La ciberdelincuencia es una constante en Latinoamérica y México figura entre los países más vulnerables frente a delitos informáticos. De acuerdo con la Open Worldwide Application Security Project (OWASP), el fraude móvil y las estafas digitales son una de las principales preocupaciones a nivel global. El informe, basado en más de 120 mil encuestas, relevó que un 42% de los usuarios ha sufrido ciberataques, malware o fraudes móviles; mientras que un 28% afirma haber sido víctima de estafas de ingeniería social, lo que refleja un panorama en riesgo creciente. Ante este escenario, la ciberseguridad en México se vuelve indispensable, mucho más en lo que refiere a la aplicación de leyes, la prevención y la mitigación de actividades ilícitas en línea.
Panorama del Cibercrimen y su Impacto en el Entorno Empresarial Mexicano
En el caso de México, Fortinet indica que el país latinoamericano representó poco más de la mitad de todas las ciberamenazas reportadas a nivel regional en el primer semestre de 2024. Esto, afirmó Jorge Miranda, director de Fortinet, puede deberse a los vínculos territoriales y comerciales con Estados Unidos. Es sabido que Estados Unidos mantiene una relación bilateral con México en el negocio del nearshoring, desplazando su producción hacia lugares más cercanos territorialmente. Según Reuters, los cibercriminales apuntaron sus ataques a la lógistica, el automovilismo y la producción de tecnología. De este modo, maximizan sus ataques y garantizan un motín más grande por el rescate de sus ataques. De acuerdo con el Foro Económico Mundial, en 2024, México sufrió 31,000 millones de delitos cibernéticos; representando un 55% de los delitos totales en América Latina.
Entre los tipos de ciberdelitos en México más reportados por empresas y organismos públicos destacan el phishing y sus variantes (vishing y smishing), el ransomware con extorsión, el acceso no autorizado y la exfiltración de datos, así como el fraude electrónico en servicios financieros y comercio digital. La prevalencia y el impacto económico varían por sector, madurez de controles y exposición de terceros. México figura además entre los 20 países con más quejas presentadas ante IC3 y aparece dentro de los principales destinos internacionales a los que los delincuentes intentaron desviar transferencias fraudulentas, lo que subraya la urgencia de fortalecer la colaboración público-privada y los mecanismos de respuesta temprana.
Definición y Clasificación de los Delitos Informáticos
Los delitos informáticos son acciones ilícitas cometidas utilizando medios digitales. Estos abarcan desde el robo de datos y la suplantación de identidad hasta el fraude financiero y el sabotaje informático. A continuación, se presenta una descripción de los ciberdelitos más comunes:
- Hacking: Extracción de datos sin el consentimiento del usuario.
- Cracking: Ataques intencionados a sistemas informáticos y software.
- Phishing: Forma de engaño para obtener información confidencial bancaria de forma ilícita.
- Spamming: Mensajes digitales con credenciales de internet falsas a correos electrónicos y redes sociales.
- Ciberterrorismo: Extorsión digital a cambio de dinero u otro bien.
De acuerdo con el Convenio de Budapest sobre la Ciberdelincuencia, existen cuatro categorías para describir a los delitos informáticos. Estas nomenclaturas armonizan un estándar global para legislar y promover iniciativas contra la ciberdelincuencia:
Lea también: ¿Necesitas tu RFC? Te explicamos cómo
- Tecnología como objetivo:
- Descripción: Ataques dirigidos directamente contra la infraestructura tecnológica. Buscan dañar, alterar o extraer información sin autorización.
- Ejemplos: Ataques de denegación de servicio (DDoS), Intrusión a sistemas, Sabotaje informático, Robo o extracción de datos sensibles.
- Tecnología como herramienta:
- Descripción: La tecnología se utiliza como medio para cometer un delito tradicional o nuevo.
- Ejemplos: Phishing (suplantación de identidad), Ransomware, Malware, Estafas online (fraudes financieros, engaños por redes sociales, etc.).
- Delitos relacionados con contenidos:
- Descripción: Implican la producción, almacenamiento, distribución o acceso a contenidos ilícitos mediante medios digitales.
- Ejemplos: Difusión de material ilegal, Discurso de odio, Propaganda terrorista, Incitación a delitos a través de plataformas digitales.
- Delitos contra la propiedad intelectual:
- Descripción: Infracciones a derechos protegidos por propiedad intelectual usando sistemas informáticos.
- Ejemplos: Piratería de software, Violación de derechos de autor, Uso no autorizado de patentes o marcas registradas en entornos digitales.
Marco Legal Mexicano Contra Delitos Informáticos y Fraude Empresarial
La legislación mexicana contra delitos informáticos se apoya en un marco complementario que incluye el Código Penal Federal, la Ley Federal de Protección de Datos Personales (LFPDPPP), la Ley de Instituciones de Crédito y la Ley del Mercado de Valores. Para áreas de cumplimiento y comités de riesgo, este entramado define conductas, sanciones y obligaciones de resguardo y reporte, con impactos directos en continuidad operativa y reputación. Estas leyes establecen sanciones específicas y detalladas para diferentes delitos relacionados con el uso de tecnologías de la información.
Código Penal Federal: Delitos y Sanciones Relevantes para Empresas
El Código Penal Federal incluye artículos que penalizan el acceso no autorizado a sistemas, modificación de información protegida, uso de datos confidenciales y ataques a sistemas del Estado. Las penas incluyen:
- Revelación de secretos (Art. 211): 1 a 5 años de prisión, multas y suspensión profesional.
- Uso indebido de comunicaciones privadas (Art. 211 Bis): 6 a 12 años de prisión y multas.
- Acceso ilícito a sistemas (Art. 211 Bis 1): 6 meses a 2 años de prisión y multas; penas menores por copia de datos.
- Ataques a sistemas del Estado (Art. 211 Bis 2): Hasta 10 años de prisión, con agravantes para funcionarios.
- Agravantes: Sanciones duplicadas si se afecta la procuración de justicia o registros judiciales.
La normativa considera agravantes cuando estas acciones afectan sistemas críticos, como los relacionados con la seguridad pública o el sector financiero. Dicho catálogo del CPF se extiende también a los delitos establecidos en ordenamientos como el Código Fiscal de la Federación (CFF) y diversas Leyes relacionadas con la propiedad industrial; instituciones de crédito; títulos y operaciones de crédito; organizaciones y a actividades auxiliares del crédito; instituciones de fianzas; instituciones y sociedades mutualistas de seguros; del mercado de valores; sistemas de ahorro para el retiro; fondos de inversión; uniones de crédito; sociedades cooperativas de ahorro y préstamo; ahorro y crédito popular; concursos mercantiles; control de sustancias químicas e hidrocarburos.
Ley Federal de Protección de Datos Personales (LFPDPPP)
La LFPDPPP regula el tratamiento de datos personales sensibles y garantiza los derechos ARCO (acceso, rectificación, cancelación y oposición). Su cumplimiento es supervisado por el Instituto Nacional de Transparencia, Acceso a la Información y Protección de Datos Personales (INAI). Recientemente, varios casos de filtraciones masivas de información han destacado la necesidad de mejorar la ciberseguridad. En estos casos, el bien jurídico protegido es la información (mensajes, imágenes, sonidos).
Delitos Informáticos en el Sector Financiero y con Activos Virtuales
En el sector financiero, la Ley de Instituciones de Crédito tipifica como delito informático las siguientes acciones:
Lea también: Obtén tu CURP y RFC fácil
- Proporcionar datos falsos para obtener créditos.
- Falsificar tarjetas de crédito o débito.
- Acceder sin autorización a sistemas bancarios para robar información.
La Suprema Corte de Justicia de la Nación de México, bajo la Ley para Regular las Instituciones de Tecnología Financiera (ITF) de 2018; contempla a las siguientes conductas como delitos informáticos:
- Proporcionar información falsa para obtener autorizaciones.
- Divulgar o usar información confidencial sin consentimiento.
- Acceder sin autorización a sistemas informáticos de estas instituciones.
- Desviar fondos o activos virtuales.
- Suplantar identidades para obtener beneficios ilegítimos.
Además, contempla una serie de multas e incluso prisión, dependiendo la gravedad del delito cometido. En 2024, quien disponga de los recursos de las IFT para operar de forma indebida, recibirá tres a nueve años de prisión o 5,000 a 150,000 UMA (unidad de medida y actualización).
Ley Federal para la Prevención e Identificación de Operaciones con Recursos de Procedencia Ilícita (LFPIORPI) - Ley Antilavado
La ley de prevención de lavado de dinero en México, conocida de forma oficial como Ley federal para la prevención e identificación de operaciones con recursos de procedencia ilícita (ley LFPIORPI) no es otra cosa que un conjunto de reglas diseñadas para hacer frente al lavado de activos, que es uno de los problemas más serios del país. El objetivo de la ley antilavado es proteger el sistema financiero y, de paso, evitar que dinero de actividades ilegales, como el narcotráfico o la corrupción, fluya con libertad en la economía. Esas empresas o personas que manejan grandes cantidades de efectivo o bienes de alto valor están en la obligación de reportar sus transacciones y de identificar de dónde vienen los fondos que manejan.
La ley antilavado en México clasifica ciertas actividades vulnerables como potenciales puertas de entrada para recursos ilícitos. Entre estas actividades vulnerables de la ley antilavado se incluyen operaciones como:
- Compra-venta de bienes de alto valor, como inmuebles, vehículos y joyas.
- Juegos de azar, apuestas y sorteos.
- Servicios de blindaje de vehículos y propiedades.
- Custodia y traslado de dinero o valores.
- Emisión y uso de tarjetas prepagadas con valor monetario.
Para estas actividades, existen umbrales, es decir, montos específicos que, al ser superados, exigen reportes obligatorios. Si una transacción rebasa el monto en efectivo de la ley antilavado, como las 3 mil 210 Unidades de Medida y Actualización (UMA), aproximadamente 346 mil 326.90 pesos, en el caso de los vehículos, la empresa debe notificarlo a las autoridades. Estos reportes ayudan a detectar y detener las operaciones relevantes del lavado de dinero, evitando que el sistema financiero se vea comprometido. Cumplir con estas reglas no es solo una formalidad. Es la manera en la que las empresas pueden operar en un entorno seguro y en línea con la ley.
Lea también: exenciones y beneficios en el sistema tributario mexicano
Obligaciones de las empresas según la Ley Antilavado
La ley antilavado de dinero exige a las empresas en México mantenerse alertas y cumplir con una serie de obligaciones financieras que, en la práctica, implica registrar y reportar operaciones que puedan levantar sospechas. La ley de procedencia ilícita demanda una atención minuciosa: desde verificar el perfil de los clientes hasta reportar movimientos financieros que superen ciertos umbrales establecidos por el SAT. Este reporte no es opcional, sino una responsabilidad que asegura que el negocio se mantenga en regla, evitando problemas legales y financieros. Entre las principales obligaciones de la ley antilavado se encuentran:
- Identificación de clientes: las empresas deben verificar la identidad de sus clientes, en especial cuando se trata de transacciones que superen ciertos montos establecidos por la ley.
- Presentación de avisos: es obligatorio reportar al Servicio de Administración Tributaria (SAT) las operaciones que se consideren vulnerables o que excedan los umbrales de la ley antilavado.
- Resguardo de información: se requiere conservar la documentación relacionada con las operaciones y la identificación de clientes por un periodo mínimo de cinco años.
- Designación de un representante: las personas morales deben nombrar a un representante encargado de cumplir con las obligaciones establecidas en la ley.
- Capacitación del personal: es esencial que el personal involucrado en actividades vulnerables reciba formación continua sobre prevención de lavado de dinero.
El cumplimiento de la ley antilavado evita sanciones legales, pero además protege la integridad y reputación de la empresa en el mercado.
Sanciones por incumplimiento de la Ley Antilavado de Dinero
Las sanciones de la ley antilavado están diseñadas para hacer que las empresas se tomen en serio la normativa y pueden implicar multas que dejan huella en las finanzas:
- Multas económicas: las empresas que no cumplan con los requerimientos de la Secretaría de Hacienda (como identificar a clientes, guardar documentación o enviar los avisos en tiempo y forma) pueden recibir multas que oscilan entre 200 y hasta 65.000 días de salario mínimo, dependiendo de la falta.
- Penas de prisión: las acciones graves, como proporcionar información falsa o divulgar datos sobre los avisos sin autorización, son castigadas con prisión. Por ejemplo, quien falsifique información puede enfrentar de dos a ocho años de cárcel, y quienes revelen información de avisos pueden recibir entre cuatro y diez años.
La Ley Anti Lavado de Dinero es crucial para proteger el sistema financiero y prevenir el uso de recursos ilícitos en actividades económicas.
La Responsabilidad Penal de las Empresas en México
La inclusión de las empresas como sujetos de derecho penal es un asunto de prevención y estrategia nacional. Todavía no hay mucha experiencia en nuestro país cuando hablamos de la criminalidad en el seno de las empresas, que surge cuando la constitución o estructura corporativa es lícita, desafortunadamente orientada hacia actividades permisibles o propicias para la comisión de delitos precisamente por un management deficiente, inadecuado, insuficiente, cosmético o ineficaz, generador de riesgos penales. México deberá hacer un gran esfuerzo interpretativo ante la nueva legislación penal que permite imputar a las empresas como delincuentes, pues, con independencia de la responsabilidad penal de sus miembros, representantes o integrantes, el Ministerio Público podrá ejercer acción penal contra la empresa. Es decir, cuando se tenga conocimiento de un posible delito donde esté involucrada una persona jurídica, se iniciará investigación penal y la empresa podrá ser sujeta a imputación penal.
La responsabilidad penal de las empresas es una realidad. Se pretende fomentar una nueva cultura de autorregulación y de verdadera cultura empresarial de fidelidad y cumplimiento normativo efectivo, donde se abandone la mera cosmética, así como elevar las medidas internas para la prevención de delitos. La ley penal convierte a las empresas en policías de su propia corporación y las obliga a colaborar o cooperar en funciones de seguridad del Estado para prevenir y evitar delitos futuros, a manera de corresponsabilidad de posibles riesgos penales. Resaltamos la importancia de la prevención, pues cuando llega la adversidad, es ya demasiado tarde para ser cauto. Las empresas están obligadas a contar con un órgano de control permanente, expresamente encargado de verificar el cumplimiento de la normatividad aplicable y la política interna de prevención delictiva. Muchos empresarios interpretan estas políticas solo como cargas cuando en realidad son motores de productividad y competitividad a mediano plazo.
Medidas Preventivas y Estrategias de Cumplimiento para Empresas
Para que las empresas se mantengan en línea con la ley antilavado, es esencial implementar medidas preventivas y de cumplimiento. Conocer y aplicar el reglamento de la ley antilavado es fundamental. Entre las medidas recomendadas se encuentran:
- Implementación de sistemas de control interno: Desarrollar e implementar sistemas de control interno que incluyan procedimientos detallados para la identificación, monitoreo y reporte de actividades sospechosas. Un sistema robusto puede detectar irregularidades antes de que se conviertan en problemas mayores.
- Revisión y actualización de políticas: Regularmente revisar y actualizar las políticas internas para asegurarse de que se ajusten a las modificaciones en la legislación y a los nuevos riesgos identificados.
- Realización de auditorías internas: Programar auditorías internas periódicas para evaluar la efectividad de las políticas y procedimientos de cumplimiento.
- Uso de tecnología: Utilizar software especializado para monitorear y reportar actividades sospechosas.
- Sistemas de detección de fraude: Estos sistemas analizan transacciones en tiempo real para identificar patrones sospechosos, como Actimize de NICE o IBM Safer Payments.
- Software de gestión de riesgos: Permite evaluar y supervisar riesgos asociados con movimientos financieros y clientes.
- Sistemas de reporte automatizado: Generan informes automáticamente cuando se detectan transacciones inusuales, facilitando el cumplimiento normativo.
- Plataformas de análisis de datos: Utilizan algoritmos para analizar información y detectar irregularidades.
- Herramientas de verificación de ID: Confirman la identidad de los clientes y monitorean sus actividades para detectar comportamientos inusuales, analizando con ayuda de reconocimiento facial y análisis de datos.
Para los profesionistas en áreas de cumplimiento regulatorio financiero, conocer y adherirse a estas normativas es crucial. El cumplimiento de la Ley Anti Lavado de Dinero en México es una responsabilidad crítica para todas las empresas.