Los delitos informáticos son una de las formas de criminalidad más crecientes en la actualidad. Empresas, administraciones públicas y ciudadanos particulares pueden verse afectados por ciberataques que ponen en riesgo datos sensibles, sistemas informáticos y, en última instancia, derechos fundamentales como la intimidad o la propiedad. En este artículo vamos a explicarte qué son los delitos informáticos, qué tipos existen, cómo protegerte y qué hacer si sufres un ciberataque.
¿Qué se considera delito informático en España?
El término “delito informático” no aparece como tal en el Código Penal (CP), pero abarca un conjunto de conductas ilícitas que utilizan sistemas informáticos como medio, fin o entorno del delito. Desde el punto de vista legal, se agrupan en varios títulos del Código Penal, principalmente en:
- Título XIII “Delitos contra el patrimonio y contra el orden socioeconómico”, en especial en su Capítulo IX sobre daños informáticos.
- Título X “Delitos contra la intimidad, el derecho a la propia imagen y la inviolabilidad del domicilio”, particularmente en lo relativo al acceso sin autorización a sistemas y datos.
- Título XIX “Delitos contra la Administración Pública”, en el caso de ataques a sistemas públicos.
Una de las reformas clave fue la Ley Orgánica 1/2015, que adaptó el Código Penal a la Directiva 2013/40/UE del Parlamento Europeo y del Consejo, sobre los ataques contra los sistemas de información.
Principales tipos de delitos informáticos tipificados en el Código Penal
1. Interceptación de comunicaciones, acceso ilícito a datos personales y uso de malware
Una de las conductas más graves en el ámbito de los delitos informáticos es la interceptación de comunicaciones privadas o la apropiación de datos mientras se transmiten a través de medios electrónicos. El Código Penal español, en su artículo 197.1, tipifica esta conducta como delito contra la intimidad y el secreto de las comunicaciones.
En concreto, el precepto castiga al que, sin autorización y con el fin de descubrir secretos o vulnerar la intimidad de otro, intercepte sus telecomunicaciones, se apodere de sus correos electrónicos, cartas, documentos o efectos personales, ya sean físicos o digitales. Este tipo penal protege la privacidad de las comunicaciones, especialmente frente a prácticas como:
- El espionaje digital a través de redes Wi-Fi o conexiones intervenidas.
- El acceso ilegítimo a cuentas de correo electrónico.
- La captura de mensajes instantáneos mediante herramientas de monitorización.
- La instalación de software espía o keyloggers para registrar conversaciones, pulsaciones de teclado o contraseñas.
La pena prevista para este delito es de uno a cuatro años de prisión y multa de doce a veinticuatro meses.
Además, el artículo 197.2 extiende la protección al acceso ilícito a datos personales almacenados en sistemas informáticos. Es decir, no solo es delito interceptar comunicaciones mientras están en tránsito, sino también acceder sin autorización a archivos o bases de datos privadas que contengan información sensible, como historiales médicos, contraseñas, registros bancarios o comunicaciones anteriores guardadas en un servidor.
Por ejemplo, si una persona instala un programa malicioso en el ordenador de su expareja para leer sus correos electrónicos o acceder a sus chats guardados, estaría incurriendo tanto en interceptación de comunicaciones como en acceso ilegítimo a datos personales.
La situación se agrava aún más cuando esos datos obtenidos ilegalmente se difunden o se ceden a terceros. El artículo 197.3 del Código Penal sanciona estas conductas con penas de hasta cinco años de prisión, especialmente cuando los datos afectan a la ideología, religión, salud, vida sexual o afiliación sindical del afectado.
2. Acceso ilícito a sistemas informáticos (hacking)
El artículo 197 bis del CP castiga a quien, sin estar autorizado, acceda a todo o parte de un sistema de información, vulnerando medidas de seguridad.
Se trata de una conducta punible con penas de prisión de seis meses a dos años, pudiendo agravarse si se accede a datos especialmente protegidos o si el acceso se realiza dentro de organizaciones criminales.
3. Facilitación de herramientas para cometer delitos contra la intimidad o acceso ilícito
El artículo 197 ter del CP castiga a quien, sin autorización, produzca, adquiera, importe o facilite a terceros herramientas tecnológicas concebidas para cometer delitos contra la intimidad o el acceso indebido a sistemas informáticos, previstos en los artículos 197.1, 197.2 o 197 bis del CP.
Por ejemplo, podrían ser:
- software diseñado para robar credenciales de acceso,
- contraseñas ajenas obtenidas sin consentimiento,
- dispositivos capaces de interceptar comunicaciones protegidas.
La pena prevista es de seis meses a dos años de prisión o multa de tres a dieciocho meses, dependiendo de la gravedad y circunstancias del caso.
En la práctica, esto significa que quien desarrolla o distribuye malware diseñado para espiar conversaciones, capturar pulsaciones del teclado o interceptar datos bancarios puede ser perseguido penalmente aunque no haya ejecutado directamente el delito.
4. Daños informáticos (ataques destructivos)
El artículo 264 del CP regula los daños informáticos, como la introducción, transmisión o difusión de virus, gusanos, troyanos o cualquier código que altere, dañe, suprima o impida el acceso a datos o sistemas.
Este delito conlleva penas de prisión de seis meses a tres años, que pueden ampliarse si se ataca a infraestructuras críticas o servicios esenciales (energía, salud, transportes…) o si se ha cometido el delito en el marco de una organización criminal.
Por ejemplo, un ransomware que bloquea los sistemas de un hospital público podría conllevar penas de hasta cinco años, según el artículo 264.2 del CP.
5. Suplantación de identidad y fraude informático
Una de las formas más frecuentes de ciberdelincuencia en la actualidad es la estafa informática, que engloba todas aquellas conductas en las que, mediante manipulación de sistemas informáticos o de datos electrónicos, se induce a error a otra persona para obtener un beneficio económico en perjuicio de un tercero. Se castigan con una pena de prisión de seis meses a tres años.
Un ejemplo paradigmático de esta conducta es el phishing, que consiste en enviar correos electrónicos falsos, suplantando la identidad de bancos, plataformas de comercio electrónico o servicios públicos, con el fin de que el usuario introduzca sus claves de acceso o datos bancarios en una página fraudulenta. Una vez obtenida esa información, el delincuente puede realizar operaciones económicas sin consentimiento del titular.
Otros ejemplos comunes son:
- El smishing (phishing mediante mensajes SMS).
- El vishing (fraude telefónico en el que se suplanta a entidades financieras).
- El spoofing, donde el delincuente suplanta una identidad o dirección IP para manipular comunicaciones electrónicas.
- El fraude del CEO, en el que los delincuentes suplantan a un alto directivo de una empresa para engañar al departamento financiero y conseguir transferencias a cuentas controladas por los atacantes.
¿Cómo protegerte ante los delitos informáticos?
La prevención es fundamental. Tanto empresas como ciudadanos pueden tomar medidas técnicas y jurídicas para minimizar los riesgos de sufrir un ciberataque. Algunas recomendaciones son:
1. Implementar medidas de ciberseguridad básicas
- Usar contraseñas robustas y actualizarlas periódicamente.
- Configurar autenticación en dos pasos.
- Actualizar el software y los sistemas operativos con regularidad.
- Instalar antivirus, firewall y sistemas antimalware de confianza.
- Realizar copias de seguridad en servidores independientes o sistemas en la nube.
2. Formación y concienciación
Muchas brechas de seguridad provienen de errores humanos. Por ello, es vital:
- Formar al personal en buenas prácticas digitales.
- Evitar abrir correos de remitentes sospechosos o enlaces no verificados.
- Contar con un protocolo de actuación interno ante ataques.
3. Contratar servicios especializados
Las empresas pueden recurrir a consultores en ciberseguridad o implementar servicios de monitorización de red y respuesta ante incidentes (CSIRT, SOC), especialmente si manejan datos sensibles.
¿Qué hacer si sufres un ciberataque?
En caso de sufrir un ciberataque, ya sea como empresa o particular, es importante actuar con rapidez. A continuación, te explicamos los pasos que debes seguir:
1. Recoge y conserva las evidencias
Es fundamental preservar cualquier rastro del ataque:
- Capturas de pantalla.
- Archivos dañados o encriptados.
- Correos electrónicos o mensajes sospechosos.
- Logs de acceso al sistema.
Estas pruebas pueden ser decisivas a la hora de presentar denuncia o emprender acciones legales.
2. Denuncia ante las autoridades
Puedes denunciar los hechos ante:
- Policía Nacional (Grupo de Delitos Tecnológicos).
- Guardia Civil (Unidad de Investigación de Delitos Telemáticos).
- Fiscalía especializada en criminalidad informática.
- Juzgado de Guardia, si se trata de un delito flagrante o hay urgencia.
Es recomendable acudir con la mayor cantidad de pruebas posible, indicando de forma detallada cuándo, cómo y con qué efectos se ha producido el ataque.
3. Comunica a la Agencia Española de Protección de Datos (AEPD)
Si el ataque ha afectado a datos personales, como bases de datos de clientes o historiales médicos, es obligatorio comunicarlo a la AEPD en un plazo máximo de 72 horas, conforme al Reglamento General de Protección de Datos (RGPD) y la Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).
El artículo 33 del RGPD establece esta obligación para los responsables del tratamiento de datos.
4. Notifica a los afectados si procede
Si el ciberataque ha puesto en riesgo los derechos o libertades de las personas cuyos datos fueron comprometidos, también es obligatorio notificar a los afectados de forma clara y comprensible.
No hacerlo puede acarrear sanciones económicas elevadas por parte de la AEPD.
5. Busca asesoramiento legal
Ante un ciberataque, contar con un abogado especializado en derecho digital o penal tecnológico es fundamental. Puede ayudarte a:
- Valorar si existen responsabilidades civiles o penales.
- Asesorarte en la vía judicial o en negociaciones con aseguradoras.
- Presentar querellas o ejercer la acusación particular.
- Defender tus intereses en caso de denuncia infundada (por ejemplo, si alguien usó tu identidad para cometer el delito).
¿Y si el atacante es extranjero?
Muchos ciberataques provienen de otros países. En estos casos, la persecución del delito no es sencilla, pero no es imposible. España forma parte de:
- La Convención de Budapest sobre Ciberdelincuencia.
- La Red Europea de Cibercriminalidad (EC3).
- Organismos de cooperación judicial como EUROPOL y EUROJUST.
Esto permite que, aunque el autor se encuentre fuera de España, pueda perseguirse su responsabilidad a través de mecanismos de cooperación internacional.
En conclusión
Los delitos informáticos están cada vez más presentes en nuestra vida cotidiana. Por ello, es esencial conocer qué conductas constituyen un delito según el Código Penal, cómo prevenir estos ataques y qué pasos dar si los sufrimos. Protegernos no es solo una cuestión tecnológica, sino también legal.
Si has sido víctima de un ciberataque o sospechas que tus datos han sido vulnerados, recuerda actuar con rapidez. Contar con el asesoramiento jurídico adecuado puede marcar la diferencia.