Acceso ilícito a sistemas informáticos en Perú: cuándo se configura el delito

En el Perú, el acceso ilícito a sistemas informáticos es una conducta penalmente relevante cuando una persona ingresa, sin autorización o excediendo lo permitido, a un sistema, red, base de datos, correo electrónico, servicio digital o cualquier entorno informático protegido. La idea central no es solo “entrar” a un equipo: lo decisivo es vulnerar la seguridad o la voluntad de quien controla el sistema, afectando la confidencialidad, la integridad o la disponibilidad de la información.

La materia se encuentra regulada principalmente en la Ley de Delitos Informáticos, incorporada al ordenamiento penal peruano, y se analiza junto con otras figuras como la interceptación, el sabotaje informático, el fraude informático y la suplantación de identidad digital. En la práctica, el debate suele centrarse en si hubo una verdadera superación de barreras de seguridad, si existió permiso, si el acceso fue solo exploratorio o si permitió otras conductas más graves.

Qué se entiende por acceso ilícito en el derecho penal peruano

El acceso ilícito se configura cuando alguien ingresa a un sistema informático sin autorización o permanece en él excediendo la autorización concedida. El foco está en el acceso como tal, aunque no se haya modificado información ni producido un daño visible. Por eso, el delito no exige necesariamente que la víctima pierda dinero o que el sistema deje de funcionar.

En términos simples, puede existir acceso ilícito si una persona:

• usa credenciales ajenas sin permiso;
• aprovecha una vulnerabilidad para entrar a un sistema protegido;
• accede a una cuenta o base de datos para la que no tiene habilitación;
• entra con autorización limitada, pero excede el alcance de ese permiso;
• permanece conectado tras haber sido revocado su acceso.

No todo ingreso indebido a una computadora configura automáticamente delito. La evaluación jurídica depende de cómo se produjo el acceso, qué permisos existían, qué nivel de protección tenía el sistema y si se vulneró realmente una barrera de seguridad o la voluntad del titular.

Cuándo se configura el delito en Perú

Para que exista responsabilidad penal, suelen verificarse varios elementos. No siempre se expresan de manera rígida en un formato único, pero en la práctica judicial y fiscal importan especialmente los siguientes:

• Existencia de un sistema informático: puede ser un servidor, una plataforma, una cuenta en la nube, un correo electrónico, una base de datos, un sistema empresarial, una red interna u otro entorno digital protegido.
• Falta de autorización o exceso del permiso otorgado: el acceso debe ser contrario a la voluntad del titular o fuera de los límites concedidos.
• Conducta de ingreso o permanencia indebida: no basta la mera intención; debe haber una acción concreta de acceso o permanencia.
• Elemento subjetivo: normalmente se exige dolo, es decir, conocimiento de que no se tenía permiso o de que se estaba excediendo la autorización.

En muchos casos, el acceso ilícito se discute junto con indicios técnicos: registros de conexión, direcciones IP, rastros de autenticación, cambios de contraseña, uso de tokens, logs de acceso, geolocalización aproximada y otros datos digitales. Sin embargo, estos elementos deben ser obtenidos y valorados con cuidado, porque el solo hecho de que una cuenta aparezca conectada desde un dispositivo no prueba por sí mismo quién actuó materialmente.

Acceso sin permiso

Es el supuesto más claro: la persona entra a un sistema protegido sin haber recibido autorización. Puede ocurrir mediante robo de credenciales, phishing, fuerza bruta, explotación de fallas técnicas o cualquier otro medio. La forma concreta de acceso importa para probar el hecho y, en algunos casos, para determinar si además hubo otros delitos.

Acceso excediendo el permiso

También puede haber delito cuando existe una autorización parcial y el agente sobrepasa lo permitido. Por ejemplo, un trabajador con acceso a una parte del sistema entra a carpetas o módulos a los que no estaba habilitado, o un proveedor técnico usa su acceso para revisar información reservada con fines distintos a los autorizados.

Este punto es importante porque muchas controversias nacen en relaciones laborales, contractuales o de soporte técnico, donde sí existe alguna credencial válida, pero no un permiso irrestricto.

Conductas frecuentes que pueden encajar en el tipo penal

La realidad digital presenta escenarios muy variados. Algunos de los más comunes son:

• Uso de contraseñas ajenas para revisar información privada, empresarial o institucional.
• Ingreso a cuentas de correo, mensajería o plataformas internas sin autorización.
• Acceso a bases de datos de clientes, pacientes, alumnos o trabajadores sin habilitación.
• Entrada a sistemas corporativos mediante claves compartidas o filtradas, cuando se sabe que no existe permiso.
• Uso de accesos de prueba o temporales para entrar a áreas restringidas después de vencido el permiso.
• Persistencia en una sesión o sistema luego de la revocación del acceso.

El caso suele volverse más delicado cuando el acceso sirve para descargar información, copiar archivos, alterar datos o preparar un fraude. En esas situaciones, el acceso ilícito puede ser solo una parte de un conjunto de delitos informáticos o patrimoniales.

Elementos que suelen analizar fiscalía y juzgado

Diferencia con otras figuras penales cercanas

Dentro de los delitos informáticos, el acceso ilícito no siempre es la figura más grave ni la única aplicable. En Perú, puede confundirse con otras conductas parecidas, pero cada una tiene un núcleo distinto.

Acceso ilícito y vulneración de la privacidad

Si alguien entra a una cuenta personal, correo o nube privada, el acceso ilícito puede coexistir con una afectación a la intimidad o la reserva de comunicaciones. La diferencia está en que el delito informático protege el sistema y la seguridad del acceso, mientras que otros tipos penales pueden proteger la intimidad, el secreto de las comunicaciones o datos personales, según el caso.

Acceso ilícito y fraude informático

El fraude informático suele requerir una maniobra destinada a obtener un beneficio económico indebido, afectando la disposición patrimonial de la víctima mediante manipulación de sistemas o datos. Si una persona entra a una plataforma bancaria sin permiso, el acceso ilícito puede ser el primer paso; si luego realiza transferencias fraudulentas, puede aparecer además el fraude informático u otro delito patrimonial.

Acceso ilícito y sabotaje informático

El sabotaje informático implica dañar, borrar, alterar, suprimir o inutilizar datos, sistemas o programas. En cambio, el acceso ilícito puede consumarse sin daño ulterior. Entrar sin permiso ya puede ser punible, aunque el sistema siga funcionando.

Acceso ilícito y revelación o uso indebido de información

Si la persona accede sin autorización y luego divulga, comercializa o utiliza la información obtenida, pueden sumarse otras figuras penales o agravantes, dependiendo del contenido y del contexto. El análisis no se agota en el ingreso, sino en el uso posterior de lo obtenido.

Qué pasa si la persona tenía una clave o acceso entregado por tercero

Uno de los problemas más frecuentes es cuando el acceso se hizo con una contraseña que fue compartida, filtrada o entregada por alguien distinto al titular del sistema. En esos casos, no basta con decir que “había una clave”. Debe evaluarse si quien la entregó tenía facultades para autorizar ese acceso y si el ingresante sabía o podía saber que no existía consentimiento válido.

También puede ocurrir que una empresa tenga políticas internas de uso de credenciales, pero no una autorización real para determinados datos. El derecho penal no se decide solo por políticas internas; importa el control efectivo del sistema y la legitimidad del permiso.

Problemas probatorios más comunes

En los casos de acceso ilícito, la prueba técnica es decisiva, pero no siempre es sencilla. Los problemas habituales incluyen:

• Identificación del autor real: una dirección IP no siempre equivale a una persona concreta.
• Cadena de custodia digital: los registros deben conservarse y presentarse de modo confiable.
• Accesos compartidos: en entornos laborales o familiares, varias personas pueden usar el mismo equipo o red.
• Credenciales comprometidas: el titular puede negar haber ingresado, pero también pudo haber sufrido robo de contraseñas.
• Ausencia de logs suficientes: algunos sistemas no guardan trazas detalladas o estas se borran con rapidez.

Por eso, en la investigación penal suelen ser relevantes las pericias informáticas, el análisis de dispositivos, los registros de servidores y la correlación con correos, mensajes y otros indicios. Si la prueba técnica es débil, la imputación puede perder solidez aunque exista una sospecha seria.

Sanción penal y alcance jurídico

La ley peruana prevé pena para el acceso ilícito, cuya intensidad puede variar según la modalidad y las circunstancias previstas por el tipo penal y sus eventuales agravantes. No todos los supuestos reciben el mismo tratamiento. La pena exacta depende de la configuración legal aplicable al caso, de la participación de varias personas, del tipo de sistema afectado y de si hubo otras conductas adicionales.

Más allá de la pena, una investigación por este delito puede generar otras consecuencias: incautación o inmovilización de dispositivos, pericias sobre equipos, requerimientos de información a proveedores de servicios, medidas sobre cuentas o accesos, y eventualmente responsabilidad civil si se acreditan daños o perjuicios.

Escenarios prácticos para entender mejor la figura

Empleado que revisa carpetas restringidas

Si un trabajador entra a carpetas internas para las que no tiene permiso, aunque use su usuario corporativo, puede existir acceso ilícito si se demuestra que superó claramente el alcance autorizado. La clave está en el nivel de acceso que tenía y en si sabía que la información era reservada.

Excolaborador que entra con credenciales ya revocadas

Cuando una persona conserva acceso después de terminar la relación laboral, o usa credenciales antes válidas pese a haber sido desactivadas, el acceso puede ser ilícito. El cese del vínculo suele ser un dato importante, pero no reemplaza por sí solo la prueba técnica del ingreso.

Tercero que explora una vulnerabilidad

Si alguien aprovecha una falla de seguridad para ingresar sin autorización, el hecho puede encajar en el delito aunque no haya usado una contraseña robada. La explotación de una vulnerabilidad no neutraliza la ilicitud; al contrario, suele reforzarla.

Acceso por error del sistema

Puede suceder que una persona acceda accidentalmente a información que el sistema le mostró por un fallo, sin haber realizado actos de intrusión. En esos casos, el análisis penal es más complejo: no siempre basta la mera visualización fortuita para hablar de acceso ilícito, especialmente si no existió dolo ni aprovechamiento consciente.

Qué diferencia al acceso ilícito de un simple uso indebido

No toda infracción informática es delito. Hay conductas que pueden ser solo incumplimientos contractuales, faltas internas o problemas civiles. La frontera depende de la gravedad y de la afectación a la seguridad del sistema. Para que el derecho penal intervenga, por lo general debe existir una intrusión o permanencia no consentida con relevancia típica.

Un uso indebido de recursos informáticos, por sí solo, no siempre equivale a acceso ilícito. Por ejemplo, usar una computadora de la empresa para fines personales puede vulnerar normas internas, pero no necesariamente configura este delito si no hubo acceso no autorizado a sistemas protegidos.

Aspectos útiles para evaluar un caso concreto

• si el sistema tenía controles de acceso reales y documentables;
• si la persona contaba con permisos vigentes y hasta dónde llegaban;
• si el ingreso ocurrió mediante credenciales legítimas o ajenas;
• si hubo superación de una barrera técnica o solo uso de un sistema abierto;
• si el acceso se limitó a mirar información o incluyó copia, alteración o borrado;
• si existen logs, pericias, correos, mensajes o testigos que sostengan la imputación;
• si además hubo otros delitos informáticos o patrimoniales relacionados.

En materia penal informática, el detalle técnico suele ser decisivo. Una misma secuencia de hechos puede describirse de manera muy distinta según el nivel de autorización, el tipo de sistema y la prueba disponible. Por eso, antes de afirmar que hubo delito, conviene revisar con precisión si el acceso fue realmente ilícito, si se puede atribuir a una persona concreta y si la conducta quedó limitada al ingreso o se extendió a otras acciones con mayor gravedad jurídica.