Phishing en CDMX: multas y cárcel para quienes roben contraseñas y datos

El phishing ya es un delito en la Ciudad de México, por lo que quien engañe a una persona mediante medios digitales para obtener datos personales, información financiera o contraseñas podrá recibir una pena de tres a seis años de prisión y una multa de hasta 70 mil pesos.

Aunque el phishing suele relacionarse con la suplantación de identidad por correo electrónico, el Código Penal de la Ciudad de México también sanciona el uso de páginas web, dominios, aplicaciones o interfaces falsas que aparenten ser legítimas para engañar a los usuarios y robar contraseñas, números de tarjeta, NIP u otros datos confidenciales.

El phishing quedó tipificado como delito autónomo en el artículo 231 Bis. del Código Penal local este jueves 23 de julio, luego de que la reforma fuera publicada en la Gaceta Oficial de la Ciudad de México.

13.5 millones de personas en México han sido víctimas de phishing, 23.1% han perdido dinero, en promedio 8 mil 750 pesos, informó The Competitive Intelligence Unit (The CIU)

¿Cómo es un ataque de phishing?

Un ejemplo común de phishing es recibir un mensaje o correo electrónico que aparenta provenir de una empresa, institución bancaria o financiera, informando sobre un cargo no reconocido y solicitando ingresar a un enlace para verificar la cuenta. El usuario hace clic en el enlace, accede a una página falsa idéntica a la del banco y, al introducir sus datos, estos son capturados por los delincuentes, quienes posteriormente pueden vaciar su cuenta o realizar cargos indebidos.

Fátima Rodríguez Giles, analista forense digital y vocera de ESET, explicó que la táctica principal de estos ciberdelincuentes es explotar la confianza de los usuarios.

“Se basan en generar prisa, urgencia y miedo; apelan directamente a las emociones de la persona para que, atrapada en la confusión, le sea muy difícil pensar con claridad y termine entregando sus datos”, dijo en entrevista para UnoTV.

De acuerdo con los casos de phishing documentados por empresas de ciberseguridad como ESET, cualquier servicio, empresa u organismo gubernamental puede ser suplantado.

Dos casos reales de phishing

Netflix fue utilizada como fachada en una campaña de phishing en la que las víctimas recibían un correo electrónico falso, supuestamente enviado por la plataforma, con un aviso sobre un problema en el pago de su suscripción.

El objetivo de los delincuentes era robar los datos financieros de las víctimas al pedirles que volvieran a ingresar la información completa de su tarjeta o que registraran un nuevo método de pago.

Otro caso de suplantación involucró al Gobierno de la Ciudad de México, cuya identidad fue utilizada por delincuentes para enviar mensajes de texto falsos con el objetivo de robar información sensible de los ciudadanos.

Los ejemplos anteriores muestran que los delincuentes conocen los trámites, el lenguaje y las preocupaciones de las posibles víctimas.

“Para que la estafa tenga efectividad y logre dominar nuestra cultura, muchos de estos ataques provienen y se ejecutan en su mayoría desde México, a pesar de que existan otros ciberdelitos que ocurran desde otros países“, destacó Rodríguez Giles.

La dificultad para perseguir el phishing como delito

Rodríguez Giles explicó que, aunque existen herramientas digitales para rastrear a los responsables, identificar a los autores de un fraude no es un proceso inmediato, pues requiere analizar distintos elementos y contar con la colaboración de varias instituciones.

“Una traza es complicada y no se puede hacer de manera automática. Para llegar a los responsables intervienen muchísimos factores, entre ellos, que cada una de las instituciones encargadas colabore y aporte información”, señaló.

Rodríguez Giles también destacó la necesidad de presentar una denuncia para ayudar a las autoridades a generar estadísticas más precisas, detectar nuevas modalidades de estafa y emitir alertas para prevenir que otras personas sean víctimas.

“Para rastrear a los causantes, necesitamos basarnos en patrones. Por eso, es vital la denuncia de estos hechos y que la víctima aporte las pruebas para una traza de manera confiable”.

Fatima Rodríguez Giles, analista forense digital

Señales para detectar un intento de phishing

La empresa ESET publicó su Guía completa de phishing 2025, donde compartió algunas señales de alerta que pueden ayudar a un usuario a identificar este tipo de estafas.

• Saludo genérico o impersonal
• Errores de ortografía y gramática en el cuerpo del mail
• URL que no es legítima ni coincide con el dominio oficial
• Extensión de un archivo adjunto sospechosa
• Mensaje con tono de urgencia o alarmista
• Contacto inesperado
• Remitente que parece de una empresa conocida, pero la dirección no es legítima
• Solicitud de datos personales y/o bancarios
• Enlaces que al pasar el cursor muestran una dirección distinta
• Imágenes o logos de baja calidad

Por último, la empresa recomendó siempre desconfiar de todo correo que involucre ofertas increíbles, premios inesperados, solicitudes urgentes o el pedido de datos personales, sensibles y confidenciales.

Además de verificar el remitente y la URL antes de hacer clic o introducir datos.

“Un solo carácter distinto puede delatar que se trata de un sitio falso o con intenciones maliciosas”, explicó la compañía de ciberseguridad.