Delitos informáticos, qué penas hay y cómo se defienden

Los delitos informáticos ocupan una parte creciente de los procedimientos penales en España: una transferencia desviada tras un correo falso, un servidor bloqueado por un cifrado malicioso o el acceso sin permiso a la cuenta de otra persona terminan, casi siempre, en un juzgado de instrucción. En Morez Abogados tratamos las dos caras del problema: quien sufre el fraude y quien recibe una citación y no entiende por qué su nombre figura en el atestado. Este artículo explica qué conductas se persiguen, de qué depende la pena, por qué la prueba digital decide la mayoría de estos casos y qué margen tiene la defensa penal por delitos informáticos.

Los delitos informáticos abarcan desde la estafa cometida mediante phishing hasta el acceso no autorizado a sistemas, los daños causados por un ransomware o la difusión de información obtenida de forma ilícita. Las consecuencias van de la multa a varios años de prisión y aumentan cuando hay cuantía elevada, actuación organizada o datos especialmente sensibles. En casi todos, la prueba digital es el eje del procedimiento.

Tipos de delitos informáticos más frecuentes en España

Bajo la etiqueta de delitos informáticos conviven conductas que poco tienen que ver entre sí. El Código Penal no las agrupa en un único bloque: unas se castigan como una modalidad de estafa, otras como daños, otras como descubrimiento y revelación de secretos y otras como suplantación de la identidad ajena. Esa dispersión explica que dos hechos que en la calle se describen igual —«me han hackeado»— acaben con calificaciones y penas muy diferentes.

Estas son las tipologías que con más frecuencia llegan a un despacho penal:

• Estafa informática
  Phishing, smishing, pharming y transferencias no autorizadas desde la banca online
• Daños informáticos y sabotaje
  Ransomware, borrado de bases de datos, ataques de denegación de servicio
• Acceso no autorizado y revelación de secretos
  Entrar en correos, móviles o servidores ajenos y extraer o difundir lo que contienen
• Suplantación de identidad digital
  Perfiles falsos, uso del nombre de otro para contratar o para engañar a terceros
• Delitos contra la intimidad y contra menores
  Difusión de imágenes íntimas sin consentimiento, acoso y contacto con menores en red

Estafa informática: Del phishing al fraude del CEO

Es la modalidad que más denuncias genera. La mecánica es siempre parecida: se consigue que alguien entregue sus claves o autorice un pago creyendo que habla con su banco, con un proveedor o con un directivo de su propia empresa. En el llamado fraude del CEO, el correo imita al de un administrador y ordena una transferencia urgente; en el phishing bancario, la víctima introduce sus credenciales en una página clonada. Para el Derecho penal no basta con que haya un perjuicio patrimonial: hay que acreditar quién manipuló, quién se benefició y con qué conocimiento actuó. Esa última pieza es la que falla con frecuencia en las personas que solo han prestado una cuenta —los llamados muleros— y que llegan al juzgado sin saber de dónde venía el dinero.

Daños informáticos, ransomware y bloqueo de sistemas

Aquí no se busca engañar a nadie, sino inutilizar, borrar o secuestrar información. El caso típico de los últimos años es el cifrado de los servidores de una empresa con petición de rescate, pero entran también el borrado de bases de datos por un empleado que sale enfadado, la alteración de registros contables o los ataques que tumban una web durante horas. Lo que agrava estos delitos informáticos es el alcance: cuántos equipos se vieron afectados, si el servicio interrumpido era esencial y si existía copia de seguridad recuperable. En la práctica, el peritaje que cuantifica el daño pesa tanto como el relato de los hechos, porque de esa cifra dependen la calificación y la responsabilidad civil que se reclama.

Penas y agravantes aplicables a la ciberdelincuencia

No existe una pena única para los delitos informáticos: el abanico va de la multa a penas de prisión de varios años, y en los casos más graves se suman inhabilitaciones profesionales. La horquilla concreta depende de la conducta y de las circunstancias del caso, de modo que cualquier cifra sacada de contexto induce a error.

Lo que sí se repite son los factores que empujan la pena hacia arriba. El importe defraudado es el primero: a mayor perjuicio, mayor reproche. También la organización: actuar dentro de un grupo estructurado, con reparto de papeles y cuentas interpuestas, se castiga más que el hecho aislado. Pesan igualmente el tipo de datos afectados —los de salud, ideología u orientación sexual reciben un tratamiento más severo—, la condición de la víctima cuando es un menor o una persona especialmente vulnerable, y el hecho de aprovechar un cargo o un acceso privilegiado dentro de la organización atacada.

A la pena hay que sumar la responsabilidad civil: devolver lo defraudado e indemnizar el perjuicio causado, que en un ataque a una empresa incluye desde la recuperación de sistemas hasta el lucro cesante por los días de parada. En Morez Abogados insistimos en este punto, porque la factura económica suele preocupar al cliente tanto como la condena.

La prueba digital en el proceso penal

En un procedimiento por delitos informáticos casi nunca hay testigos presenciales: lo que hay son registros técnicos. Direcciones IP, registros de conexión del servidor, metadatos de archivos, cabeceras de correo, identificadores de dispositivo y movimientos bancarios. Esa traza se obtiene de proveedores de servicios, de plataformas y de los dispositivos intervenidos, y después tiene que llegar al juicio en condiciones de ser valorada.

La evidencia digital es cualquier información almacenada o transmitida en formato electrónico que sirva para reconstruir los hechos: un registro de acceso, un correo, un archivo con sus metadatos o el contenido de un disco duro. Su particularidad es que se altera con facilidad, y por eso la forma de recogerla condiciona su valor en el proceso.

Cadena de custodia y código HASH de integridad

La cadena de custodia es el rastro documentado de quién ha tenido el dispositivo o el archivo desde que se incauta hasta que se analiza. En el mundo digital se refuerza con el código HASH: una huella matemática que se calcula sobre la copia del disco o del fichero y que cambia si se modifica un solo bit. Si al abrir el juicio la huella del volcado coincide con la que se tomó el primer día, nadie discute que se analizó lo mismo que se recogió. Cuando no consta esa huella, cuando el equipo se manipuló antes del volcado o cuando faltan actas intermedias, la defensa tiene un argumento sólido para discutir el valor de esa prueba, y con ella el soporte de toda la acusación.

Estrategias de defensa ante una acusación por ciberdelito

La defensa en los delitos informáticos rara vez consiste en negar que el hecho ocurriera: el fraude existió y el sistema se cayó. La discusión se centra en otras tres cosas: quién lo hizo, con qué intención y si la prueba que lo sostiene se obtuvo correctamente.

Las líneas de trabajo habituales en un caso de ciberdelincuencia son estas:

• Autoría no acreditada: el rastro técnico apunta a un equipo o una conexión, no necesariamente a una persona.
• Ausencia de intención: quien cede una cuenta o reenvía un enlace sin conocer el fraude no está en la misma posición que quien lo organiza.
• Prueba obtenida sin las garantías debidas, con afectación de derechos fundamentales como el secreto de las comunicaciones o la intimidad.
• Ruptura de la cadena de custodia o informe pericial de la acusación rebatido con un peritaje informático contradictorio.
• Reparación del daño: la devolución de lo defraudado antes del juicio se valora como circunstancia atenuante.

Cuando la dirección IP no identifica al autor

Una dirección IP identifica una conexión en un momento dado, no a quien estaba delante del teclado. En una vivienda con varios convivientes, en una oficina con red compartida, en un local con wifi abierta o en una conexión mal protegida, por esa misma IP pasan muchas personas. A eso se añaden el uso de redes privadas virtuales, los equipos infectados que forman parte de una red de ordenadores controlados a distancia y las técnicas de suplantación de origen. Por eso la investigación necesita un segundo anclaje —un dispositivo intervenido, una cuenta bancaria, un acceso físico, una conversación— que una esa conexión con una persona concreta. Cuando ese segundo anclaje no aparece, la acusación se queda en un indicio y ahí trabaja la defensa.

Responsabilidad penal de la empresa por ciberdelitos de empleados

Una sociedad puede responder penalmente por un delito informático cometido en su beneficio por alguien de su estructura, desde un administrador hasta un empleado con acceso a los sistemas. No es automático: lo que se examina es si la empresa tenía implantados controles razonables para prevenir ese comportamiento y si funcionaban de verdad.

De ahí la importancia de los programas de cumplimiento —el llamado compliance— aplicados a la seguridad de la información: políticas de acceso con permisos por perfiles, registro de conexiones, control de dispositivos extraíbles, formación periódica del personal, canal interno de denuncias y un protocolo escrito de actuación ante una brecha. Documentar que existían y que se revisaban es lo que permite discutir después la responsabilidad de la persona jurídica.

Conviene separar dos planos que se confunden a menudo: el penal, que mira al delito, y el administrativo en materia de protección de datos, donde la Agencia Española de Protección de Datos puede abrir su propio expediente por la brecha de seguridad. Son procedimientos distintos, con plazos distintos, y una empresa afectada suele tener los dos abiertos a la vez. En Morez Abogados coordinamos ambas respuestas para que lo que se declara en uno no perjudique en el otro.

Primeros pasos tras una denuncia por delito informático

Las primeras horas condicionan el resto del procedimiento. El error más común es intentar arreglarlo por cuenta propia: borrar conversaciones, formatear el equipo, cambiar de dispositivo o escribir al denunciante para negociar. Todo eso deja rastro, se interpreta en contra y destruye pruebas que a veces favorecían a quien las elimina.

Lo que sí resulta útil es conservar los dispositivos tal como están, reunir los correos, extractos bancarios y registros de acceso relacionados con los hechos, anotar fechas y no prestar declaración sin haber hablado antes con un abogado. Si el afectado es una empresa, interesa además documentar quién detectó el incidente y qué se hizo a continuación. Para las víctimas existe la línea gratuita 017 del Instituto Nacional de Ciberseguridad, útil para orientarse sobre el incidente aunque no sustituye a la denuncia ni al asesoramiento jurídico.

Los delitos informáticos se ganan o se pierden en el detalle técnico: cómo se obtuvo el registro, qué dice exactamente el peritaje, qué conexión existe entre un dispositivo y una persona. Quien reciba una citación como investigado, o quien haya sufrido un fraude y quiera personarse en el procedimiento, puede consultar su caso con el equipo penal de Morez Abogados antes de dar cualquier paso que luego no tenga marcha atrás.

Preguntas frecuentes sobre delitos informáticos

¿Qué hacer si me denuncian por un delito informático?

Lo primero es no tocar los dispositivos ni las cuentas implicadas y no declarar sin asistencia letrada. La citación indica el juzgado y la condición en que se llama a la persona, y eso ya orienta sobre el alcance de la investigación. Conservar correos, extractos y registros de acceso permite preparar la versión propia con soporte técnico.

¿Pueden condenar a alguien solo por su dirección IP?

Una dirección IP por sí sola identifica una conexión, no a una persona. Los tribunales exigen elementos añadidos que vinculen esa conexión con alguien concreto: un dispositivo intervenido, una cuenta bancaria, un acceso físico o un rastro documental. Cuando la conexión es compartida, abierta o se ha usado una red privada virtual, ese vínculo se debilita.

¿Es delito entrar en el correo o el móvil de otra persona?

Acceder sin autorización al correo, al móvil o a las cuentas de otra persona es delito aunque no se difunda nada de lo que se ve. La gravedad varía según cómo se accedió, qué información se obtuvo y qué se hizo después con ella. Que exista relación de pareja o familiar no da permiso para hacerlo.

¿Sirve de algo devolver el dinero antes del juicio?

La devolución de lo defraudado se valora como reparación del daño y puede reducir la pena, pero no extingue la responsabilidad penal ni paraliza el procedimiento. Su efecto depende del momento en que se produce, de si cubre todo el perjuicio y del resto de circunstancias del caso, por lo que conviene planificarla con la defensa.

¿Responde la empresa por el ciberdelito de un empleado?

Depende de si el delito se cometió en beneficio de la empresa y de si esta tenía controles eficaces para prevenirlo. Una sociedad con políticas de acceso, registro de conexiones, formación documentada y protocolo de brechas está en una posición muy distinta a otra que no puede acreditar ninguna medida interna.

Referencias Legales

• Código Penal: recoge las conductas delictivas y sus penas, incluidas las cometidas por medios informáticos.
• Ley de Enjuiciamiento Criminal: regula la tramitación del proceso penal y las medidas de investigación tecnológica.
• Ley Orgánica de Protección de Datos y garantía de los derechos digitales: marco español sobre tratamiento de datos personales y derechos digitales.
• Ley de conservación de datos de comunicaciones electrónicas: regula la conservación de datos de conexión por los operadores y su cesión a los agentes facultados.