Desde el 23 de julio de 2026, hacer phishing en la Ciudad de México puede costarte hasta seis años de cárcel. No como “fraude genérico”, según venía pasando durante años, sino como un delito con nombre y apellido en el Código Penal. Suena a victoria, y en parte lo es. Pero cuando uno lee la letra chica y piensa como litigante, aparece una verdad incómoda: la ley tiene agujeros por los que cabe un camión, y tanto el atacante como la víctima pueden terminar atrapados en ellos.
Este es el segundo artículo de nuestra serie sobre ciberseguridad y derecho penal en México. En el primero desmenuzamos qué castiga —y qué no— el Código Penal Federal. Hoy vemos hacia adelante: la nueva tipificación del phishing, la Ley de Ciberseguridad que se cocina en el Congreso, y un ejercicio que casi nadie hace en los artículos de ciberseguridad: sentarnos en la silla del abogado defensor y en la del abogado de la víctima para ver cómo se litiga esto de verdad.
El termómetro: qué dice exactamente el nuevo delito de phishing
Empecemos por lo que es tendencia. El Congreso de la Ciudad de México adicionó el artículo 231 Bis al Código Penal para el Distrito Federal. La iniciativa, impulsada por la diputada Olivia Garza de los Santos, fue aprobada por unanimidad el 21 de mayo de 2026, publicada en la Gaceta Oficial el 22 de julio y entró en vigor al día siguiente.
El texto castiga a quien, mediante engaño digital consistente en la creación o uso de mensajes, páginas electrónicas, dominios, aplicaciones o cualquier otra interfaz tecnológica que simule ser legítima, induzca a una persona a revelar, capturar o proporcionar datos personales, financieros o de autenticación, con la finalidad de obtener un beneficio indebido o causar un perjuicio. La pena: de tres a seis años de prisión y multa de 200 a 600 UMA. Con la UMA en 117.31 pesos para 2026, eso equivale a entre 23,462 y 70,386 pesos, más la obligación de reparar el daño. Y hay agravante: las penas suben hasta en una mitad —de 4.5 a 9 años— cuando la víctima es persona mayor, persona con discapacidad o menor de edad.
Hasta aquí, la nota que ya leíste en todos lados. Ahora vamos a la parte que nadie te cuenta.
Anatomía del tipo penal: dónde están los huecos
Un tipo penal es como el código de un exploit: si le falta una condición, no ejecuta. Y este tipo penal tiene varias condiciones que un buen defensor va a atacar una por una.
Hueco 1: el problema de la competencia territorial. Este es el más grave, y es de diseño. El 231 Bis es un delito local, del fuero común de la Ciudad de México. Pero el phishing, por naturaleza, no respeta fronteras: el atacante puede operar desde Jalisco, desde Rumania o desde una VPN que sale en tres países distintos, el servidor puede estar en un data center de Estados Unidos y la víctima estar en Iztapalapa. ¿Dónde se cometió el delito? El clásico problema del locus delicti. Si el engaño se originó fuera de la CDMX, la Fiscalía capitalina puede quedarse sin jurisdicción, y el caso se cae antes de empezar. Como han advertido especialistas, combatir una amenaza global con legislaciones locales distintas crea vacíos jurídicos y diferencias en cómo se investiga y sanciona cada caso.
Hueco 2: el phishing es solo el anzuelo, no el robo completo. El 231 Bis castiga el engaño para obtener los datos. Pero, ¿y lo que viene después? Vaciar la cuenta, suplantar la identidad de la víctima, extorsionarla. Esas conductas requieren otros delitos —fraude, robo de identidad donde esté tipificado, extorsión—, y no todas están homologadas ni en CDMX ni a nivel federal. Especialistas han señalado que esta tipificación no abarca todos los delitos vinculados al phishing, dejando fuera piezas clave de la cadena criminal.
Hueco 3: la finalidad hay que probarla. El tipo exige una “finalidad de obtener un beneficio indebido o causar un perjuicio”. Eso es dolo específico: no basta demostrar que alguien montó una página falsa; hay que probar para qué la montó. Si un investigador de seguridad clona un portal como prueba de concepto sin ánimo de lucro, o si simplemente no se acredita esa finalidad, el elemento subjetivo se desmorona.
Hueco 4: atribución no es identificación. Este es el que más nos duele a los técnicos. Una dirección IP identifica un dispositivo o una conexión, no a una persona. Un equipo comprometido, una red Wi-Fi abierta, credenciales robadas o una cuenta suplantada pueden colocar a un inocente en la escena digital del crimen. La propia complejidad del phishing —donde el delito frecuentemente se comete usando la identidad robada de otra persona— obliga a las autoridades a distinguir entre quien realmente ejecutó la conducta y quien fue víctima de un robo de identidad. Esa duda es, jurídicamente, oro molido para la defensa.
Cómo defendería un abogado al atacante
Pongámonos el traje de defensor. Un acusado de phishing bajo el 231 Bis tiene un arsenal de estrategias, y ninguna requiere demostrar que su cliente es “buena persona”:
Incompetencia por territorio. Primera línea de defensa: acreditar que la conducta no se cometió en la Ciudad de México y que, por tanto, la Fiscalía local carece de jurisdicción. Un planteamiento de incompetencia bien armado puede detener el proceso en seco.
Atipicidad. Atacar los elementos del tipo. ¿Se probó que la interfaz “simulaba ser legítima”? ¿Se acreditó la “finalidad de beneficio indebido”? Si falta un solo elemento, la conducta es atípica y no hay delito que perseguir.
Duda razonable sobre la autoría. Aquí entra toda la artillería técnica: la IP no basta, el dispositivo pudo ser usado por terceros, las credenciales pudieron ser suplantadas. La defensa no tiene que probar quién lo hizo; solo tiene que sembrar duda razonable sobre que lo hizo su cliente.
Prueba ilícita y cadena de custodia. La evidencia digital es frágil y su manejo, muchas veces deficiente. ¿Cómo se obtuvo? ¿Hubo intervención de comunicaciones sin control judicial? ¿Se preservó correctamente el hash de los archivos, los metadatos, los tiempos? Un defecto en la cadena de custodia puede volver la prueba nula, y sin prueba no hay condena.
Irretroactividad. Por principio de legalidad, ninguna conducta anterior al 23 de julio de 2026 puede juzgarse bajo el 231 Bis. Las fechas importan.
Cómo defendería un abogado a la víctima
Ahora cambiemos de silla. Representar al afectado es un juego distinto, más de velocidad y de estrategia procesal que de argumentación abstracta:
Preservar la evidencia, ya. La prueba digital se evapora. El primer consejo de cualquier abogado competente es actuar de inmediato: capturas con fecha y hora, correos completos con encabezados, URLs, dominios, comprobantes de transferencia. Idealmente, certificar esas capturas ante notario o mediante fe pública para blindar su valor probatorio, y solicitar a las plataformas la preservación de datos antes de que se borren.
Elegir bien la vía y el foro. Un buen litigante de la víctima piensa en la competencia antes de denunciar: dónde presentar la denuncia para que sí exista jurisdicción, y cómo plantear un concurso de delitos —phishing más fraude, más robo de identidad donde aplique— para que el caso tenga peso y no se caiga por un tecnicismo.
Ir por la reparación del daño por todas las vías. El 231 Bis obliga a reparar el daño, pero el litigante inteligente no se queda ahí: activa en paralelo la ruta ante la CONDUSEF para el componente financiero, y evalúa la responsabilidad civil de terceros —el banco o la plataforma que no tuvo controles razonables de seguridad—. A veces el bolsillo con dinero para pagar no es el del hacker, sino el de la institución negligente.
Coadyuvancia activa con el Ministerio Público. La víctima no debe ser espectadora. Aportar peritajes informáticos propios, señalar líneas de investigación y empujar el proceso suele marcar la diferencia entre una carpeta que avanza y una que se archiva por inactividad.
Lo revelador de este ejercicio es que las mismas debilidades del tipo penal sirven a ambos lados: lo que para la defensa es un hueco para exculpar, para la víctima es un obstáculo que debe anticipar y neutralizar. Esa es, en el fondo, la razón por la que el marco legal mexicano necesita con urgencia la pieza grande del rompecabezas.
La pieza grande: la Ley de Ciberseguridad
Mientras los estados legislan a parches, en el Senado avanza una iniciativa que —pese a circular con nombres distintos, “Federal” o “General”— aparece formalmente como Ley de Ciberseguridad. Presentada en 2025 y estructurada en 64 artículos, sería la primera ley federal mexicana que pretende ordenar de forma integral la gobernanza de la ciberseguridad, y su publicación en el DOF se espera durante la segunda mitad de 2026.
Para las empresas, estos son los cambios que más pesan:
Agencia Nacional de Ciberseguridad (ANCS). La autoridad rectora que concentraría facultades hoy dispersas entre múltiples dependencias.
Registro de Infraestructuras Críticas. Un inventario nacional de los sistemas cuya afectación tendría impacto económico, social, sanitario o de seguridad pública. Si operas en finanzas, energía, telecomunicaciones o salud, es probable que termines dentro.
Responsable de ciberseguridad obligatorio. La designación de una figura tipo CISO dejaría de ser buena práctica opcional para volverse obligación legal.
Reporte de incidentes en menos de 24 horas. Un esquema formal de notificación de incidentes críticos contra reloj, uno de los puntos más exigentes de toda la iniciativa.
Régimen sancionatorio. Multas reales por incumplir. La ciberseguridad deja de ser tema de TI para volverse asunto de consejo de administración y de riesgo legal.
Y esto no es solo futuro: la Agencia de Transformación Digital y Telecomunicaciones ya presentó el Plan Nacional de Ciberseguridad, cuya Política General se publicó en el DOF y está vigente desde diciembre de 2025. Para la Administración Pública Federal ya hay obligaciones; si tu empresa le vende al gobierno o está en su cadena de suministro, esas exigencias te van a llegar por rebote.
El otro lado de la moneda: las alarmas encendidas
No todo es aplauso. Especialistas han advertido que el borrador legislativo padece vacíos conceptuales y estructurales que podrían limitar su impacto real, justo cuando el país atraviesa una de las peores oleadas de ataques de su historia. Una ley mal redactada no protege: genera una falsa sensación de seguridad.
Y hay un frente más delicado. Versiones previas de la iniciativa fueron cuestionadas por abrir la puerta a la militarización del ciberespacio: la posibilidad de que la Secretaría de la Defensa Nacional y la Marina realicen “ciberpatrullajes” sin reglas claras que delimiten esas funciones, lo que —según los críticos— podría derivar en vigilancia, censura y violaciones a derechos humanos. El equilibrio entre seguridad nacional y libertades digitales es, quizá, el punto más caliente de todo el debate, y el que más atención merece de aquí a que la ley se apruebe.
¿Qué debería hacer tu empresa desde ahora?
Entre la publicación en el DOF y la exigibilidad operativa suele haber entre 12 y 18 meses. Ese es tu plazo real de preparación, y se agota rápido. Adelantarse implica mapear qué activos tuyos podrían clasificarse como infraestructura crítica, designar formalmente a un responsable de ciberseguridad, montar un procedimiento de respuesta y notificación que aguante un reloj de 24 horas, y saber realmente qué tan expuesta está tu organización antes de que lo descubra un atacante o un auditor.
Y una precisión que como profesionales ofensivos no podemos dejar pasar: probar tus propias defensas con simulaciones de phishing o ejercicios de Red Team es perfectamente legal… siempre que exista autorización formal. Ese contrato con alcance delimitado y reglas de involucramiento es, jurídicamente, lo único que separa un ejercicio de seguridad de la conducta que hoy castiga el 231 Bis. La finalidad legítima y el consentimiento del titular del sistema son, precisamente, los elementos que vuelven atípica la conducta. La ley que viene solo hará esa distinción más importante.
En ONESEC te ayudamos a llegar preparado
En ONESEC no solo evaluamos la seguridad de tu infraestructura: te ayudamos a entender dónde estás parado frente al marco regulatorio que se avecina. Desde ejercicios de Red Team y simulaciones de phishing con reglas de involucramiento claras y documentación que te protege legalmente, hasta la identificación de tus activos críticos y la evaluación de tu postura de seguridad, te acompañamos a cerrar la brecha antes de que la ley toque a tu puerta. Contáctanos en onesec.mx.
En el próximo artículo de esta serie: cómo se persigue en la práctica un ciberdelito transfronterizo en México y por qué seguir fuera del Convenio de Budapest nos deja peleando con una mano atada a la espalda.
Referencias
Infobae – Phishing ya es delito en la CDMX: hasta 6 años de cárcel y 70,000 pesos de multa. Recuperado el 30 de julio de 2026 de https://www.infobae.com/mexico/2026/07/23/phishing-ya-es-delito-en-la-cdmx-hasta-6-anos-de-carcel-y-70000-pesos-de-multa/
Expansión – ¿Te estafaron por WhatsApp? El phishing ya es delito en CDMX y estas son las pruebas para denunciar. Recuperado el 30 de julio de 2026 de https://expansion.mx/tecnologia/2026/07/29/phishing-es-delito-cdmx-pruebas-para-denunciar
Justia México – Código Penal Federal, Título Noveno, Capítulo II (Acceso Ilícito a Sistemas y Equipos de Informática, Art. 211 bis 1o. al 211 bis 7o.). Recuperado el 30 de julio de 2026 de https://mexico.justia.com/federales/codigos/codigo-penal-federal/libro-segundo/titulo-noveno/capitulo-ii/
Expansión – México prepara su primer Plan Nacional de Ciberseguridad para 2026, pero los ataques ya van un paso adelante. Recuperado el 30 de julio de 2026 de https://expansion.mx/tecnologia/2026/01/05/mexico-primer-plan-de-ciberseguridad-2026
Gobierno de México (ATDT) – Liderará México ciberresiliencia en la región con Plan Nacional de Ciberseguridad. Recuperado el 30 de julio de 2026 de https://www.gob.mx/atdt/comunicacion/liderara-mexico-ciberresiliencia-en-la-region-con-plan-nacional-de-ciberseguridad
Scitum – Iniciativa de Ley Federal de Ciberseguridad en México. Recuperado el 30 de julio de 2026 de https://resources.scitum.com.mx/iniciativa-de-ley-federal-de-ciberseguridad-en-mexico/