![\"\"](\"https:\/\/hacking.onesec.mx\/wp-content\/uploads\/2026\/07\/image-7.png\")
<\/figure>\n\n\n\nAnatom\u00eda del tipo penal: d\u00f3nde est\u00e1n los huecos<\/h2>\n\n\n\n
Un tipo penal es como el c\u00f3digo de un exploit: si le falta una condici\u00f3n, no ejecuta. Y este tipo penal tiene varias condiciones que un buen defensor va a atacar una por una.<\/p>\n\n\n\n
Hueco 1: el problema de la competencia territorial.<\/strong> Este es el m\u00e1s grave, y es de dise\u00f1o. El 231 Bis es un delito local<\/strong>, del fuero com\u00fan de la Ciudad de M\u00e9xico. Pero el phishing, por naturaleza, no respeta fronteras: el atacante puede operar desde Jalisco, desde Rumania o desde una VPN que sale en tres pa\u00edses distintos, el servidor puede estar en un data center de Estados Unidos y la v\u00edctima estar en Iztapalapa. \u00bfD\u00f3nde se cometi\u00f3 el delito? El cl\u00e1sico problema del locus delicti<\/em>. Si el enga\u00f1o se origin\u00f3 fuera de la CDMX, la Fiscal\u00eda capitalina puede quedarse sin jurisdicci\u00f3n, y el caso se cae antes de empezar. Como han advertido especialistas, combatir una amenaza global con legislaciones locales distintas crea vac\u00edos jur\u00eddicos y diferencias en c\u00f3mo se investiga y sanciona cada caso.<\/p>\n\n\n\n Hueco 2: el phishing es solo el anzuelo, no el robo completo.<\/strong> El 231 Bis castiga el enga\u00f1o para obtener los datos. Pero, \u00bfy lo que viene despu\u00e9s? Vaciar la cuenta, suplantar la identidad de la v\u00edctima, extorsionarla. Esas conductas requieren otros<\/em> delitos \u2014fraude, robo de identidad donde est\u00e9 tipificado, extorsi\u00f3n\u2014, y no todas est\u00e1n homologadas ni en CDMX ni a nivel federal. Especialistas han se\u00f1alado que esta tipificaci\u00f3n no abarca todos los delitos vinculados al phishing, dejando fuera piezas clave de la cadena criminal.<\/p>\n\n\n\n Hueco 3: la finalidad hay que probarla.<\/strong> El tipo exige una “finalidad de obtener un beneficio indebido o causar un perjuicio”. Eso es dolo espec\u00edfico: no basta demostrar que alguien mont\u00f3 una p\u00e1gina falsa; hay que probar para qu\u00e9<\/em> la mont\u00f3. Si un investigador de seguridad clona un portal como prueba de concepto sin \u00e1nimo de lucro, o si simplemente no se acredita esa finalidad, el elemento subjetivo se desmorona.<\/p>\n\n\n\n Hueco 4: atribuci\u00f3n no es identificaci\u00f3n.<\/strong> Este es el que m\u00e1s nos duele a los t\u00e9cnicos. Una direcci\u00f3n IP identifica un dispositivo o una conexi\u00f3n, no a una persona. Un equipo comprometido, una red Wi-Fi abierta, credenciales robadas o una cuenta suplantada pueden colocar a un inocente en la escena digital del crimen. La propia complejidad del phishing \u2014donde el delito frecuentemente se comete usando la identidad robada de otra persona<\/em>\u2014 obliga a las autoridades a distinguir entre quien realmente ejecut\u00f3 la conducta y quien fue v\u00edctima de un robo de identidad. Esa duda es, jur\u00eddicamente, oro molido para la defensa.<\/p>\n\n\n\n Pong\u00e1monos el traje de defensor. Un acusado de phishing bajo el 231 Bis tiene un arsenal de estrategias, y ninguna requiere demostrar que su cliente es “buena persona”:<\/p>\n\n\n\n Incompetencia por territorio.<\/strong> Primera l\u00ednea de defensa: acreditar que la conducta no se cometi\u00f3 en la Ciudad de M\u00e9xico y que, por tanto, la Fiscal\u00eda local carece de jurisdicci\u00f3n. Un planteamiento de incompetencia bien armado puede detener el proceso en seco.<\/p>\n\n\n\n Atipicidad.<\/strong> Atacar los elementos del tipo. \u00bfSe prob\u00f3 que la interfaz “simulaba ser leg\u00edtima”? \u00bfSe acredit\u00f3 la “finalidad de beneficio indebido”? Si falta un solo elemento, la conducta es at\u00edpica y no hay delito que perseguir.<\/p>\n\n\n\n Duda razonable sobre la autor\u00eda.<\/strong> Aqu\u00ed entra toda la artiller\u00eda t\u00e9cnica: la IP no basta, el dispositivo pudo ser usado por terceros, las credenciales pudieron ser suplantadas. La defensa no tiene que probar qui\u00e9n lo hizo; solo tiene que sembrar duda razonable sobre que lo hizo su cliente.<\/p>\n\n\n\n Prueba il\u00edcita y cadena de custodia.<\/strong> La evidencia digital es fr\u00e1gil y su manejo, muchas veces deficiente. \u00bfC\u00f3mo se obtuvo? \u00bfHubo intervenci\u00f3n de comunicaciones sin control judicial? \u00bfSe preserv\u00f3 correctamente el hash de los archivos, los metadatos, los tiempos? Un defecto en la cadena de custodia puede volver la prueba nula, y sin prueba no hay condena.<\/p>\n\n\n\n Irretroactividad.<\/strong> Por principio de legalidad, ninguna conducta anterior al 23 de julio de 2026 puede juzgarse bajo el 231 Bis. Las fechas importan.<\/p>\n\n\n\n Ahora cambiemos de silla. Representar al afectado es un juego distinto, m\u00e1s de velocidad y de estrategia procesal que de argumentaci\u00f3n abstracta:<\/p>\n\n\n\n Preservar la evidencia, ya.<\/strong> La prueba digital se evapora. El primer consejo de cualquier abogado competente es actuar de inmediato: capturas con fecha y hora, correos completos con encabezados, URLs, dominios, comprobantes de transferencia. Idealmente, certificar esas capturas ante notario o mediante fe p\u00fablica para blindar su valor probatorio, y solicitar a las plataformas la preservaci\u00f3n de datos antes de que se borren.<\/p>\n\n\n\n Elegir bien la v\u00eda y el foro.<\/strong> Un buen litigante de la v\u00edctima piensa en la competencia antes<\/em> de denunciar: d\u00f3nde presentar la denuncia para que s\u00ed exista jurisdicci\u00f3n, y c\u00f3mo plantear un concurso de delitos \u2014phishing m\u00e1s fraude, m\u00e1s robo de identidad donde aplique\u2014 para que el caso tenga peso y no se caiga por un tecnicismo.<\/p>\n\n\n\n Ir por la reparaci\u00f3n del da\u00f1o por todas las v\u00edas.<\/strong> El 231 Bis obliga a reparar el da\u00f1o, pero el litigante inteligente no se queda ah\u00ed: activa en paralelo la ruta ante la CONDUSEF para el componente financiero, y eval\u00faa la responsabilidad civil de terceros \u2014el banco o la plataforma que no tuvo controles razonables de seguridad\u2014. A veces el bolsillo con dinero para pagar no es el del hacker, sino el de la instituci\u00f3n negligente.<\/p>\n\n\n\n Coadyuvancia activa con el Ministerio P\u00fablico.<\/strong> La v\u00edctima no debe ser espectadora. Aportar peritajes inform\u00e1ticos propios, se\u00f1alar l\u00edneas de investigaci\u00f3n y empujar el proceso suele marcar la diferencia entre una carpeta que avanza y una que se archiva por inactividad.<\/p>\n\n\n\n Lo revelador de este ejercicio es que las mismas debilidades del tipo penal sirven a ambos lados: lo que para la defensa es un hueco para exculpar, para la v\u00edctima es un obst\u00e1culo que debe anticipar y neutralizar. Esa es, en el fondo, la raz\u00f3n por la que el marco legal mexicano necesita con urgencia la pieza grande del rompecabezas.<\/p>\n\n\n\n Mientras los estados legislan a parches, en el Senado avanza una iniciativa que \u2014pese a circular con nombres distintos, “Federal” o “General”\u2014 aparece formalmente como Ley de Ciberseguridad<\/strong>. Presentada en 2025 y estructurada en 64 art\u00edculos, ser\u00eda la primera ley federal mexicana que pretende ordenar de forma integral la gobernanza de la ciberseguridad, y su publicaci\u00f3n en el DOF se espera durante la segunda mitad de 2026.<\/p>\n\n\n\n Para las empresas, estos son los cambios que m\u00e1s pesan:<\/p>\n\n\n\n Agencia Nacional de Ciberseguridad (ANCS).<\/strong> La autoridad rectora que concentrar\u00eda facultades hoy dispersas entre m\u00faltiples dependencias.<\/p>\n\n\n\n Registro de Infraestructuras Cr\u00edticas.<\/strong> Un inventario nacional de los sistemas cuya afectaci\u00f3n tendr\u00eda impacto econ\u00f3mico, social, sanitario o de seguridad p\u00fablica. Si operas en finanzas, energ\u00eda, telecomunicaciones o salud, es probable que termines dentro.<\/p>\n\n\n\n Responsable de ciberseguridad obligatorio.<\/strong> La designaci\u00f3n de una figura tipo CISO dejar\u00eda de ser buena pr\u00e1ctica opcional para volverse obligaci\u00f3n legal.<\/p>\n\n\n\n Reporte de incidentes en menos de 24 horas.<\/strong> Un esquema formal de notificaci\u00f3n de incidentes cr\u00edticos contra reloj, uno de los puntos m\u00e1s exigentes de toda la iniciativa.<\/p>\n\n\n\n R\u00e9gimen sancionatorio.<\/strong> Multas reales por incumplir. La ciberseguridad deja de ser tema de TI para volverse asunto de consejo de administraci\u00f3n y de riesgo legal.<\/p>\n\n\n\n Y esto no es solo futuro: la Agencia de Transformaci\u00f3n Digital y Telecomunicaciones ya present\u00f3 el Plan Nacional de Ciberseguridad, cuya Pol\u00edtica General se public\u00f3 en el DOF y est\u00e1 vigente desde diciembre de 2025. Para la Administraci\u00f3n P\u00fablica Federal ya hay obligaciones; si tu empresa le vende al gobierno o est\u00e1 en su cadena de suministro, esas exigencias te van a llegar por rebote.<\/p>\n\n\n\n No todo es aplauso. Especialistas han advertido que el borrador legislativo padece vac\u00edos conceptuales y estructurales que podr\u00edan limitar su impacto real, justo cuando el pa\u00eds atraviesa una de las peores oleadas de ataques de su historia. Una ley mal redactada no protege: genera una falsa sensaci\u00f3n de seguridad.<\/p>\n\n\n\n Y hay un frente m\u00e1s delicado. Versiones previas de la iniciativa fueron cuestionadas por abrir la puerta a la militarizaci\u00f3n del ciberespacio: la posibilidad de que la Secretar\u00eda de la Defensa Nacional y la Marina realicen “ciberpatrullajes” sin reglas claras que delimiten esas funciones, lo que \u2014seg\u00fan los cr\u00edticos\u2014 podr\u00eda derivar en vigilancia, censura y violaciones a derechos humanos. El equilibrio entre seguridad nacional y libertades digitales es, quiz\u00e1, el punto m\u00e1s caliente de todo el debate, y el que m\u00e1s atenci\u00f3n merece de aqu\u00ed a que la ley se apruebe.<\/p>\n\n\n\n Entre la publicaci\u00f3n en el DOF y la exigibilidad operativa suele haber entre 12 y 18 meses. Ese es tu plazo real de preparaci\u00f3n, y se agota r\u00e1pido. Adelantarse implica mapear qu\u00e9 activos tuyos podr\u00edan clasificarse como infraestructura cr\u00edtica, designar formalmente a un responsable de ciberseguridad, montar un procedimiento de respuesta y notificaci\u00f3n que aguante un reloj de 24 horas, y saber realmente qu\u00e9 tan expuesta est\u00e1 tu organizaci\u00f3n antes de que lo descubra un atacante o un auditor.<\/p>\n\n\n\n Y una precisi\u00f3n que como profesionales ofensivos no podemos dejar pasar: probar tus propias defensas con simulaciones de phishing o ejercicios de Red Team es perfectamente legal\u2026 siempre que exista autorizaci\u00f3n formal. Ese contrato con alcance delimitado y reglas de involucramiento es, jur\u00eddicamente, lo \u00fanico que separa un ejercicio de seguridad de la conducta que hoy castiga el 231 Bis. La finalidad leg\u00edtima y el consentimiento del titular del sistema son, precisamente, los elementos que vuelven at\u00edpica la conducta. La ley que viene solo har\u00e1 esa distinci\u00f3n m\u00e1s importante.<\/p>\n\n\n\n En ONESEC no solo evaluamos la seguridad de tu infraestructura: te ayudamos a entender d\u00f3nde est\u00e1s parado frente al marco regulatorio que se avecina. Desde ejercicios de Red Team y simulaciones de phishing con reglas de involucramiento claras y documentaci\u00f3n que te protege legalmente, hasta la identificaci\u00f3n de tus activos cr\u00edticos y la evaluaci\u00f3n de tu postura de seguridad, te acompa\u00f1amos a cerrar la brecha antes de que la ley toque a tu puerta. Cont\u00e1ctanos en onesec.mx.<\/p>\n\n\n\n En el pr\u00f3ximo art\u00edculo de esta serie: c\u00f3mo se persigue en la pr\u00e1ctica un ciberdelito transfronterizo en M\u00e9xico y por qu\u00e9 seguir fuera del Convenio de Budapest nos deja peleando con una mano atada a la espalda.<\/p>\n\n\n\n Infobae<\/strong> \u2013 Phishing ya es delito en la CDMX: hasta 6 a\u00f1os de c\u00e1rcel y 70,000 pesos de multa. Recuperado el 30 de julio de 2026 de https:\/\/www.infobae.com\/mexico\/2026\/07\/23\/phishing-ya-es-delito-en-la-cdmx-hasta-6-anos-de-carcel-y-70000-pesos-de-multa\/<\/a><\/p>\n\n\n\n Expansi\u00f3n<\/strong> \u2013 \u00bfTe estafaron por WhatsApp? El phishing ya es delito en CDMX y estas son las pruebas para denunciar. Recuperado el 30 de julio de 2026 de https:\/\/expansion.mx\/tecnologia\/2026\/07\/29\/phishing-es-delito-cdmx-pruebas-para-denunciar<\/a><\/p>\n\n\n\n Justia M\u00e9xico<\/strong> \u2013 C\u00f3digo Penal Federal, T\u00edtulo Noveno, Cap\u00edtulo II (Acceso Il\u00edcito a Sistemas y Equipos de Inform\u00e1tica, Art. 211 bis 1o. al 211 bis 7o.). Recuperado el 30 de julio de 2026 de https:\/\/mexico.justia.com\/federales\/codigos\/codigo-penal-federal\/libro-segundo\/titulo-noveno\/capitulo-ii\/<\/a><\/p>\n\n\n\n Expansi\u00f3n<\/strong> \u2013 M\u00e9xico prepara su primer Plan Nacional de Ciberseguridad para 2026, pero los ataques ya van un paso adelante. Recuperado el 30 de julio de 2026 de https:\/\/expansion.mx\/tecnologia\/2026\/01\/05\/mexico-primer-plan-de-ciberseguridad-2026<\/a><\/p>\n\n\n\n Gobierno de M\u00e9xico (ATDT)<\/strong> \u2013 Liderar\u00e1 M\u00e9xico ciberresiliencia en la regi\u00f3n con Plan Nacional de Ciberseguridad. Recuperado el 30 de julio de 2026 de https:\/\/www.gob.mx\/atdt\/comunicacion\/liderara-mexico-ciberresiliencia-en-la-region-con-plan-nacional-de-ciberseguridad<\/a><\/p>\n\n\n\n![\"Hacker\"](\"https:\/\/hacking.onesec.mx\/wp-content\/uploads\/2026\/07\/image-5.png\")
<\/figure>\n\n\n\nC\u00f3mo defender\u00eda un abogado al atacante<\/h2>\n\n\n\n
C\u00f3mo defender\u00eda un abogado a la v\u00edctima<\/h2>\n\n\n\n
![\"\"](\"https:\/\/hacking.onesec.mx\/wp-content\/uploads\/2026\/07\/image-4.png\")
<\/figure>\n\n\n\nLa pieza grande: la Ley de Ciberseguridad<\/h2>\n\n\n\n
![\"Ley](\"https:\/\/hacking.onesec.mx\/wp-content\/uploads\/2026\/07\/image-6.png\")
<\/figure>\n\n\n\nEl otro lado de la moneda: las alarmas encendidas<\/h2>\n\n\n\n
\u00bfQu\u00e9 deber\u00eda hacer tu empresa desde ahora?<\/h2>\n\n\n\n
En ONESEC te ayudamos a llegar preparado<\/h2>\n\n\n\n
\n\n\n\nReferencias<\/h2>\n\n\n\n