Te vacían la cuenta con un phishing. La investigación avanza, el peritaje rastrea la conexión… y la pista termina en un servidor en Europa del Este operado por alguien que nunca ha pisado México. En ese momento, para efectos prácticos, el caso murió. No por falta de talento en la Fiscalía, sino por algo mucho más estructural: el delito no respeta fronteras, pero la ley penal sí.
Este es el tercer y último artículo de nuestra serie sobre ciberseguridad y derecho penal en México. En el primero vimos qué castiga el Código Penal Federal. En el segundo, la nueva tipificación del phishing y la Ley de Ciberseguridad que viene. Hoy cerramos con la pieza que vuelve casi decorativas a las dos anteriores cuando el atacante está del otro lado del mundo: la cooperación internacional, o más bien, la falta de ella.
El problema de fondo: la soberanía como escudo del criminal
El derecho penal se construyó sobre un supuesto que el internet hizo añicos: que el delito ocurre en un lugar físico, dentro de las fronteras de un Estado que tiene jurisdicción para perseguirlo. Un homicidio pasa en un sitio. Un robo, también. Pero un ataque de phishing puede orquestarse desde un país, usar infraestructura en un segundo, cobrar el dinero en un tercero y tener a la víctima en un cuarto.
Cada frontera que cruza la investigación es un muro. La Fiscalía mexicana no puede simplemente entrar a un servidor en Rumania, pedirle datos a un proveedor en Estados Unidos o detener a un sospechoso en Rusia. Necesita cooperación internacional formal: asistencia jurídica mutua, exhortos, tratados. Y ahí es donde México llega tarde y mal equipado.
El Convenio de Budapest: el club al que México lleva más de una década sin entrar
El instrumento más importante del mundo para perseguir el cibercrimen transfronterizo es el Convenio de Budapest, firmado en 2001 por el Consejo de Europa. No es un tratado europeo cerrado: más de 65 naciones lo han ratificado, y sirve para tres cosas concretas que cualquier investigador de delitos digitales necesita con desesperación: armonizar las leyes penales entre países, mejorar las técnicas de investigación y —lo más valioso— establecer canales rápidos y confiables de cooperación internacional.
En América Latina, el club ya está bastante lleno: Argentina, Chile, Costa Rica, Colombia, Panamá, Paraguay, Perú y República Dominicana lo han suscrito. ¿México? Sigue siendo apenas Estado observador, junto con Brasil, Ecuador y Guatemala.
Y no es por falta de intentos. México solicitó comenzar el trámite de adhesión hace más de una década. Desde entonces, el Senado ha emitido exhorto tras exhorto pidiendo al Ejecutivo concluir la evaluación del marco jurídico y cerrar la adhesión. Legisladoras como Josefina Vázquez Mota han urgido públicamente a la Secretaría de Relaciones Exteriores a destrabar un proceso que lleva más de una década estancado, subrayando que sin cooperación internacional todos los esfuerzos que México haga en la materia —absolutamente todos— se quedan cortos. El diagnóstico es viejo y conocido. La acción es la que no llega.
Qué perdemos por quedarnos afuera
Esto no es un tecnicismo diplomático. Tiene consecuencias medibles en cada carpeta de investigación:
Cooperación a paso de tortuga. Sin los canales del Convenio, la asistencia jurídica se tramita por vías tradicionales, lentísimas, que pueden tardar meses. En un delito donde la evidencia digital se sobreescribe o se borra en días, meses equivalen a impunidad garantizada.
Evidencia inalcanzable. Los logs, las IP, los registros de un proveedor extranjero son la columna vertebral de un caso de cibercrimen. Sin mecanismos ágiles de preservación y transmisión de pruebas electrónicas, esa evidencia se evapora antes de que llegue el papeleo.
La trampa de la doble incriminación. La cooperación internacional suele exigir que la conducta sea delito en ambos países. Y aquí se conecta todo lo que vimos en los artículos anteriores: si el phishing es delito en la CDMX pero no está tipificado a nivel federal ni homologado en el resto del país, un exhorto internacional puede tropezar con el argumento de que la conducta no está claramente penada en la jurisdicción que solicita la ayuda. La fragmentación interna que denunciamos en el artículo dos se vuelve, en el plano internacional, un talón de Aquiles.
Extradición cuesta arriba. Traer a un responsable que opera desde el extranjero exige tratados de extradición aplicables y, de nuevo, doble incriminación. Sin un marco homologado, el atacante puede operar contra víctimas mexicanas desde un país que jamás lo entregará.
El plot twist: la nueva Convención de la ONU
Mientras México seguía atorado con Budapest, el tablero mundial cambió. El 24 de diciembre de 2024, la Asamblea General de la ONU adoptó la primera Convención de las Naciones Unidas contra la Ciberdelincuencia, un tratado propuesto originalmente en 2019 tras cinco años de negociaciones. En octubre de 2025 se abrió a firma en Hanói, Vietnam, y 65 países estamparon su rúbrica en la ceremonia inaugural.
A diferencia del Convenio de Budapest —criticado por haber nacido como un acuerdo mayormente europeo—, la Convención de la ONU aspira a ser el primer marco verdaderamente universal. Y trae herramientas que a cualquier investigador mexicano le harían agua la boca: es el primer marco global sobre recolección, conservación y transmisión de evidencia electrónica de delitos graves; crea una Red 24/7 que permite a los países iniciar la cooperación de forma casi inmediata; y es el primer tratado internacional que reconoce como delito la difusión no consentida de imágenes íntimas. Entrará en vigor 90 días después de que el país número 40 lo ratifique.
¿Y México? A través de la Secretaría de Relaciones Exteriores, el gobierno mexicano celebró públicamente la adopción de la Convención en 2024 y presumió haber priorizado la protección de los derechos humanos durante la negociación del texto. Suena bien. Pero conviene ser preciso: hasta donde es públicamente verificable, México no figura de forma confirmada entre los países que ya estamparon su firma en la ceremonia de Hanói, y la ratificación —el paso que de verdad obliga al Estado— sigue pendiente. Y aquí conviene recordar el patrón: con el Convenio de Budapest también hubo entusiasmo declarativo durante más de una década, y la adhesión nunca se concretó. Celebrar no es firmar, firmar no es ratificar, y ratificar no es implementar.
El debate que no podemos ignorar
Como en el artículo anterior, aquí también hay una moneda de dos caras. La Convención de la ONU no llegó sin polémica. Organizaciones de derechos digitales y varios legisladores han advertido que un tratado global de cibercrimen, mal implementado, puede convertirse en una herramienta de vigilancia y represión, especialmente en países con instituciones débiles o contrapesos frágiles. Estados Unidos lo respaldó argumentando que quedarse fuera sería cederle el terreno a naciones menos comprometidas con la libertad en línea; China lo impulsó como alternativa al modelo de Budapest; y la Unión Europea lo aceptó con la advertencia expresa de que debe ser compatible con los estándares de derechos humanos.
Para México, el reto no es solo firmar por quedar bien en la foto multilateral. Es implementar un marco que dé dientes reales a las investigaciones sin abrir la puerta a los abusos que ya discutimos al hablar de la militarización del ciberespacio. Ese equilibrio —eficacia contra el crimen y respeto a los derechos— es el hilo conductor de toda esta serie.
Cómo se cae un caso transfronterizo en la práctica
Bajemos de la teoría al expediente. Así se desmorona, paso a paso, una investigación de cibercrimen internacional en el México de hoy:
Primero, la atribución técnica logra rastrear la conexión hasta una infraestructura en el extranjero. Hasta aquí, victoria del perito. Segundo, esa evidencia vive en servidores de un proveedor que no está sujeto a la jurisdicción mexicana, así que hay que solicitar asistencia jurídica internacional. Tercero, sin los canales ágiles de un tratado del que México sea parte, esa solicitud entra a una cola burocrática que se mide en meses. Cuarto, para cuando la solicitud avanza, los logs ya se sobreescribieron o el proveedor ya no los conserva. Quinto, aunque milagrosamente sobreviva la evidencia, aparece la doble incriminación: si la conducta no está claramente tipificada en México a nivel federal, el país requerido puede negar la cooperación. Y sexto, si por todo lo anterior no hay a quién detener dentro del territorio, la extradición ni siquiera entra en la ecuación.
Seis pasos, seis muros. Y ninguno se resuelve con más pentesters o mejores herramientas técnicas: se resuelven con marco jurídico y cooperación internacional. Es una batalla que se pierde en la cancha del derecho, no en la de la consola.
La conclusión incómoda: la prevención es la única defensa real
Aquí está el mensaje que como profesionales de seguridad ofensiva tenemos la obligación de dar sin adornos: si tu organización sufre un ataque orquestado desde el extranjero, la probabilidad de que alguien termine tras las rejas es, hoy por hoy, remota. El sistema de persecución penal transfronterizo mexicano está incompleto, es lento y depende de tratados que seguimos sin firmar o sin implementar.
Eso cambia por completo el cálculo de riesgo. No puedes confiar en que la ley castigará a tu atacante y eso, de algún modo, te resarcirá. La única defensa que de verdad controlas es la que ocurre antes del ataque: conocer tus vulnerabilidades antes que el adversario, endurecer tu superficie de exposición, y probar tus defensas con la misma creatividad con la que lo haría un atacante real. En un mundo donde la justicia penal llega tarde —o no llega—, la prevención dejó de ser una buena práctica para convertirse en la línea de defensa principal.
En ONESEC no esperamos a que la ley alcance al crimen
En ONESEC partimos de una premisa realista: si la persecución penal del cibercrimen transfronterizo es incierta, tu seguridad no puede depender de ella. Por eso nos enfocamos en lo que sí está bajo tu control. A través de ejercicios de Red Team, pentesting y simulaciones de adversario, identificamos y cerramos las brechas que un atacante —esté en México o al otro lado del planeta— usaría en tu contra, antes de que lo haga. Contáctanos en onesec.mx.
Con esto cerramos nuestra serie sobre ciberseguridad y derecho penal en México: del marco actual del Código Penal Federal, pasando por la nueva ley y el phishing como delito, hasta la frontera final de la cooperación internacional. La conclusión de las tres partes es una sola: el derecho avanza, pero el crimen corre más rápido. Y mientras se empareja la carrera, la mejor ley que tiene tu organización eres tú, preparándote.
Referencias
Noticias ONU – Sesenta y cinco países firman el primer tratado contra la ciberdelincuencia, un hito para la cooperación digital. Recuperado el 7 de agosto de 2026 de https://news.un.org/es/story/2025/10/1540631
UNODC México – La Convención de las Naciones Unidas contra la Ciberdelincuencia se abrió a la firma en Hanói, Vietnam. Recuperado el 7 de agosto de 2026 de https://www.unodc.org/lpomex/es/noticias/octubre-2025/la-convencion-de-las-naciones-unidas-contra-la-ciberdelincuencia-se-abri-a-la-firma-en-hani–vietnam.html
Senado de la República – Urgen a la SRE concluir la adhesión al Convenio sobre Ciberdelincuencia. Recuperado el 7 de agosto de 2026 de http://comunicacion.senado.gob.mx/index.php/informacion/boletines/50022-urgen-a-la-sre-concluir-la-adhesion-al-convenio-sobre-ciberdelincuencia.html
Derechos Digitales – Convenio de Budapest sobre la Ciberdelincuencia en América Latina. Recuperado el 7 de agosto de 2026 de https://www.derechosdigitales.org/noticias/convenio-de-budapest-sobre-la-ciberdelincuencia-en-america-latina/
Basham, Ringe y Correa – Aprobación del Primer Tratado Internacional en Materia de Cibercrimen. Recuperado el 7 de agosto de 2026 de https://basham.com.mx/aprobacion-del-primer-tratado-internacional-en-materia-de-cibercrimen/
El Heraldo de México – Convención de Hanoi sobre ciberdelincuencia. Recuperado el 7 de agosto de 2026 de https://heraldodemexico.com.mx/opinion/2025/10/27/convencion-de-hanoi-sobre-ciberdelincuencia-740429.html
Secretaría de Relaciones Exteriores (Gobierno de México) – El Gobierno de México celebra la adopción de la Convención contra el Ciberdelito en la ONU. Recuperado el 7 de agosto de 2026 de https://www.gob.mx/sre/prensa/el-gobierno-de-mexico-celebra-la-adopcion-de-la-convencion-contra-el-ciberdelito-en-la-onu