Delitos informáticos en México y conductas que pueden denunciarse penalmente

En México, los delitos informáticos abarcan conductas realizadas mediante sistemas, redes, dispositivos o datos electrónicos que afectan bienes jurídicos como el patrimonio, la privacidad, la integridad de la información, la seguridad de los sistemas o la confianza en medios digitales. No existe una sola figura penal que reúna todos los supuestos: la regulación se encuentra dispersa entre el Código Penal Federal, los códigos penales estatales y, en algunos casos, leyes especiales o tipos penales relacionados con acceso indebido, fraude, falsificación, amenazas, extorsión, divulgación de datos o daño a sistemas.

La importancia práctica de este tema es que no toda conducta “digital” es penalmente relevante, pero sí pueden denunciarse penalmente aquellas que encajen en un tipo penal concreto. En la práctica, identificar correctamente el hecho es decisivo: no es lo mismo un problema de soporte técnico, una controversia civil o mercantil, que un acceso no autorizado, una suplantación de identidad o una extorsión cometida por medios electrónicos.

Qué se entiende por delito informático en México

En sentido amplio, un delito informático es aquel que se comete usando tecnología digital como medio, contra sistemas o datos informáticos, o aprovechando entornos digitales para lesionar derechos o intereses protegidos por la ley penal. En la práctica mexicana, esa categoría incluye supuestos muy distintos entre sí.

Entre las conductas más comunes se encuentran el acceso sin autorización a cuentas o dispositivos, la alteración o destrucción de información, la obtención indebida de datos personales, el fraude mediante páginas falsas o mensajes engañosos, la extorsión con amenazas por medios electrónicos y la publicación no consentida de contenido íntimo cuando la legislación aplicable lo sanciona.

Es importante distinguir entre:

• Delitos cometidos por medios digitales: por ejemplo, fraude, amenazas o extorsión realizadas desde internet, mensajería o redes sociales.
• Delitos contra sistemas o datos: por ejemplo, acceso ilícito, daño informático o interferencia en equipos o información.
• Conductas que pueden ser ilícitas pero no penales: incumplimientos contractuales, invasiones de privacidad sin relevancia penal, o conflictos por cuentas y accesos que solo generan responsabilidad civil, laboral, administrativa o mercantil.

Marco legal aplicable en México

La regulación penal en materia digital no está concentrada en una sola ley. Dependiendo del hecho, pueden intervenir:

• El Código Penal Federal, para conductas previstas en el ámbito federal.
• Los códigos penales de las entidades federativas, que en muchos casos contemplan delitos informáticos o figuras afines.
• Leyes especiales y disposiciones sobre datos personales, telecomunicaciones, propiedad intelectual o seguridad pública, cuando el hecho se relaciona con esas materias.

En México también existe un problema práctico relevante: la tipificación no es idéntica en todo el país. Algunas entidades regulan expresamente el acceso ilícito, el daño a sistemas, el fraude digital o la difusión de contenido íntimo; otras remiten a figuras tradicionales como fraude, amenazas, extorsión o daños, aplicadas a medios electrónicos. Por ello, la respuesta penal depende del lugar de comisión, del sujeto afectado y del tipo de conducta.

Conductas que pueden denunciarse penalmente

Acceso no autorizado a cuentas, dispositivos o sistemas

Una de las conductas más frecuentes es entrar sin permiso a una cuenta de correo, una red social, una plataforma de servicios, un teléfono o un sistema empresarial. Penalmente, esto puede encuadrar en tipos de acceso ilícito o en figuras cercanas, según la entidad federativa y las circunstancias del caso.

Para que exista relevancia penal, normalmente debe existir ausencia de autorización y una intervención que exceda el simple uso legítimo. No toda recuperación de contraseña, revisión accidental o conflicto interno de acceso genera delito; el elemento central es la intrusión indebida.

Suplantación de identidad digital

Cuando una persona crea cuentas falsas, se hace pasar por otra, usa fotografías, nombres o datos ajenos para obtener beneficios, engañar a terceros o dañar a la víctima, puede configurarse un delito, dependiendo de la finalidad y del daño producido. En algunos casos la conducta se relaciona con fraude, falsedad, usurpación de identidad o delitos contra la intimidad.

La suplantación suele ser especialmente delicada cuando se usa para pedir dinero, contratar servicios, generar desinformación o acceder a información reservada. Si solo existe un perfil falso sin perjuicio penalmente relevante, puede no bastar para una denuncia criminal, aunque sí para medidas de retiro de contenido o acciones civiles y administrativas.

Fraude cometido por medios electrónicos

El fraude no deja de ser fraude por ocurrir en internet. Si alguien engaña a otra persona mediante una página falsa, un anuncio apócrifo, un mensaje de mensajería instantánea o un correo fraudulento para obtener dinero, bienes o datos, la conducta puede ser denunciable penalmente.

En estos casos se analiza, por lo general, si hubo:

• engaño o maquinación;
• error de la víctima;
• disposición patrimonial;
• perjuicio económico;
• nexo entre el engaño y el daño.

Una dificultad frecuente es acreditar quién recibió el dinero o quién administraba la cuenta, porque en entornos digitales pueden intervenir terceros, cuentas intermediarias o servicios de pago. Por eso, la trazabilidad de transferencias y mensajes es fundamental.

Extorsión, amenazas o chantaje digital

Si una persona exige dinero, favores o conductas bajo amenaza de publicar información, difundir imágenes íntimas, dañar reputación o causar un perjuicio, puede configurarse extorsión o amenazas. El medio digital no elimina la gravedad; al contrario, puede facilitar la presión sobre la víctima.

Hay que distinguir entre una simple discusión en redes sociales y una verdadera extorsión. Para que exista relevancia penal suele requerirse una exigencia concreta acompañada de amenaza seria y, en algunos casos, la intención de obtener un beneficio indebido. Si hay capturas, audios o correos, deben conservarse íntegros porque son esenciales para la investigación.

Difusión no consentida de contenido íntimo

En varias entidades federativas mexicanas se han incorporado figuras penales vinculadas con la divulgación de contenido íntimo sin consentimiento, especialmente cuando se comparte con la finalidad de humillar, dañar o ejercer presión sobre la persona afectada. La regulación y los elementos exactos varían según el estado.

En términos prácticos, suele analizarse si existía una expectativa razonable de privacidad, si el material fue obtenido legítimamente o no, si hubo consentimiento para su difusión y si la publicación generó daño. La existencia de una relación previa entre las personas no autoriza la divulgación posterior del material.

Daño, alteración o borrado de información

Eliminar archivos, modificar bases de datos, bloquear accesos, introducir virus o alterar registros puede constituir daño penal, sabotaje informático o un delito equivalente, dependiendo del código aplicable. La dificultad principal suele ser probar que el daño fue causado intencionalmente y que existe vinculación entre el hecho y la persona señalada.

En entornos empresariales, este tipo de casos puede mezclarse con disputas laborales, conflictos entre socios o excolaboradores y problemas de administración de accesos. No toda pérdida de información implica delito: puede haber también fallas técnicas, errores de configuración o incumplimientos de protocolos.

Conductas relacionadas que suelen confundirse con delitos informáticos

Existen situaciones que parecen delitos informáticos, pero no siempre lo son. La calificación jurídica depende de los hechos exactos.

• Incumplir un contrato de servicios digitales: normalmente es un asunto civil o mercantil.
• Cancelar el acceso a una cuenta por razones internas: puede ser una controversia administrativa o contractual, no necesariamente penal.
• Publicar opiniones ofensivas: puede generar responsabilidad civil o de otra naturaleza, pero no siempre delito.
• Compartir una contraseña por descuido: si no hay dolo ni aprovechamiento indebido, puede no haber delito.
• Errores en el manejo de datos: pueden implicar sanciones administrativas o laborales, pero no siempre una conducta criminal.

La diferencia clave está en la intención, el perjuicio, el medio utilizado y la tipificación vigente en el lugar donde ocurrieron los hechos.

Cómo suelen investigarse y probarse

Los delitos informáticos dependen mucho de evidencia digital. En una denuncia penal, suele ser útil aportar todo lo que permita reconstruir el hecho y vincularlo con una persona o cuenta concreta. Sin embargo, conviene preservar la información sin alterarla, porque la autenticidad técnica importa.

La autoridad investigadora puede solicitar datos a plataformas, revisar dispositivos, rastrear direcciones IP, analizar transferencias o pedir peritajes informáticos. El éxito del caso depende en buena medida de la calidad de la prueba inicial y de la posibilidad de identificar al responsable detrás de una cuenta, dispositivo o línea.

Dónde se denuncia y qué puede pasar después

La denuncia suele presentarse ante la Fiscalía competente, que puede ser federal o local según el delito y el lugar de comisión. En México, la competencia no es uniforme: algunos hechos se investigan en el ámbito estatal, otros pueden corresponder al federal por la materia afectada o por la forma en que se cometieron.

Después de la denuncia, la autoridad puede iniciar actos de investigación, solicitar información técnica, identificar cuentas, asegurar dispositivos o citar a personas relacionadas. No existe un resultado automático: la investigación depende de que los hechos encuadren en un delito y de que haya elementos suficientes para avanzar.

En muchos casos, además de la vía penal, la persona afectada puede necesitar medidas complementarias, como:

• cambio y resguardo de contraseñas;
• bloqueo de accesos no autorizados;
• recuperación de cuentas;
• reporte de perfiles falsos;
• protección de datos personales;
• acciones civiles o administrativas paralelas.

Problemas frecuentes en este tipo de casos

Uno de los principales problemas es la identificación del autor real. Una cuenta o IP no siempre equivalen de forma automática a una persona concreta, porque puede haber suplantación, redes públicas, equipos compartidos o intermediación de terceros. Otro problema es la pérdida de evidencia: muchas plataformas eliminan mensajes, historiales o publicaciones con rapidez.

También es común que la denuncia se presente con una calificación jurídica incorrecta. Por ejemplo, una víctima puede pensar que todo problema digital es “hackeo”, cuando jurídicamente puede tratarse de fraude, amenazas o extorsión. Esa distinción importa porque orienta la investigación y evita que el asunto se encauce por una figura equivocada.

En algunos supuestos, el conflicto se agrava porque concurren varios delitos: una suplantación puede servir para cometer fraude; una filtración de imágenes puede ir acompañada de amenazas; un acceso indebido puede derivar en robo de datos o daño informático. La autoridad debe analizar el conjunto de conductas para determinar si hay uno o varios delitos.

Diferencias con figuras parecidas dentro de la subcategoría

Dentro de los delitos informáticos conviene separar tres planos:

• El medio: internet, correo, mensajería, redes sociales, nube, dispositivos.
• El comportamiento: acceso, engaño, amenaza, alteración, difusión, daño.
• El bien afectado: patrimonio, intimidad, datos personales, seguridad del sistema, reputación.

La misma acción puede recibir distinta calificación según el bien protegido. Por ejemplo, una publicación falsa puede ser una suplantación, un fraude o una difamación en sentido coloquial, pero penalmente solo tendrá relevancia si encaja en un tipo vigente y aplicable. Del mismo modo, el robo de una contraseña por sí solo no siempre agota el delito; el uso posterior para vaciar cuentas, extorsionar o acceder a información reservada puede cambiar por completo el análisis jurídico.

Qué suele revisar la autoridad para valorar si hay delito

• Si existió autorización para acceder, usar o difundir la información.
• Si hubo dolo, es decir, intención de cometer el hecho o de aprovecharse de él.
• Si se produjo un daño real patrimonial, informático, moral o de privacidad, según el tipo penal.
• Si hay relación entre la conducta y el presunto responsable mediante pruebas técnicas y documentales.
• Si el hecho encaja en la legislación local o federal aplicable.

Cuando el caso involucra plataformas internacionales, el acceso a información puede depender de cooperación, requerimientos a proveedores y disponibilidad de datos conservados por los servicios digitales. Esa realidad no impide denunciar, pero sí puede influir en la velocidad y en el alcance de la investigación.

Cuándo conviene considerar que sí puede haber denuncia penal

La denuncia penal suele tener más sentido cuando existe alguno de estos escenarios:

• acceso a cuentas o dispositivos sin permiso;
• uso de credenciales ajenas para operar o suplantar;
• engaño para obtener dinero, bienes o información sensible;
• amenazas de publicación, daño o exposición pública;
• borrado o alteración intencional de datos;
• difusión de contenido íntimo sin consentimiento, cuando la ley aplicable lo sanciona;
• intervención maliciosa en sistemas, bases de datos o servicios digitales.

Cuando el problema es únicamente técnico, contractual o administrativo, la vía penal puede no ser la adecuada. En cambio, si hay engaño, intrusión, amenaza, perjuicio o difusión no consentida con relevancia jurídica, la denuncia puede ser procedente y útil para activar la investigación.

Aspectos prácticos que conviene no perder de vista

En México, la respuesta penal frente a los delitos informáticos exige precisión. No basta con describir que “hackearon” una cuenta o que “robaron información”: es necesario explicar qué pasó, cómo ocurrió, qué daño produjo, qué pruebas existen y dónde ocurrió. Esa precisión ayuda a que la fiscalía determine si el hecho corresponde a una figura estatal o federal y si puede investigarse como delito informático, fraude, amenazas, extorsión, daño, falsedad o una combinación de conductas.

También conviene tener presente que algunas entidades federativas han actualizado su legislación de manera más amplia que otras. Por eso, una conducta similar puede tener distinto tratamiento jurídico según el estado. La revisión del código penal local y de la competencia territorial resulta esencial antes de definir la estrategia legal.

Si el hecho involucra cuentas bancarias, datos personales, imágenes íntimas, información empresarial o sistemas de una institución, la urgencia práctica aumenta: conservar evidencia, evitar manipulaciones y documentar cada paso suele ser decisivo para sostener una denuncia con base penal.