¿Qué Hacer si Me Han Hackeado? Guía Legal Completa (2026)

Descubrir que alguien ha accedido a su correo electrónico, redes sociales, cuenta bancaria o móvil sin su permiso es una experiencia angustiante. Lo que muchos no saben es que el hacking es un delito penal en España, castigado con penas de hasta 2 años de prisión (Art. 197 bis CP). Como abogados penalistas especializados en ciberdelitos, le explicamos exactamente qué hacer.

Los 7 Pasos Inmediatos si Le Han Hackeado

1. No toque nada: No borre mensajes, correos ni historial. Todo puede ser prueba. Si el hacker dejó un mensaje, captúrelo.
2. Capturas de pantalla: Haga capturas de TODO lo anómalo: accesos no reconocidos, mensajes enviados que no escribió, cambios de contraseña, dispositivos conectados.
3. Cambie contraseñas: Desde un dispositivo seguro (NO el comprometido), cambie la contraseña del servicio hackeado y active la autenticación en dos factores (2FA).
4. Revise accesos: Entre en la configuración de seguridad de Gmail, Instagram, Facebook o el servicio afectado y revise los accesos recientes. Anote las IPs y ubicaciones sospechosas.
5. Desvincule dispositivos: Cierre sesión en todos los dispositivos. Revoque accesos de aplicaciones de terceros.
6. Denuncie ante la policía: Puede denunciar online en la web de la Policía Nacional o presencialmente en comisaría. Si el hackeo es grave (acceso a banca, chantaje), contacte directamente con la Brigada de Investigación Tecnológica (BIT).
7. Contacte con un abogado penalista: La denuncia bien dirigida por un abogado activa investigaciones policiales más efectivas. Además, puede reclamar daños como acusación particular.

¿Qué Delitos Comete el Hacker?

El hacking puede integrar varios delitos del Código Penal:

• Acceso ilícito a sistemas (Art. 197 bis CP): Acceder sin autorización a un sistema informático o permanecer en él contra la voluntad del titular. Pena: 6 meses a 2 años de prisión.
• Descubrimiento de secretos (Art. 197 CP): Si el hacker accede a correos, fotos íntimas, documentos privados. Pena: 1 a 4 años.
• Daños informáticos (Art. 264 CP): Si borra datos, destruye archivos o inutiliza el sistema. Pena: 6 meses a 3 años.
• Estafa informática (Art. 249.1.a CP): Si usa el acceso para transferir dinero, comprar con sus tarjetas o suplantar su identidad para estafar a terceros.
• Extorsión (Art. 243 CP): Si le chantajea con publicar la información obtenida (fotos, vídeos, conversaciones).

Cómo Preservar la Prueba Digital

La prueba digital es volátil: un acceso se puede borrar, un log puede sobrescribirse. Para que sea admisible en juicio:

• No manipule el dispositivo comprometido: Si es posible, no lo use hasta que un perito lo analice.
• Acta notarial de contenido web: Un notario puede certificar el contenido de una web, un correo o un perfil en un momento determinado.
• Volcado forense: Un perito informático forense puede hacer una copia certificada (imagen forense) de su dispositivo con hash SHA-256 que garantiza la integridad.
• Logs del proveedor: Gmail, Instagram, Microsoft, etc. guardan logs de acceso con IP y geolocalización. Su abogado puede solicitar judicialmente su conservación antes de que se borren (los proveedores los guardan entre 30 y 90 días).

¿Puedo Reclamar Daños al Hacker?

Sí. Como acusación particular, puede reclamar:

• Daños patrimoniales: Dinero sustraído, gastos de recuperación de cuentas, peritajes informáticos.
• Daño moral: Angustia, ansiedad, daño reputacional. Los tribunales reconocen indemnizaciones de 3.000€ a 30.000€ por intrusión en la intimidad.
• Lucro cesante: Si el hackeo afectó a su negocio, los ingresos dejados de percibir.

¿Me Han Hackeado la Empresa?

Si el hackeo afecta a datos de clientes o empleados, la empresa tiene obligaciones adicionales:

• Notificación a la AEPD: En un plazo máximo de 72 horas desde que se detecte la brecha (Art. 33 RGPD).
• Notificación a los afectados: Si la brecha supone un alto riesgo para sus derechos.
• Denuncia penal: Puede ser víctima de ransomware, espionaje industrial o sabotaje.
• Seguro cibernético: Si dispone de póliza ciber, actívela inmediatamente.

Preguntas Frecuentes

¿Puedo denunciar si no sé quién me ha hackeado?

Sí. Se presenta denuncia contra persona desconocida. La BIT investigará la IP y las trazas digitales para identificar al autor. Es la forma habitual de empezar.

¿El hacker puede ir a prisión?

Sí. El acceso ilícito básico tiene pena de hasta 2 años. Si descubre secretos, hasta 4 años. Si causa daños, hasta 3 años. Si es organización criminal, hasta 5 años.

¿Y si el hacker está en otro país?

España tiene convenios de cooperación judicial (Convenio de Budapest) y puede solicitar asistencia a través de Europol, Eurojust y OEI. Si el hacker usa servicios con sede en la UE, la jurisdicción española puede actuar.

¿Cuánto tarda la investigación?

Las investigaciones de la BIT tardan entre 6 y 18 meses dependiendo de la complejidad. Si la IP está en España y el proveedor colabora, puede ser más rápido.