Entrar sin autorización en un sistema informático saltándose sus medidas de seguridad es delito, con prisión de 6 meses a 2 años (art. 197 bis del Código Penal); borrar, dañar o hacer inaccesibles datos ajenos, o bloquear un sistema, se castiga con 6 meses a 3 años (arts. 264 y 264 bis); y conseguir una transferencia mediante una manipulación informática es estafa (art. 249.1.a). Para perseguir el acceso ilícito hace falta, en general, la denuncia de la víctima (art. 201). Lo urgente es conservar las pruebas y denunciar pronto, porque los proveedores no guardan los datos para siempre.
Qué conductas castiga el Código Penal
| Conducta | Ejemplo | Pena | Artículo |
|---|---|---|---|
| Acceder o mantenerse en un sistema ajeno vulnerando sus medidas de seguridad | Entrar en un correo, una nube o un servidor de empresa | Prisión de 6 meses a 2 años | 197 bis.1 |
| Interceptar transmisiones de datos no públicas | Capturar lo que circula por una red wifi ajena | Prisión de 3 meses a 2 años o multa de 3 a 12 meses | 197 bis.2 |
| Crear, comprar o pasar programas o contraseñas para esos accesos | Vender credenciales robadas | Prisión de 6 meses a 2 años o multa de 3 a 18 meses | 197 ter |
| Apoderarse de mensajes o documentos para descubrir secretos | Leer los correos de otra persona | Prisión de 1 a 4 años y multa de 12 a 24 meses | 197.1 |
| Borrar, dañar o hacer inaccesibles datos o programas ajenos | Cifrar archivos para pedir un rescate | Prisión de 6 meses a 3 años | 264.1 |
| Obstaculizar o interrumpir un sistema ajeno | Tumbar una web con un ataque masivo | Prisión de 6 meses a 3 años | 264 bis.1 |
| Manipulación informática para una transferencia no consentida | Desviar pagos alterando datos | Prisión de 6 meses a 3 años (estafa) | 249.1.a |
Las penas suben a la mitad superior cuando se usan datos personales de otra persona para acceder al sistema o ganarse la confianza de un tercero (arts. 264.3 y 264 bis.3), y a la pena superior en grado si se actúa en una organización o grupo criminal (art. 197 quater). En los daños informáticos, la prisión llega a 5 años si el daño es de especial gravedad, afecta a un número elevado de sistemas o perjudica gravemente servicios públicos esenciales (art. 264.2). La estafa informática está hoy en el art. 249.1.a, tras la reforma de la Ley Orgánica 14/2022; antes estaba en el art. 248.2.
Si lo que te han hecho es leer o difundir tus mensajes o imágenes, el delito es el de descubrimiento y revelación de secretos, que tratamos en revelación de secretos. Si te han quitado el acceso a una cuenta, los pasos técnicos para recuperarla están en cuenta hackeada o bloqueada.
Quién tiene que denunciar
Los delitos de los arts. 197 a 197 ter, incluido el acceso ilícito, solo se persiguen si denuncia la persona agraviada o su representante legal (art. 201.1). No hace falta esa denuncia cuando el hecho afecta a intereses generales o a una pluralidad de personas, o la víctima es menor de edad o una persona con discapacidad necesitada de especial protección (art. 201.2). El perdón del ofendido extingue la acción penal (art. 201.3). Los daños informáticos de los arts. 264 y siguientes y la estafa informática no tienen esa exigencia.
Puedes denunciar en cualquier comisaría de la Policía Nacional, en un puesto de la Guardia Civil o directamente en el juzgado. Cómo se hace y qué ocurre después, en denunciar un delito.
No entres tú en la cuenta del otro. Acceder al correo o al móvil de quien sospechas que te ha atacado, para «recuperar pruebas», puede ser el mismo delito del art. 197 bis que denuncias. Las pruebas que están en sistemas ajenos se piden a través del juzgado. Lo mismo vale para la pareja: ¿es delito leer el móvil de la pareja?.
Las pruebas digitales: qué guardar y qué pedir
Antes de borrar o restaurar nada, guarda lo que demuestra el ataque: los avisos de inicio de sesión, los correos con sus cabeceras, los registros del servidor, las capturas de pantalla con fecha y la dirección de la web o el perfil. Las capturas ayudan, pero se pueden discutir; conviene conservar también los archivos originales y el dispositivo. Lo explicamos en WhatsApp y capturas como prueba.
El fiscal o la policía judicial pueden ordenar a una empresa que conserve datos concretos de un sistema informático mientras se pide la autorización judicial para obtenerlos. Esa conservación dura como máximo 90 días, prorrogables una vez hasta 180 (art. 588 octies de la Ley de Enjuiciamiento Criminal). Por eso conviene pedirlo en la propia denuncia. En los delitos cometidos por internet, el juez puede acordar desde el principio la retirada provisional de contenidos ilícitos o el bloqueo de los que estén en el extranjero (art. 13 de la misma ley).
Si acabas de sufrir un ataque: ① cambia las contraseñas desde otro dispositivo y activa la verificación en dos pasos; ② no formatees el equipo afectado; ③ exporta los registros de acceso de la cuenta; ④ si hubo un cargo o una transferencia, avisa al banco en el momento: phishing bancario; ⑤ denuncia y pide que se requiera a las plataformas la conservación de los datos.
Cuando el autor está en otro país
Muchos ataques se hacen desde el extranjero o a través de servicios con sede fuera de España. España ratificó el Convenio sobre la Ciberdelincuencia de Budapest (BOE de 17 de septiembre de 2010), que obliga a los Estados parte a cooperar en la mayor medida posible y permite pedir a otro Estado la conservación rápida de datos almacenados en su territorio (arts. 23 y 29 del Convenio). La cooperación se tramita por vía judicial y lleva tiempo, de ahí la importancia de denunciar pronto. Si el ataque lo hizo alguien desde una empresa y en su beneficio, la propia empresa puede responder penalmente (arts. 197 quinquies y 264 quater): ver responsabilidad penal de la empresa.
Preguntas que nos hacéis cada semana
Sé la contraseña de mi ex. ¿Entrar en su cuenta es delito?
El art. 197 bis castiga entrar sin estar autorizado vulnerando las medidas de seguridad del sistema, y la contraseña es una de ellas. Si además lees sus mensajes, puede aplicarse el art. 197.1, que tiene más pena.
¿Cuánto tiempo tengo para denunciar?
Los delitos de la tabla tienen penas máximas inferiores a 5 años de prisión y prescriben a los 5 años (art. 131.1). Pero las pruebas digitales desaparecen mucho antes.
Me han cifrado los archivos y piden un rescate. ¿Pago?
Pagar no te asegura recuperar los datos. Denuncia, aísla el equipo y conserva el mensaje del rescate y los archivos cifrados.
¿Recupero el dinero de una estafa informática?
Por el banco, si no autorizaste la operación, y por la causa penal. Lo vemos en me han estafado.
Te llama un abogado de derecho penal
en menos de 48 horas.
Sin compromiso y sin coste. Y si hay que actuar, el precio está publicado antes de que nos llames y se paga hasta en 12 cuotas: servicios y precios de derecho penal →
Un abogado te llamará en menos de 48 horas (días laborables). No compartimos tus datos con nadie. También por WhatsApp: 605 443 928
Continúa tu historia
→ Cuenta hackeada o bloqueada
→ Revelación de secretos
→ Capturas y mensajes como prueba
→ Recuperar el dinero de una estafa
→ Cómo denunciar un delito
Marco legal: arts. 131, 197, 197 bis, 197 ter, 197 quater, 197 quinquies, 201, 249, 264, 264 bis, 264 ter y 264 quater del Código Penal (redacción de las LO 1/2015 y 14/2022) · arts. 13 y 588 octies de la Ley de Enjuiciamiento Criminal · Convenio sobre la Ciberdelincuencia, hecho en Budapest el 23 de noviembre de 2001 (BOE de 17 de septiembre de 2010). Contenido revisado por el equipo jurídico de The Juris · octubre de 2026.