El 22 de julio de 2026 se publicó en la Gaceta Oficial de la Ciudad de México una reforma al Código Penal local que tipifica el phishing como delito autónomo. Entró en vigor al día siguiente y, según Infobae, contempla penas de tres a seis años de prisión y multas que pueden llegar a unos 70,000 pesos para quien engañe digitalmente a una persona con el fin de obtener datos personales, financieros o contraseñas. Revista Fortuna reporta que el Congreso capitalino aprobó la reforma por unanimidad y que las sanciones incluyen además la obligación de reparar el daño a las víctimas.
Puede parecer una noticia lejana si tu empresa opera en Culiacán, Los Mochis o Mazatlán. No lo es: la CDMX suele marcar la pauta legislativa que después replican otros congresos estatales, y el correo falso que hoy llega al buzón de tu área de cuentas por pagar seguramente se envió desde muy lejos de tu ciudad.
Qué dice exactamente la reforma
De acuerdo con las notas publicadas, la reforma adiciona un supuesto al artículo 231 del Código Penal capitalino para sancionar a quien, mediante páginas web, aplicaciones, correos electrónicos, mensajes de texto o cualquier otro medio tecnológico que aparente ser legítimo, engañe a una persona para obtener datos confidenciales y obtener con ello un beneficio indebido. Los rangos de pena y multa se reportan con ligeras variaciones entre medios —Infobae refiere multas de 200 a 600 UMA y Revista Fortuna de 400 a 600 UMA—, pero el fondo es el mismo: ya existe una figura penal específica.
Eso importa porque hasta ahora estos fraudes se perseguían encuadrándolos en delitos genéricos, lo que complicaba las carpetas de investigación. También se prevén agravantes cuando la víctima es una persona adulta mayor o parte de comunidades vulnerables, o cuando el responsable es un servidor público que abusa de sus atribuciones.
Especialistas consultados por medios de verificación advierten, sin embargo, que la tipificación no cubre todo el ecosistema del fraude digital. El especialista Juan Manuel Casanueva señaló que la reforma deja fuera conductas asociadas como “el robo de identidad, fraudes financieros, extorsiones y acceso no autorizado a sistemas”. Traducción para tu empresa: la ley ayuda, pero no sustituye a la prevención.
Por qué esto le pega directo a las PyMEs
El phishing es la puerta de entrada favorita de casi cualquier incidente serio. Una nota reciente de La Verdad Noticias apunta que este fraude ya alcanza a siete de cada diez empresas. Y en una PyME el impacto es desproporcionado: no hay un equipo de respuesta a incidentes, la misma persona factura y paga, y un solo correo bien redactado puede desviar una transferencia completa.
Los escenarios más comunes que vemos en empresas mexicanas son:
- Fraude del CEO: un correo que imita al director general pidiendo una transferencia urgente y confidencial.
- Cambio de cuenta bancaria: un proveedor “avisa” por correo que modificó su CLABE justo antes del pago.
- Smishing: SMS o WhatsApp que suplantan al banco o al SAT y piden confirmar datos.
- Portales clonados: páginas idénticas a la de tu banca empresarial o a tu correo corporativo para robar contraseñas.
Qué debe hacer tu empresa esta semana
La reforma cambia el terreno legal, pero la defensa sigue siendo operativa. Estas medidas no requieren un presupuesto grande y reducen de forma real la probabilidad de pérdida:
- Doble verificación por canal distinto: ningún pago ni cambio de cuenta se ejecuta sin una llamada al número que ya tenías registrado, nunca al que aparece en el correo.
- Autenticación multifactor en correo, banca en línea y accesos remotos.
- Capacitación breve y periódica: simulacros de phishing cada trimestre valen más que un curso anual de cuatro horas.
- Límites y montos por usuario en la banca empresarial, con firma mancomunada arriba de cierto importe.
- Un procedimiento escrito para la primera hora: a quién avisar, cómo bloquear cuentas y quién habla con el banco.
La evidencia es lo que hace útil a la ley
Que exista el delito no sirve de nada si tu empresa no puede probarlo. Si sufres un intento o un fraude consumado, conserva el correo original con sus encabezados completos, capturas de pantalla con fecha y hora, la URL del sitio falso, los comprobantes de la transferencia y las bitácoras de acceso de tus sistemas. Reporta de inmediato al banco, presenta denuncia ante la fiscalía correspondiente y documenta la línea de tiempo. Sin registros, la carpeta se cae.
Aquí es donde muchas PyMEs descubren que sus sistemas no guardan bitácoras o que nadie sabe quién autorizó qué. Ordenar eso —controles de acceso por rol, registro de operaciones y respaldos verificados— es un proyecto de software y de procesos, no solo de antivirus.
El mensaje de fondo
México avanza, ciudad por ciudad, hacia un marco legal que reconoce el fraude digital como lo que es. Para tu empresa la lectura práctica es doble: hay más herramientas para denunciar, y cada vez habrá menos margen para justificar controles internos inexistentes frente a clientes, socios y autoridades. Empieza por lo básico, documéntalo y ponlo por escrito: es la inversión de ciberseguridad más barata que harás este año.
Fuentes
- Phishing ya es delito en la CDMX: hasta 6 años de cárcel y 70,000 pesos de multa — Infobae
- CDMX tipifica el phishing como delito — Revista Fortuna
- Congreso de la CDMX tipifica al phishing: cómo funciona y cuáles son sus riesgos — Grupo Animal
- Phishing en CDMX ya es delito: hasta 6 años de cárcel y multas económicas — Tribuna de México
- Phishing: el fraude digital que ya afecta a 7 de cada 10 empresas — La Verdad Noticias
