Delitos cibernéticos en la empresa: la Ley 1273 y cómo responder

Durante años, cuando una empresa o una persona sufría un ataque informático, la conversación empezaba —y muchas veces terminaba— en el terreno técnico. Se hablaba de servidores, de copias de seguridad y de cortafuegos, pero rara vez de derecho penal. La Ley 1273 de 2009 cambió ese punto de partida: le puso nombre penal a conductas que antes se sentían solo como un problema técnico y creó un catálogo de delitos que hoy define cómo debe reaccionar quien resulta afectado.

Este artículo no explica de forma general qué hace un abogado penalista frente a un ciberataque; se concentra en los tipos penales. Saber en qué figura encaja lo que le pasó no es un tecnicismo: determina ante quién se denuncia, qué se debe probar, qué pena arriesga el responsable y con qué urgencia hay que actuar. Un mismo incidente —pensemos en un ransomware— suele configurar varios delitos a la vez, y esa lectura es la que ordena la respuesta.

A continuación recorremos, uno por uno, los delitos que introdujo la Ley 1273, con su verbo rector, su artículo exacto y su pena, ilustrados con un ejemplo en el que usted es la víctima; después mapeamos las amenazas reales de hoy a esos tipos y cerramos con lo que debe hacer quien fue atacado: preservar la prueba digital, denunciar y prevenir.

Lo esencial

Si usted llegó aquí en medio de un incidente o preparando a su organización, estos son los puntos que conviene retener antes de entrar en detalle:

• The Ley 1273 de 2009 creó en el Código Penal un bien jurídico nuevo: "la protección de la información y de los datos" (Título VII BIS), con diez artículos nuevos (269A a 269J): nueve tipos penales y una circunstancia de agravación (269H).
• Se dividen en dos grupos: los que atacan la confidencialidad, integridad y disponibilidad de los datos y sistemas (269A a 269H) y los que usan la tecnología para golpear el patrimonio (269I y 269J), estos últimos con las penas más altas.
• Varios delitos se consuman sin que haya robo ni lucro: entrar sin permiso, interceptar comunicaciones o crear una página de phishing ya es delito.
• The ataque interno —de un empleado o contratista de confianza— suele ser el más agravado (art. 269H), no el más leve.
• Un incidente típico (ransomware, fraude del CEO) configura varios delitos en concurso; la calificación correcta define la pena y la estrategia.
• The evidencia digital es frágil: lo que usted haga en las primeras horas —preservar en vez de borrar— pesa tanto como la denuncia.

Con ese mapa en mente, veamos primero por qué la Ley 1273 marcó un antes y un después.

La Ley 1273 de 2009 y el bien jurídico "protección de la información y de los datos"

La Ley 1273 de 2009 modificó el Código Penal (Ley 599 de 2000) para crear un Título VII BIS enteramente nuevo, llamado "De la protección de la información y de los datos". Con él, el legislador reconoció que la información y los sistemas informáticos son, por sí mismos, un valor digno de protección penal —un bien jurídico tutelado autónomo—, y no un simple accesorio del patrimonio. El propio título de la ley lo dice: se crea "un nuevo bien jurídico tutelado —denominado de la protección de la información y de los datos—".

Ese cambio tiene consecuencias prácticas. Antes de 2009, muchos ataques informáticos había que forzarlos dentro de tipos que no encajaban bien —un acceso indebido se intentaba leer como violación de correspondencia, un sabotaje de datos como un daño en bien ajeno— y con frecuencia la conducta quedaba impune o mal calificada. Hoy cada ataque tiene una figura propia, con verbo rector y pena definida, lo que hace posible denunciar con precisión.

El Título VII BIS se organiza en dos capítulos que conviene tener presentes, porque agrupan lógicas distintas. El Capítulo I, "De los atentados contra la confidencialidad, la integridad y la disponibilidad de los datos y de los sistemas informáticos", protege esos tres atributos de la información (artículos 269A a 269H). El Capítulo II, "De los atentados informáticos y otras infracciones", castiga las conductas en las que la tecnología es el medio para golpear el patrimonio (artículos 269I y 269J). Ubicar su caso en uno u otro capítulo ayuda a anticipar la pena y la estrategia.

La misma ley añadió dos piezas que suelen pasar inadvertidas y que conviene conocer. Primero, incorporó al artículo 58 del Código Penal una circunstancia de mayor punibilidad (numeral 17): cuando para cometer cualquier delito se usan "medios informáticos, electrónicos o telemáticos", el juez puede moverse hacia el extremo alto de la pena, incluso si el delito no es de los del Título VII BIS. Segundo, asignó la competencia para conocer de estos delitos a los jueces penales municipales (numeral 6 del artículo 37 del Código de Procedimiento Penal). Son detalles técnicos, pero explican por qué el uso de la tecnología "pesa" de forma transversal en el sistema penal.

Acceso abusivo a un sistema informático (art. 269A)

Verbo rector: acceder o mantenerse sin autorización. Comete este delito quien, "sin autorización o por fuera de lo acordado", acceda en todo o en parte a un sistema informático —protegido o no con una medida de seguridad— o se mantenga dentro de él "en contra de la voluntad de quien tenga el legítimo derecho a excluirlo". La pena es de 48 a 96 meses de prisión y multa de 100 a 1.000 salarios mínimos legales mensuales vigentes (SMLMV).

Ejemplo. Un empleado que usted acaba de desvincular sigue entrando al correo corporativo o al sistema contable con credenciales que ya no debía tener; o un tercero descubre la contraseña de un panel de administración y "solo mira". En ambos casos hay acceso abusivo, aunque nadie se lleve un archivo.

El malentendido común. Muchas víctimas —y muchos atacantes— creen que "si no se robaron ni dañaron nada, no pasó nada". Es falso: el delito se consuma con el solo ingreso o permanencia no autorizados. Tampoco importa que el sistema no tuviera clave: la norma protege el sistema "protegido o no con una medida de seguridad". Y la frase "por fuera de lo acordado" es decisiva en el mundo corporativo: quien tenía acceso para una finalidad y lo usa para otra —por ejemplo, el administrador que entra a la bandeja de un directivo sin autorización— puede estar dentro del tipo.

Obstaculización ilegítima de sistema informático o red de telecomunicación (art. 269B)

Verbo rector: impedir u obstaculizar el funcionamiento. Sanciona a quien, "sin estar facultado para ello, impida u obstaculice el funcionamiento o el acceso normal" a un sistema informático, a los datos que contiene o a una red de telecomunicaciones. La pena es de 48 a 96 meses de prisión y multa de 100 a 1.000 SMLMV, "siempre que la conducta no constituya delito sancionado con una pena mayor" —es decir, es una figura subsidiaria—.

Ejemplo. Un ataque de denegación de servicio (DDoS) satura el sitio web de su empresa y deja fuera de línea la tienda o el portal de clientes durante horas; o alguien bloquea deliberadamente el acceso de todos los usuarios al sistema de gestión para paralizar la operación.

El malentendido común. Se suele pensar que "tumbar una página" es solo un problema de disponibilidad que se resuelve reiniciando servidores. Penalmente es una conducta autónoma: no hace falta que se destruya información ni que se sustraiga nada; basta con impedir el funcionamiento o el acceso normal. Como el tipo es subsidiario, si la obstaculización es parte de un ataque más grave (por ejemplo, un ransomware), la calificación puede desplazarse hacia el delito de mayor pena.

Interceptación de datos informáticos (art. 269C)

Verbo rector: interceptar sin orden judicial. Castiga a quien, "sin orden judicial previa, intercepte datos informáticos en su origen, destino o en el interior de un sistema informático", o las emisiones electromagnéticas que los transporten. La pena es de 36 a 72 meses de prisión. Es la más baja del capítulo y la única de estas conductas sin multa asociada.

Ejemplo. Alguien instala en su red un dispositivo o un programa que captura silenciosamente el tráfico —correos, credenciales, documentos que viajan entre equipos— para leer lo que no le corresponde; o intercepta la comunicación entre su computador y el servidor del banco. Es el espionaje de comunicaciones llevado al plano digital.

El malentendido común. Que la pena sea menor lleva a subestimarlo, pero la interceptación suele ser el primer eslabón de fraudes mucho más graves: quien captura las claves hoy transfiere el dinero mañana. La frase "sin orden judicial previa" marca la frontera con la interceptación legítima: solo la autoridad, con orden, puede interceptar; cualquier particular que lo haga —incluido un empleador que "vigila" las comunicaciones privadas de un trabajador sin sustento— entra en terreno delictivo.

Daño informático (art. 269D)

Verbo rector: destruir, dañar, borrar, deteriorar, alterar o suprimir. Responde quien, "sin estar facultado para ello, destruya, dañe, borre, deteriore, altere o suprima datos informáticos, o un sistema de tratamiento de información o sus partes o componentes lógicos". La pena es de 48 a 96 meses de prisión y multa de 100 a 1.000 SMLMV.

Ejemplo. Un extrabajador resentido borra la base de datos de clientes antes de irse; un atacante corrompe los archivos del servidor de facturación; o un intruso altera registros contables para ocultar un desvío. También encaja el cifrado hostil de la información en un ransomware, en cuanto deja los datos inservibles para su titular.

El malentendido común. Se piensa que el daño informático exige que el atacante "gane algo". No es así: el tipo protege la integridad y la disponibilidad de la información, y se consuma con la sola destrucción o inutilización de datos o sistemas ajenos, aunque el autor no obtenga ningún provecho. El sabotaje puro —borrar por venganza— es delito con la misma pena que el ataque con fines de lucro.

Uso de software malicioso (art. 269E)

Verbo rector: producir, traficar, adquirir, distribuir, vender, enviar, introducir o extraer. Castiga a quien, "sin estar facultado para ello, produzca, trafique, adquiera, distribuya, venda, envíe, introduzca o extraiga del territorio nacional software malicioso u otros programas de computación de efectos dañinos". La pena es de 48 a 96 meses de prisión y multa de 100 a 1.000 SMLMV.

Ejemplo. Quien envía a su empresa un correo con un archivo que instala un troyano; quien vende en un foro un "kit" de ransomware; o quien introduce en la red un programa espía. La norma castiga toda la cadena —fabricar, comprar, distribuir, enviar—, no solo al que finalmente ejecuta el ataque.

El malentendido común. Muchos creen que solo comete delito quien "aprieta el botón" del ataque. El artículo 269E es más amplio: alcanza a quien produce, trafica o distribuye la herramienta, aunque no la use él mismo. Por eso el componente técnico del ransomware —el software que cifra— cae bajo esta figura, que luego suele concurrir con el daño informático y con la extorsión del rescate.

Violación de datos personales (art. 269F)

Verbo rector: obtener, compilar, sustraer, ofrecer, vender, intercambiar, enviar, comprar, interceptar, divulgar, modificar o emplear. Sanciona a quien, "sin estar facultado para ello, con provecho propio o de un tercero", realice cualquiera de esas conductas sobre "códigos personales, datos personales contenidos en ficheros, archivos, bases de datos o medios semejantes". La pena es de 48 a 96 meses de prisión y multa de 100 a 1.000 SMLMV.

Ejemplo. Un empleado descarga la base de clientes para llevársela a la competencia o venderla; un atacante extrae y publica en la web una base de datos con cédulas, correos y teléfonos; o alguien compra en un mercado clandestino la información filtrada de sus usuarios. Es la figura penal detrás de la fuga y comercialización de bases de datos.

El malentendido común. Se suele confundir este delito con las sanciones administrativas de protección de datos. Son planos distintos que pueden correr en paralelo: la violación de datos personales del artículo 269F es un delito que investiga la Fiscalía, mientras que el incumplimiento del régimen de protección de datos (Ley 1581 de 2012) lo sanciona la autoridad administrativa. Un mismo hecho —una base filtrada— puede activar responsabilidad penal del autor y, además, deberes y eventuales sanciones para la empresa que la custodiaba.

Suplantación de sitios web para capturar datos personales, el "phishing" (art. 269G)

Verbo rector: diseñar, desarrollar, traficar, vender, ejecutar, programar o enviar. Este es, en términos penales, el phishing. Comete el delito quien, "con objeto ilícito y sin estar facultado para ello, diseñe, desarrolle, trafique, venda, ejecute, programe o envíe páginas electrónicas, enlaces o ventanas emergentes" para inducir a la víctima a entregar sus datos. La pena es de 48 a 96 meses de prisión y multa de 100 a 1.000 SMLMV, y es subsidiaria ("siempre que la conducta no constituya delito sancionado con pena más grave").

La norma incluye dos previsiones que amplían su alcance. La primera castiga con la misma pena el pharming: a quien "modifique el sistema de resolución de nombres de dominio" para que el usuario llegue "a una IP diferente en la creencia de que accede a su banco o a otro sitio personal o de confianza". La segunda agrava la pena "de una tercera parte a la mitad" si, para consumar el delito, "el agente ha reclutado víctimas en la cadena del delito" —lo que ocurre, por ejemplo, cuando se usa a terceros como "muleros" para recibir el dinero—.

Ejemplo. Usted recibe un correo idéntico al de su banco con un enlace a una página clonada que pide su usuario y clave; o una ventana emergente que imita el portal de la empresa para capturar credenciales. Quien diseñó, programó o envió esa página comete el delito.

El malentendido común. La creencia más extendida es que "el phishing solo es delito si alguien cae". No es cierto: el tipo se consuma con el solo hecho de crear o enviar la página, el enlace o la ventana fraudulenta, con independencia de que la víctima entregue o no sus datos. Cuando el engaño sí culmina en un fraude —una transferencia, un pago—, el phishing suele concurrir con los delitos patrimoniales del segundo capítulo.

Las circunstancias de agravación punitiva (art. 269H): por qué el ataque de adentro pesa más

El artículo 269H no crea un delito nuevo: describe las circunstancias de agravación que aumentan las penas de todos los tipos anteriores "de la mitad a las tres cuartas partes". Varias apuntan directamente al riesgo interno y sectorial, lo que las vuelve determinantes para cualquier organización:

• Cuando el ataque recae sobre redes o sistemas estatales u oficiales o del sector financiero, nacionales o extranjeros.
• Cuando lo comete un servidor público en ejercicio de sus funciones.
• Cuando se aprovecha la confianza depositada por el poseedor de la información, o un vínculo contractual con él.
• Cuando se revela la información en perjuicio de otro; cuando se obtiene provecho para sí o para un tercero; cuando se persiguen fines terroristas o se genera riesgo para la seguridad o la defensa nacional; o cuando se usa como instrumento a un tercero de buena fe.

Y hay un octavo supuesto que casi siempre aparece en los casos corporativos: si quien comete la conducta es el responsable de la administración, manejo o control de la información —un administrador de sistemas, un contratista de TI, un encargado de la base de datos—, además de la pena agravada se le impone inhabilitación de hasta tres años para ejercer profesiones relacionadas con sistemas de información.

La lectura práctica es incómoda pero clara: el ataque interno no es un caso "menor". Al contrario, quien más confianza y acceso tenía es a quien la ley trata con mayor severidad. Por eso, cuando el sospechoso es alguien de la propia casa, la exposición penal es la más alta del catálogo, y la forma de documentar el incidente —sin confrontar de improviso al presunto responsable— debe cuidarse desde el primer momento.

Los dos delitos patrimoniales informáticos: hurto por medios informáticos (269I) frente a transferencia no consentida de activos (269J)

El Capítulo II de la Ley 1273 castiga los ataques informáticos que golpean el patrimonio. Son los de mayor pena y, en la práctica, los que más se discuten al momento de calificar un fraude.

Hurto por medios informáticos y semejantes (art. 269I). Responde quien, "superando medidas de seguridad informáticas", realiza la conducta de hurto del artículo 239 "manipulando un sistema informático, una red de sistema electrónico, telemático u otro medio semejante, o suplantando a un usuario ante los sistemas de autenticación y de autorización establecidos". La norma remite a las penas del hurto calificado del artículo 240 del Código Penal, que en su modalidad base son de 6 a 14 años de prisión. No es casual: el propio artículo 240 agrava el hurto cuando se comete "violando o superando seguridades electrónicas u otras semejantes".

Transferencia no consentida de activos (art. 269J). Castiga a quien, "con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, consiga la transferencia no consentida de cualquier activo en perjuicio de un tercero". La pena es de 48 a 120 meses de prisión y multa de 200 a 1.500 SMLMV, y se incrementa en la mitad cuando la cuantía supera los 200 SMLMV. La misma sanción recae sobre quien "fabrique, introduzca, posea o facilite" el programa destinado a cometer ese fraude "o una estafa". El tipo es subsidiario: aplica "siempre que la conducta no constituya delito sancionado con pena más grave".

Cómo se distinguen y por qué importa. La frontera entre ambos es fina y a menudo se debate en los estrados. En términos generales, el 269I se acerca al apoderamiento propio del hurto —quien supera las seguridades y toma el activo como quien lo sustrae—, mientras que el 269J apunta a la transferencia fraudulenta de un activo mediante manipulación o engaño del sistema. La diferencia no es académica: el hurto por medios informáticos remite a penas de 6 a 14 años, mientras que la transferencia no consentida parte de 48 meses. Además, como el 269J es subsidiario, si los hechos configuran a la vez un hurto informático (pena mayor), la calificación tiende a desplazarse hacia el 269I.

El concurso con la estafa. Cuando en el fraude hay un engaño a una persona —no solo la manipulación de una máquina—, entra en juego la estafa del artículo 246 (prisión de 32 a 144 meses —texto original de 2 a 8 años, aumentado por el art. 14 de la Ley 890 de 2004— y multa de 50 a 1.000 SMLMV). Definir si el caso es hurto informático, transferencia no consentida, estafa, o un concurso entre ellos, es una decisión técnica que conviene revisar caso a caso, porque de esa calificación depende directamente la pena en juego.

De la amenaza real al tipo penal: cómo se traduce lo que hoy ocurre

Las amenazas que enfrentan hoy las empresas y las personas rara vez encajan en un solo artículo. Traducirlas a tipos penales es lo que permite denunciar bien y dimensionar lo que está en juego. Estas son las más frecuentes:

Ransomware. El secuestro de datos combina, típicamente, uso de software malicioso (art. 269E), daño informático (art. 269D) y, con frecuencia, acceso abusivo (art. 269A). El rescate exigido puede configurar además extorsión (art. 244 del Código Penal: prisión de 192 a 288 meses, tras la reforma de la Ley 733 de 2002 y el aumento de la Ley 890 de 2004). La decisión de pagar o no —y cómo documentarla— no debería tomarse sin asesoría.

Fraude del CEO (o "BEC", por sus siglas en inglés). El correo que suplanta a un directivo para ordenar un pago urgente suele articular la suplantación y el engaño con la transferencia no consentida de activos (art. 269J) y, según el caso, la estafa (art. 246). El componente puramente financiero de estos fraudes lo abordamos en el análisis de delitos financieros empresariales.

Fraude bancario y vaciado de cuentas. Cuando el atacante, superando las seguridades, transfiere o retira su dinero, la conducta oscila entre el hurto por medios informáticos (art. 269I, penas del hurto calificado) y la transferencia no consentida de activos (art. 269J), según cómo se ejecutó.

Suplantación de identidad. Usar sus datos para autenticarse ante un sistema como si fuera usted encaja en el 269I (suplantación "ante los sistemas de autenticación y de autorización") y, según el caso, en la violación de datos personales (art. 269F) o el acceso abusivo (art. 269A) a las cuentas afectadas.

Filtración y venta de bases de datos. La sustracción, oferta o venta de datos personales es violación de datos personales (art. 269F); si hubo intrusión previa al sistema, concurre con el acceso abusivo (art. 269A).

Ingeniería social. No es un tipo penal en sí, sino la técnica de engaño que abre la puerta a otros delitos: habilita el phishing (art. 269G), el acceso abusivo (art. 269A) o la violación de datos (art. 269F).

La regla práctica es que un mismo ataque configura varios delitos en concurso, y esa lectura conjunta —no la etiqueta técnica del incidente— es la que ordena la denuncia y la defensa. El siguiente cuadro resume el mapeo:

Recuerde, además, que cuando el delito no es de los del Título VII BIS pero se comete usando medios informáticos, el uso de la tecnología funciona como circunstancia de mayor punibilidad (numeral 17 del artículo 58 del Código Penal). La dimensión digital, en el sistema penal colombiano, agrava en lugar de atenuar.

Qué hacer si usted es víctima: preservar la evidencia, denunciar y la cadena de custodia

Preserve la prueba digital. La evidencia informática es frágil: se altera o se pierde con facilidad, y un movimiento en falso puede inutilizarla como prueba. En las primeras horas conviene aislar de la red los equipos comprometidos sin apagarlos ni "limpiarlos" a ciegas, evitar manipular o reenviar archivos, conservar correos, mensajes y registros (logs) tal como están, y llevar una bitácora de quién hizo qué y a qué hora. El Código de Procedimiento Penal (Ley 906 de 2004) reconoce el mensaje de datos —el correo electrónico, el tráfico de internet, el intercambio electrónico de datos— como elemento material probatorio (artículo 275, literal g). Su valor depende de una cadena de custodia correcta (artículo 254), que documenta la identidad, el estado original y cada persona que estuvo en contacto con la evidencia. Por eso el respaldo de personal forense calificado es decisivo desde el inicio.

Denuncie ante la autoridad competente. Los delitos informáticos los investiga la Fiscalía General de la Nación, que cuenta con dependencias especializadas en cibercrimen, y por regla los conocen los jueces penales municipales (numeral 6 del artículo 37 del C.P.P., añadido por la Ley 1273). Como apoyo, la Policía Nacional ofrece el CAI Virtual del Centro Cibernético Policial (caivirtual.policia.gov.co), un canal disponible para reportar y orientar el caso. Lleve una cronología ordenada de los hechos y la evidencia disponible: una denuncia bien armada acelera la investigación; conserve siempre el número de radicado.

Atienda, en paralelo, sus deberes de protección de datos. Si en el incidente se comprometieron datos personales de clientes o empleados, además de la denuncia penal pueden activarse deberes ante la autoridad administrativa de protección de datos. Son responsabilidades distintas que conviene coordinar. La ruta completa de la empresa que ya fue víctima —contención, comunicación y reclamación— la desarrollamos en la empresa como víctima de un delito.

La prueba digital y sus retos

La gran ventaja del delito informático para la investigación es que casi todo deja rastro; su gran dificultad es que ese rastro es volátil y fácil de contaminar. Un correo puede reenviarse y perder sus encabezados; un disco puede sobrescribirse al reiniciar; una captura de pantalla, por sí sola, prueba poco si no se puede acreditar de dónde salió y que nadie la alteró.

El Código de Procedimiento Penal exige que los elementos materiales probatorios sean auténticos —"detectados, fijados, recogidos y embalados técnicamente, y sometidos a las reglas de cadena de custodia" (artículo 277)— y ordena valorarlos según su "legalidad, autenticidad, sometimiento a cadena de custodia y grado actual de aceptación científica o técnica" (artículo 273). En la práctica, esto significa que la prueba digital vale por cómo se recogió y se conservó, no solo por lo que muestra.

De ahí varias consecuencias para usted: un pantallazo o un correo sirven como punto de partida, pero cobran fuerza probatoria cuando se preservan de forma técnica (con sus metadatos, sus encabezados, copias forenses del dispositivo); la obtención de la prueba debe ser lícita —una evidencia conseguida violando derechos fundamentales puede terminar excluida—; y la trazabilidad importa tanto como el contenido. Trabajar de la mano de un perito informático y de un abogado desde el primer día es lo que evita que una prueba decisiva se caiga por la forma en que se manejó.

Prevención: reducir el riesgo antes del próximo intento

Buena parte del daño —y de la exposición— se evita antes del ataque. La prevención no es solo un asunto de tecnología; es también de organización, contratos y cultura. Sin pretender agotar el tema, estas líneas de trabajo concentran la mayor parte del riesgo:

• Gestión de accesos. Que cada persona tenga solo los permisos que su rol necesita, con desactivación inmediata de credenciales cuando alguien se desvincula. Muchos casos de acceso abusivo (269A) nacen de accesos que nunca se cerraron.
• Segregación y trazabilidad. Registros (logs) que permitan reconstruir quién hizo qué y cuándo. Sin esa trazabilidad, probar un ataque interno es mucho más difícil.
• Copias de seguridad probadas. Respaldos frecuentes, aislados y verificados: son la mejor defensa frente al ransomware, porque restan poder de negociación al atacante.
• Cláusulas y políticas. Acuerdos de confidencialidad, políticas de uso aceptable y de tratamiento de datos, y protocolos de respuesta a incidentes conocidos por el equipo.
• Capacitación. La mayoría de los ataques entra por una persona, no por una máquina: formar al equipo para reconocer el phishing y la ingeniería social reduce el riesgo más que cualquier herramienta.

Ese trabajo preventivo, articulado con la responsabilidad penal de la empresa y de sus administradores, lo desarrollamos con más detalle en compliance penal empresarial.

Qué NO hacer ante un incidente

Tan importante como saber qué hacer es evitar los errores que arruinan un caso. Ante un incidente cibernético, procure no caer en lo siguiente:

• No borre "para empezar de cero". Formatear, reinstalar o "limpiar" los equipos destruye la prueba y puede dejarlo sin cómo acreditar lo ocurrido. Lo que parece orden es, en realidad, pérdida de evidencia.
• No pague el rescate sin denunciar ni sin asesoría. Pagar financia al atacante, no garantiza que le devuelvan la información y no extingue el delito. La exigencia del rescate puede constituir extorsión (art. 244), y la decisión de pagar tiene implicaciones que conviene evaluar antes.
• No manipule los dispositivos comprometidos. Reiniciar a ciegas, instalar o desinstalar programas, o mover archivos altera metadatos y rompe la cadena de custodia. Aísle el equipo, pero no lo intervenga sin apoyo técnico.
• No confronte de improviso al presunto responsable interno. Alertar a quien está bajo sospecha antes de asegurar la evidencia facilita que borre rastros. Primero se preserva; después se actúa.
• No difunda los detalles públicamente antes de denunciar. Comunicar mal un incidente puede entorpecer la investigación y agravar el daño reputacional.
• No responda por el mismo canal del ataque. Contestar el correo fraudulento o hacer clic "para ver qué pasa" solo entrega más información al atacante.

Mitos frecuentes sobre los delitos informáticos

Alrededor de estos delitos circulan ideas equivocadas que llevan a no denunciar o a manejar mal un incidente. Estas son algunas de las más comunes:

• "Si no me robaron dinero, no hubo delito." Falso. El acceso abusivo (269A), la interceptación (269C) o la violación de datos (269F) se consuman sin lucro y sin que haya un perjuicio patrimonial.
• "El phishing no es delito hasta que alguien cae." Falso. El artículo 269G castiga crear o enviar la página, el enlace o la ventana fraudulenta, caiga o no la víctima.
• "Entrar con la clave que me dio un compañero no es nada." Con matices: acceder "por fuera de lo acordado" a un sistema puede configurar acceso abusivo (269A), aunque le hayan facilitado la contraseña.
• "Como el ataque vino del extranjero, no se puede hacer nada." La ley colombiana aplica y existen canales de denuncia y cooperación. La persecución transfronteriza es compleja, pero la denuncia es el primer paso y muchas veces revela colaboradores locales.
• "Pagar el rescate cierra el tema." Falso. No extingue el delito, no garantiza la recuperación de los datos y no releva de denunciar; además, puede alimentar futuros ataques.
• "Un pantallazo basta como prueba." Con matices: es un punto de partida válido (el mensaje de datos es elemento material probatorio, art. 275), pero su fuerza depende de la autenticidad y la cadena de custodia (arts. 254 y 277).
• "El ataque interno es el caso más leve." Al contrario: cuando lo comete quien administra la información o abusa de la confianza, la pena se agrava (269H), incluso con inhabilitación profesional.

Checklist ante un incidente cibernético

Si usted está atravesando un incidente en este momento, esta lista ordena las primeras decisiones. No sustituye la asesoría, pero ayuda a no perder lo que después será decisivo:

• Aísle de la red los equipos comprometidos, sin apagarlos ni formatearlos a ciegas.
• Abra una bitácora: registre fecha, hora y responsable de cada acción desde el minuto uno.
• Conserve correos, mensajes, registros (logs), capturas y comprobantes tal como están; no los reenvíe ni los modifique.
• Identifique qué información o activo se vio afectado y estime su cuantía aproximada.
• Reúna una cronología ordenada de los hechos, con quién, cuándo y cómo.
• Cambie credenciales y cierre la brecha (parches, revisión de accesos, revocación de sesiones) una vez preservada la evidencia.
• Denuncie ante la Fiscalía o el CAI Virtual del Centro Cibernético Policial y conserve el número de radicado.
• Si se comprometieron datos personales, evalúe sus deberes ante la autoridad de protección de datos.
• Busque, desde el primer día, acompañamiento forense y jurídico; no negocie con el atacante por su cuenta.

Identificar el tipo penal correcto, dimensionar la pena en juego y preservar la evidencia son decisiones que influyen en el resultado de un caso de cibercrimen, y conviene tomarlas con acompañamiento desde el primer día. Si usted o su empresa enfrentan un incidente de esta naturaleza, en Cafore Abogados puede revisar su situación con un abogado penalista al 313 8411825.

Laws and case law cited

• Ley 1273 de 2009 — creó el Título VII BIS del Código Penal, "De la protección de la información y de los datos", nuevo bien jurídico tutelado; añadió el numeral 17 al art. 58 y el numeral 6 al art. 37 del C.P.P. Fuente
• Art. 269A del Código Penal — acceso abusivo a un sistema informático; prisión de 48 a 96 meses y multa de 100 a 1.000 SMLMV. Fuente
• Art. 269B del Código Penal — obstaculización ilegítima de sistema informático o red de telecomunicación; prisión de 48 a 96 meses y multa de 100 a 1.000 SMLMV. Fuente
• Art. 269C del Código Penal — interceptación de datos informáticos; prisión de 36 a 72 meses. Fuente
• Art. 269D del Código Penal — daño informático; prisión de 48 a 96 meses y multa de 100 a 1.000 SMLMV. Fuente
• Art. 269E del Código Penal — uso de software malicioso; prisión de 48 a 96 meses y multa de 100 a 1.000 SMLMV. Fuente
• Art. 269F del Código Penal — violación de datos personales; prisión de 48 a 96 meses y multa de 100 a 1.000 SMLMV. Fuente
• Art. 269G del Código Penal — suplantación de sitios web para capturar datos personales (phishing), incluido el pharming; prisión de 48 a 96 meses y multa de 100 a 1.000 SMLMV. Fuente
• Art. 269H del Código Penal — circunstancias de agravación punitiva; las penas se aumentan de la mitad a las tres cuartas partes, con inhabilitación de hasta 3 años para el responsable de administrar la información. Fuente
• Art. 269I del Código Penal — hurto por medios informáticos y semejantes; remite a las penas del hurto calificado (art. 240). Fuente
• Art. 269J del Código Penal — transferencia no consentida de activos; prisión de 48 a 120 meses y multa de 200 a 1.500 SMLMV, aumentada en la mitad si la cuantía supera 200 SMLMV. Fuente
• Art. 239 del Código Penal (Ley 599 de 2000) — hurto; prisión de 32 a 108 meses (conducta base a la que remite el art. 269I). Fuente
• Art. 240 del Código Penal (Ley 599 de 2000) — hurto calificado; prisión de 6 a 14 años en su modalidad base, penas a las que remite el art. 269I; el numeral 4 agrava por "violando o superando seguridades electrónicas". Fuente
• Art. 244 del Código Penal — extorsión; prisión de 192 a 288 meses (Ley 733 de 2002, art. 5; Ley 890 de 2004, art. 14); relevante cuando el rescate del ransomware constriñe a la víctima. Fuente
• Art. 246 del Código Penal — estafa; prisión de 32 a 144 meses (texto original de 2 a 8 años, con el aumento de la Ley 890 de 2004) y multa de 50 a 1.000 SMLMV; puede concurrir con el fraude del CEO y la transferencia no consentida de activos. Fuente
• Art. 58, numeral 17, del Código Penal — circunstancia de mayor punibilidad cuando para el delito se usan medios informáticos, electrónicos o telemáticos (adicionado por la Ley 1273 de 2009). Fuente
• Art. 37, numeral 6, del Código de Procedimiento Penal (Ley 906 de 2004) — competencia de los jueces penales municipales para los delitos del Título VII BIS (adicionado por la Ley 1273 de 2009). Fuente
• Art. 254 del Código de Procedimiento Penal (Ley 906 de 2004) — cadena de custodia; preserva la autenticidad e integridad de la evidencia. Fuente
• Art. 273 del Código de Procedimiento Penal — criterios de valoración de la evidencia: legalidad, autenticidad, cadena de custodia y aceptación científica o técnica. Fuente
• Art. 275, literal g), del Código de Procedimiento Penal — reconoce el mensaje de datos (correo electrónico, internet, EDI) como elemento material probatorio, regulado por la Ley 527 de 1999. Fuente
• Art. 277 del Código de Procedimiento Penal — autenticidad de los elementos materiales probatorios; exige recolección técnica y sometimiento a cadena de custodia. Fuente
• Ley 733 de 2002 (art. 5) — fijó la pena de la extorsión del art. 244 en 12 a 16 años, base del rango vigente. Fuente
• Ley 890 de 2004 (art. 14) — aumento general de penas de la Parte Especial: un tercio en el mínimo y la mitad en el máximo. Fuente
• Ley 1581 de 2012 — régimen administrativo de protección de datos personales, vía distinta de la penal. Fuente
• Corte Suprema de Justicia, Sala de Casación Penal, SP2685 de 2022 — acceso abusivo a sistema informático (Código Penal, art. 269A). Official text.
• Corte Suprema de Justicia, Sala de Casación Penal, SP1245 de 2015 — hurto por medios informáticos (art. 269I) frente a la estafa electrónica (art. 269J). Official text.
• Corte Suprema de Justicia, Sala de Casación Penal, SP2699 de 2022 — daño informático (art. 269D): elemento de ilegitimidad. Official text.
• Corte Suprema de Justicia, Sala de Casación Penal, SP903 de 2024 — acceso abusivo y daño informático; concepto de «sistema informático». Official text.