sólo la legislación española sino el origen de la misma, que se encuentra en el ámbito comunitario Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 121 de 165
Instituto Nacional de Tecnologías de la Comunicación
(la protección de los consumidores es uno de los principios básicos de la Unión Europea, recogido como política autónoma en el artículo 153 del Tratado de la Comunidad Europea). I.1
Objeto
El presente anexo es un complemento al Estudio sobre la situación, naturaleza e impacto económico del spam para ciudadanos y empresas en lo que al marco legal se refiere. Hasta el momento son pocas las referencias especializadas en esta materia, aun cuando su importancia en la mitigación de los efectos de las comunicaciones electrónicas no deseadas y el fenómeno del spam es muy significativa. Las peculiaridades de la concreción en la terminología y definiciones empleadas por la normativa, la garantía de los derechos y obligaciones de los destinatarios y entidades emisoras de correo masivo, la protección de datos personales involucrada, así como el régimen sancionador aplicable son detalladas en los próximos epígrafes. Se completa este anexo con casos de estudio sobre sentencias recientes en el panorama nacional, que arrojan datos prácticos sobre la aplicación de la ley y reflejan las bondades y carencias del régimen jurídico en España frente a la problemática económico-social asociada al spam. I.2
Consideraciones previas sobre el correo electrónico no deseado (spam)
Se puede afirmar que el spam es una adaptación a la nueva Sociedad de la Información de la tradicional propaganda enviada por correo postal, debido a las similares molestias que ambos presentan. En cuanto al concepto de spam, en la actualidad no existe ni en la doctrina ni en el Derecho comparado unanimidad a la hora de determinarlo, entendiéndose, en términos generales, como todo aquel e-mail no solicitado que llega a los buzones de correo electrónico, independientemente del tema que trate. A modo de ejemplo, se debe señalar que en ocasiones se define spam como aquellos correos electrónicos comerciales no solicitados y masivos no solicitados procedentes de una misma persona. Incluso intentando concretar la definición de spam, lo que resulta común en ambos casos es que se trata de correos electrónicos no solicitados, pero dicha condición, aun siendo necesaria, no es requisito suficiente para considerarlo como tal, pues el rasgo que lo cualifica es su carácter comercial o la cantidad enviada. En el ordenamiento jurídico español los correos electrónicos no deseados de contenido no comercial no han tenido un tratamiento legal, ya que la legislación española se ha centrado única y exclusivamente en la regulación del que se podría denominar spam comercial, correos electrónicos comerciales no deseados o comunicaciones comerciales no solicitadas. Precisamente sobre este último término gira la regulación española, tal y como se verá más adelante.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 122 de 165
Instituto Nacional de Tecnologías de la Comunicación
Por todo ello, se llega a la conclusión que no se puede confundir el término genérico de spam con la prospección comercial no solicitada de las empresas, que no siempre es spam, ya que está permitido enviar comunicaciones comerciales no solicitadas cuando se cumple la normativa vigente. En consecuencia, se realiza un exhaustivo estudio, únicamente, de las comunicaciones comerciales no solicitadas. II
Marco jurídico aplicable al fenómeno del spam en España
II.1
Definición de las comunicaciones comerciales vía electrónica
A pesar de que las comunicaciones comerciales podrían ser entendidas como todo aquel mensaje publicitario destinado a impulsar una actividad comercial a través de cualquier medio de comunicación, se debe atender estrictamente a su definición legal que se recogió, por primera vez, en la letra f) del artículo 2 de la Directiva 2000/31/CE del Parlamento Europeo y del Consejo, de 8 de junio de 2000, relativa a determinados aspectos jurídicos de los servicios de la Sociedad de la Información, en particular del comercio electrónico en el mercado, más conocida como Directiva sobre Comercio Electrónico (en adelante DCE). En dicho apartado se pueden diferenciar claramente dos partes. Por un lado, señala que se entiende por comunicación comercial “todas las formas de comunicación destinada a proporcionar directa o indirectamente bienes, servicios o la imagen de una empresa, organización o persona con una actividad comercial, industrial, artesanal o profesiones reguladas”. Por otro lado, completa la citada definición con aquellas actividades que no se consideran como tales; en concreto, no se consideran comunicaciones comerciales ni los datos que permitan acceder directamente a la actividad de la empresa, organización o persona y, en particular, el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, servicios o a la imagen de la empresa, organización o persona elaboradas de forma independiente a ella, en particular cuando se realicen sin contrapartida económica. En el ordenamiento jurídico español, la Ley 34/2002 de Servicios de la Sociedad de la Información y Comercio Electrónico, de 11 de julio, denominada Ley de Comercio Electrónico o LSSICE, que traspone la mencionada Directiva, recoge en el párrafo f) del Anexo el concepto de comunicación comercial en el mismo sentido al indicado anteriormente. El legislador español define las comunicaciones comerciales como “toda forma de comunicación dirigida a la promoción directa o indirecta, de la imagen o de los bienes o servicios de una empresa, organización o persona que realice una actividad comercial, industrial, artesanal o profesional”, excluyendo de tal definición “los datos que permiten Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 123 de 165
Instituto Nacional de Tecnologías de la Comunicación
acceder directamente a la actividad de una persona, empresa u organización, tales como el nombre de dominio o la dirección de correo electrónico, ni las comunicaciones relativas a los bienes, los servicios o la imagen que se ofrezcan cuando sean elaboradas por un tercero y sin contraprestación económica”. Por tanto, se excluyen del concepto de comunicaciones comerciales las actividades desarrolladas por terceros sin encargo del titular de los bienes o servicios y sin remuneración, los enlaces a páginas web de contenido publicitario o la indicación de direcciones de correo electrónico. Aunque no se mencionan explícitamente, quedarían excluidas del concepto de comunicaciones comerciales todas aquellas menciones que gozan de carácter informativo, ausentes de toda finalidad comercial o empresarial como la propaganda institucional, política y religiosa. En consecuencia, tanto la Directiva como la LSSICE, al hacer referencia a la expresión "toda forma de comunicación", abogan por un concepto muy amplio de comunicación comercial en el que se incluyen todas las comunicaciones comerciales emitidas online, salvo las excepciones analizadas, independientemente de la forma y el formato que los mensajes reciban (gráfico, audio, audiovisual). II.2
Normativa aplicable
Las comunicaciones comerciales vía electrónica no sólo se regirán por la LSSICE, sino que se aplicarán otras normas, tal y como lo establece el artículo 19 LSSICE, que especifica leyes aplicables a las mismas: la propia LSSICE, su normativa y la vigente en materia comercial y de publicidad, así como la normativa de protección de datos. Por tanto, cuando se envíen comunicaciones comerciales será de aplicación la Ley 34/1988, de 11 de noviembre, General de Publicidad (en adelante, LGP), que delimitará la ilicitud de las actividades publicitarias, el artículo 20 LSSICE y, supletoriamente, el Título II de la Ley 7/1996, de 15 de enero, de Ordenación del Comercio Minorista (LOCM) en lo referente a la modalidad y contenido de las comunicaciones como actividad de promoción o marketing; la Ley 26/1984, de 19 de julio, General de Defensa de los Consumidores y s (en adelante, LGDCU), y la Ley Orgánica de Protección de Datos (LOPD) en lo que concierne al tratamiento de datos personales. II.3
Sujetos protegidos
El envío de comunicaciones comerciales es un servicio de la Sociedad de la Información cuyos destinatarios son personas físicas o jurídicas. La LSSICE ampara tanto a las personas físicas como a las personas jurídicas destinatarias del servicio frente al envío de comunicaciones comerciales no solicitadas.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 124 de 165
Instituto Nacional de Tecnologías de la Comunicación
II.4
Las comunicaciones comerciales no solicitadas
Como ya se expresa en la introducción de este informe, uno de los motivos esenciales en el estudio de la situación actual del envío de comunicaciones comerciales vía electrónica es el problema que supone la recepción de correos electrónicos no solicitados. Por tanto, al suponer en principio una actividad molesta para sus destinatarios, el legislador español ha establecido unos requisitos, que se procede a analizar, para poder enviar comunicaciones comerciales no solicitadas válidamente. II.4.1
La regulación en el derecho español
El párrafo primero del artículo 13 de la Directiva 2002/58/CE, de 12 de julio de 2002, relativa al tratamiento de los datos personales y a la protección de la intimidad en el sector de las comunicaciones electrónicas, establece que sólo se podrá autorizar la utilización de sistemas de correo electrónico con fines de venta directa respecto de aquellos abonados que hayan dado su consentimiento previo, es decir, se llegó a la postura más beneficiosa para el destinatario estableciendo el sistema conocido como opt-in. La elección de dicha modalidad por el legislador comunitario, e intrínsecamente por el español, es importante, ya que supone apartarse del sistema americano que prohíbe el envío de mensajes por correo electrónico cuando el destinatario haya manifestado previamente su oposición a ello, es decir, el denominado sistema opt-out. Continuando con la regulación en nuestro ordenamiento jurídico, el artículo 21 LSSICE establece que queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. En primer lugar, se deberá saber cuándo se deben cumplir los mismos, es decir, a través de qué medios de comunicación queda prohibido el envío de comunicaciones publicitarias o promocionales. De la lectura del artículo se deducen dos medios a través de los cuales quedará prohibido el envío de comunicaciones comerciales no solicitadas en el supuesto de que no se cumpla cada uno de los requisitos señalados en la normativa: a) El correo electrónico. b) comunicación electrónica equivalente.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 125 de 165
Instituto Nacional de Tecnologías de la Comunicación
Así, el correo electrónico, que se presenta como uno de los medios de comunicación señalados por la ley para remitir comunicaciones comerciales no solicitadas, resulta de especial interés a los efectos del presente informe. El ordenamiento jurídico español no contiene ninguna definición de correo electrónico, puesto que la LSSICE no la recogió dentro de su amplio anexo de definiciones. Por tanto, se debe acudir al artículo 2 h) de la Directiva 2002/58/CE, donde se define como “todo mensaje de texto, voz, sonido o imagen enviado a través de una red de comunicaciones pública que pueda almacenarse en la red o en el equipo terminal del receptor hasta que éste acceda al mismo”. En cuanto al segundo aspecto, se incluye en la expresión “comunicación electrónica equivalente” el envío de mensajes mediante telefonía móvil, y se excluyen los servicios de telefonía vocal, fax o télex. II.4.2
El consentimiento en el envío de comunicaciones comerciales no solicitadas
El artículo 21.1 LSSICE establece la prohibición de enviar comunicaciones comerciales publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas. Por tanto, el ordenamiento español obliga a las empresas a que las comunicaciones electrónicas hayan sido previamente solicitadas por los destinatarios de las mismas o a solicitar el consentimiento expreso de los destinatarios de los mensajes. En consecuencia, en cuanto al primer supuesto de que las comunicaciones hayan sido solicitadas no se plantea ningún problema, a diferencia de lo que ocurre con el segundo supuesto, que se procede a analizar. El consentimiento expreso Es precisamente en la obtención del consentimiento donde se encuentran los principales problemas para el envío de comunicaciones comerciales, debido a que en la práctica las empresas no suelen solicitar el consentimiento expreso, sino que ofrecen simplemente la posibilidad de darse de baja del servicio enviando un mensaje de correo electrónico o accediendo a determinados enlaces. Esto, obviamente, no supone dar autorización expresa para recibir comunicaciones comerciales no solicitadas, sino un consentimiento tácito. Para obtener el consentimiento de los destinatarios de las comunicaciones comerciales, las empresas utilizan distintos métodos, entre los que se pueden destacar:
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 126 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Las casillas marcadas previamente.
•
Las llamadas casillas seleccionables.
•
La doble manifestación del destinatario de las comunicaciones comerciales confirmando su inscripción mediante el envío de un mensaje automático a su buzón.
En conclusión, la exigencia del consentimiento expreso que establece la LSSICE aumenta de modo muy importante las restricciones para el remitente de la comunicación comercial y las garantías para el destinatario, además de introducir un plus de exigencia respecto de la LOPD, que únicamente exige un consentimiento inequívoco, puesto que la LSSICE no permite itir el consentimiento tácito e implícito en el envío de comunicaciones comerciales no solicitadas. En la práctica, las empresas remitentes de comunicaciones comerciales no solicitadas ya no pueden enviar correos electrónicos que ofrezcan al destinatario la posibilidad de no recibir más promociones no solicitadas, como ocurría hasta la entrada en vigor de la LSSICE. El consentimiento incluido dentro de un proceso contractual En la mayoría de ocasiones los destinatarios de las comunicaciones comerciales son los clientes de las empresas remitentes, y en este supuesto se excluye el requisito del consentimiento expreso, tal y como establece el párrafo segundo del artículo 21 LSSICE, que afirma que no será de aplicación el requisito del consentimiento expreso cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de o del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En primer lugar, para poder el empresario eximirse del requisito de la obtención del consentimiento cuando pretende enviar comunicaciones comerciales no solicitadas es necesario que haya existido entre éste y el futuro destinatario una “relación contractual previa”, es decir, tuvo que haber existido o una venta concluida o negociaciones previas con un cliente para cualquier contrato y en cualquier momento, puesto que la ley no especifica nada más. Por tanto, por el mero hecho de haber comprado en un determinado comercio cierto tiempo atrás, una persona puede recibir sin ser previamente avisado correos electrónicos no solicitados sobre otros productos de la firma. Además, señala dicho artículo que, en todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 127 de 165
Instituto Nacional de Tecnologías de la Comunicación
mediante un procedimiento sencillo y gratuito, tanto en el momento de la recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. II.4.3
Otros requisitos de licitud de las comunicaciones comerciales
Las comunicaciones comerciales por vía electrónica que se realicen por correo electrónico u otro medio de comunicación electrónica, además de haber sido expresamente autorizadas, deben reunir los siguientes requisitos que recoge el artículo 20 LSSICE: Las comunicaciones comerciales deberán ser claramente identificables como tales El artículo 6 DCE no incluye ninguna palabra o frase modelo, común para todos los estados y que haga más uniforme la identificación por los receptores de las comunicaciones comerciales, sino que exige, de forma general, que las comunicaciones comerciales como mínimo sean claramente identificables como tales, a diferencia de lo que ocurre en la legislación estadounidense, en la cual se utiliza la expresión “spam” como fórmula más utilizada para especificar el contenido del mensaje. En cambio, el legislador español, después de señalar el citado requisito, afirma a continuación que en el supuesto en el que las comunicaciones comerciales se realicen a través de correo electrónico o medios equivalentes se deberá incluir al comienzo del mensaje la palabra “publicidad”, o la abreviatura “publi” si se modifica el citado artículo 20 LSSICE a través de la promulgación del actual Proyecto de Ley de Medidas de Impulso de la Sociedad de la Información. Por tanto, cuando se envíen correos electrónicos comerciales no deseados se deberá identificar el mismo con la palabra “publicidad” al comienzo del mensaje, pero el legislador no señala exactamente qué debe entenderse con la expresión “al comienzo”, sino que lo contempla como un lugar general, a diferencia de multitud de estados norteamericanos que exigen que conste una palabra o unas siglas al principio del encabezamiento del mensaje. Las comunicaciones comerciales deberán indicar la persona física o jurídica en nombre de la cual se realizan los envíos El objeto del legislador ha sido que el destinatario de las comunicaciones comerciales conozca su origen. No obstante, hay que tener en cuenta que el legislador señala como persona a incluir en la comunicación comercial no solicitada la persona en nombre de quien se realiza el envío, que obviamente no tiene por qué coincidir con quien envía de hecho el mensaje. En el ámbito de la publicidad, en la mayoría de las ocasiones, no coincidirá porque la empresa
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 128 de 165
Instituto Nacional de Tecnologías de la Comunicación
que realiza el envío efectivo de las comunicaciones comerciales es una organización contratada para ello. Por tanto, esta redacción obligará a las empresas a asegurarse de con quién contrata los servicios de distribución de su publicidad, puesto que un mal uso de este servicio puede suponer sanciones por incumplimiento de la ley para la empresa anunciante y un deterioro de su imagen. En el supuesto de que las comunicaciones comerciales sean ofertas promocionales, como las que incluyan descuentos, premios y regalos, y de concursos o juegos promocionales se exige que se identifiquen claramente como tales y que las condiciones de o participación se expresen de forma clara e inequívoca Respecto a la expresión “condiciones de ”, deberá entenderse la necesaria fijación de la duración de la oferta y, en su caso, las reglas especiales aplicables a la misma. En definitiva, se persigue garantizar que el anuncio de una promoción contenga un contenido realmente ventajoso al que se pueda acceder con facilidad. No obstante, hay que tener en cuenta que se está tramitando en el seno de la Unión Europea un reglamento relativo a las promociones de ventas en el mercado interior, concretamente la Propuesta COM/2001/0546 modificada por la Propuesta COM (2002) 585. La aprobación, no a muy largo plazo, de esta propuesta de reglamento supondrá, además de la unificación de esta materia en el Derecho europeo (campo donde existen notables diferencias), la introducción de considerables modificaciones. Revocación del consentimiento Además de cumplir los requisitos anteriores cuando envíen comunicaciones comerciales no solicitadas, las empresas deben ofrecer la posibilidad al destinatario de las mismas, que consintió en su día el envío de mensajes de naturaleza publicitaria, de revocar la autorización en cualquier momento con la mera notificación de su voluntad al remitente, mediante la habilitación de un procedimiento sencillo y gratuito. II.5
Infracciones y sanciones en el ámbito de las comunicaciones comerciales no solicitadas
La protección que se dispensa y que se ha analizado sería inútil si, a la vez, no se estableciera un régimen disciplinario que garantice el cumplimiento de la legislación. Concretamente, el artículo 37 LSSICE establece que los prestadores de servicios de la Sociedad de la Información, cuando les sea de aplicación la citada ley, estarán sujetos al régimen sancionador de la misma.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 129 de 165
Instituto Nacional de Tecnologías de la Comunicación
Las infracciones, recogidas en el artículo 38 LSSICE, se calificarán como muy graves, graves y leves. En relación a la materia del presente informe pueden ser cometidas las siguientes: Son infracciones graves: 1. El envío masivo de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente o el envío, en el plazo de un año, de más de tres comunicaciones comerciales por los medios aludidos a un mismo destinatario, cuando en dichos envíos no se cumplan los requisitos anteriormente mencionados. Por tanto, dicho precepto considera dos supuestos como infracciones graves: •
El envío de más de tres comunicaciones comerciales en el plazo de un año.
•
El envío masivo de comunicaciones comerciales.
En cuanto al primer supuesto, es muy importante la cantidad de comunicaciones comerciales enviadas, puesto que si sólo se puede demostrar el envío de tres comunicaciones comerciales, la infracción sería calificada como leve y la multa difiere notoriamente de las infracciones graves, sin olvidar, además, que estas pueden llevar aparejado el establecimiento de medidas provisionales. Respecto al segundo supuesto, a pesar de que no se recoge su significado, puede entenderse de una forma deductiva que el concepto de “envío masivo de mensajes” no incluye el supuesto de que se envíen muchos mensajes a un solo destinatario, en cuyo caso se estaría en la infracción anterior, sino los casos en que se envía un solo mensaje a muchos destinatarios. El problema es que no se determina si dicho envío masivo se produce cuando se envían muchos correos electrónicos a la vez o cuando se envía de manera habitual mensajes prohibidos. 2. El incumplimiento significativo de la obligación del prestador de servicios establecida en el apartado 1 del artículo 22, en relación con los procedimientos para revocar el consentimiento prestado por los destinatarios. 3. El incumplimiento significativo de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 130 de 165
Instituto Nacional de Tecnologías de la Comunicación
Son infracciones leves: 1. El incumplimiento de lo previsto en el artículo 20 para las comunicaciones comerciales, ofertas promocionales y concursos. 2. El envío de comunicaciones comerciales por correo electrónico u otro medio de comunicación electrónica equivalente cuando en dichos envíos no se cumplan los requisitos establecidos en el artículo 21 y no constituya infracción grave. 3. El incumplimiento de las obligaciones de información o de establecimiento de un procedimiento de rechazo del tratamiento de datos, establecidas en el apartado 2 del artículo 22, cuando no constituya una infracción grave. 4. El incumplimiento de la obligación del prestador de servicios establecida en el apartado 1 del artículo 22, en relación con los procedimientos para revocar el consentimiento prestado por los destinatarios cuando no constituya infracción grave. Las infracciones graves prescribirán a los dos años y las leves, a los seis meses, de conformidad con el artículo 45 LSSICE. Respecto a las sanciones: La comisión de las infracciones que se acaban de analizar llevarán aparejadas las siguientes sanciones, tal y como establece el párrafo primero del artículo 39 de la LSSICE: 5. Por la comisión de infracciones graves, multa de 30.001 a 150.000 euros. 6. Por la comisión de infracciones leves, multa de hasta 30.000 euros. El plazo de prescripción de las mismas es de dos años por faltas graves y uno por faltas leves. Como se puede observar, el intervalo de la cuantía de las sanciones es bastante amplio; por dicho motivo, el artículo 40 LSSICE establece los siguientes criterios: 7. La existencia de intencionalidad. 8. El plazo de tiempo durante el que se haya venido cometiendo la infracción. 9. La reincidencia por comisión de infracciones de la misma naturaleza, cuando así haya sido declarado por resolución firme. 10. La naturaleza y cuantía de los perjuicios causados. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 131 de 165
Instituto Nacional de Tecnologías de la Comunicación
11. El volumen de facturación a que afecte la infracción cometida. Además de las sanciones señaladas, las infracciones graves y muy graves podrán llevar aparejada la publicación, a costa del sancionado, de la resolución sancionadora en el Boletín Oficial del Estado, en el diario oficial de la istración Pública que, en su caso, hubiera impuesto la sanción, en dos periódicos cuyo ámbito de difusión coincida con el de la actuación de la citada istración o en la página de inicio del sitio de Internet del prestador, una vez que aquella tenga carácter firme. El órgano competente para imponer las sanciones señaladas será, de conformidad con el artículo 43 LSSICE, el Ministro de Ciencia y Tecnología, en la actualidad correspondería al Ministro de Industria, Turismo y Comercio, en el caso de infracciones muy graves, y el Secretario de Estado de Telecomunicaciones y para la Sociedad de la Información en el supuesto de infracciones graves y leves. No obstante, la imposición de sanciones por incumplimiento de las resoluciones dictadas por los órganos competentes en función de la materia o entidad de que se trate a que se refieren los párrafos a) y b) del artículo 38.2 de esta ley corresponderá al órgano que dictó la resolución incumplida. Igualmente, corresponderá a la Agencia Española de Protección de Datos la imposición de sanciones por la comisión de las infracciones tipificadas en los artículos 38.3 c), d) e i) y 38.4 d), g) y h) de esta Ley. Tampoco se puede obviar el hecho de que en los procedimientos sancionadores por infracciones graves o muy graves se podrán adoptar, con arreglo a la Ley 30/1992, de 26 de noviembre, de Régimen Jurídico de las istraciones Públicas y del Procedimiento istrativo Común y sus normas de desarrollo, las medidas de carácter provisional previstas en dichas normas que se estimen necesarias para asegurar la eficacia de la resolución que definitivamente se dicte, el buen fin del procedimiento, evitar el mantenimiento de los efectos de la infracción y las exigencias de los intereses generales, de conformidad con el artículo 41 de la LSSICE. En particular, podrán acordarse las siguientes: 12. Suspensión temporal de la actividad del prestador de servicios y, en su caso, cierre provisional de sus establecimientos. 13. Precinto, depósito o incautación de registros, soportes y archivos informáticos y de documentos en general, así como de aparatos y equipos informáticos de todo tipo. 14. Advertir al público de la existencia de posibles conductas infractoras y de la incoación del expediente sancionador de que se trate, así como de las medidas adoptadas para el cese de dichas conductas.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 132 de 165
Instituto Nacional de Tecnologías de la Comunicación
15. Como siempre, se respetará, en todo caso, el principio de proporcionalidad de la medida a adoptar con los objetivos que se pretendan alcanzar en cada supuesto. En el supuesto que no se cumplan las medidas provisionales, el órgano istrativo competente para resolver el procedimiento sancionador podrá imponer multas coercitivas por importe que no exceda de 6.000 euros por cada día que transcurra sin cumplir las medidas provisionales que hubieran sido acordadas, en virtud del artículo 42 de la LSSICE. Por último, debe señalarse que estas obligaciones que garantizan la licitud de las comunicaciones comerciales no solicitadas remitidas por vía electrónica van a ser exigibles tanto a los prestadores de los servicios de la Sociedad de la Información emplazados en España, como a aquellos que se encuentren establecidos en un país miembro de la Unión Europea o del Espacio Económico Europeo cuando el destinatario de los servicios radique en España. II.6
Responsabilidad de los intermediarios
Como se ha afirmado anteriormente, el uso de Internet puede causar daños y perjuicios a terceros que se han de reparar. La cuestión estriba en determinar qué responsabilidad tendrán los prestadores de servicios de intermediación, ya que para poder alojar, almacenar o transmitir los contenidos ilícitos en la Red es necesaria la intervención técnica de los mismos. En el ámbito comunitario se adoptó el citado sistema de responsabilidad de los prestadores del servicio en la DCE, donde se reconocen una serie de supuestos específicos de exención de responsabilidad que se aplicarán cuando se cumplan los requisitos señalados para cada una de ellas; en el supuesto de que no se cumplan, entrará en juego nuestro sistema general de responsabilidad. II.7
La exención de responsabilidad civil por contenidos ajenos en Internet
Las exenciones de responsabilidad establecidas tanto en la DCE como en la LSSICE sólo se aplican a aquellos casos en que la actividad del prestador de servicios de la Sociedad de la Información se limita al proceso técnico de explotar y facilitar el a una red de comunicación mediante la cual la información facilitada por terceros es transmitida o almacenada temporalmente, con el fin de hacer que la transmisión sea más eficiente. Por tanto, el hecho de que los contenidos que un prestador del servicio transmite o almacena hayan sido proporcionados por terceros, esto es, que sean contenidos ajenos al prestador de servicios de intermediación, resulta esencial desde el punto de vista de la exención de responsabilidad, ya que en el supuesto que sea el propio prestador de Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 133 de 165
Instituto Nacional de Tecnologías de la Comunicación
servicios el que coloca en la Red o transmite contenidos propios, las exenciones de responsabilidad no podrían aplicarse, y se acudiría a las reglas generales de responsabilidad civil, penal y istrativa establecidas en el ordenamiento jurídico español. Las exenciones que se establecen se pueden agrupar en las siguientes categorías: •
Los servicios de mera transmisión de datos y de provisión de a Internet.
•
La prestación del servicio de hosting o almacenamiento de datos.
•
El caching o servicio de realización y almacenamiento de copias.
Como se observa, se reconocen las exenciones conforme a la naturaleza de la actividad realizada y no respecto a la condición del sujeto. Puede ocurrir que el prestador del servicio no cumpla cada uno de los requisitos que se verán más delante de cada una de estas exenciones y, por tanto, no se le puedan aplicar; ello no determina que se le atribuya responsabilidad, puesto que se procedería a analizar si en la actuación del prestador del servicio concurren los elementos exigidos por nuestro régimen general de responsabilidad. II.7.1
Los servicios de mera transmisión de datos y de provisión de a Internet
El primer supuesto de exención se recoge en el párrafo primero del artículo 12 DCE, de donde se deduce que el prestador del servicio no podrá ser considerado responsable de los datos transmitidos cuando haya cumplido con los siguientes requisitos: 16. No haber originado él mismo la transmisión, es decir, cuando el prestador no haya creado el contenido ni tampoco haya sido quien haya tomado la iniciativa de realizar la transmisión concreta, convirtiéndose en un simple ejecutor de la orden de envío de las comunicaciones comerciales, frecuentemente dada por el titular o anunciante de los bienes y servicios publicitados en la comunicación comercial. 17. No haber seleccionado al destinatario de la transmisión, ya que si los prestadores eligen a los destinatarios de la transmisión ya no sería una simple actividad de intermediación, pasiva y automática, sino una acción activa y de control sobre uno de los elementos de la transmisión: los destinatarios. 18. No haber seleccionado ni modificado los datos transmitidos.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 134 de 165
Instituto Nacional de Tecnologías de la Comunicación
Esta exención de responsabilidad se establece en términos sustancialmente idénticos en el artículo 14 LSSICE. No obstante, en este último punto el citado precepto añade la especificación de que no se entiende por “modificar la información”, “la manipulación estrictamente técnica de los archivos que alberguen los datos que tiene lugar durante su transmisión". Para que el prestador de servicios pueda disfrutar de la exención debe cumplir los tres requisitos citados. En la medida en que no concurra alguno de ellos no se podrá aplicar la exención. Por último, es necesario señalar la posibilidad de que un tribunal o una autoridad exijan al prestador de servicios que suspenda la transmisión de contenidos ilícitos, de conformidad con el párrafo tercero del artículo 12 DCE. Si se produjera el supuesto señalado y se solicitara al prestador la finalización de su actuación, el cumplimiento de dicha orden no se establece en el texto comunitario como requisito para gozar de la exención y, por tanto, el incumplimiento de la misma no implicará la pérdida de la exención si se dan las condiciones establecidas. En nuestro ordenamiento jurídico, en el párrafo primero del artículo 11 LSSICE se contempla expresamente la posibilidad de que se pueda ordenar a los prestadores de estos servicios “que suspendan la transmisión, el alojamiento de datos, el a las redes de telecomunicaciones o la prestación de cualquier otro servicio equivalente de intermediación que realizaran”, y, de modo general, para todos los servicios de intermediación “cuando un órgano competente por razón de la materia, en el ejercicio de las funciones que legalmente tenga atribuidas, hubiera decretado la interrupción de la prestación de un servicio de la Sociedad de la Información o la retirada de determinados contenidos provenientes de prestadores establecidos en España, y para ello fuera necesaria la colaboración de los prestadores de servicios de intermediación”. II.7.2
La prestación del servicio de hosting
Se entiende por hosting, de conformidad con el artículo 14 DCE, el servicio de la Sociedad de la Información consistente en “almacenar datos facilitados por el destinatario del servicio”. Las condiciones que se deben cumplir para disfrutar de la exención de responsabilidad en la prestación del servicio de alojamiento son las siguientes: 19. Falta de conocimiento efectivo de la ilicitud de la actividad o de la información que se alberga, con carácter general para cualquier tipo de responsabilidad, tanto civil como penal.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 135 de 165
Instituto Nacional de Tecnologías de la Comunicación
La Directiva no especifica qué deberá entenderse por "conocimiento efectivo", pero se evidencia que no basta conocer efectivamente la existencia de una actividad o de unos datos, sino que es necesario conocer la calificación jurídica de ilícitos de los mismos. 20. Actuar con prontitud para retirar los datos o para hacer que el a los mismos sea imposible después de que el prestador adquiere un conocimiento efectivo de la ilicitud, y en el caso de una acción de daños y perjuicios desde el momento en que conoció hechos o circunstancias reveladores de la ilicitud. El artículo 16 LSSICE recoge la citada exención de responsabilidad para los servicios de alojamiento en términos muy similares a los empleados por la Directiva, pero distingue entre el conocimiento efectivo de que la actividad o la información almacenada sea ilícita o de que lesione bienes o derechos de un tercero susceptibles de indemnización. No obstante, el citado artículo trata de concretar el significado de esa exigencia de “conocimiento efectivo” señalando que “sin perjuicio de los procedimientos de detección y retirada de contenidos que los prestadores apliquen en virtud de acuerdos voluntarios y de otros medios de conocimiento efectivo que pudieran establecerse”, se entenderá que el prestador de servicios tiene conocimiento efectivo de que la actividad o la información almacenada es ilícita o de que lesiona bienes o derechos de un tercero susceptibles de indemnización “cuando un órgano competente haya declarado la ilicitud de los datos, ordenado su retirada o que se imposibilite el a los mismos, o se hubiera declarado la existencia de la lesión y el prestador conociera la correspondiente resolución”. Por tanto, se deduce del precepto que existen otros dos supuestos que pueden dar lugar, en su caso, a un resultado equivalente: •
“Los procedimientos de detección y retirada de contenidos que los prestadores apliquen en virtud de acuerdos voluntarios”, es decir, procedimientos de detección y retirada que hayan sido pactados con entidades de gestión de derechos de propiedad intelectual, donde el prestador se obligaría a retirar el material de que se trate una vez cumplidos los requisitos de procedimiento consensuados.
•
“Otros medios de conocimiento efectivo que pudieran establecerse”, como, por ejemplo, códigos de conducta a los que se haya adherido el prestador y que deberán ser aceptados por quien proporciona contenidos, en la medida en que este deberá permitir al prestador la libre retirada de la información cuando, de conformidad con lo establecido en el código de conducta, resulte pertinente.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 136 de 165
Instituto Nacional de Tecnologías de la Comunicación
No obstante, se entiende que el citado listado sirve de ejemplo y, en todo caso, el órgano judicial competente deberá apreciar si el prestador tuvo o no conocimiento efectivo de la ilicitud de la información por cualquier medio de prueba itido en Derecho. Teniendo en cuenta que para que sea aplicable la exención por el servicio de alojamiento se requiere que los contenidos sean ajenos, el artículo 14.2 DCE y el 16.2 LSSICE establecen que cuando el destinatario del servicio actúa bajo la autoridad o el control del prestador de servicios, la exención de responsabilidad no le será de aplicación, ya que en este supuesto el prestador del servicio no actúa como un mero intermediario. Por último, de acuerdo con el artículo 14.3 DCE, la exención en el servicio de alojamiento de datos no afectará a la "posibilidad de que un tribunal o una autoridad istrativa, de conformidad con los sistemas jurídicos de los Estados , exijan al prestador de servicios poner fin a una infracción o impedirla, ni a la posibilidad de que los Estados establezcan procedimientos por los que se rija la retirada de datos o impida el a ellos". Si la orden consiste en que se retire determinada información o se bloquee el a la misma, su incumplimiento equivale a no cumplir con uno de los requisitos expresamente previstos para el otorgamiento de la exención: el de actuar "con prontitud para retirar los datos” o “hacer que el a ellos sea imposible" y, en consecuencia, no se aplica la exención de responsabilidad. II.7.3
La exención de responsabilidad por caching de datos
El denominado caching se regula en el artículo 13 DCE y el artículo 15 LSSICE, donde se exige a los Estados que “cuando se preste un servicio de la Sociedad de la Información consistente en transmitir por una red de comunicaciones datos facilitados por el destinatario del servicio, el prestador del servicio no pueda ser considerado responsable del almacenamiento automático, provisional y temporal de esta información, realizado con la única finalidad de hacer más eficaz la transmisión ulterior de la información a otros destinatarios del servicio, a petición de éstos”, siempre que no modifique la información y cumpla con los siguientes requisitos: •
Cumplir las condiciones de a la información a nivel comunitario y las condiciones impuestas a tal fin, por el destinatario cuya información se solicita a nivel nacional; es decir, el prestador del servicio que tiene una copia caché de un determinado sitio web debe exigir a los s que le soliciten visitarlo las mismas condiciones que impone la web original.
•
Cumplir las normas relativas a la actualización de la información, con el objetivo de evitar que las copias en memoria caché queden obsoletas y muestren una
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 137 de 165
Instituto Nacional de Tecnologías de la Comunicación
información distinta de la que se ofrece en el sitio original que pueda producir daños y perjuicios. •
No interferir en la utilización lícita de tecnología ampliamente reconocida y utilizada por el sector con el fin de obtener datos sobre la utilización de la información en los ámbitos comunitario y estatal, para lo cual se precisa que el prestador no interfiera “en la utilización lícita de tecnología generalmente aceptada y empleada por el sector, con el fin de obtener datos sobre la utilización de la información”.
•
Actuar “con prontitud para retirar la información que haya almacenado, o hacer que el a ella sea imposible, en cuanto tenga conocimiento efectivo del hecho de que la información ha sido retirada del lugar de la red en el que se encontraba inicialmente, de que se ha imposibilitado el a dicha información o de que un tribunal o una autoridad istrativa ha ordenado retirarla o impedir que se acceda a ella”.
Por tanto, no basta con que la actividad coincida con la descrita en el supuesto de hecho, sino que el beneficio de la exención dependerá de que el prestador haya cubierto además los siguientes mínimos de diligencia que la propia Directiva determina. II.8
Las obligaciones de supervisión y comunicación
De acuerdo con el párrafo primero del artículo 15 DCE, los estados no pueden imponer a los prestadores de servicios una obligación general, ya sea de supervisar los datos que transmitan o almacenen o bien de realizar búsquedas activas de hechos o circunstancias que indiquen actividades ilícitas en relación a los servicios de alojamiento, tanto en los servicios de transmisión de datos, como en los de provisión de a la Red, caching o hosting. La Directiva comunitaria no sólo excluye la obligación de supervisión o control en términos generales, sino que prohíbe incluso la obligación de conservación o retención del tráfico de los datos. En cambio, el artículo 12.1 LSSICE estableció la obligación de los prestadores del servicio de retener los datos relativos a las comunicaciones electrónicas por un periodo máximo de 12 meses. II.9
El spam y la protección de datos de carácter personal
Una vez analizado el régimen jurídico de las comunicaciones comerciales es necesario efectuar un estudio de la misma para que todo el proceso de envío de correos electrónicos comerciales no deseados se realice correctamente en cuanto a la obtención de los datos y al propio envío de las mismas. Hay que tener en cuenta que el envío de las comunicaciones comerciales depende, en primer lugar, de las condiciones en que las
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 138 de 165
Instituto Nacional de Tecnologías de la Comunicación
empresas hayan recogido una serie de datos personales donde enviar las mismas en general y las direcciones de correo electrónico en particular (en este sentido, se pronuncia un Informe de 1999 de la Comisión Nacional de Informática y Libertades de Francia, que señalaba que el envío de mensajes electrónicos se basa en la recogida previa de direcciones electrónicas). Así mismo hay que recordar que, de conformidad con el artículo 19 LSSICE, es aplicable la Ley Orgánica 15/1999, de Protección de Datos de Carácter Personal (LOPD), II.9.1
El derecho al tratamiento de datos de carácter personal
En primer lugar, se debe afirmar que cuando se habla del derecho al tratamiento de datos de carácter personal se entiende por tal el derecho fundamental a la libertad frente a las potenciales agresiones a la dignidad y a la libertad de la persona provenientes de un uso ilegítimo del tratamiento automatizado de datos, y que permite acceder, rectificar y cancelar la información almacenada y disponer de los propios datos personales, tal y como lo reconoce el Tribunal Constitucional, en las STC 254/1993, de 9 de mayo (RTC 1993\254) o STC 11/1998, de 13 de enero (RTC 1998\11), entre otras. Para finalizar con este epígrafe es importante matizar que, en la actualidad, se debe hablar del derecho a la protección de datos de carácter personal, cuyo contenido será el mismo que se ha mencionado, ya que tras la entrada en vigor de la LOPD el ámbito de aplicación de este derecho, recogido en el artículo 2, se extiende a todos los datos de carácter personal registrados en soporte físico, es decir, tanto en soporte papel como en soporte informático o telemático, siempre que sean susceptibles de tratamiento, quedando obsoleto, por tanto, el término “informática” que calificaba a esta pretendida libertad. II.10 La Ley 15/1999, de 13 de diciembre, de Protección de Datos de Carácter Personal II.10.1 Titularidad El ordenamiento jurídico español limita a las personas físicas la titularidad de la protección del derecho a la protección de datos de carácter personal, a diferencia de la LSSICE, que incluye tanto a personas físicas como jurídicas. La exclusión de las personas jurídicas del amparo de este derecho se deduce del artículo 3 a) LOPD, que establece que los datos de carácter personal son cualquier información concerniente a personas físicas identificadas o identificables, y e) al considerar como afectado o interesado a la persona física titular de los datos que sean objeto del tratamiento. En el mismo sentido se pronuncia la Agencia Española de Protección de Datos, que en el Fundamento Jurídico II de la Resolución de 27 de febrero de 2001 ha afirmado que la protección conferida por la LOPD no es aplicable a las personas jurídicas, que no gozarán Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 139 de 165
Instituto Nacional de Tecnologías de la Comunicación
de ninguna de las garantías establecidas en la ley y, por extensión, lo mismo ocurrirá con los profesionales que organizan su actividad bajo la forma de empresa, ostentando, en consecuencia, la condición de comerciante a la que se refieren los artículos primero y siguientes del Código de Comercio, y con los empresarios individuales que ejercen una actividad comercial y respecto de los cuales sea posible diferenciar su actividad mercantil de su propia actividad privada. Por tanto, se incluye en el concepto de personas físicas aquellos profesionales liberales que no tuvieran organizada su actividad profesional bajo la forma de empresa, es decir, que no posean la condición de comerciante, y los empresarios individuales cuando no fuera posible diferenciar su actividad mercantil de su propia actividad privada, y se excluyen tanto las personas jurídicas como los profesionales y los comerciantes individuales, cuando sus datos hayan sido tratados tan sólo en su consideración de empresarios. II.10.2 Concepto de dato personal De acuerdo con el artículo 3 a) de la LOPD, se entiende por dato personal cualquier información concerniente a personas físicas identificadas o identificables (definición coincidente con el artículo 8 de la Carta de los Derechos Fundamentales de la Unión Europea), de modo que el carácter personal del dato viene determinado por el hecho de ser concerniente a una persona física, no por ser un dato a través del cual se identifica a una persona. Es decir, lo relevante no es que el dato personal permita identificar a una persona, sino que dicha información debe estar referida o ser relativa a una persona física, quien puede estar identificada o ser identificable, según lo ha afirmado el Tribunal Constitucional en los fundamentos jurídicos sexto y séptimo de la Sentencia 292/2000, de 30 de noviembre. En parecidos términos se pronuncia la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos. Concretamente, el artículo 2 a) establece esa consideración de identificable en la posibilidad de determinar, directa o indirectamente, la identidad de una persona mediante un número de identificación o uno o varios elementos específicos característicos de su identidad física, fisiológica, psíquica, económica, cultural o social. Para intentar dilucidar el concepto de dato personal, se debe acudir al artículo 1.4 del Real Decreto 1332/1994, por el que se desarrollan determinados aspectos de la Ley Orgánica 5/1992, de 29 de octubre, de Regulación del Tratamiento Automatizado de los Datos de carácter personal, que lo define como “toda información numérica, alfabética, gráfica, fotográfica, acústica o de cualquier otro tipo, susceptible de ser recogida, registro, tratamiento o transmisión, concerniente a una persona física identificada o identificable”.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 140 de 165
Instituto Nacional de Tecnologías de la Comunicación
La vaguedad y amplitud del término “dato personal” no permite ofrecer una respuesta clara e inmediata de qué datos concretamente se incluyen en la consideración de personales y, en particular, si la dirección de correo electrónico puede ser amparada por dicha expresión. Por ello, se procede a analizar la cuestión de manera específica. La dirección de correo electrónico como dato personal En primer lugar, se debe recordar que se entiende por dato personal cualquier información concerniente a personas físicas identificadas o identificables. Por tanto, han de darse dos circunstancias para que se pueda entender que son datos de carácter personal: que exista una información y que se refiera a una persona que sea identificable o esté identificada. Se ha discutido mucho acerca de la consideración de la dirección de correo electrónico como dato personal, cuestión muy importante a los efectos de remitir comunicaciones comerciales no solicitadas, sobre todo en relación a aquellas direcciones que no aparecen vinculadas a la persona que la utiliza. Por ello, se pueden distinguir dos clases de direcciones de correo electrónico, atendiendo al grado de identificación que la misma realiza con el titular de la cuenta de correo: •
Aquellas en que voluntaria o involuntariamente la dirección de correo electrónico contenga información acerca de su titular, pudiendo aludir tanto a su nombre y apellidos como a la empresa en que trabaja o a su país de residencia. En este supuesto, no existe duda de que la dirección de correo electrónico identifica, incluso de forma directa al titular de la cuenta, por lo que en todo caso la dirección ha de ser considerada como dato de carácter personal. El modelo característico de este supuesto sería aquella dirección de correo electrónico en la que se hace constar el nombre y, en su caso, los apellidos del titular (o sus iniciales), correspondiéndose el dominio de primer nivel con el propio del país en que se lleva a cabo la actividad y el dominio de segundo nivel con la empresa en que se prestan los servicios (pudiendo incluso así delimitarse el centro de trabajo en que se realiza la prestación).
•
Un segundo supuesto sería aquel en que, en principio, la dirección de correo electrónico no parece mostrar datos relacionados con la persona titular de la cuenta, por referirse, por ejemplo, a una denominación abstracta o a una simple combinación alfanumérica sin significado alguno. Un primer examen de este tipo de dirección de correo electrónico podría afirmar que este supuesto no es un dato de carácter personal. Sin embargo, incluso en
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 141 de 165
Instituto Nacional de Tecnologías de la Comunicación
este caso la dirección de correo electrónico aparecerá necesariamente referenciada a un dominio concreto, de tal forma que podrá procederse a la identificación del titular mediante la consulta del servidor en que se gestione dicho dominio. No pueda considerarse que esto lleve aparejado un esfuerzo desproporcionado por parte de quien procede a la identificación, siguiendo los pronunciamientos tanto del Grupo de Trabajo sobre Protección de Datos del artículo 29 de la Comisión en el documento de trabajo “Privacidad en Internet: enfoque comunitario integrado de la protección de datos en línea”, de 21 de noviembre de 2000, como de la Agencia Española de Protección de Datos en su Memoria 1999. Es decir, la dirección IP necesariamente vinculada a la dirección de correo electrónico también puede revelarnos datos personales del . Por ello, se procede a analizar en profundidad la consideración de la dirección IP como dato de carácter personal. La dirección IP como dato personal Al respecto se ha pronunciado la Agencia Española de Protección de Datos en el Informe 327/2003, afirmando que la dirección IP es un dato de carácter personal, principalmente sobre la base de que los proveedores de a Internet y los es de redes locales pueden identificar por medios razonables a los s de Internet a los que han asignado direcciones IP. Por ejemplo, un proveedor de a Internet que tiene un contrato con un abonado, normalmente mantiene un fichero histórico con la dirección IP (fija o dinámica) asignada, el número de identificación del abonado, la fecha, la hora y la duración de la asignación de dirección. Es más, si el de Internet está utilizando una red pública de telecomunicaciones, como un teléfono móvil o fijo, la compañía telefónica registrará el número marcado, junto con la fecha, la hora y la duración, para la posterior facturación. En consecuencia, con la asistencia de terceras partes responsables de la asignación se puede identificar a un de Internet, es decir, obtener su identidad civil (nombre, dirección, número de teléfono, etcétera), por medios razonables y, por tanto, puede hablarse de datos de carácter personal en el sentido de la letra a) del artículo 3 LOPD. En conclusión, se debe afirmar rotundamente que el correo electrónico, en todo caso, independientemente de su manifestación, es un conjunto de datos personales del y como tal, se encuentra amparado por la LOPD. II.10.3 El consentimiento del titular de los datos De forma semejante a lo que sucedía con el envío de comunicaciones comerciales no solicitadas, para las que era necesaria la obtención del consentimiento del destinatario, la
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 142 de 165
Instituto Nacional de Tecnologías de la Comunicación
regla general en materia de tratamiento de datos personales es la exigencia de recabar el consentimiento. En el contexto del régimen jurídico en el tratamiento de datos de carácter personal, el artículo 3 h) LOPD define el consentimiento del interesado como toda manifestación de voluntad, libre, inequívoca, específica e informada mediante la que consiente en el tratamiento de datos que le conciernen. La LOPD establece tres formas de obtener el consentimiento para el tratamiento, según a qué clase de datos de carácter personal se haga referencia: •
Para la obtención y tratamiento de datos de carácter personal es necesario tener el consentimiento inequívoco del titular de los datos salvo que la ley disponga otra cosa.
•
Para los datos de carácter personal relacionados con las creencias, ideología o religión, la necesidad de que el titular de los mismos otorgue su consentimiento expreso y por escrito para que puedan ser tratados.
•
Para los datos que hagan referencia al origen racial, a la salud y a la vida sexual es necesario que otorgue el consentimiento expreso.
En principio, la dirección de correo electrónico es un dato de carácter personal que no hace referencia a las creencias, a la ideología, a la religión, al origen racial, a la salud ni a la vida sexual del titular. En consecuencia, es necesario sólo el consentimiento inequívoco. La LOPD habla únicamente de consentimiento inequívoco, por lo que se incluye en dicho concepto no sólo el consentimiento expreso sino también el consentimiento tácito, siempre y cuando se otorgue al afectado un plazo prudencial para que pueda claramente tener conocimiento de su omisión de oponerse al tratamiento de sus datos. No se puede obviar el hecho de que el consentimiento es susceptible de revocación cuando exista causa justificada, es decir, cuando existe una “quiebra de la confianza entre el afectado y el responsable del fichero”, de modo que “se podría solicitar la cesación del tratamiento de datos con la simple alusión a la voluntad de preservar su derecho a la intimidad”. Excepciones al consentimiento El régimen general del consentimiento del titular de los datos personales se exceptúa en los siguientes supuestos: a) Cuando los datos personales se recojan para el ejercicio de las funciones propias de las istraciones públicas en el ámbito de sus competencias. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 143 de 165
Instituto Nacional de Tecnologías de la Comunicación
b) Cuando se refieran a las partes de un contrato o precontrato de una relación de negocios, laboral o istrativa y sean necesarios para su mantenimiento o cumplimiento. c) Cuando el tratamiento de los datos especialmente protegidos resulte necesario para la prevención o para el diagnóstico médico, la prestación de asistencia sanitaria o tratamientos médicos o la gestión de servicios sanitarios, siempre que dicho tratamiento de datos se realice por un profesional sanitario sujeto al secreto profesional o por otra persona sujeta asimismo a una obligación equivalente de secreto o cuando el tratamiento tenga por finalidad proteger el interés vital del interesado en el supuesto de que esté física o jurídicamente incapacitado para dar su consentimiento. d) Cuando los datos figuren en fuentes accesibles al público y su tratamiento sea necesario para la satisfacción del interés legítimo perseguido por el responsable del fichero o por el tercero a quien se comuniquen los datos. Se debe profundizar sobre la última excepción, ya que los remitentes de comunicaciones comerciales no solicitadas suelen obtener los datos personales de fuentes accesibles al público. Se consideran como fuentes accesibles al público, según el artículo 3 j) LOPD, aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación y, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos regulados, las listas de personas pertenecientes a grupos profesionales que contengan únicamente los datos de nombre, título, actividad, grado académico, dirección e indicación de su pertenencia al grupo, los diarios y boletines oficiales y medios de comunicación. Es importante averiguar si esta lista que establece la LOPD como medios accesibles al público es una lista numerus clausus o numerus apertus, es decir, es una lista cerrada en la cual no cabe ningún otro tipo de medio accesible al público o es simplemente una enumeración exhaustiva en la que se puede incluir con tal consideración otra fuente de , ya que en el entorno tecnológico en el que se desarrolla el objeto de investigación del presente informe, Internet se ha convertido en la mayor base de datos de carácter personal. En un primer momento, tal y como se configura Internet –un medio de comunicación en el que se vierten múltiples informaciones y de libre a todos los s conectados a la Red—, se podría pensar que la recopilación de direcciones de correo electrónico sin necesidad de recabar el consentimiento del afectado estaría permitido.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 144 de 165
Instituto Nacional de Tecnologías de la Comunicación
Por el contrario, la Agencia Española de Protección de Datos en el Informe del año 2000 se ha pronunciado al respecto afirmando que no considera que la procedencia de los datos recogidos en Internet sea la de fuente accesible al público, siendo necesario, por lo tanto, la obtención del consentimiento inequívoco, específico e informado del afectado para realizar tratamientos con los datos personales publicados en Internet, aunque estos se hayan publicado de forma que cualquier de Internet pueda acceder a los mismos. Sin embargo, se debe señalar que el carácter de fuente accesible tiene una serie de limitaciones, ya que cuando los datos aparezcan editados en forma de libro u otro soporte físico la nueva edición hará decaer el mismo, en virtud del párrafo tercero del artículo 28 LOPD y en el caso de que se obtenga copia de la lista en formato electrónico, esta perderá el carácter de fuente accesible al público en el plazo de un año contando desde el momento de la obtención. Del mismo modo, el transcurso del año hace perder la vigencia de los datos recogidos en el censo promocional, de conformidad con el párrafo segundo del artículo 31 LOPD. Incluso en el supuesto de que se entendiera que Internet tiene la consideración de fuente accesible al público, es imprescindible, para que concurra la excepción, que dicho tratamiento sea necesario para satisfacer el interés legítimo perseguido por el responsable del fichero o por el tercero a quien se comuniquen los datos y, en este sentido, sería cuestionable si como interés legitimo cabría entender el envío de publicidad, promociones u ofertas. Como complemento a la excepción del consentimiento se prevé, en el párrafo cuarto del artículo 6 LOPD, el derecho de oposición, que consiste en la negativa a la continuación del tratamiento, es decir, la cancelación genérica respecto de todos los datos que pudieran estar sometidos. Dicho precepto establece que “en los casos en los que no sea necesario el consentimiento del afectado para el tratamiento de los datos de carácter personal, y siempre que una ley no disponga lo contrario, éste podrá oponerse a su tratamiento cuando existan motivos fundados y legítimos relativos a una concreta situación personal. En tal supuesto, el responsable del fichero excluirá del tratamiento los datos relativos al afectado”. El párrafo cuarto del artículo 30 LOPD, por su parte, contempla el derecho de oposición, pero respecto de los tratamientos de datos con fines de prospección comercial y publicidad directa al señalar que los “interesados tendrán derecho a oponerse, previa petición y sin gastos, al tratamiento de los datos que les conciernan, en cuyo caso serán dados de baja del tratamiento, cancelándose las informaciones que sobre ellos figuren en aquél, a su simple solicitud”.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 145 de 165
Instituto Nacional de Tecnologías de la Comunicación
Al respecto se debe plantear cuál es el plazo de validez de la declaración sobre la oposición del consumidor al tratamiento de sus datos, es decir, hasta cuándo debe entenderse vigente esa manifestación de oposición al tratamiento y de exclusión a aparecer en las fuentes accesibles al público. La postura mayoritaria entiende que con la actualización del censo o la publicación de una nueva guía decae la manifestación emitida. El régimen del consentimiento para la cesión de datos personales El artículo 3 i) LOPD define la cesión o comunicación de datos como toda revelación de datos realizada a una persona distinta del interesado. El artículo 11 LOPD establece como regla general en la cesión de datos la necesidad de obtener el consentimiento del interesado, al igual que sucedía para el tratamiento de datos personales. Dicho consentimiento, también como en el caso del tratamiento de datos, tiene un carácter revocable, aunque en este caso no se exige la concurrencia de causa justificada. Se establece, asimismo, que será considerado nulo el consentimiento prestado para la cesión o comunicación, según el artículo 11 en su párrafo tercero, “cuando la información que se facilite al interesado no le permita conocer la finalidad a que destinarán los datos cuya comunicación se autoriza o el tipo de actividad de aquél a quien pretende comunicar”. Esta regla general de exigencia para la cesión de datos personales del “previo consentimiento del interesado” no se aplicará, según el párrafo segundo del citado precepto, en los siguientes casos: •
Cuando la cesión esté autorizada en una ley.
•
Cuando se trate de datos recogidos de fuentes accesibles al público.
•
Cuando el tratamiento responda a la libre y legítima aceptación de una relación jurídica cuyo desarrollo, cumplimiento y control implique necesariamente la conexión de dicho tratamiento con ficheros de terceros. En este caso, la comunicación sólo será legítima en cuanto se limite a la finalidad que la justifique, lo que debe interpretarse en sentido estricto o restringido y no permitir otras cesiones que las estrictamente necesarias para la ejecución de lo contratado.
•
Cuando la comunicación que deba efectuarse tenga por destinatario al Defensor del Pueblo, el Ministerio Fiscal o los jueces o tribunales o el Tribunal de Cuentas,
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 146 de 165
Instituto Nacional de Tecnologías de la Comunicación
en el ejercicio de las funciones que tienen atribuidas, o a instituciones autonómicas análogas al Defensor del Pueblo o al Tribunal de Cuentas. •
Cuando la cesión se produzca entre istraciones públicas y tenga por objeto el tratamiento posterior de los datos con fines históricos, estadísticos o científicos.
•
Cuando la cesión de datos personales relativos a la salud sea necesaria para solucionar una urgencia que requiera acceder a un fichero o para realizar estudios epidemiológicos en los términos establecidos en la legislación sobre sanidad estatal o autonómica.
II.10.4 El «deber de información en la recogida de datos» El llamado «deber de información en la recogida de datos» se establece en el artículo 5 LOPD y su contenido varía dependiendo de las diferentes modalidades de recogida de datos. Modalidad directa de obtención de datos Esta modalidad consiste en obtener la dirección de correo electrónico del propio titular, en cuyo caso los interesados a los que soliciten datos personales deberán ser previamente informados, de modo expreso, preciso e inequívoco de las siguientes cuestiones: •
De la existencia de un fichero o tratamiento de datos de carácter personal, y de los destinatarios de la información.
•
De la finalidad de la recogida de los datos, puesto que los mismos deben ser “adecuados, pertinentes y no excesivos” en función de la finalidad o finalidades para los que se han obtenido. Además, se exige una compatibilidad entre los fines para los que los datos fueron recogidos y los fines a los que efectivamente se destina su tratamiento, ya que si se quisiera utilizar un determinado dato con una finalidad distinta para la que se hubiera obtenido, sería necesario contar de nuevo con el requisito de la obtención del consentimiento.
•
Del carácter obligatorio o facultativo de su respuesta a las preguntas que les sean planteadas.
•
De las consecuencias de la obtención de los datos o de la negativa a suministrarlos.
•
De la posibilidad de ejercitar los derechos de , oposición y rectificación y cancelación.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 147 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
De la identidad y dirección del responsable del tratamiento, es decir, según el artículo 3 d) LOPD la persona física o jurídica, de naturaleza pública o privada u órgano istrativo que decida sobre la finalidad, contenido y uso del tratamiento, o, en su caso, de su representante.
Además de los extremos anteriores, cuando la recogida de los datos personales sea a través de Internet, deberá constar el código de inscripción asignado por el Registro General de Protección de Datos con el fin de asegurar el conocimiento del interesado de la posibilidad de ejercitar los derechos de , cancelación y modificación, de conformidad con las recomendaciones de la Agencia de Protección de Datos al sector del comercio electrónico, para la adecuación de su funcionamiento a la LOPD. En cuanto a la manera de facilitar la citada información, la ley es tajante en este aspecto. De acuerdo con el artículo 5 LOPD, los interesados a los que se soliciten datos personales deberán estar previamente informados de modo expreso, preciso e inequívoco, por lo que dicha información deberá ser perfectamente visible en el proceso de recogida de los datos. Además, se debe pensar en los distintos métodos de recogida de los mismos: •
Si se utilizan cuestionarios u otros impresos para la recogida de los datos figurarán en los mismos, en forma claramente legible, los extremos anteriormente analizados.
•
Si los datos se recogen a través de una página web, deberá hacerse expresa referencia a estas cuestiones en el formulario correspondiente, no bastando la simple inclusión de esta información en un aviso legal o política de privacidad ubicado en otra página distinta dentro del sitio web, ni la mera mención en las cláusulas adicionales a las condiciones generales que rigen la vinculación del vendedor con el comprador al hecho de que los datos que se faciliten serán protegidos de acuerdo a la ley. No obstante, la Agencia Española de Protección de Datos, en su Memoria de 2001, señala que cabe la posibilidad de obtener dicha información a la que se ha hecho referencia mediante un clic en un botón adecuadamente etiquetado, aunque no se considere la opción más adecuada.
Se debe concluir este apartado señalando que no será necesario contemplar el carácter obligatorio o facultativo de su respuesta a las preguntas que son planteadas, las consecuencias de la obtención de los datos o de la negativa a suministrarlos y la posibilidad de ejercitar los derechos de , rectificación, cancelación y oposición, si se deduce claramente de la naturaleza de los datos personales que se solicitan o de las circunstancias en que se recaban.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 148 de 165
Instituto Nacional de Tecnologías de la Comunicación
Modalidad indirecta de obtención de datos En este supuesto los datos de carácter personal no han sido recabados del interesado, sino que la dirección de correo electrónico se ha obtenido de otra empresa por cesión de datos o incluso por otra persona. En este supuesto, el párrafo cuarto del artículo 5 LOPD establece la obligación del responsable del fichero o su representante de informar de forma expresa, precisa e inequívoca al interesado de los extremos que contempla el derecho de información, que se han analizado en el apartado anterior, dentro de los tres meses siguientes al momento del registro de los datos. Esta obligación supone que necesariamente el remitente debe ponerse en o con los futuros destinatarios de comunicaciones comerciales para cumplir estos requisitos, aunque sea a través del correo electrónico. No obstante, esta obligación se elimina cuando el interesado ya hubiera sido informado con anterioridad del contenido del tratamiento de la procedencia de dichos datos, de la existencia de un fichero o tratamiento de datos de carácter personal, de la finalidad de la recogida de estos, de los destinatarios de la información, de la posibilidad de ejercitar los derechos de , rectificación, cancelación y oposición y de la identidad y dirección del responsable del tratamiento o, en su caso, de su representante. Obtención de datos de fuentes accesibles al público Si la dirección de correo electrónico se obtiene por fuentes accesibles al público y se destina a actividades de publicidad o prospección comercial, en cada comunicación que se dirija al interesado se le informará del origen de los datos, de la identidad del responsable del tratamiento y de los derechos de , cancelación, rectificación y oposición a los mismos. La cesación del deber de información se justifica en estos supuestos, ya que el interesado tiene la oportunidad de oponerse a la inclusión de forma genérica según se dispone en el artículo 28 LOPD, que establece que los interesados tendrán derecho a exigir gratuitamente la exclusión de la totalidad de sus datos personales que consten en el censo promocional por las entidades encargadas del mantenimiento de dichas fuentes. Del mismo modo, los profesionales que constan en las guías elaboradas por los colegios profesionales tienen derecho a que la entidad responsable del mantenimiento de los listados indique gratuitamente que sus datos personales no pueden utilizarse para fines de publicidad o prospección comercial.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 149 de 165
Instituto Nacional de Tecnologías de la Comunicación
Al respecto, también se pronuncia el artículo 38.6 de la Ley 32/2003 General de Telecomunicaciones, que establece que en la elaboración y comercialización de las guías de abonados a los servicios de comunicaciones electrónicas y la prestación de los servicios de información se garantizará, en todo caso, a los abonados el derecho a la protección de sus datos personales, incluyendo el de no figurar en dichas guías. II.11 Régimen sancionador de la LOPD El artículo 43 LOPD establece que estarán sujetos al régimen sancionador los responsables de los ficheros y los encargados de los tratamientos. Las infracciones, del mismo modo que ocurría con la LSSICE, se calificarán como leves, graves o muy graves, de conformidad con el artículo 44 LOPD. Se procede a señalar las infracciones que se podrán cometer en el ámbito del estudio del presente trabajo: •
Infracciones leves:
a) No atender, por motivos formales, la solicitud del interesado de rectificación o cancelación de los datos personales objeto de tratamiento cuando legalmente proceda. b) Proceder a la recogida de datos de carácter personal de los propios afectados sin proporcionarles la información que señala el artículo 5 LOPD. •
Infracciones graves:
a) Proceder a la recogida de datos de carácter personal sin recabar el consentimiento expreso de las personas afectadas, en los casos en que este sea exigible. b) Tratar los datos de carácter personal o usarlos posteriormente con conculcación de los principios y garantías establecidos en la LOPD o con incumplimiento de los preceptos de protección que impongan las disposiciones reglamentarias de desarrollo, cuando no constituya infracción muy grave. c) Impedir u obstaculizar el ejercicio de los derechos de y oposición y la negativa a facilitar la información que sea solicitada. d) Mantener datos de carácter personal inexactos o no efectuar las rectificaciones o cancelaciones de los mismos. e) Incumplir el deber de información cuando los datos hayan sido recabados de persona distinta del afectado.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 150 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Infracciones muy graves:
a) La recogida de datos en forma engañosa y fraudulenta. b) La comunicación o cesión de los datos de carácter personal, fuera de los casos en que estén permitidas. c) No cesar en el uso ilegítimo de los tratamientos de datos de carácter personal cuando sea requerido para ello por el director de la Agencia de Protección de Datos o por las personas titulares del derecho de . d) Tratar los datos de carácter personal de forma ilegítima o con menosprecio de los principios y garantías que les sean de aplicación, cuando con ello se impida o se atente contra el ejercicio de los derechos fundamentales. e) No atender, u obstaculizar de forma sistemática, el ejercicio de los derechos de , rectificación, cancelación u oposición. f)
No atender de forma sistemática el deber legal de notificación de la inclusión de datos de carácter personal en un fichero. Las infracciones que la ley tipifica prescriben, según lo establecido en el artículo 47.1 LOPD, por el transcurso de un año las leves, dos años las graves y tres años las muy graves, que comenzarán a contar desde el día en que se cometió la infracción. Asimismo, se interrumpirá la prescripción con la iniciación, con conocimiento del interesado, del procedimiento sancionador, reanudándose el plazo de prescripción si el expediente sancionador estuviera paralizado durante más de seis meses por causa no imputable al presunto infractor. •
Sanciones El artículo 45 fija las sanciones correspondientes a las infracciones cometidas. Concretamente, las infracciones leves serán sancionadas con multa de 601,01 a 60.101,21 euros, las infracciones graves serán sancionadas con multa de 60.101,21 a 300.506,05 euros y las infracciones muy graves serán sancionadas con multa de 300.506,05 a 601.012,10 euros. La cuantía de las sanciones se graduará atendiendo a la naturaleza de los derechos personales afectados, al volumen de los tratamientos efectuados, a los beneficios obtenidos, al grado de intencionalidad, a la reincidencia, a los daños y perjuicios causados a las personas interesadas y a terceras personas, y a cualquier
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 151 de 165
Instituto Nacional de Tecnologías de la Comunicación
otra circunstancia que sea relevante para determinar el grado de antijuridicidad y de culpabilidad presentes en la concreta actuación infractora. Si en razón de las circunstancias concurrentes se apreciara una cualificada disminución de la culpabilidad del imputado o de la antijuridicidad del hecho, el órgano sancionador establecerá la cuantía de la sanción aplicando la escala relativa a la clase de infracciones que preceda inmediatamente en gravedad a aquella en que se integra la considerada en el caso de que se trate. En ningún caso podrá imponerse una sanción más grave que la fijada en la ley para la clase de infracción en la que se integre la que se pretenda sancionar. Las sanciones impuestas por faltas muy graves prescribirán a los tres años, las impuestas por faltas graves a los dos años, y las impuestas por faltas leves al año. El plazo de prescripción de las sanciones comenzará a contarse desde el día siguiente a aquél en que adquiera firmeza la resolución por la que se impone la sanción. Las resoluciones de la Agencia Española de Protección de Datos u órgano correspondiente de la Comunidad Autónoma agotan la vía istrativa y sólo serán susceptibles de impugnación en la jurisdicción contencioso-istrativa. A efectos de responsabilidad, la normativa de protección de datos señala que ostentará la condición jurídica de responsable del fichero aquél que decide los fines y medios del tratamiento de los datos personales, bien una sola persona física individual o conjunta siendo varios los responsables o incluso entidades, mientras que el proveedor de servicios será el que realiza el tratamiento por cuenta del responsable del fichero y de acuerdo con sus instrucciones. La relación entre ambas figuras se regula en el contrato; en él se establecerá que el encargado del tratamiento se obliga a tratar los datos según las instrucciones del responsable del fichero, que no comunicará los datos a terceros, que no los usará con fin distinto al pactado y que los destruirá o devolverá una vez finalizada la relación contractual. Asimismo, deberán fijarse las medidas de seguridad de índole técnica y organizativa que aplicará el encargado del tratamiento a los ficheros. Por todo, será la precisa y correcta redacción de los términos del contrato la determinante para la delimitación de eventuales responsabilidades entre las partes, y para la consiguiente aplicación del régimen sancionador establecido en la LOPD, en caso de ser necesario. II.12 Problemática de la doble imposición de sanciones Llegados a este punto, se ha visto que el envío de correos electrónicos comerciales no deseados son susceptibles de cometer infracciones tanto de la LOPD como de la LSSICE, y en consecuencia llevar anexo una doble imposición de sanciones. Dicho tema debe ser estudiado porque la tradición jurídica en el Derecho español prohíbe la citada figura. Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 152 de 165
Instituto Nacional de Tecnologías de la Comunicación
Por ello, se debe plantear en este punto la situación de que una infracción de la LSSICE en materia de comunicaciones comerciales pueda teóricamente coincidir con el mismo hecho que esté también sancionado por la LOPD. Para resolver esta cuestión es necesario acudir a las infracciones contenidas en la LSSICE para observar si alguna de ellas tiene su correspondiente sanción en la LOPD y, en este caso, cómo se resolvería la doble regulación. No ofrece duda el hecho de que algunas obligaciones de la LSSICE como, por ejemplo, la identificación de los mensajes comerciales, la indicación de la persona física o jurídica en nombre de quien se envían estos o la transparencia en las ofertas promocionales no tienen equivalente en la LOPD y, por lo tanto, las sanciones que se impongan por estas causas difícilmente pueden incurrir en la figura de la doble imposición. El mayor problema sobre esta cuestión se encuentra en el supuesto de que el prestador de servicios hubiera enviado un correo electrónico sin haber recabado anteriormente el consentimiento expreso del destinatario, infringiendo, por tanto, el artículo 21 LSSICE, y, además, hubiera infringido la LOPD por haber obtenido la dirección de correo de manera antijurídica. En este caso se considera que se trata de infracciones diferentes, puesto que la LSSICE y la LOPD tienen ámbitos de aplicación diferentes, aunque ciertamente interrelacionados, y, en consecuencia, cabría una sanción conforme a la LSSICE por lo que respecta al envío de correos comerciales no solicitados o autorizados expresamente y una segunda sanción conforme a la LOPD por lo que respecta a la infracción cometida al obtener los datos de una fuente ilegítima. En el resto de los supuestos en los que se pudiera pensar en hipotéticas colusiones reales de infracciones, deberían dirimirse las mismas teniendo muy presentes los principios generales del Derecho, como el principio de especialidad, optando por la aplicación de la LSSICE cuando la infracción se refiera expresamente a un correo electrónico. II.13 Acción de cesación Como se ha dicho en secciones precedentes, el artículo 19 LSSICE hace remisión expresa a la normativa de publicidad. Si se toma como referencia el artículo 2 LGP, en cuanto define la “publicidad” como “toda forma de comunicación realizada por una persona física o jurídica, pública o privada, en el ejercicio de una actividad comercial, artesanal o profesional, con el fin de promover de forma directa o indirecta la contratación de muebles o inmuebles, servicios, derechos y obligaciones” y considera “ilícita” a “la publicidad que atente contra la dignidad de la persona o vulnere los valores o derechos reconocidos en la Constitución...”, en virtud del artículo 3 a) se podría afirmar, sin gran dificultad por todos los
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 153 de 165
Instituto Nacional de Tecnologías de la Comunicación
motivos anteriormente expuestos, que las comunicaciones comerciales no solicitadas constituyen “publicidad ilícita”. En consecuencia, serían ejercitables las acciones de cesación y rectificación y el ejercicio de las acciones civiles, istrativas, penales o de otro orden que correspondan y con la persecución y sanción como fraude de la publicidad engañosa por los órganos istrativos competentes en materia de protección y defensa de los consumidores y s, según el artículo 32 LGP. En concreto, la LGP establece que cualquier persona natural o jurídica que resulte afectada y, en general, quienes tengan un derecho subjetivo o un interés legítimo, podrán solicitar del anunciante la cesación o, en su caso, la rectificación de la publicidad ilícita, es decir, el ejercicio de las acciones de cesación y de rectificación. Los amplios términos en los que se pronuncia el artículo 25 LGP al reconocer legitimación activa, para el ejercicio de las acciones de cesación y rectificación, tanto a órganos istrativos como a las asociaciones de consumidores, a las entidades de otros Estados de la Comunidad Europea (las cuales deberán estar constituidas para la protección de los intereses colectivos y de los intereses difusos de los consumidores que estén habilitadas mediante su inclusión en la lista publicada a tal fin en el Diario Oficial de las Comunidades Europeas) y, en general, a quien tenga un derecho subjetivo o interés legítimo, no permiten, sin embargo, que pueda pensarse que las empresas competidoras del sector puedan actuar contra quien remite este tipo de publicidad ilícita –las comunicaciones comerciales no solicitadas– a no ser que se acredite el perjuicio directo que para ellas hayan supuesto esas actuaciones infractoras. El objeto de actuación de la presentación de estas acciones, como su propio nombre indica, es la cesación de la conducta contraria a la presente Ley y la prohibición de una reiteración futura. Asimismo, la acción podrá ejercerse para prohibir la realización de una conducta cuando esta haya finalizado al tiempo de ejercitar la acción, si existen indicios suficientes que hagan temer su reiteración de modo inmediato, según el párrafo segundo del artículo 29 LGP. La solicitud de estas acciones, tal y como lo establece el párrafo tercero del artículo 25 LGP, se hará por escrito, en forma que permita tener constancia fehaciente de su fecha, de su recepción y de su contenido. En cuanto a los plazos de ejercicio de las citadas acciones, el párrafo primero del artículo 26 LGP establece que la cesación podrá ser solicitada desde el comienzo hasta el fin de la actividad publicitaria, mientras que la rectificación, según el párrafo primero del artículo 27 LGP, podrá solicitarse desde el inicio de la actividad publicitaria hasta siete días después de finalizada la misma.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 154 de 165
Instituto Nacional de Tecnologías de la Comunicación
III
Casos de Estudio
Un vez expuesta la normativa española y comunitaria en la materia y habiendo analizado cada uno de los puntos referentes al envío de comunicaciones comerciales no solicitadas, se debe estudiar alguno de los casos que se han dado en la realidad social y que pueden ser considerados como los más interesantes para observar cuál es la línea de denuncias de la sociedad española. III.1 Caso de Estudio 1º Procedimiento Nº PS/00029/2007 •
Resumen de la materia
Es necesario recabar el consentimiento del destinatario de comunicaciones comerciales no solicitadas, aunque la dirección de correo electrónico haya sido obtenida de Internet. •
Legislación vulnerada
Artículo 21.1 LSSICE dispone que “queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. Artículo 3 j) LOPD, son fuentes accesibles al público “aquellos ficheros cuya consulta puede ser realizada, por cualquier persona, no impedida por una norma limitativa o sin más exigencia que, en su caso, el abono de una contraprestación y, exclusivamente, el censo promocional, los repertorios telefónicos en los términos previstos regulados, las listas de personas pertenecientes a grupos profesionales que contengan únicamente los datos de nombre, título, actividad, grado académico, dirección e indicación de su pertenencia al grupo, los diarios y boletines oficiales y medios de comunicación”. •
Exposición de los hechos
En el supuesto que se examina, ha quedado acreditado que la empresa remitente de la comunicación comercial, ni autorizada ni solicitada, no tenía ninguna relación contractual que justificara el envío de la citada comunicación publicitaria o promocional, de conformidad con lo dispuesto en el artículo 21.2 de la LSSICE. La denunciante alegó que la dirección de correo electrónico del denunciante donde se habían remitido las comunicaciones comerciales no solicitadas aparecía en varias páginas de Internet. •
Resolución dictada
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 155 de 165
Instituto Nacional de Tecnologías de la Comunicación
El hecho de haber obtenido la dirección de correo a través de la Red no autoriza para que se remitan comunicaciones publicitarias o promocionales. Por tanto, el presente supuesto ha incurrido en la infracción prevista en el artículo 21 LSSICE y se ajusta al tipo de infracción establecido en el artículo 38.4 d), calificado como infracción leve, al tratarse de un único envío de una comunicación comercial no deseada por correo electrónico. •
Comentarios al respecto
En el presente caso, lo realmente importante es lo relativo al calificativo de “fuente accesible al público”. En un primer momento, tal y como se configura Internet –un medio de comunicación en el que se vierten múltiples informaciones y de libre a todos los s conectados a la Red—, se podría pensar que se incluye dentro de la definición de fuentes accesibles al público. No obstante, la enumeración de fuentes accesibles al público que señala la LOPD es una lista cerrada. Así se pronuncia la Agencia de Protección de Datos, al considerar que es necesaria la obtención del consentimiento del afectado en la procedencia de datos recogidos en Internet. III.2 Caso de Estudio 2º Procedimiento Nº PS/00210/2006 •
Resumen de la materia
Sanción de 1.000 euros por el envío de un único e-mail no solicitado con información comercial, no teniendo ninguna relación contractual previa con el remitente de la información. •
Legislación vulnerada
Párrafo primero del artículo 21 LSSICE, que dispone que “queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”, •
Exposición de los hechos
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 156 de 165
Instituto Nacional de Tecnologías de la Comunicación
El denunciante recibió en su dirección de correo una comunicación comercial no solicitada sobre cursos que posiblemente le podrían interesar y que le ofrecían la inscripción a los mismos, previo pago de la matrícula o petición de subvención correspondiente. El mismo manifiesta no haber mantenido relación comercial alguna con el remitente del correo electrónico, ni haber sido informado, en ningún momento, de la inclusión de su dirección de correo personal en la base de datos del referido remitente. •
Resolución dictada
La Agencia Española de Protección de Datos, en cumplimiento del artículo 21 LSSICE, entiende que el envío de una única comunicación comercial sin disponer de autorización previa del destinatario o sin que conste la existencia de una relación contractual previa es una actitud que infringe la normativa, aunque de manera leve, y como tal es merecedora de una sanción pecuniaria de 1.000 euros. •
Comentarios al respecto
La Agencia no toma en consideración que la comunicación incluyera en su e-mail publicitario la advertencia legal (práctica muy frecuente), lo siguiente: De conformidad con la Ley 15/1999, estos datos están recogidos en el fichero automatizado [...] cuyo responsable […]. Podrán ejercer sus derechos de [...]. Si desea no volver a recibir este boletín informativo envíe un e-mail, indicando en el asunto “BAJA”, a la siguiente dirección... Se debe recordar que para la LSSICE, lo realmente importante es que el destinatario haya dado el consentimiento expreso para recibir esas comunicaciones, y si no lo ha hecho esa actividad es merecedora de una sanción. Esta característica de la necesidad del consentimiento expreso se diferencia de lo que ocurría antes de la entrada en vigor de la citada Ley atendiendo a la LOPD, que únicamente exige un consentimiento inequívoco, es decir, se itía el consentimiento tácito e implícito en el envío de comunicaciones comerciales no solicitadas, lo que suponía en consecuencia que se ajustaba a la legalidad el envío de correos electrónicos no solicitados pero que ofrecían al destinatario la posibilidad de no recibir más promociones no solicitadas. •
Resoluciones similares
Véanse también en el mismo los siguientes procedimientos de la AEPD:
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 157 de 165
Instituto Nacional de Tecnologías de la Comunicación
− Procedimiento Nº PS/00136/2006: Se enviaron dos comunicaciones publicitarias sin disponer de autorización expresa y previa del destinatario y sin que conste la existencia de una relación contractual anterior que justifique el envío del mensaje, de conformidad con lo dispuesto en el artículo 21.2 de la LSSI. − Procedimiento Nº PS/00234/2006: en el que se denuncia que se ha recibido un correo comercial no solicitado y que así mismo el denunciante no ha consentido el envío de dicha comunicación comercial ni ha mantenido relación comercial previa con dicha entidad. − Procedimiento Nº PS/00282/2006: el denunciante recibió una comunicación comercial en su dirección de correo electrónico y alega que no tiene ninguna relación con el remitente del mensaje, ni ha autorizado su envío. − Procedimiento Nº PS/00158/2006: en este caso, al igual que los anteriores, se denunció la recepción de un correo comercial sin tener autorización para ello, ni ser solicitado, ni quedar acreditado que se mantuviera en algún momento relación comercial alguna con la empresa emisora de la comunicación comercial. III.3 Caso de Estudio 3º Procedimiento Nº PS/00151/2006 •
Resumen de la materia
Remisión de comunicaciones comerciales no deseadas a una persona jurídica sin disponer de autorización expresa y previa del destinatario y sin que conste la existencia de una relación contractual con el remitente de la información que justifique el envío del mensaje. •
Legislación vulnerada
Párrafo primero del artículo 21 de la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y Comercio Electrónico, que dispone que “queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas”. •
Exposición de los hechos
El denunciante, una sociedad limitada, presentó ante la Agencia de Protección de Datos un escrito en el que denunciaba la existencia de una infracción leve, al tratarse del envío de una única comunicación comercial no deseada por correo electrónico.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 158 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
Resolución dictada
La Agencia Española de Protección de Datos resolvió imponer a la entidad demandada, por una infracción del artículo 21 de la LSSI, tipificada como leve en el artículo 38.4 d) de dicha norma, una multa de 1.000 euros, de conformidad con lo establecido en el artículo 39.1 y 40 de la citada Ley. •
Comentarios al respecto
En este caso es muy importante recordar que, a diferencia de lo que ocurre con la LOPD, el envío de comunicaciones comerciales es un servicio de la Sociedad de la Información cuyos destinatarios son personas físicas o jurídicas. La LSSICE ampara tanto a las personas físicas como a las personas jurídicas destinatarias del servicio frente al envío de comunicaciones comerciales no solicitadas, de conformidad con la definición de consumidor de la letra e) del Anexo de la LSSICE que incluye tanto persona física como jurídica. IV
Conclusiones
Una vez concluido el análisis pormenorizado del objeto de estudio, se puede afirmar que el ordenamiento jurídico ha regulado este fenómeno de forma adecuada, logrando un justo equilibrio entre los intereses de los agentes publicitarios y los destinatarios de dichas comunicaciones comerciales. Aunque no se puede negar la evidencia de la existencia de riesgos para el derecho a la intimidad y el derecho al tratamiento de datos de carácter personal por la utilización de las nuevas tecnologías, estos derechos están suficientemente protegidos en el ordenamiento jurídico español, siempre y cuando la normativa actual se adapte a las nuevas realidades, con el único fin de que los medios tecnológicos, que son necesarios para el progreso de la sociedad, no afecten al normal desarrollo del individuo lesionando los derechos que le corresponden. En este sentido, la protección del destinatario de comunicaciones comerciales se ve reforzada frente a otros mecanismos que vulneran el derecho a la protección de datos de las personas mediante una doble regulación sobre el envío de comunicaciones comerciales no solicitadas: una relativa a su ejercicio (Directiva 2002/58/CE, Ley 34/2002 LSSICE y Ley General de Telecomunicaciones) y otra relativa a sus límites, especialmente intimidad y protección de datos (Directiva 95/46/CE y Ley Orgánica de Protección de Datos). Por un lado, conforme a la LOPD, la entidad deberá informar al interesado de una serie de cuestiones relativas al uso de su dirección de correo electrónico, a las finalidades a las que
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 159 de 165
Instituto Nacional de Tecnologías de la Comunicación
se van a destinar dichos datos, a la existencia de un fichero y a los derechos que le asisten en relación con los mismos. Por otra parte, conforme a la LSSICE y siguiendo las directrices establecidas por la Unión Europea, se exige que las comunicaciones comerciales sean identificables como tales y que se haya obtenido el consentimiento para poder enviar comunicaciones comerciales no solicitadas, pero en este caso se refuerza, exigiéndose que sea expreso, sin realizar mención alguna al requisito de que sea previo. La novedad de la situación actual consiste en la tendencia hacia la uniformidad y el consenso, cada vez más extendido, respecto a la necesidad de disponer de principios de referencia comunes, con el fin de establecer un marco general que incluya a los distintos países en el marco europeo y los diferentes medios tecnológicos. También se debe apuntar a la existencia de una disparidad de regímenes entre Europa y Estados Unidos, ya que la primera se rige por el sistema opt-in y Estados Unidos por el sistema opt-out; se hace necesario un tratado internacional sobre la materia que armonice los distintos sistemas jurídicos. La celebración de este tipo de acuerdos es necesaria si se pretende reafirmar los propios rasgos de Internet como instrumento de globalización de la Sociedad del Conocimiento. En resumen, el marco jurídico en España regula el correo electrónico comercial no deseado o spam con rigor y profundidad, sin bien se presenta difuso en algunas de sus definiciones y requisitos.
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 160 de 165
Instituto Nacional de Tecnologías de la Comunicación
ANEXO II: RELACIÓN DE PARTICIPANTES •
Alejandro Morillo. Office IT de Vodafone Spain
•
Andreu Gil. Chief Executive Officer de Spamina
•
Blanca E. Sánchez. Técnico del Observatorio de la Seguridad de la Información
•
Carlos Alonso. Responsable de Comunicación de Emailing Solutions
•
Carlos Tico. Director General de Serena mail
•
David Sancho. Senior AV Researcher de TrendMicro
•
Didac Lee. Presidente y fundador de Spamina
•
Emilio Herraiz. Área de Seguridad IGECIS del Ministerio de Defensa
•
Enrique Curiel. Ingeniero de seguridad de ISDEFE
•
Francisco Cabeza. Corporate Manager Southern Europe de MessageLabs
•
Francisco Javier García. Responsable del Servicio de Informática de Universidad Pontificia Comillas
•
Gonzalo Cruz. Departamento técnico de Gravity Net
•
Hector René Suárez. Técnico del Observatorio de la Seguridad de la Información
•
Ignacio Berrozpe. Ingeniero de ventas de Nokia Spain
•
Israel Hernandez. Manager - Advisory PI - IT Security de PricewaterhouseCoopers
•
Javier Hernández. Dirección General de Salud Pública del Instituto de Salud Pública de la Comunidad Autónoma de Madrid
•
Jesús Gago. Jefe de sistemas del Servicio de Informática de la Universidad Carlos III de Madrid.
•
Jordi Xapelli. Responsable de I+D. Spamina
•
Jorge Chinea. Técnico de Seguridad Informática del INTECO-CERT
•
José Ángel Rodríguez. Departamento de Comunicaciones del Ministerio de Industria, Turismo y Comercio
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 161 de 165
Instituto Nacional de Tecnologías de la Comunicación
•
José Manuel Lucena. Responsable de Sistemas Distribuidos de la Confederación Española de Cajas de Ahorros (CECA)
•
Juan Carlos Sánchez. Servicio de Planificación Informática y Comunicaciones de la Universidad Politécnica de Madrid (UPM)
•
Juan Díez. Técnico de Seguridad Informática del INTECO-CERT
•
Julian Inza. Director de Albalia Interactiva
•
Mario Velarde. Country Manager de IronPort
•
Pablo Olabarria. Oracle University de Oracle
•
Pablo Pérez. Gerente del Observatorio de la Seguridad de la Información
•
Pablo Teijeira. Business Development - Sophos Southern Europe de Sophos
•
Pedro Gómez Quevedo. Jefe del Departamento de Sistemas y Tecnologías de Informática del Ayuntamiento de Madrid
•
Raúl Rubio. Departamento legal de Landwell
•
Xavier Vilar. Responsable de Producción de Infraestructuras y Correo Electrónico Corporativos del Grupo Santander
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 162 de 165
Instituto Nacional de Tecnologías de la Comunicación
ANEXO III: ÍNDICE DE GRÁFICOS Gráfico 1: Servicios de Internet utilizados por los s en sus hogares (%).................12 Gráfico 2: Volumen de spam en mensajes de correo en Internet 2005-2007 (%)...............64 Gráfico 3: Distribución mundial de correo y spam enviado, por zona geográfica (%) .........65 Gráfico 4: Países generadores de spam en Internet en el año 2007 (%)............................66 Gráfico 5: Relación de volumen de spam respecto al total de correos enviados (%) .........68 Gráfico 6: Porcentaje de spam recibido por cada país respecto al volumen total de todos los correos que recibe. 2005-2006 (%)................................................................................70 Gráfico 7: Porcentaje de spam recibido por país respecto al volumen total de todos los correos. 2007 (%) ................................................................................................................71 Gráfico 8: Tipos de spam en el año 2005 (%) .....................................................................72 Gráfico 9: Tipos de spam en febrero del 2007 (%)..............................................................73 Gráfico 10: Peso en Kb de los correos de spam (%)...........................................................74 Gráfico 11: Spam en España (%, del 1 de enero al 11 de marzo de 2008) ........................78 Gráfico 12: Porcentaje del spam rechazado y no rechazado sobre el total de spam..........79 Gráfico 13: Volúmenes absolutos de spam con destino España por país de origen ..........80 Gráfico 14: 10 países con mayor volumen de spam enviado hacia España (%, del 1 de enero al 11 de marzo de 2008)............................................................................................80 Gráfico 15: Porcentaje de spam detectado sobre el total de mensajes procesados para cada país de origen (%, del 1 de enero al 11 de marzo de 2008).......................................81 Gráfico 16: Niveles de spam detectado por día de la semana para el periodo de estudio .82
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 163 de 165
Instituto Nacional de Tecnologías de la Comunicación
ANEXO IV: ÍNDICE DE TABLAS Tabla 1: Comparativa de métodos de recolección de direcciones ......................................28 Tabla 2: Impacto económico del spam en Suiza (2005)......................................................52 Tabla 3: Impacto económico del spam en EEUU (2007).....................................................53 Tabla 4: Zonas generadoras de spam (%) ..........................................................................66 Tabla 5: Países con mayor cantidad de máquinas comprometidas ....................................67 Tabla 6: Spam en España (del 1 de enero al 11 de marzo de 2008) ..................................77 Tabla 7: Porcentaje del spam detectado (del 1 de enero al 11 de marzo de 2008) ............78
Estudio sobre la situación, naturaleza e impacto económico y social del correo electrónico no deseado Observatorio de la Seguridad de la Información
Página 164 de 165
Instituto Nacional de Tecnologías de la Comunicación
http://www.inteco.es http://observatorio.inteco.es
Related Documents c2h70
Inteco Estudio Sobre La Situacion Naturaleza E Impacto Economico Y Social Del Correo Electronico No Deseado Spam 1c6241
February 2023 0
Importancia Del Correo Electronico 2c3a1u
February 2023 0
Correo Electronico 6l39u
April 2021 0
La Naturaleza Del Estudio 555n1j
December 2019 47
Mapa Conceptual Del Correo Electronico 1e3g5i
December 2019 24
Ventajas Y Desventajas Del Correo Electronico 3v6l42
October 2019 45More Documents from "Pablo Solano" 4h6w2o
Inteco Redes Sociales 2009 6r325r
February 2023 0
Manual Stereo Gol Country 5h6f46
May 2022 0
Inteco Estudio Sobre La Situacion Naturaleza E Impacto Economico Y Social Del Correo Electronico No Deseado Spam 1c6241
February 2023 0
Eres Productivo Vol 2 - Berto Pena 3c1g3r
June 2022 0
Test O Pruebas En El Futbol us6o
November 2019 34