El Congreso de la Ciudad de México ha dado un paso significativo al tipificar el phishing como delito en el Código Penal local. Esta medida, que busca castigar con penas de tres a seis años de prisión y multas de hasta 70,000 pesos a quienes obtengan datos personales o financieros mediante engaños virtuales, representa un avance en la lucha contra la ciberdelincuencia.
La nueva legislación abarca diversas modalidades del fraude digital, incluyendo el phishing tradicional por correo electrónico, el smishing a través de mensajes de texto y el vishing mediante llamadas telefónicas. Además, contempla la clonación de páginas web, la creación de aplicaciones falsas y la imitación de plataformas de instituciones bancarias, organismos gubernamentales y comercios electrónicos con el fin de sustraer información sensible.
Un Problema Creciente con IA
La consideración del phishing en todas sus variantes como un delito es particularmente relevante en México. Datos de Kaspersky revelan que en 2025 se registraron 360 millones de detecciones de este ciberataque en el país, un alarmante incremento del 202% respecto al año anterior. Uno de los principales impulsores de esta aceleración es el uso de la Inteligencia Artificial (IA), que perfecciona y automatiza ataques masivos, volviéndolos más sofisticados y difíciles de detectar.
Especialistas como Víctor Ruiz, fundador de SILIKN, señalan que, si bien la tipificación es positiva, no es una solución mágica. "El problema de fondo no es la ausencia de una figura penal, sino la limitada capacidad institucional para investigar, atribuir y judicializar los delitos informáticos", advierte Ruiz. La mera existencia de la ley no garantiza la persecución efectiva de los delincuentes si las autoridades carecen de las herramientas y el conocimiento necesarios.
Las Pruebas Clave para Denunciar
A pesar de las limitaciones institucionales, el especialista en ciberseguridad identifica una serie de elementos cruciales que las víctimas deben conservar para fortalecer sus denuncias:
- Correo electrónico o mensaje original: Es fundamental conservar el mensaje completo, incluyendo sus encabezados (headers), ya que contienen metadatos vitales para rastrear el origen del ataque.
- URL del sitio fraudulento: La dirección web utilizada para el engaño es una pieza clave de evidencia.
- Capturas de pantalla: Documentar los mensajes de texto, WhatsApp o cualquier otra comunicación digital fraudulenta mediante capturas de pantalla es esencial.
- Registros de llamadas: Si el ataque involucró ingeniería social por teléfono, los registros de llamadas pueden ser determinantes.
- Comprobantes de transacciones: Cualquier evidencia de transferencias bancarias, movimientos de cuentas o notificaciones de acceso no autorizado recibidas de instituciones financieras es crucial.
- Detalles del robo de credenciales: Si se robaron contraseñas o accesos, documentar la fecha, hora y dispositivos donde ocurrió el incidente es importante.
- No eliminar el mensaje malicioso: Estos mensajes contienen metadatos como direcciones IP, servidores de envío y dominios que son de gran valor para la investigación forense.
Ruiz enfatiza que esta información es mucho más valiosa que una simple captura de pantalla, pero critica la carga que recae sobre el ciudadano al exigirle que preserve evidencia digital con "estándares forenses". La realidad es que pocas fiscalías cuentan con personal especializado capaz de analizar adecuadamente esta información.
Brechas Institucionales y Fragmentación Legal
Fabio Assolini, director del equipo global de investigación y análisis de Kaspersky, coincide en la complejidad que añade la IA a los ataques, requiriendo instituciones preparadas para su análisis. "En muchos casos, la víctima entrega toda la información disponible y termina encontrándose con ministerios públicos que carecen de conocimientos técnicos para interpretar un encabezado de correo electrónico, una dirección IP o un registro de autenticación", lamenta Ruiz.
La nueva tipificación, aunque facilita la persecución directa del phishing, corre el riesgo de ser un mero cambio legislativo sin impacto operativo si no se acompaña de recursos, capacitación, coordinación interinstitucional y una estrategia nacional de ciberseguridad clara. La falta de personal capacitado y de herramientas adecuadas para procesar la evidencia digital puede dejar muchas denuncias sin sanción.
Un problema adicional es la fragmentación legal. Al estar el delito tipificado solo en el Código Penal de la Ciudad de México, su aplicación se limita a hechos competencia de las autoridades capitalinas. Un ataque en otro estado podría no quedar impune, pero se perseguiría bajo figuras penales distintas como fraude o usurpación de identidad, si es que la legislación local no contempla expresamente el phishing. Esta disparidad genera vacíos jurídicos y diferencias en la investigación y sanción de casos, dificultando la lucha contra una amenaza que no respeta fronteras.
El verdadero reto, concluye Ruiz, no es solo tipificar el delito en una entidad, sino "contar con un marco jurídico homogéneo en todo México, acompañado de fiscalías especializadas, policías cibernéticas con capacidades técnicas y mecanismos de coordinación entre los estados y la Federación". Sin estas medidas, la tipificación del phishing podría convertirse en una letra muerta, dejando a los ciudadanos vulnerables ante un panorama de ciberamenazas en constante evolución.