Acceso ilegítimo a una cuenta o sistema en Argentina: cuándo configura delito

El acceso ilegítimo a una cuenta o a un sistema informático en Argentina se refiere, desde la perspectiva penal, a la conducta de ingresar a recursos digitales (cuentas de usuario, bases de datos, servidores, redes privadas, aplicaciones) sin la autorización de quien tiene derecho sobre ellos o sobrepasando los límites de una autorización. La idea central es que la conducta afecte la confidencialidad, integridad o disponibilidad de datos o sistemas, y que exista voluntad de violar el resguardo técnico o jurídico que protege ese acceso.

Marco jurídico general en Argentina

Los delitos informáticos en Argentina se encuadran en el Derecho Penal vigente y en normas complementarias que han ido incorporando figuras relacionadas con las tecnologías. La calificación concreta depende de la conducta realizada, del bien jurídico lesionado (por ejemplo, la confidencialidad de la información, el patrimonio, la intimidad) y del contexto (si se utilizó para cometer fraude, para dañar, para suplantar identidad, etc.).

En causas por acceso ilegítimo suelen intervenir fiscalías penales —federales o provinciales según el caso— y jueces competentes. La competencia puede variar: el fuero federal suele intervenir cuando el hecho afecta sistemas de jurisdicción nacional, cruza fronteras, o puede comprenderse en normas de competencia federal; el fuero provincial actúa cuando la afectación es de alcance local. Esa determinación se realiza caso por caso.

¿Cuándo constituye delito el acceso ilegítimo?

El acceso ilegítimo configura un delito cuando concurren, al menos, los siguientes elementos:

• Acceso sin autorización: ingresar a una cuenta o sistema sin el consentimiento del titular o excediendo una autorización concedida.
• Medios de vulneración: empleo de medios técnicos para eludir medidas de seguridad (burlar contraseñas, explotar vulnerabilidades, utilizar herramientas de intrusión) o la obtención fraudulenta de credenciales.
• Voluntad o dolo: intención de violar la protección del acceso o de obtener un beneficio ilícito o causar un perjuicio. En algunos supuestos la conducta negligente puede constituir ilícito administrativo pero no penal; la valoración depende de la norma aplicable.
• Resultado o peligrosidad: aunque no siempre se requiere un daño efectivo para imputar el delito, la existencia de un uso indebido de la información, la destrucción, la modificación de datos o la comisión de un delito ulterior (fraude, extorsión) agravan la conducta.

Acceso autorizado pero con fin ilícito

Un trabajador que posee credenciales válidas pero las usa para acceder a datos sensibles para venderlos o para dañar a la empresa puede incurrir en responsabilidad penal por exceder la autorización. La clave es el fin y la previsión de que la conducta vulnera la confianza y los límites del permiso.

Diferencias con figuras parecidas

Es importante distinguir el acceso ilegítimo de otras figuras dentro de los delitos informáticos:

• Estafa informática (fraude electrónico): se produce cuando el acceso o la manipulación de datos se utiliza para obtener un beneficio patrimonial mediante engaño. El acceso ilegítimo puede ser el medio para cometer la estafa, pero la estafa exige el resultado patrimonial y el engaño.
• Daño informático: implica la destrucción, alteración o inutilización de datos o sistemas. Puede coexistir con el acceso ilegítimo si el intruso modifica o borra información.
• Intercepción de comunicaciones: consiste en captar el contenido de comunicaciones privadas (mensajes, llamadas) sin autorización. Es distinto del mero acceso a una cuenta si la conducta implica la interceptación mientras se transmite la información.
• Suplantación de identidad (phishing, SIM swap): implica hacerse pasar por otra persona para obtener acceso o beneficios. Puede ser el método para lograr el acceso ilegítimo.

Comparativa rápida

Problemas frecuentes y riesgo probatorio

En las investigaciones suelen aparecer obstáculos prácticos:

• Identificación del autor: la conexión puede realizarse desde servidores intermedios (proxy, VPN) o redes de terceros, lo que complica ligar un acceso a una persona física.
• Conservación de pruebas: los logs y rastros en servidores se sobrescriben con rapidez; exigir su preservación requiere diligencia temprana.
• Acceso legítimo ambiguo: usuarios con credenciales compartidas o permisos amplios generan disputas sobre si hubo autorización o exceso de facultades.
• Pruebas técnicas complejas: la pericia informática es clave; las partes deben aportar análisis forenses que expliquen la mecánica del acceso y su autoría.

Cómo se aborda penalmente

Procedimentalmente, los pasos habituales son:

• Recepción de la denuncia por la fiscalía competente o presentación de querella por la víctima.
• Medidas cautelares iniciales: preservación de evidencias, solicitud a proveedores de servicios para que conserven logs o bloqueen cuentas, y medidas de aseguramiento de bienes si procede.
• Pericia forense informática para reconstruir la intrusión, identificar IPs, tiempos, vectores de ataque y vincular la conducta con un sujeto.
• Determinación de la calificación legal en función del resultado (acceso simple, acceso con fin de estafa, daño, extorsión, etc.).
• Etapas de investigación, posible imputación, audiencias y, si corresponde, juicio oral.

Cómo actuar si se es víctima

Acciones prácticas y recomendadas para preservar derechos y facilitar la investigación:

• No eliminar ni modificar información relacionada con el hecho. Evitar "limpiar" logs o borrar mensajes que pueden ser prueba.
• Documentar fechas, horas, mensajes sospechosos, pantallazos, emails de confirmación, intentos de restablecimiento de contraseñas, números de ticket con el proveedor.
• Guardar registros técnicos: IPs, encabezados de emails, cabeceras HTTP, hashes de archivos y cualquier archivo descargado que muestre la intrusión.
• Contactar al proveedor del servicio (sin manipular evidencia) para solicitar la conservación de registros y reportar el incidente. Para obtener esos datos formalmente se suele necesitar intervención judicial o fiscal.
• No acceder nuevamente a la cuenta si no se tiene autorización; hacerlo puede complicar la cadena de custodia o crear imputaciones adicionales.
• Asesoramiento especializado: un abogado con experiencia en delitos informáticos orienta sobre el tipo de denuncia a presentar y las medidas judiciales posibles.

Pruebas útiles en un caso de acceso ilegítimo

• Registros de acceso (logs) del servicio afectado: IP, marca temporal, agente de usuario, resultado de autenticación.
• Registros del proveedor de Internet o de servicios en la nube (con orden judicial suele solicitarse la conservación y entrega).
• Capturas de pantalla, correos de notificación, capturas de mensajes de restablecimiento de contraseña.
• Peritajes que comparen huellas de acceso con dispositivos, análisis forense de equipos, metadatos de archivos.
• Testimonios de administradores del sistema o de empleados que constaten la vulneración.

Defensas y matices jurídicos

Entre las defensas posibles figuran:

• Consentimiento: prueba de que el titular permitió el acceso (de forma expresa o tácita).
• Ausencia de dolo: acceso accidental o por error sin intención de vulnerar la seguridad; la relevancia penal de esa defensa depende de la exigencia subjetiva de la norma aplicable.
• Actividad legítima de prueba: acciones de investigación o de seguridad interna realizadas con autorización previa y limitada; para investigadores de seguridad es aconsejable documentar permisos por escrito.
• Acceso desde terceros: si la conexión se originó en un equipamiento robado o en una red comprometedora, puede ser difícil atribuir autoría sin pruebas directas.

Supuestos prácticos y valoraciones

• Supuesto A: Un tercero obtiene una contraseña por ingeniería social y transfiere fondos. Valoración: hay acceso ilegítimo más posible estafa informática. La investigación debe probar la maniobra de engaño y la relación entre el acceso y la transferencia.
• Supuesto B: Un empleado con acceso legítimo descarga bases de datos para venderlas. Valoración: aunque tenía credenciales, el uso para fines comerciales no autorizados puede constituir acceso en exceso de facultades y delito contra la confidencialidad o patrimonial según el uso.
• Supuesto C: Un investigador descubre una vulnerabilidad y accede al sistema sin permiso para demostrarla. Valoración: si no existe autorización, la conducta puede ser imputable; la existencia de buena fe no siempre exonera penalmente. Es prudente solicitar autorización previa o notificar de forma coordinada.

Medidas preventivas para evitar ser víctima o responsable

• Implementar políticas de contraseñas robustas y autenticación de dos factores.
• Segmentar accesos y aplicar el principio de menor privilegio en entornos laborales.
• Registrar y rotar logs, conservar bitácoras y configurar alertas de accesos inusuales.
• Formación sobre ingeniería social y protocolos de denuncia interna.
• Cláusulas contractuales que regulen el uso de credenciales y responsabilidad por su uso indebido.

Medios de reparación y medidas civiles

Además de la vía penal, la persona afectada puede reclamar por vías civiles y administrativas:

• Reparación de daños y perjuicios por lucro cesante y daño emergente, si se acredita el perjuicio patrimonial.
• Medidas cautelares civiles para obtener copia de registros, bloqueo de cuentas o prohibición de uso de datos.
• Acciones de protección de la intimidad u otros remedios según la normativa de protección de datos y derechos personales.

Recomendaciones finales de actuación práctica

• Preservar pruebas desde el primer momento y evitar modificaciones en sistemas afectados.
• Actuar mediante abogado si se busca iniciar acciones penales o civiles; el profesional saber qué medidas urgentes pedir al juez o fiscal.
• Coordinar con proveedores y solicitar la conservación de registros; para su entrega suele requerirse intervención judicial.
• Considerar medidas técnicas inmediatas: cambiar contraseñas, revocar sesiones, actualizar sistemas y notificar a usuarios afectados.