CDMX Tipifica el Phishing (Fraude Digital): Alcance del Nuevo Artículo 231 Bis y Consideraciones para Empresas

La reforma crea un cauce penal específico frente al phishing y la suplantación de interfaces digitales. Su importancia para las empresas no deriva de una nueva obligación administrativa, sino de la necesidad de prevenir incidentes, preservar evidencia y coordinar adecuadamente la respuesta jurídica y técnica.

Contexto Regulatorio

El 22 de julio de 2026 se publicó en la Gaceta Oficial de la Ciudad de México el Decreto que adiciona el artículo 231 Bis al Código Penal para el Distrito Federal. La disposición entró en vigor el 23 de julio de 2026.

El nuevo tipo penal sanciona a quien, mediante engaño digital consistente en la creación o uso de mensajes, páginas electrónicas, dominios, aplicaciones o cualquier otra interfaz tecnológica que simule ser legítima, induzca a una persona a revelar, capturar o proporcionar datos personales, financieros o de autenticación, con la finalidad de obtener un beneficio indebido para sí o para un tercero o para causar un perjuicio.

Sanción. De tres a seis años de prisión y multa de 200 a 600 Unidades de Medida y Actualización (UMA). Conforme al valor diario de la UMA para 2026 ($117.31), la multa equivale actualmente a $23,462 a $70,386 pesos.

Agravante. Las penas se incrementarán hasta en una mitad cuando la víctima sea una persona con discapacidad o una persona mayor, o cuando la comisión del delito afecte a una persona menor de edad. En el extremo superior, la pena de prisión podría alcanzar nueve años.

Alcance del Nuevo Tipo Penal

La denominación periodística de “phishing” es útil, pero el texto legal emplea un concepto más amplio: “engaño digital”. La redacción puede comprender correos y mensajes fraudulentos, páginas clonadas, dominios engañosos, aplicaciones apócrifas y otras interfaces que aparenten pertenecer a bancos, comercios, plataformas, autoridades u organizaciones legítimas.

No todo mensaje falso ni cualquier incidente de seguridad actualiza automáticamente el delito. Para aplicar el artículo deberán acreditarse:

1. La creación o utilización de una interfaz tecnológica que simule ser legítima.
2. La inducción a revelar, capturar o proporcionar datos personales, financieros o de autenticación.
3. La finalidad de obtener un beneficio indebido o causar un perjuicio.

Cuando, además de la captura de información, existan transferencias de recursos, usurpación de identidad, acceso ilícito a sistemas de datos personales u otras afectaciones, deberá analizarse la posible concurrencia de distintos delitos y responsabilidades.

Ámbito territorial. Por tratarse de un delito del fuero común, resulta aplicable a hechos cometidos en la Ciudad de México y, conforme a las reglas generales del Código Penal local, a determinados hechos ocurridos en otra entidad que produzcan efectos en la capital.

Impacto Práctico

El nuevo tipo penal amplía las vías de denuncia frente a la clonación de sitios, la captura de credenciales y la suplantación de canales digitales. Es particularmente relevante para instituciones financieras, plataformas tecnológicas, comercios electrónicos, empresas de servicios y, en general, organizaciones que mantienen interfaces digitales de cara a clientes, usuarios o colaboradores.

Una organización puede intervenir como víctima de suplantación de marca, custodio de evidencia, responsable del tratamiento de datos comprometidos o punto de contacto con personas afectadas y autoridades.

Cuando el evento involucre datos personales, deberá efectuarse un análisis separado para determinar si también existe una vulneración de seguridad y qué medidas de documentación, mitigación, notificación o atención a titulares resultan aplicables conforme al marco de protección de datos correspondiente. La denuncia penal no sustituye ese análisis ni las demás obligaciones legales o contractuales derivadas del incidente.

Acción Recomendada

Las organizaciones deberían revisar y, en su caso, actualizar:

1. Los protocolos para detectar y retirar dominios, perfiles, aplicaciones o mensajes que suplanten su identidad;
2. Los canales mediante los cuales clientes y colaboradores pueden validar comunicaciones y reportar fraudes;
3. Los mecanismos de denuncia y coordinación con autoridades;
4. Las cláusulas con clientes y proveedores relativas al uso de canales digitales; y
5. Los procedimientos para preservar evidencia digital, incluidos encabezados, URL, dominios, capturas, bitácoras, fechas, dispositivos y comunicaciones.

Las áreas de seguridad de la información, privacidad, jurídico, comunicación y atención a usuarios deberían alinear sus procesos de detección, escalamiento y respuesta con el nuevo tipo penal, con especial atención a las víctimas cuya afectación agrava la pena.

Consideración Final

Una revisión coordinada de los protocolos permite identificar vacíos antes de que una suplantación digital se traduzca en afectaciones patrimoniales, reputacionales o regulatorias. El equipo de Privacidad y Protección de Datos de Ibarra Gallego puede apoyar a las organizaciones en la evaluación de sus escenarios de riesgo, la actualización de controles y la definición de rutas de respuesta y documentación acordes con su operación.

Fuentes

Gaceta Oficial de la Ciudad de México, núm. 1908, 22 de julio de 2026: https://data.consejeria.cdmx.gob.mx/portal_old/uploads/gacetas/ea479ed4b3e22bbbb3081b060f74550e.pdf

Código Penal para el Distrito Federal, artículos 7, 8 y 11: https://www.congresocdmx.gob.mx/media/documentos/9cd0cdef5d5adba1c8e25b34751cccfdcca80e2c.pdf

INEGI, valor de la UMA 2026: https://www.inegi.org.mx/temas/uma/