A partir del 23 de julio de 2026, cualquier persona que use mensajes, páginas web o aplicaciones falsas para engañar y conseguir datos personales, bancarios o contraseñas está cometiendo un delito en la Ciudad de México.

Esto quedó claro con la incorporación del artículo 231 Bis al Código Penal de la capital. Las penas no son menores: hasta nueve años de cárcel si la víctima es menor de edad, persona mayor o tiene alguna discapacidad.

¿Cuándo cambió la ley?

El Congreso de la Ciudad de México aprobó el artículo 231 Bis el 21 de mayo de 2026. Fueron 52 votos a favor, ninguno en contra y una abstención. Este cambio, propuesto por la Comisión de Administración y Procuración de Justicia, buscaba tipificar el phishing como delito autónomo. Antes, no había una definición clara, así que investigar o sancionar estos casos era complicado.

El decreto se publicó el 22 de julio de 2026 en la Gaceta Oficial y entró en vigor al día siguiente. Así de rápido, desde el 23 de julio, la policía tiene una herramienta específica para perseguir este tipo de fraudes. Puedes consultar la Gaceta Oficial para más detalles.

¿Qué castiga el artículo 231 Bis?

El nuevo delito sanciona a quien se haga pasar digitalmente por una empresa, banco, institución, plataforma o servicio legítimo usando:

- Correos y mensajes falsos,

- Páginas web que imitan sitios oficiales,

- Direcciones o dominios engañosos,

- Apps fraudulentas,

- Formularios trampa,

- O cualquier interfaz que aparente ser real.

El punto central: inducir a la víctima a soltar datos personales, financieros o contraseñas, ya sea para sacar provecho propio o dañar a otro. Un ejemplo clásico es el mensaje falsificando a un banco y pidiendo el NIP, contraseña o número de tarjeta en una página clonada.

La ley es clara: no es solo el phishing tradicional por correo; también abarca trampas por SMS o mensajería instantánea, siempre que se cumplan los elementos del delito.

¿Cuáles son las sanciones?

Quienes engañen de esta forma enfrentan:

- De tres a seis años de cárcel,

- Una multa de 200 a 600 UMAs (de 23,462 a 70,386 pesos, usando el valor de la UMA en 2026: 117.31 pesos diarios).

La pena puede aumentar hasta la mitad —llegando a nueve años de prisión y hasta 900 UMAs (105,579 pesos)— si la víctima es una persona mayor, discapacitada o menor de edad.

Como siempre, la sanción exacta dependerá de cada caso y de lo que diga el juez.

¿Cómo daña el phishing a las personas?

No es solo perder dinero. Los datos robados pueden usarse para entrar a cuentas bancarias, correos, redes sociales, pedir créditos, hacer compras, suplantar la identidad con familiares, obtener documentos y fotos privadas, hasta cometer extorsiones y difundir nuevas estafas desde cuentas comprometidas.

La Condusef advierte que el robo de identidad puede llevar a que alguien abra cuentas, contrate servicios o compre cosas a tu nombre. Además de lo económico, la víctima suele enfrentar cuentas bloqueadas, historial crediticio afectado, pérdida de acceso digital y un engorroso proceso para limpiar su nombre.

¿Cómo se va a aplicar el artículo 231 Bis?

No se crea una fiscalía nueva ni un sistema automático para bloquear páginas falsas. El cambio es que ahora la Fiscalía de la Ciudad de México tiene un delito específico que perseguir.

Así es el proceso en la práctica:

1. La víctima denuncia en la Fiscalía.

2. El Ministerio Público abre la investigación.

3. Se revisan mensajes, enlaces, registros, movimientos financieros, etc.

4. Los equipos de investigación y ciberinteligencia buscan identificar a los culpables.

5. Si hay pruebas suficientes, el caso va ante un juez.

6. El juez decide sentencia y sanción.

Puedes denunciar fraudes en línea en la plataforma oficial de la CDMX o directamente en el Ministerio Público. La Policía Cibernética también recibe reportes y orienta por teléfono (55 5242 5100, ext. 5086) o correo ([email protected]). Guarda siempre capturas de pantalla, mensajes, direcciones web, comprobantes y cualquier cosa útil. No borres la evidencia antes de respaldarla.

¿De verdad protege esta reforma?

El principal avance es que el phishing por fin se tipifica claramente como delito. Antes solo se investigaba como fraude o usurpación, y no había una figura que cubriera bien la creación de sitios y apps falsas.

Esto ayuda en tres niveles: hay claridad legal, la sanción se especifica (lo que puede desalentar a algunos), y protege especialmente a niños, personas mayores y discapacitados.

Claro, la ley no elimina de golpe los mensajes trampa ni garantiza que todos los culpables caigan. Funciona si la gente denuncia, conserva pruebas y si las autoridades y empresas colaboran.

¿Esto se aplicará en otros estados?

Es posible, pero no es automático. Solo aplica en la Ciudad de México. Cada estado necesita reformar su propio código penal para que algo así funcione, porque así lo marca la Constitución. También se podría buscar una reforma federal, pero eso lo decidiría el Congreso de la Unión y lleva su proceso.

De todos modos, esta ley en CDMX puede marcar el camino para que otros estados ajusten sus códigos, sobre todo porque los fraudes digitales no conocen fronteras. Hasta que ocurra, solo el artículo 231 Bis aplica en la capital.

¿Cómo evitar caer en phishing?

No basta con penas; la prevención cuenta. Algunos consejos básicos:

- Nunca abras enlaces de mensajes sospechosos o inesperados.

- Entra a la web de tu banco escribiendo directamente la dirección.

- No compartas contraseñas, NIPs o códigos.

- Revisa alertas llamando al número oficial, no al del mensaje.

- Activa la autenticación de dos pasos.

- Usa contraseñas diferentes en cada servicio.

- Verifica cuidadosamente las direcciones web.

- Mantén actualizados tus dispositivos y apps.

- Reporta movimientos sospechosos de inmediato.

- Si diste datos bancarios, avisa al banco cuanto antes.

El artículo 231 Bis es un paso importante para reconocer y perseguir los fraudes digitales. Su verdadero impacto se verá con el tiempo, cuando la Fiscalía logre sentencias ejemplares usando esta nueva herramienta.

Información corta al 23 de julio de 2026. Recuerda: esta información es orientativa y no reemplaza el consejo jurídico profesional.