Phishing Y Fraude Digital: El Nuevo Marco Regulatorio De La Ciudad De México

El 22 de julio de 2026 se publicó en la Gaceta Oficial de la Ciudad de México el Decreto por el que se adiciona el artículo 231 Bis al Código Penal para el Distrito Federal. La nueva disposición sanciona a quien induzca a una persona a revelar, capturar o proporcionar datos personales, financieros o de autenticación, con el propósito de obtener un beneficio indebido o causar un perjuicio, “mediante engaño digital consistente en la creación o uso de mensajes, páginas electrónicas, dominios, aplicaciones o cualquier otra interfaz tecnológica que simule ser legítima”. La disposición tiene por objeto regular conductas asociadas con la práctica conocida como phishing.

I. Phishing y sus principales modalidades

El phishing es una práctica engañosa que consiste en inducir a una persona a revelar información sensible a un tercero mediante comunicaciones que aparentan ser auténticas. Por lo general, opera a través de técnicas de ingeniería social, como correos electrónicos, llamadas telefónicas, mensajes de texto, sitios web falsos o redes sociales, en las que el atacante se hace pasar por un proveedor de servicios confiable para inducir a la víctima a revelar contraseñas, claves de acceso, números de tarjeta u otros datos. Esta práctica presenta distintas variantes según el canal utilizado, como el smishing (mensajes SMS) y el vishing (voz).

Conforme al nuevo Decreto, esta conducta será sancionada con una pena de tres a seis años de prisión y una multa de aproximadamente $23,462.00 a $70,386.00 pesos mexicanos, sin perjuicio de la reparación del daño que pudiera corresponder. Además, las penas podrán incrementarse hasta en una mitad cuando la víctima sea una persona con discapacidad, o el ataque se dirija o afecte a adultos mayores o menores de edad.

II. Riesgos para las organizaciones

Para las empresas, las implicaciones son más amplias en escala. Las filtraciones de datos constituyen un riesgo cada vez más costoso para los negocios.

Un factor que agrava este panorama es el uso de inteligencia artificial por parte de los atacantes: Esta tecnología puede emplearse para facilitar técnicas de suplantación, incluidos los deepfakes, así como para generar herramientas maliciosas. Conforme los métodos de phishing se vuelven más sofisticados, estos eventos son más difíciles de detectar y regular.

Entre las características típicas de un correo de phishing se encuentran, entre otras, enlaces sospechosos, errores ortográficos, saludos genéricos, sentido urgentes y solicitudes de datos personales.

III. Medidas de prevención y mitigación

Una estrategia de mitigación efectiva puede combinar medidas de filtrado, detección y educación de usuarios, además de reconocer que las personas en todos los niveles de responsabilidad a nivel corporativo siguen siendo la primera línea de defensa frente a estos ataques. Las medidas de cumplimiento y seguridad deben traducirse en la protección a nivel individual y, a su vez, en controles organizacionales exigibles, incorporándolas en políticas, configuraciones técnicas, monitoreo constante y capacitación.

• Mejores prácticas en el correo electrónico y navegación web: Debe existir una política que instruya al personal a tratar con cautela los correos provenientes de fuentes desconocidas o sospechosas y a verificar su contenido antes de hacer clic en enlaces o proporcionar información. Dicha política puede complementarse con controles dentro del correo, sandboxing y controles de ventanas emergentes o anuncios en los dispositivos.
  
  
• Enlaces y archivos adjuntos: Se debe instruir a las personas de todos los niveles y responsabilidades para que eviten abrir enlaces o archivos adjuntos de remitentes desconocidos, así como proporcionar herramientas autorizadas para verificar enlaces sospechosos, de modo que la verificación forme parte de un proceso definir y no dependa exclusivamente de una decisión individual.
  
  
• Verificación de sitios: Debe procurarse la confirmación de que los destinos utilicen “https://” y certificados de seguridad válidos, con apoyo de navegadores administrados, listas de permitidos y bloqueados, y monitoreo de dominios similares que puedan suplantar la identidad de la organización.
  
  
• Controles de acceso: Deben requerirse contraseñas robustas y no reutilizadas, así como implementar la autenticación multifactor mediante una aplicación autenticadora, preferentemente en lugar de códigos enviados por SMS o mediante llamadas de voz, de manera consistente en cuentas corporativas y accesos privilegiados.
  
  
• Gestión de parches y dispositivos finales: Los dispositivos y el software deben mantenerse actualizados mediante un programa administrado de actualizaciones, y las medidas de protección de los dispositivos finales debe mantenerse bajo control de la organización, no a discreción del usuario.
  
  

IV. Respuesta ante incidentes de phishing

Una vez ocurrido un ataque, la prioridad pasa a contener el incidente y restablecer la seguridad. El personal debe estar capacitado para reportar, tan pronto como sea posible, los incumplimientos a las políticas aplicables. Cuando exista la posibilidad de que credenciales hayan sido comprometidas, las contraseñas correspondientes deben restablecerse de inmediato, sin reutilizarlas en otras cuentas, y las cuentas involucradas deben monitorearse para detectar accesos no autorizados o actividad irregular, idealmente mediante registros y alertas centralizadas, y no a partir de revisiones aisladas por parte de usuarios.

Para las empresas, la respuesta a incidentes es un elemento central de la gestión del riesgo organizacional y debe regirse por un plan documentado que establezca funciones, rutas de escalamiento y obligaciones de reporte. Fortalecer el factor humano mediante capacitación en seguridad específica y basada en funciones sigue siendo esencial, de manera que el personal pueda tanto prevenir incidentes como actuar adecuadamente cuando ocurran; las funciones de cumplimiento también deben confirmar que se atiendan las obligaciones aplicables de notificación de vulneraciones y reporte interno.

Dado que esta conducta ahora constituye un delito, la organización puede considerar la presentación de una denuncia penal ante las autoridades competentes. Para preservar esa opción, el proceso de respuesta a incidentes debe exigir la conservación de toda la evidencia disponible y contemplar la conservación de la evidencia disponible y procedimientos adecuados de cadena de custodia y manejo de medios digitales, a fin de que el asunto pueda investigarse y perseguirse debidamente.

V. Consideraciones en materia de protección de datos personales

En este contexto, las organizaciones también deben considerar sus obligaciones en materia de protección de datos personales cuando actúen como responsables del tratamiento. Conforme a la regulación aplicable en materia de protección de datos, estos incidentes pueden generar no sólo consideraciones penales, sino también obligaciones independientes en materia de seguridad de datos, notificación y confidencialidad durante todo el ciclo de tratamiento. Si un incidente de phishing compromete datos personales y afecta de manera significativa los derechos de los titulares, el responsable también podría estar obligado a notificarles de forma oportuna para que puedan tomar las medidas correspondientes. Por lo tanto, estos incidentes pueden generar no sólo consideraciones penales, sino también obligaciones independientes en materia de seguridad de datos, notificación y confidencialidad.

La adición del artículo 231 Bis al Código Penal para el Distrito Federal incorpora una disposición específica para sancionar conductas de engaño digital mediante el uso de mensajes, páginas electrónicas, dominios, aplicaciones u otras interfaces tecnológicas que simulen ser legítimas. La aplicación de esta disposición deberá considerarse juntamente con las circunstancias particulares de cada caso, así como con las medidas de prevención, detección y respuesta implementadas por las organizaciones.