Tipificar el phishing es un avance, pero no resolverá el problema de la cibercriminalidad en México
Imagen: Andrejzt | https://www.deviantart.com/andrejzt
Por Víctor Ruiz, fundador de SILIKN, CyberOps Associate (CCNA CyberOps), Instructor Certificado en Ciberseguridad (CSCT™), NIST Cybersecurity Framework 2.0 Certified Expert (CSFE), (ISC)² Certified in Cybersecurity℠ (CC), EC-Council Ethical Hacking Essentials (EHE) Certified, EC-Council Certified Cybersecurity Technician (CCT), Ethical Hacking Certified Associate (EHCA), Cisco Ethical Hacker & Cisco Cybersecurity Analyst, Coordinador de la Subcomisión de Ciberseguridad de COPARMEX Querétaro y Líder del Capítulo Querétaro de la Fundación OWASP.
La decisión de tipificar el phishing como delito en México es, sin duda, un avance. Sin embargo, también es un ejemplo de una constante que observo desde hace años en materia de ciberseguridad: el gobierno suele responder con reformas legales cuando el verdadero problema se encuentra en la capacidad del Estado para hacer cumplir la ley.
Durante mucho tiempo, México ha figurado entre los países más golpeados por campañas de phishing en América Latina. No porque los delincuentes hayan encontrado un vacío legal que les permitiera operar con tranquilidad, sino porque descubrieron algo mucho más conveniente: un ecosistema institucional con enormes dificultades para investigar delitos informáticos, atribuir responsabilidades y llevar casos hasta una sentencia. La impunidad nunca ha sido consecuencia de la falta de leyes; ha sido el resultado de la falta de capacidades.
Por ello, me parece equivocado presentar la tipificación del phishing como si se tratara de un punto de inflexión. La reforma puede facilitar el trabajo jurídico de las autoridades, pero no cambiará la realidad mientras las fiscalías continúen con recursos limitados, las policías cibernéticas sigan operando con personal insuficiente y la investigación forense digital permanezca rezagada frente a una delincuencia que evoluciona todos los días.
Los grupos criminales que hoy distribuyen campañas de phishing no modificarán su comportamiento porque el Código Penal incorpore un nuevo artículo. Lo harán cuando exista una posibilidad real de ser identificados, investigados y procesados. En materia de cibercrimen, la percepción de riesgo pesa mucho más que el endurecimiento de las penas.
Hay otro aspecto que considero preocupante: la narrativa gubernamental suele privilegiar los anuncios legislativos sobre la construcción de capacidades institucionales. Es políticamente más rentable informar que se creó un nuevo delito que reconocer que aún existen ministerios públicos sin formación en evidencia digital, laboratorios forenses insuficientes o policías cibernéticas que operan con recursos limitados. Sin embargo, ninguna reforma sustituye a una institución competente.
La ciberseguridad tampoco puede reducirse a una discusión penal. El Estado debería comenzar por fortalecer sus propios sistemas. Año tras año seguimos observando incidentes que involucran plataformas gubernamentales vulnerables, deficiencias en la gestión de riesgos y una cultura de seguridad todavía incipiente dentro de muchas dependencias públicas. Resulta contradictorio exigir mayores responsabilidades a los ciudadanos cuando el propio gobierno continúa enfrentando problemas para proteger su infraestructura digital.
Con frecuencia escucho que la nueva tipificación protegerá tanto a empresas como a ciudadanos. Jurídicamente es cierto; operativamente, no tanto.
Las grandes empresas cuentan con equipos especializados, protocolos de respuesta, asesores jurídicos y recursos para preservar evidencia digital. Un ciudadano común, en cambio, muchas veces ni siquiera identifica que fue víctima de phishing. Cuando finalmente decide denunciar, suele enfrentarse a procedimientos largos, poco claros y, en muchos casos, sin resultados concretos. La ley puede reconocer los mismos derechos para todos, pero el acceso efectivo a la justicia sigue siendo profundamente desigual.
![]()
Mientras no exista una política seria de educación digital, atención a víctimas y fortalecimiento de las capacidades de investigación, la brecha entre empresas y ciudadanos continuará ampliándose. La protección jurídica es importante; la protección efectiva depende de instituciones capaces de responder.
Otro elemento que merece una reflexión crítica es la decisión de iniciar esta tipificación únicamente en la Ciudad de México. Desde una perspectiva jurídica puede entenderse como un primer paso, pero desde la óptica de la ciberseguridad resulta insuficiente.
Los ataques de phishing no conocen fronteras administrativas. Un atacante puede operar desde otro estado, utilizar infraestructura alojada en varios países, registrar dominios en jurisdicciones distintas y dirigir campañas contra víctimas distribuidas por todo el territorio nacional. Pretender enfrentar una amenaza global mediante legislaciones locales fragmentadas genera diferencias en la persecución del delito y abre espacios que los propios grupos criminales saben aprovechar.
México necesita una armonización nacional de su legislación sobre ciberdelitos y, sobre todo, mecanismos efectivos de coordinación entre las entidades federativas y la Federación. De poco sirve que una entidad avance mientras otras mantienen marcos jurídicos distintos o capacidades técnicas muy dispares.
También suelo insistir en un aspecto que rara vez ocupa titulares: la importancia de la evidencia digital.
Cuando una persona es víctima de phishing, conservar el correo original, los encabezados completos, las direcciones URL, los mensajes recibidos, los registros de llamadas, los comprobantes bancarios y cualquier otra evidencia puede marcar la diferencia entre una investigación viable y un expediente condenado al archivo. Los metadatos contenidos en un correo electrónico, por ejemplo, aportan información que una simple captura de pantalla jamás podrá ofrecer.
Pero aquí vuelve a aparecer la misma contradicción institucional. Se exige que los ciudadanos preserven evidencia casi con criterios periciales, mientras muchas fiscalías todavía carecen del personal especializado para interpretar encabezados de correo, analizar registros de autenticación o reconstruir técnicamente un incidente. El problema no consiste únicamente en obtener la evidencia; consiste en contar con instituciones capaces de comprenderla.
Por eso sigo convencido de que la discusión pública está enfocada en el lugar equivocado. El verdadero desafío no consiste en incorporar nuevos delitos al Código Penal, sino en construir capacidades permanentes de investigación, inteligencia y respuesta.
México necesita invertir de manera sostenida en laboratorios de informática forense, fortalecer a las policías cibernéticas, profesionalizar ministerios públicos y peritos, desarrollar inteligencia de amenazas, consolidar mecanismos de cooperación internacional y, sobre todo, adoptar una estrategia nacional de ciberseguridad que trascienda los ciclos políticos y las reformas aisladas.
La tipificación del phishing merece reconocerse como un paso positivo. Negarlo sería injusto. Pero también sería un error convertir ese avance en una narrativa de éxito cuando el problema estructural permanece prácticamente intacto.
En ciberseguridad existe una máxima que rara vez pierde vigencia: las leyes pueden inhibir conductas, pero únicamente las instituciones generan consecuencias. Mientras el Estado mexicano no sea capaz de investigar con eficacia, procesar con oportunidad y sancionar con certeza a los responsables, los ciberdelincuentes seguirán considerando que el mayor aliado de sus operaciones no es la sofisticación tecnológica, sino la persistente debilidad institucional.
Para más información, visite: https://www.silikn.net/
La decisión de tipificar el phishing como delito en México es, sin duda, un avance. Sin embargo, también es un ejemplo de una constante que observo desde hace años en materia de ciberseguridad: el gobierno suele responder con reformas legales cuando el verdadero problema se encuentra en la capacidad del Estado para hacer cumplir la ley.
Durante mucho tiempo, México ha figurado entre los países más golpeados por campañas de phishing en América Latina. No porque los delincuentes hayan encontrado un vacío legal que les permitiera operar con tranquilidad, sino porque descubrieron algo mucho más conveniente: un ecosistema institucional con enormes dificultades para investigar delitos informáticos, atribuir responsabilidades y llevar casos hasta una sentencia. La impunidad nunca ha sido consecuencia de la falta de leyes; ha sido el resultado de la falta de capacidades.
Por ello, me parece equivocado presentar la tipificación del phishing como si se tratara de un punto de inflexión. La reforma puede facilitar el trabajo jurídico de las autoridades, pero no cambiará la realidad mientras las fiscalías continúen con recursos limitados, las policías cibernéticas sigan operando con personal insuficiente y la investigación forense digital permanezca rezagada frente a una delincuencia que evoluciona todos los días.
Los grupos criminales que hoy distribuyen campañas de phishing no modificarán su comportamiento porque el Código Penal incorpore un nuevo artículo. Lo harán cuando exista una posibilidad real de ser identificados, investigados y procesados. En materia de cibercrimen, la percepción de riesgo pesa mucho más que el endurecimiento de las penas.
Hay otro aspecto que considero preocupante: la narrativa gubernamental suele privilegiar los anuncios legislativos sobre la construcción de capacidades institucionales. Es políticamente más rentable informar que se creó un nuevo delito que reconocer que aún existen ministerios públicos sin formación en evidencia digital, laboratorios forenses insuficientes o policías cibernéticas que operan con recursos limitados. Sin embargo, ninguna reforma sustituye a una institución competente.
La ciberseguridad tampoco puede reducirse a una discusión penal. El Estado debería comenzar por fortalecer sus propios sistemas. Año tras año seguimos observando incidentes que involucran plataformas gubernamentales vulnerables, deficiencias en la gestión de riesgos y una cultura de seguridad todavía incipiente dentro de muchas dependencias públicas. Resulta contradictorio exigir mayores responsabilidades a los ciudadanos cuando el propio gobierno continúa enfrentando problemas para proteger su infraestructura digital.
Con frecuencia escucho que la nueva tipificación protegerá tanto a empresas como a ciudadanos. Jurídicamente es cierto; operativamente, no tanto.
Las grandes empresas cuentan con equipos especializados, protocolos de respuesta, asesores jurídicos y recursos para preservar evidencia digital. Un ciudadano común, en cambio, muchas veces ni siquiera identifica que fue víctima de phishing. Cuando finalmente decide denunciar, suele enfrentarse a procedimientos largos, poco claros y, en muchos casos, sin resultados concretos. La ley puede reconocer los mismos derechos para todos, pero el acceso efectivo a la justicia sigue siendo profundamente desigual.
Mientras no exista una política seria de educación digital, atención a víctimas y fortalecimiento de las capacidades de investigación, la brecha entre empresas y ciudadanos continuará ampliándose. La protección jurídica es importante; la protección efectiva depende de instituciones capaces de responder.
Otro elemento que merece una reflexión crítica es la decisión de iniciar esta tipificación únicamente en la Ciudad de México. Desde una perspectiva jurídica puede entenderse como un primer paso, pero desde la óptica de la ciberseguridad resulta insuficiente.
Los ataques de phishing no conocen fronteras administrativas. Un atacante puede operar desde otro estado, utilizar infraestructura alojada en varios países, registrar dominios en jurisdicciones distintas y dirigir campañas contra víctimas distribuidas por todo el territorio nacional. Pretender enfrentar una amenaza global mediante legislaciones locales fragmentadas genera diferencias en la persecución del delito y abre espacios que los propios grupos criminales saben aprovechar.
México necesita una armonización nacional de su legislación sobre ciberdelitos y, sobre todo, mecanismos efectivos de coordinación entre las entidades federativas y la Federación. De poco sirve que una entidad avance mientras otras mantienen marcos jurídicos distintos o capacidades técnicas muy dispares.
También suelo insistir en un aspecto que rara vez ocupa titulares: la importancia de la evidencia digital.
Cuando una persona es víctima de phishing, conservar el correo original, los encabezados completos, las direcciones URL, los mensajes recibidos, los registros de llamadas, los comprobantes bancarios y cualquier otra evidencia puede marcar la diferencia entre una investigación viable y un expediente condenado al archivo. Los metadatos contenidos en un correo electrónico, por ejemplo, aportan información que una simple captura de pantalla jamás podrá ofrecer.
Pero aquí vuelve a aparecer la misma contradicción institucional. Se exige que los ciudadanos preserven evidencia casi con criterios periciales, mientras muchas fiscalías todavía carecen del personal especializado para interpretar encabezados de correo, analizar registros de autenticación o reconstruir técnicamente un incidente. El problema no consiste únicamente en obtener la evidencia; consiste en contar con instituciones capaces de comprenderla.
Por eso sigo convencido de que la discusión pública está enfocada en el lugar equivocado. El verdadero desafío no consiste en incorporar nuevos delitos al Código Penal, sino en construir capacidades permanentes de investigación, inteligencia y respuesta.
México necesita invertir de manera sostenida en laboratorios de informática forense, fortalecer a las policías cibernéticas, profesionalizar ministerios públicos y peritos, desarrollar inteligencia de amenazas, consolidar mecanismos de cooperación internacional y, sobre todo, adoptar una estrategia nacional de ciberseguridad que trascienda los ciclos políticos y las reformas aisladas.
La tipificación del phishing merece reconocerse como un paso positivo. Negarlo sería injusto. Pero también sería un error convertir ese avance en una narrativa de éxito cuando el problema estructural permanece prácticamente intacto.
En ciberseguridad existe una máxima que rara vez pierde vigencia: las leyes pueden inhibir conductas, pero únicamente las instituciones generan consecuencias. Mientras el Estado mexicano no sea capaz de investigar con eficacia, procesar con oportunidad y sancionar con certeza a los responsables, los ciberdelincuentes seguirán considerando que el mayor aliado de sus operaciones no es la sofisticación tecnológica, sino la persistente debilidad institucional.
Para más información, visite: https://www.silikn.net/