Abogado de Ciberdelitos: Hacking, Malware y Fraude Online

La ciberdelincuencia abarca el conjunto de delitos cometidos a través de las tecnologías de la información y la comunicación, regulados de forma dispersa en el Código Penal: descubrimiento y revelación de secretos (Arts. 197-201 CP), acceso ilícito a sistemas informáticos (Art. 197 bis), daños informáticos y obstaculización de sistemas (Arts. 264-264 ter), estafa informática (Art. 249.1.a CP), fraude bancario y phishing, suplantación de identidad digital (Art. 401 CP), amenazas y acoso por medios telemáticos (Arts. 169-172 ter), pornografía infantil (Art. 189 CP) y grooming (Art. 183). La doctrina del Tribunal Supremo ha consolidado criterios sobre prueba electrónica, cadena de custodia digital, validez de los volcados forenses y limitaciones constitucionales en las intervenciones tecnológicas. El bien jurídico protegido es plural: intimidad, secreto de las comunicaciones, integridad de los sistemas informáticos, patrimonio y seguridad colectiva.

Las modalidades comisivas han proliferado al ritmo de la tecnología. El hacking abarca el acceso no autorizado a sistemas mediante vulneración de medidas de seguridad, la creación o distribución de exploits y la introducción de backdoors. El phishing y sus variantes (spear-phishing, smishing, vishing, spoofing, fraude del CEO) constituyen estafas técnicas combinadas con ingeniería social, donde los "muleros bancarios" son frecuentemente acusados como cooperadores necesarios. El ransomware y los ataques DDoS son delitos de daños informáticos que pueden afectar a infraestructuras críticas. Las estafas con criptomonedas (rug pulls, ICO fraudulentas, esquemas Ponzi cripto, mixing) requieren trazabilidad blockchain especializada. Casos paradigmáticos actuales son el SIM swapping, los deepfakes con suplantación de voz, la clonación digital con IA, las intrusiones laborales (espionaje empresarial Art. 278 CP) y los ataques a infraestructuras del sector financiero, sanitario y energético.

Las penas previstas son severas y se modulan por el tipo y agravantes. El acceso ilícito al sistema (Art. 197 bis CP) conlleva prisión de 6 meses a 2 años; agravado, hasta 5 años si afecta infraestructuras críticas o se ejecuta en organización. La revelación de secretos (Art. 197 CP) lleva prisión de 1 a 4 años en su modalidad básica; agravada, hasta 7 años si los datos son sensibles, si la víctima es menor o si hay difusión. El daño informático (Art. 264 CP) lleva prisión de 6 meses a 3 años; agravado (Art. 264 bis), de 2 a 5 años; cuando se ataquen infraestructuras críticas (Art. 264 ter), hasta 6 años. La estafa informática conlleva prisión de 6 meses a 6 años. La suplantación de identidad (Art. 401 CP), prisión de 6 meses a 3 años. Los delitos de grooming y pornografía infantil conllevan penas de 1 a 9 años. Adicionalmente, son habituales las inhabilitaciones para profesiones tecnológicas, el decomiso de equipos y servidores y la indemnización civil por daños patrimoniales y reputacionales.

La defensa técnica se construye sobre cuatro ejes consolidados. Primero, la impugnación de la atribución de IP: la jurisprudencia recuerda que una dirección IP identifica una conexión, no necesariamente al usuario tras el teclado; redes WiFi compartidas, IP dinámicas, uso de VPN/Tor y la posibilidad de malware en el dispositivo siembran la duda razonable. Segundo, la cadena de custodia digital: el volcado forense debe practicarse con función hash (SHA-256, MD5) que acredite la integridad, conforme a la norma ISO 27037; cualquier ruptura conduce a la nulidad probatoria (Art. 11 LOPJ). Tercero, la ausencia de dolo: en el "mulero bancario" debe acreditarse el engaño (oferta de trabajo falsa, préstamo fraudulento) que excluye la voluntad criminal; en supuestos de descarga involuntaria de archivos (caché, grupos Telegram, ZIP no abiertos) debe excluirse el conocimiento. Cuarto, la nulidad de intervenciones tecnológicas: el uso policial de troyanos (Art. 588 septies LECrim), las intervenciones de IMSI-catchers, los registros remotos y las solicitudes a Facebook, Google o Microsoft requieren autorización judicial motivada y proporcionada; los excesos abren la puerta a la inadmisión probatoria.

En la práctica forense actual observamos un crecimiento exponencial de los ciberdelitos. La Convención de Budapest (Convenio del Consejo de Europa sobre Ciberdelincuencia de 2001 y su Segundo Protocolo Adicional de 2022), la Directiva NIS2 sobre ciberseguridad, el Reglamento europeo de IA (Reglamento 2024/1689), el Reglamento MiCA sobre criptoactivos, la LO 1/2025 de Eficiencia del Servicio Público de Justicia y la jurisprudencia del Tribunal Supremo sobre prueba electrónica configuran un marco regulatorio en rápida evolución. La UDEF, la Brigada de Investigación Tecnológica (BIT) y los equipos de delitos telemáticos de la Guardia Civil disponen de capacidades forenses avanzadas. En Alonso Sala, con más de 15 años de experiencia, abordamos cada caso coordinando peritos informáticos certificados (CDFE, GCFE, EnCE), peritos en blockchain y trazabilidad cripto, especialistas en cadena de custodia y, cuando es necesario, peritos en inteligencia artificial y deepfakes. Conexamos con delitos de revelación de secretos y con compliance de protección de datos cuando concurre vulneración del RGPD/LOPDGDD.