El 31 de enero, el experto sueco en seguridad informática y desarrollador de software libre Ola Bini fue declarado inocente por veredicto unánime de un tribunal de tres jueces de Ecuador. Culminaba así un proceso penal infundado que se ha prolongado durante más de cuatro años. Sin embargo, la Fiscalía recurrió la sentencia de absolución, alargando este problemático proceso penal y suspendiendo la decisión del tribunal de quitar las medidas cautelares pendientes contra Bini. Como consecuencia, Bini no puede salir de Ecuador ni utilizar sus cuentas bancarias.

Como escribimos anteriormente, la sentencia de enero sentó un precedente crucial. Era la primera vez que un tribunal ecuatoriano analizaba la cuestión del acceso no consentido a un sistema informático, un acto tipificado como delito en el artículo 234 del Código Penal de Ecuador. Y lo que es más importante, el tribunal se resistió a establecer una interpretación expansiva de lo que constituye un acceso no consentido a sistemas informáticos, una medida que podría haber puesto en grave peligro la beneficiosa labor de los investigadores de seguridad y el papel vital que desempeñan para nuestra privacidad y seguridad en los sistemas de información.

La sentencia de absolución deja claros tres hechos importantes. En primer lugar, las pruebas que presentó la acusación no guardaban relación alguna con la acusación de acceso no consentido y no probaban los hechos delictivos alegados. Segundo, la única prueba que posiblemente estaba relacionada, la imagen de una sesión de telnet que mostraba una conexión a un router de la Corporación Nacional de Telecomunicaciones (CNT), no era prueba de actividad delictiva. Y tercero, la acusación no presentó ninguna prueba que demostrara el umbral requerido de intención maliciosa, necesario para el delito de acceso no consentido. En resumen, el tribunal se negó a condenar a Bini basándose en opiniones estereotipadas sobre expertos en seguridad que pretendían atizar el miedo a que él fuera un peligro para el público y la seguridad del Estado.

Las supuestas pruebas presentadas ante el tribunal no guardaban relación en su mayor parte con el delito penal imputado a Bini. Sus visitas a Julian Assange en la embajada de Ecuador en Londres, su contrato de servicios de internet, la cantidad de equipos informáticos que poseía y las traducciones de conversaciones privadas mantenidas con varios contactos a través de distintas aplicaciones de mensajería, estaban relacionadas con una estrategia de alarmismo en torno a un "pánico hacker", no con pruebas de un delito.

El tribunal tampoco respaldó el intento de la fiscalía de asociar el uso de Tor, una herramienta crucial para proteger la intimidad, con una criminalidad inherente. Los demandantes plantearon este argumento porque la imagen de la sesión de telnet muestra que la supuesta conexión a un router de la CNT se hizo utilizando Tor. Tor es una herramienta de protección de la privacidad, pero la fiscalía y el CNT intentaron enmarcar su uso como un indicio de actividad delictiva. El hecho de que el tribunal no respaldara este argumento es clave para quienes quieren proteger su privacidad, seguridad y protección en línea, así como para que los investigadores de seguridad desarrollen su trabajo.

La única "prueba" que evaluó el tribunal fue una imagen de una sesión de telnet. Se filtró a los medios de comunicación incluso antes de que se incluyera en el expediente del caso y, como ya señalamos anteriormente, en última instancia no demostró la existencia de acceso no consentido o actividad delictiva. Basándose en el artículo 234 del Código Penal de Ecuador, el tribunal evaluó si (a) Bini llegó a "acceder" o "mantenerse" en un sistema, y (b) si había una intención maliciosa implicada, como explotar ilegítimamente dicho acceso o desviar su tráfico. En cuanto a (a), el tribunal determinó que una conexión telnet a un router de la CNT, que pedió un nombre de usuario y una contraseña pero no recibió ninguna informacón en respuesta antes de que se agotara el tiempo de conexión, no es "acceso". Sin embargo, el tribunal no abordó la cuestión de la veracidad de la imagen en sí. Sobre (b), el tribunal subrayó que tanto la Fiscalía como la CNT no presentaron ninguna prueba para corroborar el elemento de intención maliciosa, necesario para calificar el acto como un delito de "acceso no consentido". Esta combinación de elementos en el artículo 234 reafirma lo importante que es incluir la intención maliciosa en la definición de la responsabilidad penal a la hora de redactar leyes sobre ciberdelincuencia. Como hemos subrayado en repetidas ocasiones, el requisito de intención maliciosa ayuda a evitar la aplicación arbitraria de las disposiciones sobre ciberdelincuencia contra la beneficiosa actividad de los expertos e investigadores en seguridad.

El tribunal también avaló los testimonios de los peritos según los cuales la imagen ni siquiera puede probar que los comandos que en ella se ilustran fueran realmente ejecutados. La sentencia señala que el perito de la CNT nunca tuvo acceso a los dispositivos y sistemas involucrados en la supuesta intrusión, y que el informe que elaboró en nombre de la Fiscalía se limitó al análisis de un informe previo de un empleado de la CNT. La persona que lideró el área de redes y conectividad de la Presidencia de Ecuador también manifestó que la Fiscalía no solicitó información sobre ninguno de los equipos, ni las IPs de los mismos, ni los accesos realizados a los equipos para verificar un posible acceso no consentido.

En junio, la Misión de Observación del caso de Ola Bini, a la que la EFF se une con muchas otras organizaciones de derechos digitales y humanos, celebró una sesión en la RightsCon para analizar la sentencia absolutoria unánime de Ola Bini, y publicó una declaración en la que se hace hincapié en los puntos anteriores. Estos constituyen precedentes clave para otros expertos en ciberseguridad y defensores de los derechos digitales perseguidos. La declaración destaca lo importante que fue para el tribunal negarse a avalar un caso basado en supuestas pruebas que no guardan relación con la acusación, evitar interpretaciones amplias del derecho penal para perseguir a expertos en seguridad basándose en estereotipos sobre la tecnología y la comunidad de expertos informáticos, y negarse a avalar las alegaciones de que el uso de Tor indica cualquier sospecha de actividad delictiva. Aunque el tribunal perdió la oportunidad de reforzar la relevancia de las tecnologías que mejoran la privacidad, como Tor, para garantizar la libertad de expresión, la privacidad y otros derechos humanos en línea, la sentencia de absolución es un precedente relevante que hay que aplicar.

Ahora que la Fiscalía de Ecuador ha recurrido la absolución de Ola Bini, pese a la falta de pruebas contra el experto en seguridad, las autoridades judiciales ecuatorianas deben preservar los puntos cruciales de la sentencia y ratificar la inocencia de Bini. Es revelador que la CNT, responsable del sistema al que supuestamente se accedió sin consentimiento, no apelara, lo que corrobora la debilidad del caso. Seguiremos vigilando la evolución del caso para garantizar que prevalezca el debido proceso.