Abogados Penalistas en Hacking e Intrusismo

El delito de acceso ilícito a sistemas informáticos, regulado en el Art. 197 bis CP (introducido por la LO 1/2015 en cumplimiento del Convenio de Budapest y la Directiva 2013/40/UE sobre ataques contra sistemas de información), protege la seguridad y confidencialidad de los sistemas y datos informáticos. Es el llamado "allanamiento informático" y sanciona tanto el acceso como la mera permanencia no autorizada en un sistema, con independencia de que se cause daño, se sustraigan datos o se obtenga beneficio alguno. La jurisprudencia consolidada del Tribunal Supremo ha precisado los contornos del tipo: exige vulneración de medidas de seguridad, acceso no autorizado y dolo en la conducta. Como abogados penalistas especialistas en delitos informáticos, articulamos la defensa con peritaje forense informático especializado.

Las modalidades típicas son variadas y se sofistican constantemente. El acceso por vulneración de credenciales mediante fuerza bruta, diccionario, phishing previo, ingeniería social, o uso de claves filtradas en data breaches. El acceso por explotación de vulnerabilidades (zero days, SQL injection, cross-site scripting, buffer overflow, vulnerabilidades en componentes desactualizados). El uso indebido de credenciales legítimas tras la baja laboral o societaria (ex-empleados que acceden con sus claves no revocadas, socios separados que mantienen accesos). La permanencia ilícita en sistemas a los que se accedió legítimamente cuando se ha perdido la autorización (Art. 197 bis.2 CP). El pentesting no autorizado y el llamado "white hat hacking" que, pese a su finalidad investigadora o didáctica, integra el tipo penal sin la autorización contractual previa. Y los accesos a redes WiFi protegidas ajenas mediante craqueo de claves.

Las penas del Art. 197 bis CP son graduadas. El tipo básico (acceso vulnerando medidas de seguridad) conlleva prisión de 6 meses a 2 años. La permanencia ilícita en el sistema tras pérdida de autorización se sanciona con la misma pena (Art. 197 bis.2 CP). Cuando del acceso se obtiene descubrimiento de secretos, el tipo se complica con el Art. 197.1 CP, elevando las penas a 1-4 años de prisión; si los datos se difunden o ceden, las penas suben a 2-5 años (Art. 197.3 CP). En supuestos agravados (víctimas vulnerables, secretos especialmente protegidos, fines lucrativos), las penas pueden alcanzar los 5 años de prisión. Para empresas se prevé responsabilidad penal de la persona jurídica (Art. 31 bis CP). Además, suele concurrir con daños informáticos (Art. 264 CP), estafa informática (Art. 248 CP), revelación de secretos empresariales (Arts. 278-280 CP) o blanqueo.

La defensa técnica articula varios ejes complementarios. Primero, la ausencia de medidas de seguridad: si el sistema estaba expuesto sin contraseña, con credenciales por defecto (admin/admin) o sin cifrado básico, no concurre el elemento típico de "vulneración de medidas de seguridad", lo que excluye el tipo del Art. 197 bis CP. Segundo, la autorización expresa o tácita: contratos de pentesting, programas de bug bounty, credenciales legítimamente conservadas, o políticas de uso laxas pueden constituir autorización suficiente. Tercero, la ausencia de dolo: el acceso accidental (clic en enlace, redirección no intencional), o la creencia razonable de autoridad excluyen el dolo. Cuarto, la impugnación pericial de la atribución forense: los logs, las IPs y las correlaciones temporales presentadas por la acusación son frecuentemente vulnerables a contrapericial técnica especializada que demuestre alternativas explicativas (uso de Tor/VPN, suplantación de IP, dispositivos compartidos). Quinto, la colaboración voluntaria con el titular y la ausencia de perjuicio en supuestos de hacking ético, como atenuantes muy cualificadas.

En la práctica forense actual observamos un crecimiento exponencial de procedimientos por hacking e intrusismo informático, especialmente vinculados a conflictos laborales con ex-empleados, ataques ransomware a empresas, hackeo de cuentas personales en contexto de relaciones de pareja, ataques a infraestructuras críticas y operaciones de ciberespionaje industrial. La Directiva NIS2 (UE 2022/2555) sobre ciberseguridad, el Reglamento DORA UE 2022/2554 sobre resiliencia operativa digital, la Ley Orgánica 1/2025 de Eficiencia del Servicio Público de Justicia y la jurisprudencia reciente del Tribunal Supremo y de la Audiencia Nacional sobre cibercriminalidad organizada han endurecido el marco institucional. En Alonso Sala, abordamos cada expediente con peritos forenses informáticos certificados (CISSP, CEH, OSCP), articulamos contrapericial técnica para impugnar la atribución y construimos defensas técnicamente solventes y procesalmente agresivas.