La Ciudad de México dio un paso relevante al tipificar el engaño digital y establecer penas de hasta seis años de prisión. Sin embargo, ninguna reforma será suficiente mientras millones de personas y organizaciones continúen enfrentando amenazas cada vez más sofisticadas sin la preparación necesaria para reconocerlas.
En la Ciudad de México, crear o utilizar mensajes, páginas electrónicas, dominios, aplicaciones o interfaces falsas para obtener contraseñas, datos personales o información financiera ya puede castigarse con penas de tres a seis años de prisión, además de multas.
La incorporación del artículo 231 Bis al Código Penal local, vigente desde el 23 de julio de 2026, representa un avance relevante frente a una modalidad delictiva que durante años evolucionó con mayor rapidez que las normas encargadas de perseguirla. La nueva disposición sanciona el engaño digital utilizado para inducir a una persona a revelar o proporcionar datos con el propósito de obtener un beneficio indebido o causarle un perjuicio. Las penas pueden aumentar cuando las víctimas son menores de edad, personas adultas mayores o personas con discapacidad.
Por primera vez, la legislación de la capital se acerca con mayor precisión a la manera en que operan los delincuentes digitales. Ya no será indispensable esperar a que una cuenta bancaria sea vaciada o que el dinero desaparezca para reconocer la existencia de un daño: la obtención fraudulenta de credenciales, datos financieros o mecanismos de autenticación constituye por sí misma una conducta sancionable.
El mensaje jurídico es importante: crear la trampa también es parte del delito.
Sin embargo, aumentar las penas no resolverá por sí solo un problema que crece a la velocidad de la digitalización. La legislación puede perseguir a los responsables y contribuir a inhibir conductas, pero difícilmente podrá detener cada mensaje, llamada, código QR, sitio apócrifo o aplicación maliciosa antes de que llegue a una víctima.
La cárcel actúa después. La educación puede intervenir antes.
El phishing ya no parece phishing
Durante mucho tiempo, el phishing fue asociado con correos electrónicos mal redactados, remitentes desconocidos y promesas inverosímiles. Esa imagen resulta hoy peligrosa porque genera una falsa sensación de seguridad: muchas personas creen que reconocerían de inmediato un intento de fraude, cuando los engaños actuales pueden ser casi indistinguibles de una comunicación legítima.
Los delincuentes se presentan como instituciones bancarias, empresas de paquetería, plataformas de comercio electrónico, dependencias gubernamentales, proveedores, compañeros de trabajo o directivos de una organización. Utilizan logotipos, diseños, fotografías, nombres y datos obtenidos en fuentes abiertas, filtraciones o redes sociales.
La agresión puede comenzar con un mensaje aparentemente enviado por el SAT, una notificación sobre un paquete pendiente, una alerta bancaria o una promoción. En el entorno empresarial puede tomar la forma de una factura, una solicitud para modificar la cuenta de depósito de un proveedor o una instrucción urgente del director general.
El engaño tampoco se limita al correo electrónico. Puede llegar mediante WhatsApp, mensajes SMS, códigos QR, llamadas telefónicas, redes sociales, aplicaciones móviles y plataformas de colaboración empresarial. Por ello, además del phishing tradicional, se habla de smishing cuando el ataque se distribuye mediante mensajes de texto y de vishing cuando se emplean llamadas y recursos de voz.
La inteligencia artificial amplía todavía más las posibilidades de manipulación. Permite redactar mensajes sin errores, reproducir el estilo de comunicación de una persona, traducir campañas a diferentes idiomas, personalizar conversaciones y construir identidades sintéticas mediante la combinación de información real y contenido artificial.
También puede utilizarse para clonar voces, fabricar imágenes o simular videollamadas. La orden urgente que aparentemente proviene de un superior ya no tiene que limitarse a un correo: puede llegar acompañada de una nota de voz que reproduce su tono y su manera de hablar.
IDC anticipa que, para 2027, 80% de las organizaciones habrá experimentado ataques de phishing apoyados en identidades sintéticas creadas mediante una combinación de información verdadera y contenido generado con inteligencia artificial. El problema no consiste únicamente en que aumente el número de mensajes fraudulentos, sino en que cada uno podrá resultar más convincente, oportuno y difícil de verificar. IDC
Millones de personas frente a una amenaza cotidiana
La dimensión del problema en México ya es considerable. El análisis sobre phishing publicado por The Competitive Intelligence Unit estima que 13.5 millones de personas han sido víctimas de esta modalidad de fraude. De ellas, 23.1% perdió dinero, con una afectación promedio de 8 mil 750 pesos.
Durante 2024 se habrían registrado seis millones de fraudes cibernéticos, 40% más que en 2018. Siete de cada diez fraudes estuvieron relacionados con operaciones digitales como comercio electrónico, banca en línea, pagos móviles y transacciones por internet. El monto reclamado superó los 20 mil millones de pesos. The Competitive Intelligence Unit
Además, 34% de los internautas ha recibido mensajes sospechosos solicitando información personal. Entre las personas afectadas, 61.5% reportó el compromiso de contraseñas, 38.5% la exposición de datos personales y 15.4% la pérdida de acceso a cuentas bancarias.
Pero quizá el indicador más preocupante no sea el volumen económico, sino la vulnerabilidad social: uno de cada tres internautas mexicanos se considera poco o nada preparado para reconocer un intento de phishing. Esto podría representar a más de 30 millones de personas expuestas a mensajes diseñados para aprovechar la urgencia, el miedo, la confianza, la curiosidad o el desconocimiento.
La ingeniería social funciona porque no ataca solamente a los sistemas; ataca la manera en que las personas toman decisiones. El delincuente no necesita vulnerar una infraestructura tecnológica compleja cuando puede convencer a alguien de que entregue voluntariamente una contraseña, autorice una operación o abra un archivo.
Por ello, responsabilizar exclusivamente al usuario constituye una salida demasiado sencilla. Las personas pueden cometer errores, pero las instituciones tienen la obligación de crear entornos donde un descuido no se convierta automáticamente en una crisis.
La capacitación no puede seguir siendo un trámite
Durante años, numerosas organizaciones han tratado la capacitación en ciberseguridad como una actividad complementaria: una conferencia anual, un video institucional o un cuestionario que los colaboradores responden para cumplir con un requisito interno.
Ese modelo resulta insuficiente frente a amenazas que cambian permanentemente.
La capacitación tradicional suele concentrarse en transmitir información: no compartir contraseñas, desconfiar de enlaces desconocidos y revisar al remitente. Aunque estas recomendaciones siguen siendo válidas, conocerlas no garantiza que se apliquen cuando una persona recibe una solicitud verosímil, urgente y aparentemente proveniente de alguien con autoridad.
Gartner ha advertido que las estrategias convencionales de concientización pierden efectividad frente a los riesgos derivados de la inteligencia artificial generativa. En encuestas internacionales realizadas durante 2025, 57% de los trabajadores consultados reconoció utilizar cuentas personales de IA generativa para actividades laborales y 33% afirmó haber introducido información sensible en herramientas públicas.
Este comportamiento demuestra que la frontera entre ciberseguridad, protección de datos y uso responsable de inteligencia artificial es cada vez más estrecha. No basta con enseñar a identificar un correo falso; también es necesario explicar qué información puede compartirse con una plataforma, cómo verificar una identidad digital y qué hacer ante una solicitud atípica.
La educación en ciberseguridad debe dejar de medirse por el número de personas que asistieron a un curso. Su efectividad tiene que evaluarse mediante comportamientos verificables: cuántas personas revisan una solicitud antes de responder, cuántas reportan un mensaje sospechoso, cuánto tiempo tarda la organización en reaccionar y cuántas evitan entregar información durante una simulación.
La meta no es tener colaboradores que hayan aprobado un examen, sino personas capaces de tomar mejores decisiones bajo presión.
Una responsabilidad que rebasa al área de sistemas
La ciberseguridad no es responsabilidad exclusiva del departamento de tecnologías de información. Un ataque puede comenzar en el teléfono de un vendedor, en el correo de recursos humanos, en una factura enviada a finanzas o en el dispositivo personal de alguien que trabaja desde casa.
Cuando una credencial es comprometida, las consecuencias pueden incluir fraude financiero, robo de identidad, secuestro de información, modificación de cuentas bancarias de proveedores, acceso a bases de datos, interrupción de operaciones y exposición de información confidencial.
A ello se suma el daño reputacional. Una empresa que sufre un incidente no solamente debe contener técnicamente el ataque; también necesita responder a clientes, proveedores, autoridades, medios de comunicación y colaboradores. Una acción realizada en segundos puede producir una crisis operativa y de confianza que se prolongue durante meses.
En México todavía no existe una disposición general que obligue expresamente a todas las empresas a capacitar periódicamente a la totalidad de su personal contra el phishing. No obstante, las normas de protección de datos personales ya demandan la aplicación de medidas administrativas, técnicas y físicas para proteger la información.
En el sector público, la legislación establece la necesidad de contar con programas generales de capacitación para quienes participan en el tratamiento de datos. En las organizaciones privadas, la formación puede constituir una evidencia fundamental de diligencia y cumplimiento, especialmente cuando se administra información personal, financiera, médica o confidencial.
Esperar a que la obligación sea más explícita sería una decisión de alto riesgo. Cuando se produzca un incidente, no bastará con afirmar que el colaborador “debió haber sabido” cómo actuar. La organización tendrá que demostrar qué controles estableció, qué preparación proporcionó y qué capacidad de respuesta tenía.
Hacia una licencia básica de seguridad digital
Así como no se permite que cualquier colaborador autorice una transferencia sin controles internos, tampoco debería concederse acceso a datos, sistemas y aplicaciones empresariales sin acreditar conocimientos mínimos de seguridad digital.
México necesita avanzar hacia una especie de licencia básica de ciberseguridad: una certificación sencilla, accesible y periódica que acredite que la persona comprende los riesgos esenciales asociados con el uso de recursos digitales.
Todo colaborador debería recibir una inducción obligatoria antes de obtener acceso a sistemas corporativos, seguida de actualizaciones y ejercicios periódicos. La capacitación tendría que abarcar correo electrónico, WhatsApp, llamadas, códigos QR, redes sociales, aplicaciones falsas, videollamadas manipuladas y uso seguro de herramientas de inteligencia artificial.
Las áreas con mayor exposición —dirección, finanzas, compras, recursos humanos, ventas, atención al cliente y administración de sistemas requieren preparación específica. También deben establecerse protocolos de doble verificación para solicitudes urgentes de pago, cambios de cuentas bancarias, recuperación de contraseñas y entrega de información confidencial.
Una llamada de confirmación realizada a un número previamente registrado puede evitar una transferencia fraudulenta. Un canal interno de reporte puede permitir que el área de seguridad bloquee un sitio antes de que otras personas sean engañadas. Una regla que impida modificar datos bancarios únicamente por correo puede cerrar una de las rutas más frecuentes del fraude empresarial.
La capacitación también debe extenderse a proveedores y terceros. Una organización puede contar con controles avanzados y, aun así, ser vulnerada mediante un socio comercial menos preparado. En un ecosistema interconectado, la seguridad depende tanto de las capacidades propias como de la madurez de quienes participan en la cadena de valor.
Castigar la trampa y enseñar a reconocerla
La tipificación del phishing en la Ciudad de México envía un mensaje necesario: el engaño digital no es una travesura ni una práctica menor. Es un delito capaz de afectar el patrimonio, la privacidad y la confianza de millones de personas.
No obstante, el éxito de la reforma no podrá medirse solamente por la severidad de las penas. Será indispensable conocer cuántas denuncias se presentan, cuántas investigaciones se judicializan, cuántos sitios fraudulentos se desactivan, cuánto tiempo tardan las autoridades en preservar la evidencia digital y cuántas sentencias se obtienen.
También será necesario facilitar la denuncia. Si las víctimas enfrentan procesos confusos, desconocen a qué autoridad acudir o consideran que el monto perdido es demasiado pequeño para iniciar un procedimiento, buena parte del fenómeno permanecerá invisible.
Paralelamente, México necesita una política permanente de alfabetización en ciberseguridad que alcance a escuelas, universidades, pequeñas empresas, instituciones públicas, personas adultas mayores y comunidades con menor acceso a asesoría especializada.
La mejor defensa no consiste en trasladar toda la responsabilidad al usuario. Las empresas y las instituciones deben proporcionar sistemas seguros, autenticación multifactor, canales de reporte, protocolos de verificación y mecanismos rápidos de respuesta. Pero una ciudadanía informada puede reducir considerablemente las probabilidades de éxito del engaño.
La nueva legislación permite castigar a quien construye o utiliza la trampa. El siguiente paso consiste en enseñar a millones de personas a reconocerla, reportarla y evitarla.
La educación en ciberseguridad ya no puede considerarse opcional ni reservarse para especialistas. Es una capacidad básica para vivir, trabajar, comprar, estudiar y relacionarnos en una sociedad digital. La cárcel sanciona al delincuente; la educación disminuye el número de víctimas. México necesita ambas.
Autor
