Acceso ilícito a sistemas informáticos: el delito de hacking del artículo 197 bis CP

Entrar sin permiso en el servidor de una empresa. Conectarse a una red wifi ajena protegida sin autorización. Seguir accediendo a los sistemas de un antiguo empleador después de haber sido despedido. Aprovechar una vulnerabilidad de una web para colarse en su panel de administración. Todas estas conductas comparten algo, más allá de lo que coloquialmente llamamos "hackear": consisten en acceder a un sistema informático ajeno superando una barrera de seguridad, sin que quien lo hace tenga autorización para ello. El Código Penal español las castiga de forma específica, con independencia de que el autor llegue a leer un solo archivo, copiar un dato o causar cualquier daño. Esta guía explica, con el rigor que exige la materia, en qué consiste exactamente el delito de acceso ilícito a sistemas informáticos del artículo 197 bis del Código Penal, cuándo se comete, qué penas prevé y qué hacer tanto si se está siendo investigado como si se ha sido víctima de esta conducta.

Conviene precisarlo desde el principio: este artículo no trata sobre crear perfiles falsos o suplantar la identidad de otra persona —eso lo hemos analizado en otro artículo del blog—, ni sobre el acoso reiterado o el chantaje con contenido íntimo, materias también tratadas por separado. Aquí nos centramos en el "hacking" propiamente dicho: el acceso técnico no autorizado a un sistema de información, con independencia de qué se haga después con ese acceso.

Qué es, legalmente, el acceso ilícito a un sistema informático

En el lenguaje coloquial, "hackear" se usa para casi cualquier cosa relacionada con la informática: desde entrar en una cuenta de correo ajena hasta tumbar una web, pasando por instalar un virus o simplemente ser hábil con la tecnología. El Código Penal, sin embargo, no castiga "el hacking" como concepto genérico, sino conductas concretas y delimitadas. La que nos ocupa en este artículo es la más nuclear de todas: acceder, sin autorización, al conjunto o a una parte de un sistema de información, superando una medida de seguridad establecida precisamente para impedirlo.

El concepto de "sistema de información" que maneja la ley es amplio y no se limita a los grandes servidores corporativos. Incluye, entre otros, un ordenador personal, una cuenta de correo electrónico, un perfil en una red social, un servicio en la nube, una red wifi doméstica o empresarial protegida por contraseña, el panel de administración de una página web, una base de datos, un dispositivo conectado (un router, una cámara IP, un sistema domótico) o la red interna de una empresa. Lo relevante no es el tamaño ni la sofisticación técnica del sistema, sino que exista una medida de seguridad destinada a restringir quién puede entrar en él, y que esa medida se haya vulnerado sin contar con autorización para hacerlo.

El artículo 197 bis del Código Penal: el tipo penal del acceso ilícito

El artículo 197 bis CP fue introducido por la reforma operada mediante la Ley Orgánica 1/2015, que incorporó al Código Penal español las exigencias derivadas de la normativa europea sobre ataques contra los sistemas de información. Se ubica dentro del Título X del Código Penal, dedicado a los delitos contra la intimidad, el derecho a la propia imagen y la inviolabilidad del domicilio, aunque el bien jurídico que protege de forma más inmediata es distinto: la seguridad e integridad de los propios sistemas informáticos frente a intrusiones no consentidas, con independencia de que después se llegue a comprometer o no la intimidad de alguien.

Apartado 1: acceder o mantenerse en el sistema sin autorización

El artículo 197 bis.1 CP castiga a quien, por cualquier medio o procedimiento, vulnerando las medidas de seguridad establecidas para impedirlo, y sin estar debidamente autorizado, acceda o facilite a otro el acceso al conjunto o una parte de un sistema de información o se mantenga en él en contra de la voluntad de quien tenga el legítimo derecho a excluirlo. La pena prevista es de prisión de seis meses a dos años.

De este texto se extraen los elementos que deben concurrir para que exista delito:

• Vulneración de una medida de seguridad. Debe existir una barrera —una contraseña, un cifrado, un control de acceso— que el autor supere de forma indebida. Si el sistema carece de cualquier medida de seguridad, la conducta puede quedar fuera del tipo tal y como está redactado, sin perjuicio de que otras circunstancias puedan hacer entrar en juego figuras distintas.
• Ausencia de autorización. El acceso debe producirse sin el consentimiento de quien tiene derecho a concederlo, expreso o derivado de las circunstancias, pero en todo caso vigente en el momento del acceso.
• Acceso al conjunto o a una parte del sistema. No hace falta comprometer todo el sistema; basta con entrar en una parte de él —una carpeta, una cuenta dentro de una plataforma— para que el delito se consume.
• Facilitar el acceso a otro. El tipo no castiga únicamente a quien entra personalmente, sino también a quien facilita ese acceso a un tercero, por ejemplo abriendo una "puerta trasera" que otra persona utilizará después.
• Mantenerse en el sistema en contra de la voluntad de quien puede excluir. Especialmente relevante en el ámbito laboral: quien tuvo acceso legítimo —un empleado, un colaborador externo— pero sigue entrando tras revocarse esa autorización, comete igualmente el delito, aunque el acceso original fuera lícito.

Un rasgo importante de este delito es que se consuma con el propio acceso, sin necesidad de que el autor llegue a hacer nada más. Es un delito de mera actividad: no exige un resultado añadido —leer un mensaje, copiar un archivo, causar un perjuicio económico— para entenderse cometido. Eso no significa que esas conductas posteriores queden impunes; cuando concurren, suelen dar lugar a delitos adicionales, como veremos más adelante.

Apartado 2: interceptación de transmisiones no públicas de datos

El artículo 197 bis.2 CP castiga, dentro del mismo precepto pero como conducta distinta, a quien, mediante la utilización de artificios o instrumentos técnicos, y sin estar debidamente autorizado, intercepte transmisiones no públicas de datos informáticos que se produzcan desde, hacia o dentro de un sistema de información, incluidas las emisiones electromagnéticas de los mismos. La pena es de prisión de tres meses a dos años o multa de tres a doce meses.

Aquí no se trata de entrar en un sistema, sino de captar el tráfico de datos que circula por él o entre distintos sistemas sin autorización: interceptar el tráfico de una red wifi con un programa de captura de paquetes ("sniffing"), interponerse entre dos dispositivos para leer las comunicaciones que intercambian (ataque conocido como "man in the middle"), o incluso captar las emisiones electromagnéticas que un equipo genera al procesar información, técnica muy especializada pero expresamente contemplada por el legislador. Lo determinante es que la transmisión interceptada no sea pública y que el autor carezca de autorización para captarla.

El artículo 197 ter del Código Penal: fabricar y facilitar herramientas de hacking

El acceso ilícito no siempre lo comete quien materialmente entra en el sistema. En muchos casos, detrás de un ataque informático hay alguien que ha creado, adquirido o distribuido las herramientas que lo hicieron posible: un programa diseñado para explotar una vulnerabilidad, o unas credenciales robadas que se venden o comparten para que un tercero acceda con ellas. Para estos supuestos, el Código Penal prevé una figura propia, el artículo 197 ter CP, con una pena de prisión de seis meses a dos años o multa de tres a dieciocho meses.

El precepto castiga a quien, sin autorización debida y con la intención de facilitar la comisión de los delitos de los artículos 197 o 197 bis CP, produzca, adquiera para su uso, importe o facilite a terceros:

• Un programa informático, concebido o adaptado principalmente para cometer estos delitos —lo que en la práctica incluye buena parte del malware diseñado para vulnerar sistemas o interceptar comunicaciones—.
• Una contraseña de ordenador, un código de acceso o datos similares que permitan acceder a la totalidad o a una parte de un sistema de información.

Este artículo es especialmente relevante para quien participa en la cadena previa al acceso: quien programa una herramienta de intrusión, quien la comercializa en foros especializados, o quien facilita credenciales robadas a un tercero para que las use, puede ser responsable penalmente aunque no sea quien finalmente accede al sistema. Que la finalidad sea "facilitar la comisión" de esos delitos es lo que, en principio, permite distinguir estas conductas de la investigación legítima en ciberseguridad, aunque conviene ser prudente: la mera tenencia de estas herramientas, sin un contexto que acredite un uso lícito y autorizado, puede generar dudas que conviene despejar con asesoramiento legal.

Diferencia entre el acceso ilícito y otras figuras informáticas cercanas

El acceso ilícito a sistemas informáticos suele confundirse con otras conductas que, aunque relacionadas, son jurídicamente distintas y llevan penas propias. Distinguirlas correctamente es determinante tanto para valorar un riesgo real como para no alarmarse por algo que, jurídicamente, no es lo que se cree:

• Apoderamiento de mensajes, correos o datos personales (art. 197.1 y 197.2 CP). Una cosa es entrar en un sistema y otra, distinta, es lo que se hace una vez dentro. Si, además de acceder, el autor lee, copia o se apodera de correos, mensajes o datos personales ajenos con ánimo de descubrir secretos, entra en juego este precepto, con penas de uno a cuatro años de prisión, más severas que las del mero acceso. Ambas conductas suelen concurrir en un mismo hecho: primero se vulnera la seguridad del sistema (art. 197 bis CP) y después se accede a su contenido (art. 197.1-2 CP), lo que se resuelve conforme a las reglas del concurso de delitos.
• Usurpación de identidad y creación de perfiles falsos. Hacerse pasar por otra persona o entrar en una cuenta ajena para suplantar a su titular son conductas distintas del acceso ilícito como tal, aunque a menudo lo presuponen como paso previo. Hemos dedicado un artículo específico a esta materia, con el análisis del artículo 401 CP, que puede consultar si su caso tiene ese componente.
• Ciberacoso y sextorsión. Cuando el objetivo de quien accede a un sistema es hostigar de forma reiterada a otra persona, o chantajearla con material obtenido de forma ilícita, entran en juego figuras completamente distintas —el acoso del artículo 172 ter CP, las amenazas condicionales o el chantaje—, que hemos analizado en otro artículo del blog centrado precisamente en esas conductas.
• Daños informáticos (art. 264 CP). Borrar, dañar, alterar o hacer inaccesibles de forma grave datos o programas informáticos ajenos es un delito distinto del mero acceso, con pena de prisión de seis meses a tres años en su tipo básico. Un mismo episodio puede combinar acceso ilícito y daños posteriores si, una vez dentro, el autor borra o corrompe información.
• Estafa informática (art. 248.2.a CP). Si el acceso al sistema se utiliza para conseguir una transferencia patrimonial no consentida —por ejemplo, entrando en la banca online de la víctima—, se suma el delito de estafa informática, con penas que pueden ser notablemente más altas según la cuantía defraudada.

Esta diferenciación no es un ejercicio académico: de ella depende la calificación jurídica exacta de unos mismos hechos, y esa calificación es, con frecuencia, lo que marca la diferencia entre una pena de meses y una de años.

Tabla comparativa: penas del acceso ilícito a sistemas informáticos

La siguiente tabla resume, de un vistazo, las penas previstas para el acceso ilícito, la interceptación de datos, la fabricación o facilitación de herramientas de hacking y las principales agravaciones aplicables.

Datos contrastados con el texto vigente del Código Penal (Ley Orgánica 10/1995, BOE), tras la incorporación del artículo 197 bis por la Ley Orgánica 1/2015. La pena final aplicable a cada caso depende siempre de las circunstancias concretas, de un eventual concurso con otros delitos y de la individualización judicial dentro del marco legal.

Circunstancias que agravan la respuesta penal

Más allá de los tipos básicos, existen circunstancias que pueden elevar sensiblemente la pena aplicable a un acceso ilícito:

• Organización o grupo criminal (art. 197 quater CP). Cuando el acceso ilícito, la interceptación o la fabricación de herramientas para cometerlos se llevan a cabo en el seno de una organización o grupo criminal, la ley ordena imponer las penas superiores en grado. Es el supuesto típico de campañas de intrusión coordinadas o de reventa organizada de accesos y credenciales.
• Autoridad o funcionario público (art. 198 CP). Si quien comete estos hechos es una autoridad o funcionario público que se prevale de su cargo, fuera de los supuestos permitidos por la ley, la pena se impone en su mitad superior y se añade una inhabilitación absoluta de seis a doce años.
• Concurso con otros delitos. Cuando al acceso ilícito se suma el apoderamiento de datos, su difusión, daños informáticos o una estafa, la respuesta penal conjunta se agrava conforme a las reglas del concurso de delitos.
• Reincidencia. Los antecedentes penales vigentes por hechos de la misma naturaleza permiten aplicar la agravante genérica del artículo 22.8ª CP.
• Entidad del sistema afectado. No es lo mismo acceder a un sistema doméstico aislado que a la infraestructura de una empresa o de un servicio esencial: su repercusión suele influir en la individualización de la pena dentro del marco legal disponible.

Ejemplos habituales de acceso ilícito a sistemas informáticos

Para entender mejor el alcance real del artículo 197 bis CP, resulta útil ver cómo se traduce en la práctica cotidiana. Estos son algunos de los supuestos que con más frecuencia llegan a los juzgados:

• Acceder al servidor o a la red interna de una empresa aprovechando una vulnerabilidad técnica, credenciales filtradas o una configuración de seguridad deficiente, sin autorización del titular del sistema.
• Mantener el acceso a sistemas corporativos tras el cese de la relación laboral, por ejemplo cuando el trabajador conserva credenciales que no le fueron desactivadas a tiempo y sigue entrando en el correo o las plataformas de la empresa.
• Conectarse a una red wifi ajena protegida por contraseña —doméstica o de un negocio— sin autorización, vulnerando el cifrado o la clave de acceso.
• Entrar en un servicio en la nube o en un correo corporativo utilizando credenciales obtenidas de forma ilícita, por ejemplo a través de una campaña previa de phishing dirigida a un empleado.
• Explotar una vulnerabilidad de una página web para acceder a su panel de administración o a su base de datos sin autorización del titular del sitio.
• Realizar una auditoría de seguridad o un test de intrusión sin autorización expresa del titular del sistema, aunque la intención declarada sea únicamente detectar una vulnerabilidad: sin ese mandato previo, el acceso puede constituir el mismo delito que se pretendía poner de manifiesto.

Este delito no exige ninguna sofisticación técnica especial: adivinar una contraseña débil, reutilizar credenciales filtradas en otra brecha o aprovechar un descuido ajeno son formas de acceso ilícito tan relevantes penalmente como un ataque técnicamente elaborado, si concurren los elementos ya explicados.

Quién puede cometer este delito

El artículo 197 bis CP configura un delito común: puede cometerlo cualquier persona, sin necesidad de una cualidad especial. Dicho esto, en la práctica se observan perfiles recurrentes: empleados o exempleados que acceden a sistemas de su empresa o antigua empresa fuera de lo permitido; administradores de sistemas o profesionales de la informática que abusan de un acceso privilegiado; particulares que acceden a las cuentas o dispositivos de personas de su entorno; y, en el otro extremo, organizaciones dedicadas de forma estable y coordinada a este tipo de ataques, a las que resulta aplicable la agravación ya vista del artículo 197 quater CP.

Un matiz importante para quienes se dedican profesionalmente a la ciberseguridad: la figura del llamado "hacker ético" no es, por sí sola, una causa de exclusión de responsabilidad penal. Lo que excluye el delito no es la buena intención declarada, sino la existencia de una autorización real y previa del titular del sistema —normalmente formalizada por escrito, delimitando qué se puede probar y con qué alcance—. Detectar una vulnerabilidad y comunicarla de buena fe no siempre exime de responsabilidad si, para llegar a esa conclusión, se ha accedido sin permiso a un sistema ajeno.

Qué hacer si le investigan por un delito de acceso ilícito a un sistema informático

Si ha recibido una citación, una notificación policial, o simplemente sospecha que puede estar siendo investigado por haber accedido a un sistema ajeno, estas pautas son esenciales:

• No declare sin abogado, ni ante la policía ni ante el juzgado, aunque el acceso le parezca menor o justificado ("solo quería comprobar si era vulnerable"). Una explicación dada sin conocer previamente el atestado o la denuncia es difícil de corregir después.
• No borre logs, registros ni rastros del acceso. Eliminar evidencia técnica puede interpretarse como un intento de ocultación y perjudicar seriamente la defensa.
• Reúna cualquier prueba de autorización que pueda existir. Un contrato, un correo o cualquier comunicación que acredite que el acceso estaba consentido —aunque fuera de forma informal— puede ser determinante para excluir el delito o matizar su alcance.
• Aporte a su abogado el contexto técnico completo: cómo se produjo el acceso, qué método se utilizó, si existía relación previa con el titular del sistema, y qué se hizo exactamente una vez dentro, ya que de ello depende si solo hay acceso ilícito o si concurren delitos adicionales.
• Valore con su abogado si procede una vía de conformidad o de reparación del daño, especialmente cuando no hay antecedentes previos y el perjuicio ha sido limitado.

Qué hacer si su empresa o usted han sido víctimas de un acceso ilícito

• Preserve la evidencia digital antes de tocar nada. Registros de acceso, direcciones IP, marcas de tiempo y alertas de seguridad son la base de la denuncia; modificar o reiniciar sistemas antes de asegurar esa evidencia puede hacerla desaparecer de forma irreversible.
• Contrate a un perito informático para documentar, con garantías de cadena de custodia, cómo se produjo el acceso y qué información pudo verse comprometida.
• Valore si existe una brecha de datos personales que obligue a notificarlo a la Agencia Española de Protección de Datos (AEPD), cuando el sistema afectado contenga información personal de terceros.
• Presente denuncia cuanto antes ante la Policía Nacional, la Guardia Civil o el juzgado de instrucción, aportando la documentación técnica reunida y describiendo los hechos con precisión cronológica.
• Valore la personación como acusación particular, lo que permite intervenir de forma activa y reclamar la responsabilidad civil derivada del acceso ilícito, incluidos los costes de contención y peritaje.
• Refuerce las medidas de seguridad tras el incidente, tanto para evitar su repetición como porque acreditarlas es, precisamente, uno de los elementos que sustentan la acusación conforme al artículo 197 bis CP.

La prueba en los delitos de acceso ilícito: por qué la evidencia digital lo es todo

A diferencia de otros delitos, en el acceso ilícito a sistemas informáticos casi toda la prueba es de naturaleza técnica: registros de acceso (logs), direcciones IP, metadatos, capturas de tráfico de red, informes de los propios sistemas de seguridad y, con frecuencia, un dictamen pericial informático que reconstruya de forma técnica cómo se produjo el acceso y quién lo llevó a cabo. La forma en que esa evidencia se recoge, se conserva y se documenta —lo que se conoce como cadena de custodia— es determinante para que después pueda utilizarse con garantías en el procedimiento penal, tanto para acreditar la acusación como para articular la defensa.

Por eso, tanto si usted es la persona investigada como si es la víctima, actuar con rapidez y sin alterar la evidencia disponible —ni borrando rastros, ni modificando sistemas antes de documentarlos— es una de las decisiones más determinantes de todo el proceso, muy por delante de cualquier otra actuación posterior.

Preguntas frecuentes

¿Es delito entrar en un sistema informático aunque no copie ni borre nada?

Sí. El artículo 197 bis.1 CP castiga el simple acceso no autorizado a un sistema de información vulnerando sus medidas de seguridad, con independencia de que el autor llegue a leer, copiar o dañar algo una vez dentro. Es lo que se conoce como un delito de mera actividad: se consuma con el acceso mismo, o incluso con mantenerse en el sistema contra la voluntad de quien puede excluirlo.

¿Conectarme a una red wifi ajena sin permiso es acceso ilícito a un sistema informático?

Puede serlo si esa red está protegida por una contraseña u otra medida de seguridad y se accede a ella sin autorización, vulnerando esa protección. Si la red carece de cualquier medida de seguridad, la conducta puede no encajar en el artículo 197 bis CP tal y como está redactado, aunque conviene analizar cada caso con detalle, ya que otras circunstancias pueden hacer entrar en juego figuras distintas.

¿Puede ser delito seguir accediendo a los sistemas de mi antigua empresa después de que me despidieran?

Sí. El artículo 197 bis.1 CP castiga no solo acceder sin autorización, sino también mantenerse en un sistema en contra de la voluntad de quien tiene el legítimo derecho a excluir a esa persona. Si la empresa ha revocado el acceso tras el cese laboral y el trabajador sigue entrando —por ejemplo, con credenciales que no le fueron desactivadas a tiempo—, esa conducta puede encajar en el tipo penal.

¿Es legal hacer una auditoría de seguridad o un test de intrusión sin contrato firmado?

No conviene hacerlo. La autorización del titular del sistema es precisamente lo que excluye el delito del artículo 197 bis CP; sin un mandato expreso —normalmente por escrito, delimitando el alcance de las pruebas— acceder a un sistema ajeno para comprobar sus vulnerabilidades, aunque la intención sea informar del fallo, puede constituir el mismo delito que se pretende detectar.

¿Qué pena arriesgo si además de acceder al sistema leí o copié mensajes y archivos?

En ese caso pueden concurrir dos delitos distintos: el acceso ilícito al sistema (art. 197 bis CP) y el apoderamiento de datos, mensajes o documentos reservados (art. 197.1 y 197.2 CP), que llevan penas más severas. Cuando ambas conductas se dan en el mismo hecho, la respuesta penal conjunta se agrava sensiblemente conforme a las reglas del concurso de delitos.

¿Vender o compartir contraseñas de acceso a un sistema es también delito?

Puede serlo conforme al artículo 197 ter CP, que castiga a quien, sin autorización debida, produce, adquiere para su uso, importa o facilita a terceros una contraseña, un código de acceso o datos similares que permitan acceder a un sistema de información, cuando existe intención de facilitar la comisión del delito de acceso ilícito. También puede ser el propio delito de facilitación previsto en el artículo 197 bis.1 CP, según cómo se haya producido el hecho.

¿La empresa víctima de un acceso ilícito puede reclamar una indemnización?

Sí. Con independencia de la responsabilidad penal, el acceso ilícito puede generar un perjuicio económico real —horas de trabajo del equipo técnico, contratación de peritos, medidas de contención, pérdida de negocio— que puede reclamarse como responsabilidad civil dentro del propio procedimiento penal, personándose como acusación particular.

El acceso ilícito a sistemas informáticos es, ante todo, un delito de intrusión: se consuma por el simple hecho de entrar donde no se tiene autorización, vulnerando una barrera de seguridad, sin necesidad de que ocurra nada más. Esa característica —tan distinta de la intuición de que "no pasa nada si no hago nada malo dentro"— es la que con más frecuencia sorprende tanto a quien lo comete como a quien lo sufre. Ya sea porque le investigan por haber accedido a un sistema ajeno, o porque su empresa o usted mismo han sido víctimas de una intrusión de este tipo, contar con asesoramiento legal especializado desde el primer momento es lo que permite valorar con rigor la calificación jurídica exacta de los hechos y la estrategia más adecuada para defender sus intereses.