Delitos informáticos en Colombia: cuáles son y cómo se investigan

Delitos informáticos en Colombia aluden a conductas que, mediante el uso de sistemas, redes o dispositivos informáticos, atacan la confidencialidad, integridad, disponibilidad o autenticidad de la información o generan perjuicio patrimonial, reputacional o de otro tipo. Su tratamiento penal combina normas sustantivas del Código Penal con disposiciones procesales y reglas sobre protección de datos y telecomunicaciones, y está influido por la práctica investigativa de la Fiscalía General de la Nación y las unidades especializadas de policía judicial.

Marco jurídico relevante

Las normas clave para entender los delitos informáticos en Colombia incluyen el Código Penal (Ley 599 de 2000) con las modificaciones introducidas por la Ley 1273 de 2009 (que tipificó varios delitos informáticos), el Código de Procedimiento Penal (Ley 906 de 2004) que regula la investigación criminal, la Constitución Política (protección de la intimidad y datos personales) y la Ley de Protección de Datos Personales (Ley 1581 de 2012). En la práctica intervienen fiscalías con unidades especializadas y la Policía Nacional en su función de investigación criminal y policía judicial.

Qué conductas suelen calificarse como delitos informáticos

La tipología práctica incluye, entre otras, las siguientes conductas:

• Acceso no autorizado a sistemas, redes o cuentas sin consentimiento del titular o excediendo permisos.
• Intercepción ilícita de comunicaciones electrónicas o de datos en tránsito.
• Daño o alteración de datos, programas o sistemas (sabotaje informático, eliminación o corrupción de información).
• Introducción o distribución de malware (virus, troyanos, ransomware) que afecte sistemas o datos.
• Fraude informático o estafas ejecutadas por medios electrónicos (phishing, clonación de tarjetas vía web, comercio electrónico fraudulento).
• Suplantación de identidad mediante medios electrónicos y aprovechamiento de credenciales ajenas.
• Disponibilidad comprometida (ataques tipo DDoS u otras formas de interferencia que impidan el servicio).

Comparativa rápida de conductas (tabla)

Cuándo aplican estas normas

Las normas penales aplican cuando la conducta configura los elementos objetivos y subjetivos del tipo penal respectivo: una acción u omisión sobre sistemas o datos y la intención o la culpa según lo exija la norma. En términos prácticos, se requiere que la conducta afecte bienes jurídicos protegidos (información, integridad del sistema, patrimonio, intimidad) y que exista nexo causal entre la conducta y el resultado. La ley electrónica no se limita a grandes empresas: puede aplicarse ante afectaciones de personas naturales, pymes, entidades públicas o el Estado.

Elementos jurídicos y condiciones frecuentes

• Consentimiento y autorización: el acceso o tratamiento legítimo requiere autorización del titular. El acceso sin autorización o el exceso de permiso (por ejemplo, un empleado que usa credenciales para fines no autorizados) es relevante.
• Intencionalidad: muchos tipos penales exigen dolo (intención de causar daño o lograr beneficio). En algunos casos la conducta culposa puede generar responsabilidad administrativa o civil, pero la tipificación penal suele exigir dolo.
• Medio electrónico como instrumento o fin: el uso de tecnología puede ser medio para un delito tradicional (fraude) o el objeto mismo del delito (sabotaje informático).
• Perjuicio patrimonial o no patrimonial: algunos hechos necesitan demostrar perjuicio económico; otros protegen bienes jurídicos autónomos como la integridad de los datos o la confidencialidad.

Cómo se investiga un delito informático: pasos habituales

El esquema procesal típicamente sigue la ruta del derecho penal acusatorio: reporte inicial, investigación preliminar por la Fiscalía, actuaciones tendientes a la recolección de evidencia y eventual imputación. Las fases y prácticas concretas varían según el caso y la fiscalía territorial, pero suelen incluir:

• Denuncia o comunicación del hecho ante la Fiscalía o la Policía Judicial. Cualquier persona puede denunciar; los ámbitos institucionales (entidades financieras, proveedores de internet) también informan cuando detectan incidentes relevantes.
• Asignación de fiscal y apertura de investigación, con análisis preliminar de la información disponible.
• Solicitudes de medidas cautelares ante juez (registro y allanamiento, secuestro de equipos, interceptación, embargo sobre valores) cuando la prueba puede perderse o existe riesgo de ocultamiento.
• Preservación y requerimiento a proveedores (operadores de comunicaciones, hosting, plataformas) para conservar contenidos, metadatos o tráfico. En situaciones internacionales se gestionan solicitudes de cooperación.
• Peritaje forense digital realizado por peritos acreditados: imagen forense de discos, análisis de registros, extracción de datos, reconstrucción de eventos y generación de informe técnico que respalde la cadena de custodia.
• Recolección de prueba complementaria (testimonios, estados de cuenta, contratos electrónicos, registros de acceso). Luego se decide la imputación y, si procede, la acusación.

Pruebas digitales y la cadena de custodia

La evidencia digital es frágil y más susceptible a alteraciones. Por eso son centrales dos reglas prácticas y legales:

• Preservación inmediata: solicitar a proveedores y a los órganos investigativos la conservación de logs, copias de seguridad y comunicaciones. Cuanto antes se conserve, menor el riesgo de pérdida.
• Cadena de custodia y peritaje: cualquier dispositivo o soporte incautado debe documentarse formalmente (actas de incautación, embalaje, custodia) y entregarse a peritos para examen forense que documente integridad (hashes, timestamps) y permita reproducibilidad de hallazgos.

Si la evidencia se obtiene sin las autorizaciones legales pertinentes, puede cuestionarse su validez en sede judicial por vulneración de derechos fundamentales (intimidad, debido proceso).

Medidas cautelares y órdenes judiciales

Para recabar o asegurar evidencia y evitar la continuidad del delito, la Fiscalía suele solicitar órdenes a jueces de control de garantías: registros y allanamientos, incautación de dispositivos, interceptación de comunicaciones y embargo o bloqueo de activos relacionados con el ilícito. Para intervención de datos en poder de terceros (proveedores de hosting, plataformas extranjeras) se tramitan solicitudes de preservación y cooperación internacional cuando corresponde.

La autorización judicial suele ser requisito para medidas intrusivas que afecten derechos fundamentales (por ejemplo, interceptación de comunicaciones). La falta de autorización puede acarrear la exclusión de la prueba.

Dificultades más frecuentes en la investigación

• Atribución y anonimato: identificar al autor real puede ser complejo: uso de cuentas falsas, VPN, redes TOR y servidores intermedios obstruyen la identificación.
• Ubicación geográfica y jurisdicción: servidores o datos alojados en el exterior requieren cooperación internacional, lo que amplía tiempos y complejidad.
• Volatilidad de la prueba: logs y datos temporales suelen borrarse con rapidez si no se ordena su preservación.
• Encriptación y claves: la presencia de cifrado puede impedir el acceso a información sin que exista la clave, planteando la necesidad de medidas técnicas o legales sobre quienes tengan acceso.
• Falta de cultura probatoria: en muchos casos las víctimas no preservan evidencia o modifican dispositivos accidentalmente (apagar equipos, reinstalar sistemas), lo que dificulta la investigación.

Responsabilidades de proveedores y cooperación

Proveedores de servicios de internet, hosting, plataformas y operadores de comunicaciones suelen estar obligados a atender requerimientos judiciales o fiscales para entrega o conservación de información, siempre dentro del marco legal aplicable (protección de datos, secreto de las comunicaciones y garantías procesales). Cuando los datos están fuera del país, se recurre a mecanismos de cooperación internacional y tratados de asistencia judicial mutua.

Qué puede hacer una persona afectada: pasos prácticos y legales

• Documentar el incidente: conservar correos, pantallazos, registros de transacciones y cualquier comunicación relacionada.
• No manipular la evidencia: evitar formatear o reinstalar dispositivos. Si es necesario desconectar equipos de la red, hacerlo con precaución y documentarlo.
• Reportar a las autoridades: presentar denuncia ante la Fiscalía o la Policía Judicial indicando toda la información disponible (fechas, correos, IP si se dispone, montos, testigos).
• Solicitar preservación a proveedores (bancos, plataformas, hosting) para que conserven registros y comunicaciones mientras avanza la investigación.
• Asesoría técnica y legal: obtener soporte de peritos o abogados con experiencia en derecho informático puede facilitar la conservación y la presentación de pruebas ante la Fiscalía.

La rapidez y la correcta preservación de la evidencia aumentan la posibilidad de identificación del responsable y de recuperación de activos o mitigación del daño.

Diferencias con figuras parecidas

Es importante distinguir entre:

• Delitos informáticos puros: el objeto del ataque es el sistema o los datos (por ejemplo, sabotaje de servidores, eliminación de bases de datos).
• Delitos tradicionales cometidos con medios informáticos: el medio es electrónico pero el bien jurídico atacado es tradicional (por ejemplo, una estafa cuya ejecución se realiza por correo electrónico). Estos casos pueden acumularse con normas informáticas, pero la calificación penal dependerá del tipo de daño y del modo de comisión.
• Responsabilidad civil y administrativa: muchas conductas generan responsabilidad civil (reparación de daños) o sanciones administrativas (incumplimiento de obligaciones de protección de datos), además de responsabilidad penal si se configuran los elementos del delito.

Recomendaciones para organizaciones

• Contar con políticas de seguridad informática y planes de respuesta ante incidentes que incluyan procedimientos para preservar evidencia.
• Registrar y conservar logs críticos, implementar controles de acceso y sistemas de respaldo que faciliten la reconstrucción de incidentes.
• Formular protocolos de reportes internos y externos alineados con requisitos legales y de protección de datos.
• Coordinar con asesoría legal desde la detección para no comprometer la validez probatoria y asegurar el cumplimiento de obligaciones de comunicación a autoridades o a titulares de datos cuando corresponda.