Desde 1999, existe legislación federal para sancionar delitos informáticos en México, que afectan principalmente al sector financiero. Las organizaciones víctimas pueden enfrentar desde interrupciones y pérdidas de datos o dinero, hasta daños reputacionales. Incluso, en algunos casos, consecuencias legales.
Aunque la aplicación de estas leyes es una parte importante en la estrategia de ciberseguridad en México, la prevención y las medidas de mitigación ante estas actividades ilícitas son básicas, por lo que es necesario conocer a qué se enfrentan las organizaciones y cómo pueden defenderse.
¿Qué son los delitos informáticos y quién los comete?
Los delitos informáticos son acciones ilícitas que se realizan utilizando medios informáticos o en línea. Estos delitos pueden variar desde el robo de datos y la suplantación de identidad hasta el fraude financiero y el sabotaje de sistemas informáticos.
Quienes cometen estos delitos pueden ser individuos con conocimientos técnicos en informática, grupos organizados especializados en actividades delictivas en línea, o incluso entidades estatales que realizan ciberataques por motivos políticos o económicos. Es crucial estar al tanto de estas amenazas y tomar medidas preventivas para protegerse contra ellas.
Los tipos de delitos informáticos
Para Cynthia Solís, una de las socias de la firma legal especializada en derecho informático LEXINF, en líneas generales hay dos tipos de delitos informáticos: aquellos que tienen como finalidad destruir; alterar; modificar, o extraer información de manera no autorizada de los sistemas informáticos, y los del orden común que se cometen a través de nuevas tecnologías.
En entrevista, Solís explicó que en la segunda clasificación entra el phishing, que jurídicamente es un concurso de delitos; es decir, diferentes crímenes que se cometen en un mismo momento. Por ejemplo, detalló, cuando una persona recibe una liga apócrifa con una alerta de su banco que dice que tiene un cargo no reconocido, le pide que entre a ese enlace con sus claves para revisarlo o rechazarlo.
El hecho de copiar o clonar la apariencia de una página web ya es un delito en materia de derechos de autor, pero lo que se busca realmente es cometer el delito de fraude: apoderarse de un bien a través del engaño o aprovechando el error de la persona.
El fraude se puede cometer a través de medios electrónicos o físicos. Algunos ejemplos de estos delitos incluyen:
- Acceso ilícito a sistemas y equipos de informática: Se refiere al ingreso no autorizado a sistemas informáticos, redes o dispositivos electrónicos con el propósito de obtener información confidencial o cometer acciones perjudiciales.
- Revelación de secretos: Consiste en la divulgación no autorizada de información confidencial o secreta, ya sea mediante el acceso indebido a sistemas o la revelación deliberada de datos sensibles.
- Alteración o manipulación de medios de identificación electrónica: Implica la modificación o manipulación fraudulenta de documentos electrónicos o medios de identificación, como contraseñas, para cometer actividades ilícitas o suplantar identidades.
- Delitos contra la indemnidad de privacidad de la información sexual: Engloba acciones que vulneran la privacidad sexual de las personas, como la difusión no consentida de imágenes íntimas o la invasión de la privacidad en línea.
- Delitos en materia de derechos de autor: Incluye la reproducción, distribución o uso no autorizado de obras protegidas por derechos de autor, tanto en línea como fuera de ella, con fines comerciales o no comerciales.
- Engaño telefónico: Se refiere a la manipulación o el uso fraudulento de comunicaciones telefónicas para cometer estafas, obtener información confidencial o realizar actividades delictivas.
- Falsificación de títulos: Implica la creación o alteración fraudulenta de documentos, certificados o títulos con el fin de obtener beneficios indebidos o engañar a terceros.
- Suplantación de identidad: Consiste en hacerse pasar por otra persona, ya sea en línea o fuera de ella, con el propósito de cometer fraude, obtener información confidencial o realizar acciones ilegales en nombre de la víctima.
- Delitos equiparados al robo: Engloba acciones que, aunque no sean robos en el sentido tradicional, implican la sustracción indebida de recursos, información o activos a través de medios electrónicos.
- Casos de acoso sexual: Incluye conductas de acoso, hostigamiento o intimidación de naturaleza sexual realizadas a través de medios electrónicos, como el envío de mensajes no deseados o la difusión de contenido sexual sin consentimiento.
- Distribución o posesión de pornografía ilegal: Refiere a la distribución, posesión o promoción de material pornográfico que involucre a menores de edad o que haya sido obtenido ilegalmente, lo cual constituye un delito grave con implicaciones legales y sociales significativas.
Conductas que son consideradas delito
Según la Ley de Instituciones de Crédito, se considera delito las siguientes conductas.
- Realizar operaciones en contravención a lo dispuesto por los artículos 2o. o 103 de la Ley de Instituciones de Crédito (Artículo 111).
- Ostentarse frente al público como intermediario o entidad financiera sin autorización (Artículo 111 bis).
- Proporcionar datos falsos para obtener créditos (Artículo 112).
- Alterar avalúos para obtener créditos (Artículo 112).
- Conceder créditos a personas insolventes o con conocimiento de datos falsos (Artículo 112).
- Desviar el importe del crédito en beneficio propio o de terceros (Artículo 112).
- Falsificación, reproducción, adquisición, posesión, uso o distribución indebida de tarjetas de crédito, débito, cheques u otros instrumentos de pago (Artículo 112 bis).
- Posesión, adquisición, uso, comercialización o distribución de tarjetas de crédito, débito, cheques u otros instrumentos de pago alterados o falsificados (Artículo 112 ter).
- Acceso no autorizado a equipos o medios electrónicos del sistema bancario para obtener recursos económicos o información confidencial (Artículo 112 quáter).
- Comisión de los delitos mencionados en los artículos 112 bis, 112 ter y 112 quáter por parte de consejeros, funcionarios, empleados o prestadores de servicios de instituciones de crédito (Artículo 112 quintus).
- Alterar registros contables, presentar información falsa, destruir registros o información contable para ocultar delitos financieros (Artículos 113 y 113 bis).
- Utilizar indebidamente recursos o valores de clientes de instituciones de crédito (Artículo 113 bis).
- Incentivar u ordenar a funcionarios o empleados de instituciones de crédito a cometer delitos financieros (Artículo 113 bis 1).
- Solicitar o recibir sobornos relacionados con actos de funciones públicas (Artículo 113 bis 3).
- Continuar ejerciendo funciones en el sistema financiero después de ser removido, suspendido o inhabilitado (Artículo 113 bis 4).
- Recibir beneficios indebidos de clientes para celebrar operaciones (Artículo 114).
Leyes y legislaciones sobre los delitos informáticos
En México, la tipificación de los delitos informáticos está contemplada en diversas legislaciones federales y en el Código Penal Federal. Estas incluyen:
- Ley de Instituciones de Crédito
- Ley de Instituciones de Seguros y de Fianzas
- Ley del Mercado de Valores
- Ley General de Títulos y Operaciones de Crédito
- Ley Federal de Protección de Datos Personales en Posesión de los Particulares
En el Código Penal Federal mexicano, se encuentra una sección específica, el Título Noveno, que aborda la revelación de secretos y el acceso ilícito a sistemas y equipos de informática. En su segundo capítulo se detallan las conductas tipificadas.
Además, la Ley de Instituciones de Crédito también contempla sanciones para este tipo de ilícitos.
Estas legislaciones federales y disposiciones en el Código Penal Federal establecen las bases legales para la persecución y sanción de delitos informáticos en México.
Desde el punto de vista de ciberseguridad, hubo acceso no autorizado a información privilegiada.
Cynthia Solís
La Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPP) establece normas estrictas para el manejo de datos personales que, si se divulgan de manera indebida, pueden comprometer la privacidad más íntima de las personas. Esta ley está diseñada para proteger datos sensibles, como los relacionados con la salud, preferencias sexuales, creencias religiosas o cualquier otra información que afecte profundamente la intimidad de los individuos.
El cumplimiento de esta ley está supervisado por el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI), que garantiza que los ciudadanos tengan control sobre sus datos personales y puedan ejercer su derecho a la privacidad. Esto incluye el acceso, rectificación, cancelación y oposición (derechos ARCO) respecto a la información personal que las entidades posean.
Esta regulación asegura que cualquier tratamiento inadecuado o divulgación de información íntima se penalice, protegiendo así los derechos fundamentales de las personas.
¿Cuáles son los delitos informáticos en México en detalle?
A continuación se enlistan algunos de los delitos informáticos tipificados en México por las distintas leyes:
1. Acceso ilícito a sistemas y equipos de informática
El acceso no autorizado a sistemas y equipos informáticos está contemplado en el artículo 211 Bis 1 del Código Penal Federal, que establece sanciones para quienes, sin permiso, modifiquen, destruyan o provoquen la pérdida de datos en sistemas protegidos por mecanismos de seguridad. Además, también penaliza a quienes accedan o copien información contenida en estos sistemas, siempre y cuando estén resguardados con medidas de seguridad. Estas acciones son consideradas delitos debido a la vulneración de la integridad de los sistemas informáticos.
Por su parte, el artículo 211 Bis 2 extiende estas sanciones cuando los sistemas comprometidos pertenecen al Estado, mientras que el artículo 211 Bis 3 castiga el uso indebido de accesos autorizados para alterar o extraer información sin consentimiento.
2. Objetivos financieros
Los artículos 211 Bis 4 y 5 del Código Penal se centran en la protección de los sistemas informáticos de las instituciones financieras. Se sancionan delitos como la extracción de información confidencial y la manipulación de equipos para disponer indebidamente de recursos financieros. Adicionalmente, el artículo 112 Quáter de la Ley de Instituciones de Crédito penaliza el acceso ilícito a los sistemas tecnológicos bancarios con fines de lucro o alteración.
El artículo 112 Quintus agrava estas penas cuando el delito es cometido por empleados o funcionarios del sector bancario, o por aquellos que recientemente dejaron su puesto en la institución, debido al acceso privilegiado que poseen.
Estas regulaciones refuerzan la seguridad de sistemas clave tanto en el sector público como en el financiero, con el objetivo de evitar el uso indebido de información confidencial y la manipulación de tecnología crítica
3. Ley Olimpia
El 3 de diciembre de 2019, el Congreso de la Ciudad de México aprobó la conocida como “Ley Olimpia”, un conjunto de reformas que se aplicaron a los códigos penales de los estados y a la Ley General de Acceso de las Mujeres a una Vida Libre de Violencia. Esta ley, que ya está vigente en toda la República Mexicana, tipifica como delito la violación a la intimidad sexual, que incluye la difusión no consentida de contenido íntimo, como fotos, videos o audios de carácter sexual, a través de medios digitales. Las sanciones van de tres a seis años de prisión y multas de entre 44,810 y 89,620 pesos.
Además, la ley contempla agravantes cuando el delito es cometido por una expareja o persona cercana a la víctima, o cuando la víctima no puede comprender el acto. La pandemia de 2020 también trajo un aumento significativo de casos de ciberacoso, lo que subrayó la importancia de esta legislación
4. Protección de datos personales
Cualquier entidad, ya sea persona física o moral, como colegios, hospitales, médicos, aseguradoras, bancos, compañías telefónicas, entre otros, que trate con datos personales debe cumplir con las disposiciones de la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPP).
El tratamiento de datos personales abarca cualquier acción realizada con los datos, desde su obtención, uso, divulgación, almacenamiento, hasta su cancelación y eliminación. Sin embargo, algunas entidades están excluidas de esta ley, como las sociedades de información crediticia (como el buró de crédito), que ya están reguladas por la Ley de Sociedades de Información Crediticia, o personas físicas o morales que manejen datos con fines estrictamente personales y no comerciales.
La LFPDPP establece que los responsables del tratamiento de los datos deben informar a los titulares qué datos recaban y con qué fines, a través de un aviso de privacidad. Además, las organizaciones deben implementar medidas de seguridad físicas, técnicas y administrativas que protejan la información contra el daño, pérdida, alteración o uso no autorizado. Estas medidas no deben ser inferiores a las que utilizan para proteger su propia información.
Sanciones por incumplimiento
Si se incumplen estas normativas, las sanciones pueden oscilar entre 100 y 320,000 días de multa y penas de tres meses a tres años de cárcel para quienes procesen datos personales con fines lucrativos y provoquen una violación de seguridad en las bases de datos. Si se manipulan los datos de manera fraudulenta para obtener beneficios, las penas pueden ser de seis meses a cinco años de cárcel
Este enfoque busca garantizar que los datos personales estén protegidos y que cualquier uso indebido o violación de seguridad sea castigado adecuadamente
Desde hace 40 años se habla de delitos informáticos
La referencia a los delitos informáticos se remonta a 1983, cuando se dieron los primeros intentos de establecer leyes asociadas a los crímenes informáticos.
La Organización para la Cooperación y el Desarrollo Económico (OCDE) designó en París a un comité de expertos para discutir los crímenes que tuvieran como centro a las computadoras y la necesidad de hacer cambios en los códigos penales.
La OCDE recomendó a los países miembros modificar su legislación penal para integrar este tipo de delitos. La legislación de los delitos informáticos en México se demoró casi 20 años, pero en los últimos años ha habido esfuerzos por actualizarse.
A nivel internacional, varios países han trabajado en actualizar sus marcos legales para abordar los delitos cometidos a través de medios electrónicos y tecnológicos. En México, desde 1999 se han promulgado leyes a nivel federal para sancionar los delitos informáticos, incluyendo el Código Penal Federal, la Ley de Instituciones de Crédito y la Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Esto refleja la importancia de abordar estos crímenes en el contexto digital actual y la necesidad de actualizar constantemente los marcos legales para enfrentar los nuevos desafíos tecnológicos.
