Memorando Técnico-Legal

El presente documento es publicado por Tech del Fuego con el objeto de exponer, con fundamento técnico y jurídico, la naturaleza, el alcance y la licitud de las actividades de reconocimiento pasivo y consulta de fuentes abiertas que ejecuta en el marco de los servicios de evaluación de superficie de exposición ofrecidos a sus clientes. Se publica para libre consulta de clientes, prospectos, investigadores, autoridades y cualquier interesado legítimo.

Lo expresado en este Memorando complementa, sin sustituir, las cláusulas contractuales que regulan cada relación particular con clientes, en especial el Acuerdo de Confidencialidad y el Anexo de Alcance Autorizado que se suscriben con cada uno.

1. Naturaleza técnica de la actividad

1.1. Tech del Fuego ejecuta, como parte de su evaluación de superficie de exposición, un conjunto de consultas y verificaciones que se realizan exclusivamente sobre fuentes públicas y servicios diseñados para ser consultados por cualquier persona o sistema. Estas actividades se conocen, en la práctica internacional, como Open Source Intelligence (OSINT) Pasivo y reconocimiento no intrusivo.

1.2. Las actividades enumeradas en la cláusula 4 del presente Memorando comparten una característica común: en ningún caso establecen comunicación con sistemas que requieran credenciales de acceso, ni vulneran medidas de seguridad informática, ni envían cargas útiles dirigidas a explotar fallas, ni alteran el comportamiento esperado de los servicios consultados.

1.3. El comportamiento de las herramientas utilizadas es funcionalmente equivalente al de un navegador web, un cliente de correo, un resolver DNS o un buscador web cuando interactúan con servicios públicos. Toda persona o sistema que navegue por internet ejecuta, en mayor o menor medida, las mismas consultas que ejecuta Tech del Fuego en el marco de la evaluación.

2. Marco normativo aplicable en la República Argentina

2.1. La principal norma penal aplicable a las actividades de reconocimiento informático en la República Argentina es la Ley N.° 26.388 de Delitos Informáticos, que incorporó al Código Penal de la Nación, entre otros, el artículo 153 bis, el cual reprime el acceso a un sistema o dato informático de acceso restringido, sin la debida autorización o excediendo la que se posea.

2.2. El núcleo del tipo penal del artículo 153 bis se encuentra en dos elementos concurrentes: la existencia de un sistema o dato de acceso restringido, y la realización de un acto de acceso indebido sobre dicho sistema o dato. La ausencia de cualquiera de los dos elementos excluye la tipicidad de la conducta.

2.3. En las actividades de OSINT pasivo no se configura ninguno de los dos elementos: las fuentes consultadas son por definición públicas y de acceso libre, y la consulta se realiza por los canales y protocolos diseñados para ese fin, sin vulnerar medida alguna de seguridad. La situación es asimilable a la consulta de un Boletín Oficial o un registro público de comercio: nadie podría sostener razonablemente que el lector de un Boletín está accediendo indebidamente a la información que dicho Boletín publica.

2.4. Resulta también aplicable la Ley N.° 25.326 de Protección de los Datos Personales, en tanto el tratamiento de datos personales que pudieran identificarse en fuentes abiertas se realiza con la única finalidad de notificar al titular de los activos sobre exposiciones existentes, sin almacenamiento ulterior, transferencia ni uso secundario, conforme al principio de finalidad establecido en el artículo 4 de dicha ley.

3. Analogía con la actividad ordinaria de internet

Para una correcta comprensión del alcance de las actividades, resulta ilustrativo comparar las consultas que ejecuta Tech del Fuego con actividades cotidianas y socialmente aceptadas que ejecutan otros actores de internet:

• Los motores de búsqueda como Google, Bing y DuckDuckGo indexan diariamente millones de sitios web sin solicitar autorización individual a cada propietario. Lo hacen por entender, conforme a una práctica universalmente aceptada, que la publicación voluntaria en internet implica el consentimiento implícito a la indexación.
• Los servicios de monitoreo de uptime, los proveedores de inteligencia de amenazas y las redes de distribución de contenido (CDN) ejecutan permanentemente consultas DNS, conexiones TLS y solicitudes HTTP sobre infraestructura de terceros, sin contrato individual con cada uno.
• Los Internet Service Providers, los registros regionales de internet y las plataformas de Certificate Transparency operan registros públicos cuya razón de existir es justamente que sean consultados libremente por cualquier interesado.
• Los investigadores académicos, los periodistas de investigación y los analistas de fuentes abiertas en organismos oficiales utilizan exactamente las mismas técnicas que Tech del Fuego, en el marco de actividades cuya licitud nunca ha sido cuestionada.

4. Enumeración de actividades y fundamento de licitud

Se detallan a continuación las actividades técnicas comprendidas en el reconocimiento pasivo y el fundamento individual de su licitud:

5. Actividades no comprendidas y que requieren autorización expresa

Tech del Fuego declara expresamente que las siguientes actividades NO se encuentran comprendidas en el reconocimiento pasivo, no se ejecutan sin autorización particular, y respecto de ellas Tech del Fuego siempre exige a sus clientes la suscripción de un instrumento específico que las habilite:

• Escaneo activo de puertos, incluyendo barridos completos, detección de versiones y enumeración de servicios mediante herramientas como Nmap, Masscan o equivalentes.
• Pruebas de credenciales de cualquier naturaleza, incluyendo el uso de credenciales por defecto, débiles o filtradas.
• Verificación activa de vulnerabilidades mediante el envío de cargas útiles dirigidas a comprobar la presencia de fallas de seguridad.
• Pruebas de fuzzing sobre aplicaciones web, APIs o protocolos de red.
• Análisis de aplicaciones que requieran autenticación previa.
• Web scraping intensivo o sostenido que pueda afectar la disponibilidad del servicio consultado.
• Pruebas de ingeniería social, phishing simulado o cualquier interacción con personas físicas que presten servicios para el titular del activo.
• Pruebas de stress o de denegación de servicio.

6. Política de trazabilidad y transparencia operativa

6.1. Tech del Fuego mantiene registros completos de todas las consultas que ejecuta, incluyendo fecha y hora, dirección IP de origen, activo consultado y herramienta utilizada. Estos registros se conservan por un plazo no inferior a doce (12) meses y pueden ser entregados al titular del activo o a la autoridad competente que los requiera por causa fundada.

6.2. Tech del Fuego ejecuta sus actividades desde direcciones IP identificables y bajo agentes de usuario que permiten identificar el origen de las consultas. No se utilizan redes anónimas, infraestructura comprometida ni técnicas de ofuscación. Esta política es deliberada y constituye un elemento central de la diferencia operativa entre el reconocimiento profesional y la actividad maliciosa.

6.3. La frecuencia de las consultas se mantiene en parámetros equivalentes al uso ordinario de los servicios consultados. Se aplican límites de tasa que garantizan que la actividad no genera, en ningún caso, condiciones equiparables a una degradación de servicio, aún culposa.

7. Tratamiento de datos personales identificados en fuentes abiertas

7.1. En las consultas de fuentes abiertas pueden identificarse, de forma incidental, datos personales pertenecientes a personas físicas, tales como direcciones de correo electrónico institucionales o credenciales filtradas en eventos de seguridad de terceros. Tech del Fuego trata estos datos con la única finalidad de notificarlos al titular del activo o al titular del dato afectado, en cumplimiento del principio de finalidad establecido por la Ley N.° 25.326.

7.2. Los datos personales identificados no se almacenan más allá del plazo estrictamente necesario para la entrega del informe, no se transfieren a terceros, no se utilizan con fines comerciales y se eliminan al finalizar el servicio o cuando lo requiera el titular, lo que ocurra primero.

8. Canal de contacto de seguridad y divulgación responsable

8.1. Tech del Fuego adhiere al principio de coherencia: ofrece a quienes investigan sus propios sistemas el mismo marco de buena fe que solicita de sus clientes para sus propias actividades. En consecuencia, mantiene canales públicos para la recepción de reportes de vulnerabilidades y comunicaciones vinculadas al alcance del presente Memorando.

Para reportar una vulnerabilidad detectada en infraestructura propia de Tech del Fuego, se publica un archivo conforme al estándar RFC 9116 en la siguiente ubicación: techdelfuego.com/.well-known/security.txt. Dicho archivo contiene los canales de contacto vigentes, la clave criptográfica para comunicaciones cifradas y las políticas aplicables.

La política completa de divulgación responsable, incluyendo plazos de respuesta, alcance, escenarios cubiertos y compromisos de no persecución de buena fe, se encuentra publicada en techdelfuego.com/legal/divulgacion.

8.2. Para consultas, observaciones o requerimientos vinculados al contenido del presente Memorando que no constituyan reportes de vulnerabilidades, el canal formal es la dirección nicolasoroz@techdelfuego.com. Tech del Fuego se compromete a responder dentro de los diez (10) días hábiles.

9. Declaraciones y compromisos del Emisor

9.1. Tech del Fuego declara que ha desarrollado y mantiene políticas internas de uso aceptable, capacitación profesional continua y procedimientos de control que aseguran el cumplimiento estricto del marco normativo aplicable y de los compromisos asumidos en el presente Memorando.

9.2. Tech del Fuego se compromete a actualizar el presente Memorando cuando se produzcan modificaciones sustantivas en el marco normativo aplicable, en las técnicas utilizadas o en las políticas operativas. La versión vigente se publica permanentemente en la dirección indicada en la cabecera del presente documento. Las versiones anteriores se conservarán accesibles a efectos históricos por al menos veinticuatro (24) meses desde su reemplazo.

10. Alcance del presente memorando

10.1. El presente Memorando es una declaración unilateral del Emisor con fines descriptivos y aclaratorios. No constituye opinión legal, no genera obligaciones contractuales hacia terceros distintos del Emisor y no sustituye los instrumentos contractuales específicos que regulan cada relación con clientes.

10.2. Para evaluaciones que excedan el alcance del reconocimiento pasivo descripto en la cláusula 4, el Emisor exige a sus clientes la suscripción del Acuerdo de Confidencialidad y del Anexo de Alcance Autorizado y, cuando corresponda, de Cartas de Autorización particulares para cada actividad activa o intrusiva.

10.3. Toda interpretación o controversia derivada del presente Memorando se regirá por las leyes de la República Argentina y será de competencia de los Tribunales Ordinarios de la ciudad de Río Grande, Provincia de Tierra del Fuego, Antártida e Islas del Atlántico Sur.