Qué se considera acceso ilícito a sistemas y equipos de informática en México

En México, el acceso ilícito a sistemas y equipos de informática se relaciona con la entrada, consulta, alteración, daño o uso no autorizado de sistemas de cómputo, redes, bases de datos o dispositivos electrónicos protegidos. No toda intrusión informática genera automáticamente una responsabilidad penal: para que exista un delito suelen exigirse condiciones específicas, como la falta de autorización, la afectación a la seguridad de la información o la intención de obtener un beneficio, provocar un daño o vulnerar la confidencialidad.

La regulación penal de estas conductas puede encontrarse en el Código Penal Federal y, además, en códigos penales locales de algunas entidades federativas, que a veces tipifican supuestos parecidos con matices propios. Por eso, ante un caso concreto, conviene revisar si los hechos se persiguen por autoridad federal o estatal, y qué redacción legal resulta aplicable según el lugar donde ocurrieron los hechos, dónde está el sistema afectado o qué bienes jurídicos se lesionaron.

Qué significa acceso ilícito en términos jurídicos

En lenguaje jurídico, el acceso ilícito no se limita a “entrar” a un sistema. Normalmente abarca conductas como ingresar sin autorización, permanecer indebidamente en un entorno informático, superar barreras de seguridad, aprovechar credenciales ajenas, explotar vulnerabilidades o usar permisos legítimos para fines distintos de los autorizados cuando eso implique una intromisión contraria a la ley.

La idea central es que exista una intromisión no autorizada o contraria a la autorización concedida sobre información, sistemas, equipos o redes. En la práctica, el delito puede configurarse aunque no se borren archivos ni se robe dinero, siempre que la conducta encaje en el tipo penal aplicable y se acrediten los elementos exigidos por la norma.

En México, también es importante distinguir entre:

• Acceso no autorizado: ingreso o permanencia sin permiso válido.
• Alteración o daño: modificación, destrucción o inutilización de datos, programas o equipos.
• Intercepción o extracción de información: obtención, copia o captura de datos sin consentimiento.
• Uso indebido de credenciales: empleo de contraseñas, tokens, cuentas o claves de otra persona sin autorización.

Estas conductas pueden aparecer juntas o separadas. No siempre se castigan igual y no siempre todas forman parte del mismo delito.

Marco legal aplicable en México

El Código Penal Federal contempla figuras relacionadas con el acceso o uso indebido de información contenida en sistemas y equipos de informática, especialmente cuando se invade la privacidad de datos, se manipulan sistemas o se afectan elementos protegidos por la ley. En paralelo, algunos códigos penales de las entidades federativas regulan delitos informáticos con nombres y alcances distintos, por ejemplo, acceso ilícito, intrusión, fraude informático, alteración de datos o daño a sistemas.

La variación entre estados es relevante porque:

• cambia la redacción exacta del delito;
• pueden variar las penas;
• cambia la manera de probar el hecho;
• puede existir competencia local o federal según el caso.

Por esa razón, un mismo comportamiento, como ingresar sin permiso a una cuenta de correo o a una base de datos, puede analizarse de forma distinta según el contexto: si afecta a una institución federal, si se comete desde otra entidad, si hay impacto patrimonial, si se vulneran datos personales o si se usa la infraestructura para cometer otro delito.

Cuándo suele considerarse delito el acceso a sistemas informáticos

El acceso se vuelve jurídicamente relevante cuando falta la autorización del titular, del administrador o de quien tenga facultades para permitirlo. También puede ser ilícito si la autorización existía, pero se excedieron los límites pactados o permitidos. En términos prácticos, suelen aparecer los siguientes escenarios:

• ingresar a una cuenta ajena usando una contraseña obtenida sin permiso;
• consultar información reservada dentro de un sistema empresarial sin facultades para hacerlo;
• aprovechar una falla de seguridad para entrar a una plataforma privada;
• copiar bases de datos o archivos protegidos sin autorización;
• instalar herramientas para vigilar, capturar o extraer información;
• mantener acceso después de que la autorización fue revocada.

No basta con que el sistema sea “difícil de entrar” o que exista una simple sospecha. En materia penal, la autoridad debe acreditar hechos concretos: qué sistema fue afectado, cómo ocurrió el acceso, qué permisos existían, qué datos o funciones se comprometieron y cuál fue la intervención de la persona investigada.

Elementos que suelen analizarse para acreditar el delito

La configuración de estos delitos depende de varios elementos. Aunque cambien según el código aplicable, normalmente se revisan los siguientes puntos:

En algunos supuestos también importa si hubo beneficio, daño patrimonial, obtención de información reservada o uso posterior de los datos. Sin embargo, no todas las figuras exigen que exista un perjuicio económico directo. Algunas sancionan la mera intrusión cuando el tipo legal así lo establece.

Diferencia entre acceso ilícito, fraude informático y daño a sistemas

En delitos informáticos, suele confundirse el acceso ilícito con otras conductas próximas. La distinción es importante porque no siempre se persigue lo mismo ni con las mismas pruebas.

Una misma secuencia puede abarcar varias figuras. Por ejemplo, si una persona accede sin autorización a una cuenta bancaria digital y después transfiere fondos, puede existir acceso ilícito, fraude y eventualmente otros delitos, dependiendo del modo de ejecución y de las pruebas disponibles.

Supuestos frecuentes en la práctica

Uso de credenciales ajenas

Usar la contraseña, token, firma electrónica o sesión abierta de otra persona sin permiso puede constituir acceso ilícito, sobre todo si se entra a información reservada, se consultan expedientes, se alteran archivos o se realizan operaciones que exceden cualquier autorización previa.

Empleado o excolaborador que conserva acceso

Cuando alguien deja de trabajar para una empresa o institución y sigue entrando a sistemas internos, el problema penal suele depender de si el acceso ya no estaba permitido, de si hubo revocación de permisos y de qué acciones se realizaron dentro del sistema. La existencia de una relación laboral previa no legitima el acceso posterior si ya fue retirado o si se usan credenciales sin autorización.

Pruebas de seguridad o auditorías no autorizadas

Las pruebas de penetración, auditorías o revisiones técnicas solo dejan de ser problemáticas cuando existe un permiso claro y verificable del titular del sistema o de quien legalmente pueda autorizar. Sin esa base, una “prueba” puede convertirse en una intrusión penalmente relevante, aunque la intención declarada sea detectar fallas.

Acceso por vulnerabilidades conocidas

Explotar una vulnerabilidad para entrar a un sistema también puede constituir acceso ilícito. La existencia de una falla técnica no implica autorización para aprovecharla. Lo relevante es si la persona estaba facultada para acceder y si el acceso se produjo mediante una conducta no autorizada.

Extracción de información sin modificar archivos

Copiar bases de datos, descargar expedientes, fotografiar pantallas o exportar información sin permiso puede bastar para activar la responsabilidad penal en ciertos supuestos, aunque el sistema no haya sufrido daños visibles. La clave está en la protección jurídica de la información y en el tipo penal aplicable.

Qué no suele bastar por sí solo para configurar el delito

No toda actividad técnica o digital encaja automáticamente en acceso ilícito. Hay situaciones que requieren una valoración más fina:

• Intentos fallidos de acceso: si no se logra entrar ni se afecta el sistema, puede faltar la consumación, aunque podrían existir otras consecuencias si hubo tentativa y el tipo legal la admite.
• Curiosidad sin intrusión real: ver una pantalla pública, revisar información accesible sin restricción o navegar por contenido abierto no suele ser acceso ilícito.
• Permiso válido: contar con autorización expresa o implícita dentro de límites definidos puede excluir el delito.
• Errores de configuración sin aprovechamiento: encontrar una falla no equivale por sí mismo a delinquir si no se realiza una conducta de intrusión o uso indebido.

La frontera entre lo lícito y lo ilícito depende mucho de las pruebas sobre permisos, control de accesos, registros de actividad y alcance de la autorización.

Cómo suelen probarse estos hechos

En una investigación penal por acceso ilícito suelen ser relevantes elementos técnicos y documentales. No existe una lista única para todo México, porque la práctica puede variar según la autoridad que conozca del asunto y el delito exacto que se investigue. Con frecuencia se analizan:

• registros de acceso o bitácoras del sistema;
• direcciones IP, horarios y trazas de conexión;
• credenciales utilizadas y su titularidad;
• mensajes, correos o instrucciones relacionadas con el acceso;
• peritajes informáticos sobre dispositivos, servidores o cuentas;
• contratos, políticas internas o permisos de usuario;
• evidencia sobre revocación de accesos o cambio de contraseñas.

La prueba informática suele requerir cuidado en la preservación de la evidencia digital. Si los datos se alteran, se borran o no se documenta adecuadamente su origen, pueden surgir problemas para sostener la acusación o la defensa.

Posibles consecuencias jurídicas

Las consecuencias dependen del delito concreto, del código aplicable y de si concurren otras conductas, como daño patrimonial, revelación de secretos, robo de información o afectación a datos personales. En términos generales, puede haber:

• pena de prisión;
• multa;
• reparación del daño, cuando proceda;
• responsabilidad por delitos adicionales si hubo otras conductas asociadas;
• medidas cautelares en el proceso penal, según el caso.

La sanción no es uniforme en todo el país. En algunos estados, las penas pueden variar sensiblemente frente al Código Penal Federal, y también cambia si la víctima es una persona física, una empresa, una institución pública o una entidad que maneja información especialmente sensible.

Relación con datos personales y secreto de información

El acceso ilícito suele intersectarse con la protección de datos personales, la confidencialidad empresarial y el secreto profesional o institucional. No siempre se trata del mismo delito, pero sí de conductas que pueden coincidir. Por ejemplo, acceder sin permiso a una base de clientes, una carpeta médica o un expediente administrativo puede implicar no solo intrusión informática, sino también afectación a información confidencial o sensible.

Cuando la información involucra datos personales, la revisión jurídica debe considerar si hubo vulneración a deberes de confidencialidad, si el sistema tenía controles de seguridad y si el uso de esos datos desencadenó otras responsabilidades civiles, administrativas o laborales además de la penal.

Problemas frecuentes en la práctica penal

Uno de los puntos más delicados es probar que la persona no estaba autorizada o que excedió de manera clara su autorización. En entornos corporativos, a veces varios usuarios comparten accesos, las contraseñas no están bien administradas o los permisos cambian sin documentación suficiente. Eso complica atribuir con precisión quién ingresó, cuándo lo hizo y con qué facultades.

Otro problema frecuente es diferenciar entre una conducta dolosa y un error operativo. No todo acceso irregular implica automáticamente intención criminal. La autoridad debe valorar el contexto, los mensajes previos, la conducta posterior, la relación entre las partes y el modo en que se produjo la intrusión.

También puede haber discusiones sobre la competencia: si el hecho afecta sistemas de una dependencia federal, si se trata de una empresa privada, si el servidor está en otra entidad o si el delito se consumó en un lugar distinto al domicilio de la víctima. Esa determinación influye en qué autoridad investiga y qué norma se aplica.

Aspectos que conviene revisar ante un caso concreto

Cuando se analiza si hubo acceso ilícito en México, suele ser útil revisar:

• qué sistema, cuenta, red o equipo fue afectado;
• quién tenía permiso y en qué términos;
• si hubo revocación, restricción o caducidad del acceso;
• si se consultó, copió, alteró o borró información;
• si se usaron credenciales ajenas o técnicas de evasión;
• si la conducta causó daño patrimonial, pérdida de datos o exposición de información;
• qué código penal resulta aplicable en la entidad correspondiente.

En la práctica, estos casos suelen depender más de la evidencia técnica y documental que de declaraciones generales. Por eso, la precisión sobre permisos, registros y trazabilidad digital resulta decisiva para valorar si hubo un simple problema de acceso, una infracción administrativa o un delito informático.

Relación con figuras penales cercanas

El acceso ilícito también puede coexistir con otras figuras penales tradicionales, no solo informáticas. Dependiendo de los hechos, pueden surgir cuestiones relacionadas con:

• revelación de secretos;
• robo de información;
• fraude;
• daño en propiedad ajena;
• usurpación de identidad;
• falsificación o uso indebido de firmas o credenciales electrónicas.

No todas estas figuras se actualizan al mismo tiempo. La calificación jurídica depende de la conducta exacta y de la forma en que cada código describe el delito. Por eso, la misma intrusión digital puede tener distintas lecturas penales según si solo se ingresó a un sistema, si además se copió información, o si se usó esa información para cometer un fraude posterior.

Qué suele hacer la autoridad cuando recibe una denuncia

En una denuncia por acceso ilícito, la autoridad normalmente busca identificar el sistema afectado, la posible ruta de ingreso y la persona vinculada con la intrusión. Puede solicitar información técnica al titular del sistema, requerir peritajes y verificar si los accesos estaban autorizados. La respuesta institucional depende de la entidad y del tipo de investigación, por lo que no existe un procedimiento único y exacto para todo el país.

La utilidad de una denuncia aumenta cuando se acompañan datos concretos: fechas aproximadas, cuentas involucradas, pantallas, correos, bitácoras, mensajes o cualquier elemento que ayude a reconstruir el acceso. Sin datos técnicos o sin identificación clara del sistema, suele ser más difícil avanzar en la investigación.

En un análisis jurídico correcto, la pregunta clave no es solo si alguien “entró” a un sistema, sino si lo hizo sin autorización, con conocimiento de esa falta de permiso y en un contexto que el tipo penal castiga. Esa es la base para diferenciar una conducta meramente irregular de un verdadero acceso ilícito a sistemas y equipos de informática en México.