El Congreso de la Ciudad de México dio un paso histórico al tipificar el phishing como delito en el Código Penal local, una medida que busca frenar el creciente número de ataques cibernéticos en la capital. A partir de ahora, quienes obtengan datos personales o financieros mediante engaños virtuales enfrentarán penas de tres a seis años de prisión y multas de hasta 70,000 pesos. Sin embargo, especialistas en ciberseguridad señalan que esta reforma, aunque necesaria, no es suficiente por sí sola para proteger a la población.
El phishing como delito en la CDMX
La nueva tipificación abarca las principales variantes de este ciberataque: el phishing tradicional por correo electrónico, el smishing mediante mensajes de texto, el vishing a través de llamadas telefónicas, así como páginas clonadas, aplicaciones falsas y plataformas que imitan a bancos, gobiernos o comercios electrónicos. La medida responde a un alarmante incremento de los casos: según datos de Kaspersky, en 2025 se registraron 360 millones de detecciones de phishing únicamente en México, un aumento del 202% respecto al año anterior. Este crecimiento explosivo está impulsado, en gran parte, por el uso de inteligencia artificial para perfeccionar y automatizar los ataques masivos.
Víctor Ruiz, fundador de la empresa de ciberseguridad SILIKN, reconoce que la tipificación es un avance positivo, pero advierte que "el problema de fondo no es la ausencia de una figura penal, sino la limitada capacidad institucional para investigar, atribuir y judicializar los delitos informáticos". Para que la ley tenga un efecto real, las autoridades deben contar con los recursos y la preparación adecuados.
Las 7 pruebas clave para una denuncia
Ante un ataque de phishing, conservar la evidencia adecuada puede marcar la diferencia entre una denuncia que prospere y una que quede archivada. Ruiz recomienda preservar sin modificar los siguientes elementos:
- El correo electrónico o mensaje original con sus encabezados completos (headers).
- La URL del sitio fraudulento al que se accedió.
- Capturas de pantalla de mensajes de texto o de WhatsApp.
- Registros de llamadas si hubo ingeniería social para obtener información.
- Comprobantes de transferencias bancarias, movimientos de cuenta o cualquier notificación de acceso no autorizado recibida de bancos o plataformas digitales.
- Si el ataque derivó en el robo de credenciales, documentar fecha, hora y dispositivos donde se registró el incidente.
- No eliminar el correo ni el mensaje malicioso, ya que contienen metadatos como direcciones IP, servidores de envío y dominios que ayudan a rastrear a los atacantes.
Ruiz destaca que esta información suele ser mucho más valiosa para una investigación que una simple captura de pantalla, pero critica que se exija al ciudadano preservar evidencia digital "casi con estándares forenses", mientras que pocas fiscalías cuentan con personal especializado para analizarla. "En muchos casos, la víctima entrega toda la información disponible y termina encontrándose con ministerios públicos que carecen de conocimientos técnicos para interpretar un encabezado de correo electrónico, una dirección IP o un registro de autenticación", señala. "El problema, por tanto, no es únicamente recabar pruebas, sino que exista una capacidad institucional para procesarlas".
La capacidad institucional como talón de Aquiles
La nueva tipificación puede facilitar el trabajo de las autoridades al permitir perseguir directamente conductas como el phishing, pero si no se acompaña de recursos, capacitación y coordinación, corre el riesgo de convertirse en un cambio legislativo con poco impacto operativo. Fabio Assolini, director del equipo global de investigación y análisis de Kaspersky, agrega que la inteligencia artificial ha elevado la complejidad de los ataques a un nuevo nivel, lo que exige que tanto las autoridades como los especialistas estén mejor preparados para enfrentarlos.
Ruiz insiste en que la evidencia digital, por sólida que sea, requiere de instituciones capacitadas para analizarla y convertirla en una investigación efectiva. De lo contrario, muchas denuncias seguirán sin traducirse en sanciones para los responsables. La reforma, por sí misma, no resuelve el problema de fondo: la limitada capacidad técnica en los ministerios públicos y la falta de coordinación entre las distintas instancias de procuración de justicia.
El desafío de la fragmentación legislativa
Otro punto débil es que el delito de phishing solo está tipificado en el Código Penal de la Ciudad de México, lo que limita su aplicación a hechos ocurridos dentro de la capital. Como señala Ruiz, un ataque perpetrado desde otro estado podría quedar impune o ser perseguido bajo figuras como fraude, usurpación de identidad o acceso ilícito a sistemas, dependiendo de la legislación local. Esto genera un problema de fragmentación: los ciberataques no respetan fronteras, y combatir una amenaza global con leyes locales distintas "crea vacíos jurídicos y diferencias en la forma en que se investigan y sancionan los casos".
Por ello, el verdadero reto, concluye Ruiz, no es solo tipificar el phishing en una entidad federativa, sino "contar con un marco jurídico homogéneo en todo México, acompañado de fiscalías especializadas, policías cibernéticas con capacidades técnicas y mecanismos de coordinación entre los estados y la Federación". Mientras eso no ocurra, la tipificación del phishing en la CDMX seguirá siendo un avance significativo, pero insuficiente frente a la magnitud del problema.
