¿Qué Hacer si Me Han Hackeado? Guía Legal Completa (2026)

Descubrir que alguien ha accedido a tu correo electrónico, redes sociales, cuenta bancaria o móvil sin tu permiso es una experiencia angustiante. Lo que muchos no saben es que el hacking es un delito penal en España, castigado con penas de hasta 2 años de prisión (Art. 197 bis CP). Como abogados penalistas especializados en ciberdelitos, te explicamos exactamente qué hacer.

Los 7 Pasos Inmediatos si Te Han Hackeado

1. No toques nada: No borres mensajes, correos ni historial. Todo puede ser prueba. Si el hacker dejó un mensaje, captúralo.
2. Capturas de pantalla: Haz capturas de TODO lo anómalo: accesos no reconocidos, mensajes enviados que no escribiste, cambios de contraseña, dispositivos conectados.
3. Cambia contraseñas: Desde un dispositivo seguro (NO el comprometido), cambia la contraseña del servicio hackeado y activa la autenticación en dos factores (2FA).
4. Revisa accesos: Entra en la configuración de seguridad de Gmail, Instagram, Facebook o el servicio afectado y revisa los accesos recientes. Anota las IPs y ubicaciones sospechosas.
5. Desvincula dispositivos: Cierra sesión en todos los dispositivos. Revoca accesos de aplicaciones de terceros.
6. Denuncia ante la policía: Puedes denunciar online en la web de la Policía Nacional o presencialmente en comisaría. Si el hackeo es grave (acceso a banca, chantaje), contacta directamente con la Brigada de Investigación Tecnológica (BIT).
7. Contacta con un abogado penalista: La denuncia bien dirigida por un abogado activa investigaciones policiales más efectivas. Además, puede reclamar daños como acusación particular.

¿Qué Delitos Comete el Hacker?

El hacking puede integrar varios delitos del Código Penal:

• Acceso ilícito a sistemas (Art. 197 bis CP): Acceder sin autorización a un sistema informático o permanecer en él contra la voluntad del titular. Pena: 6 meses a 2 años de prisión.
• Descubrimiento de secretos (Art. 197 CP): Si el hacker accede a correos, fotos íntimas, documentos privados. Pena: 1 a 4 años.
• Daños informáticos (Art. 264 CP): Si borra datos, destruye archivos o inutiliza el sistema. Pena: 6 meses a 3 años.
• Estafa informática (Art. 249.1.a CP): Si usa el acceso para transferir dinero, comprar con tus tarjetas o suplantar tu identidad para estafar a terceros.
• Extorsión (Art. 243 CP): Si te chantajea con publicar la información obtenida (fotos, vídeos, conversaciones).

Cómo Preservar la Prueba Digital

La prueba digital es volátil: un acceso se puede borrar, un log puede sobrescribirse. Para que sea admisible en juicio:

• No manipules el dispositivo comprometido: Si es posible, no lo uses hasta que un perito lo analice.
• Acta notarial de contenido web: Un notario puede certificar el contenido de una web, un correo o un perfil en un momento determinado.
• Volcado forense: Un perito informático forense puede hacer una copia certificada (imagen forense) de tu dispositivo con hash SHA-256 que garantiza la integridad.
• Logs del proveedor: Gmail, Instagram, Microsoft, etc. guardan logs de acceso con IP y geolocalización. Tu abogado puede solicitar judicialmente su conservación antes de que se borren (los proveedores los guardan entre 30 y 90 días).

¿Puedo Reclamar Daños al Hacker?

Sí. Como acusación particular, puedes reclamar:

• Daños patrimoniales: Dinero sustraído, gastos de recuperación de cuentas, peritajes informáticos.
• Daño moral: Angustia, ansiedad, daño reputacional. Los tribunales reconocen indemnizaciones de 3.000€ a 30.000€ por intrusión en la intimidad.
• Lucro cesante: Si el hackeo afectó a tu negocio, los ingresos dejados de percibir.

¿Me Han Hackeado la Empresa?

Si el hackeo afecta a datos de clientes o empleados, la empresa tiene obligaciones adicionales:

• Notificación a la AEPD: En un plazo máximo de 72 horas desde que se detecte la brecha (Art. 33 RGPD).
• Notificación a los afectados: Si la brecha supone un alto riesgo para sus derechos.
• Denuncia penal: Puede ser víctima de ransomware, espionaje industrial o sabotaje.
• Seguro cibernético: Si dispone de póliza ciber, actívela inmediatamente.

Preguntas Frecuentes

¿Puedo denunciar si no sé quién me ha hackeado?

Sí. Se presenta denuncia contra persona desconocida. La BIT investigará la IP y las trazas digitales para identificar al autor. Es la forma habitual de empezar.

¿El hacker puede ir a prisión?

Sí. El acceso ilícito básico tiene pena de hasta 2 años. Si descubre secretos, hasta 4 años. Si causa daños, hasta 3 años. Si es organización criminal, hasta 5 años.

¿Y si el hacker está en otro país?

España tiene convenios de cooperación judicial (Convenio de Budapest) y puede solicitar asistencia a través de Europol, Eurojust y OEI. Si el hacker usa servicios con sede en la UE, la jurisdicción española puede actuar.

¿Cuánto tarda la investigación?

Las investigaciones de la BIT tardan entre 6 y 18 meses dependiendo de la complejidad. Si la IP está en España y el proveedor colabora, puede ser más rápido.