El phishing ya es delito en Cdmx. El artículo 231 Bis sanciona el engaño digital con hasta seis años de prisión y multas de 200 a 600 UMA cuando se busquen datos personales, financieros o de autenticación.

Por Gabriela Díaz | Reportera                                           

El phishing ya constituye un delito específico en la ciudad de México y puede ser castigado con hasta seis años de prisión, luego de que entró en vigor el artículo 231 Bis del Código Penal para el Distrito Federal, que sanciona el uso de mensajes, páginas, dominios o aplicaciones falsas para obtener datos personales, financieros o de autenticación.

La reforma fue publicada el 22 de julio de 2026 en la Gaceta Oficial de la ciudad de México y entró en vigor al día siguiente. El nuevo tipo penal contempla penas de tres a seis años de prisión y multas de 200 a 600 Unidades de Medida y Actualización (UMA).

La nueva disposición alcanza conductas como la creación o utilización de interfaces tecnológicas que aparenten ser legítimas para inducir a una persona a entregar contraseñas, NIP, datos bancarios, información personal o credenciales de autenticación, cuando exista la finalidad de obtener un beneficio indebido o causar un perjuicio.

¿Qué conductas contempla el nuevo delito?

El artículo 231 Bis contempla el llamado engaño digital mediante mensajes, páginas electrónicas, dominios, aplicaciones o cualquier otra interfaz tecnológica que simule ser legítima.

Esto incluye modalidades habituales del phishing, como mensajes que aparentan provenir de instituciones bancarias, sitios web clonados, correos electrónicos fraudulentos y otros mecanismos digitales utilizados para convencer a las víctimas de proporcionar información confidencial.

La conducta sancionada no consiste simplemente en enviar un mensaje falso. La norma exige que el engaño digital induzca a una persona a revelar, capturar o proporcionar datos personales, financieros o de autenticación con la finalidad de obtener un beneficio indebido para el responsable o un tercero, o causar un perjuicio.

¿Cuánto se puede pagar de multa por phishing?

La sanción establecida va de 200 a 600 UMA, además de una pena de tres a seis años de prisión. Con el valor de la UMA vigente en 2026, la multa máxima supera los 70 mil pesos.

Las penas pueden incrementarse hasta en una mitad cuando la víctima sea una persona con discapacidad, una persona mayor o una persona menor de edad.

Esto significa que, en los supuestos agravados previstos por la norma, el incremento puede llevar la pena máxima de seis a nueve años de prisión.

¿Cómo opera el phishing?

El engaño digital suele comenzar con un mensaje, llamada, correo electrónico o sitio web que aparenta pertenecer a una institución legítima.

Un supuesto aviso bancario puede advertir sobre un movimiento inusual y conducir al usuario hacia una página falsa para solicitar su nombre de usuario, contraseña o código de autenticación. Otro mecanismo consiste en hacerse pasar por una autoridad para generar presión mediante un supuesto adeudo, trámite pendiente o devolución de impuestos.

La finalidad es provocar una reacción rápida y obtener información que después pueda utilizarse para acceder a cuentas, realizar operaciones o cometer otros actos ilícitos.

La reforma cambia el marco penal para estos fraudes

Antes de la incorporación del artículo 231 Bis, conductas de este tipo podían ser analizadas mediante figuras penales generales, dependiendo de las circunstancias de cada caso. La nueva disposición establece expresamente el engaño digital como una conducta sancionable cuando se cumplen los elementos descritos por la norma.

El cambio también plantea retos para las autoridades encargadas de investigar y judicializar estos casos. Será necesario acreditar, entre otros elementos, la existencia del mecanismo tecnológico utilizado, su apariencia de legitimidad, el engaño generado, los datos que se pretendían obtener y la finalidad perseguida.

¿Cómo evitar ser víctima de phishing?

Ante un mensaje inesperado que solicite información personal, financiera o de autenticación, es recomendable no ingresar a enlaces proporcionados en el propio mensaje y verificar directamente con la institución involucrada.

También conviene revisar cuidadosamente el dominio de la página antes de introducir información confidencial y desconfiar de mensajes que recurran a amenazas, premios, supuestos bloqueos de cuentas o solicitudes urgentes.

Los usuarios deben evitar compartir contraseñas, NIP y códigos de autenticación mediante llamadas, mensajes o correos no solicitados. Si existe una duda sobre un aviso bancario o fiscal, la comprobación debe realizarse mediante los canales oficiales que el usuario ya conozca.

La entrada en vigor del artículo 231 Bis establece una herramienta penal específica para perseguir el engaño digital en la ciudad de México, aunque cada denuncia deberá analizarse conforme a las circunstancias y elementos que establezca la investigación correspondiente. –sn–

¡Conéctate con Sociedad Noticias! Suscríbete a nuestro canal de YouTube y activa las notificaciones, o bien, síguenos en las redes sociales: Facebook, Twitter e Instagram.

También, te invitamos a que te sumes a nuestro canal de información en tiempo real a través de Telegram.