Nuevas modalidades de estafa en Colombia 2026: qué delito es cada una y qué pena tiene

Un mensaje que promete redimir puntos antes de que expiren. Una llamada del «asesor de seguridad» de su banco. Una plataforma de inversión con gráficas de rentabilidad imposibles. Un arriendo de finca a mitad de precio. Detrás de cada una de esas maniobras hay un tipo penal concreto, con una pena concreta, y esa es la información que casi nunca aparece en las alertas que circulan por redes.

En este artículo, Estudio Penal Abogados le explica las modalidades de engaño más frecuentes en 2026 y, sobre todo, en qué delito encaja cada una: estafa (artículo 246 del Código Penal), delitos informáticos del Título VII BIS o captación masiva y habitual de dineros. Encontrará las penas vigentes, la jurisprudencia de la Corte Suprema de Justicia que ha resuelto casos idénticos y qué hacer si usted, su familia o su empresa resultaron afectados.

¿Qué delito es una estafa en Colombia y cuánto se paga por ella?

La estafa está tipificada en el artículo 246 del Código Penal (Ley 599 de 2000). No basta con que alguien lo haya perjudicado económicamente: la ley exige un engaño previo que produzca un error, y que ese error sea el que lo lleva a usted a entregar el dinero.

Artículo 246. Estafa. El que obtenga provecho ilícito para sí o para un tercero, con perjuicio ajeno, induciendo o manteniendo a otro en error por medio de artificios o engaños, incurrirá en prisión de treinta y dos (32) a ciento cuarenta y cuatro (144) meses y multa de sesenta y seis punto sesenta y seis (66.66) a mil quinientos (1.500) salarios mínimos legales mensuales vigentes. […] La pena será de prisión de dieciséis (16) a treinta y seis (36) meses y multa hasta de quince (15) salarios mínimos legales mensuales vigentes, cuando la cuantía no exceda de diez (10) salarios mínimos legales mensuales vigentes.

Ley 599 de 2000, art. 246, con las penas aumentadas por el art. 14 de la Ley 890 de 2004. Texto vigente.

La Sala de Casación Penal ha precisado, en línea constante, qué significan «artificios o engaños» y qué papel juega el error de la víctima.

«Son fenómenos equivalentes, expresivos en el fondo de la misma cosa. Consisten en todo medio habilidoso para transfigurar la verdad. Son sinónimos de astucia, doblez, ardid, trampa, artimaña o maquinación empleada para dar apariencia de verdad a la mentira. El artificio o el engaño, con el que se inicia toda estafa debe ser puesto en acción por el agente para inducir en error […]. El error debe ser determinante y esencial».

CSJ SP741-2021, 10 mar. 2021, rad. 54658, M.P. Diego Eugenio Corredor Beltrán, reiterando doctrina constante de la Sala

De esa definición salen dos consecuencias prácticas. Para la víctima: el engaño debe ser anterior a la entrega del dinero. Si el artificio surge después, no hay estafa, y el asunto puede ser un incumplimiento contractual. Para el investigado: la Fiscalía tiene que decir con precisión cuál fue el artificio, cuál el error y cuál el provecho.

¿Cuándo la estafa es agravada?

Dos reglas elevan la pena. La primera es el artículo 247, que la sube a un rango de 64 a 144 meses cuando, entre otros supuestos, el medio fraudulento se relaciona con vivienda de interés social, se invocan influencias sobre un servidor público, o la conducta tiene que ver con contratos de seguros o con transacciones sobre vehículos automotores.

La segunda es el artículo 267, que aumenta la pena de una tercera parte a la mitad cuando la cosa vale más de 100 salarios mínimos legales mensuales vigentes —o, siendo menor, causó grave daño a la víctima atendida su situación económica— o cuando recae sobre bienes del Estado. Es la agravante que más se aplica en las estafas masivas.

Cuando el engaño pasa por un computador: el Título VII BIS del Código Penal

La Ley 1273 de 2009 creó un título propio para los delitos informáticos. Muchas de las modalidades que hoy se anuncian como «nuevas estafas» no son estafa en sentido técnico, sino alguno de estos tipos penales, que tienen penas más altas.

• Acceso abusivo a un sistema informático (art. 269A): 48 a 96 meses de prisión y multa de 100 a 1.000 SMLMV.
• Uso de software malicioso (art. 269E): 48 a 96 meses y multa de 100 a 1.000 SMLMV.
• Violación de datos personales (art. 269F): 48 a 96 meses y multa de 100 a 1.000 SMLMV.
• Suplantación de sitios web para capturar datos personales (art. 269G): 48 a 96 meses y multa de 100 a 1.000 SMLMV. La pena se agrava de una tercera parte a la mitad si el agente reclutó víctimas en la cadena del delito.
• Hurto por medios informáticos y semejantes (art. 269I): se castiga con las penas del hurto calificado del artículo 240, es decir, desde 6 años de prisión.
• Transferencia no consentida de activos (art. 269J): 48 a 120 meses y multa de 200 a 1.500 SMLMV; si la cuantía supera 200 salarios mínimos, la sanción se incrementa en la mitad.

A todos ellos se les suma el artículo 269H, que aumenta la pena de la mitad a las tres cuartas partes cuando la conducta recae sobre redes o sistemas del sector financiero, cuando se aprovecha la confianza del poseedor de la información o cuando se obtiene provecho para sí o para un tercero. En la práctica, casi todo fraude bancario digital cae bajo alguna de esas circunstancias.

Conviene, eso sí, no dar por hecho que cualquier incidente informático es delito. En CSJ SP2699-2022, 3 ago. 2022, rad. 59733, M.P. Fernando León Bolaños Palacios, la Corte revocó una condena y absolvió a una procesada acusada de daño informático (art. 269D) en la modalidad de «borrar» datos: los elementos del tipo no quedaron acreditados. Los delitos del Título VII BIS son técnicos y exigen prueba pericial rigurosa, tanto para condenar como para defender.

Modalidad 1: ingeniería social y manipulación emocional

Esta categoría no ataca su computador, sino su confianza. Y es la que con más frecuencia termina en un delito distinto de la estafa.

Vínculos afectivos fabricados y sextorsión

El delincuente construye una relación acelerada en redes o aplicaciones de citas, con un «bombardeo de afecto» que baja las defensas de la víctima. El desenlace tiene dos caminos, y cada uno es un delito diferente:

• Si el objetivo es que usted entregue dinero por una emergencia inventada, un viaje o una inversión conjunta, es estafa (art. 246): hay artificio previo, error y disposición patrimonial.
• Si el objetivo es obtener fotos o videos íntimos para luego exigir dinero bajo amenaza de divulgarlos, el delito ya no es estafa sino extorsión (art. 244), con pena de 192 a 288 meses de prisión y multa de 800 a 1.800 SMLMV. Es uno de los delitos más severamente sancionados del Código Penal y, además, está excluido de subrogados por el artículo 68A.

La diferencia importa: en la estafa usted entrega el dinero engañado; en la extorsión lo entrega constreñido. No son intercambiables y la denuncia debe plantearse bien desde el inicio.

Toma de cuentas de mensajería con el código de verificación

Recibe un mensaje o una llamada breve pidiéndole que agregue un número a su lista de contactos o que le reenvíe «un código que le llegó por error». Ese código de seis dígitos es la llave de su cuenta. Con él, el delincuente toma control de la cuenta y escribe a sus contactos pidiendo dinero prestado en su nombre.

Aquí concurren varios tipos penales: el acceso abusivo a un sistema informático (art. 269A) por la toma de la cuenta; la violación de datos personales (art. 269F) por el empleo de códigos personales ajenos; y la estafa (art. 246) frente a cada contacto que efectivamente transfirió dinero. La suplantación de nombre o calidad, por sí sola, encaja en la falsedad personal del artículo 296, que es subsidiaria y solo se aplica cuando la conducta no constituye otro delito; ese artículo fue modificado por el artículo 3 de la Ley 2502 de 2025, con efectos a partir del 28 de julio de 2026.

La falsa encomienda y el falso familiar en apuros

Le informan que un paquete a su nombre —o el de un familiar en el exterior— quedó retenido por supuestos problemas legales o de impuestos, y que debe pagar una suma para liberarlo o evitar una sanción. Es estafa pura: artificio, error y disposición patrimonial. Cuando el delincuente finge además ser funcionario de una autoridad aduanera o judicial, el reproche se agrava, porque a la estafa puede sumarse la simulación de investidura o cargo.

Modalidad 2: fraudes bancarios y financieros de nueva generación

Estos son los que más dinero mueven y los que con mayor frecuencia terminan siendo hurto por medios informáticos o transferencia no consentida de activos, no estafa.

El «retiro sin tarjeta» y el falso asesor de seguridad

Una persona que se identifica como funcionario del banco le alerta sobre movimientos irregulares y lo guía, paso a paso, para que genere un código de retiro sin tarjeta desde su aplicación «para verificar la cuenta». Con ese código, un tercero retira el dinero en un cajero.

Como el titular fue inducido en error y ejecutó él mismo la operación, la conducta encaja en la estafa (art. 246). Si además el delincuente ingresó a la banca digital con credenciales obtenidas, entra en juego el hurto por medios informáticos (art. 269I), con las penas del hurto calificado, y la agravante del artículo 269H numeral 1 por recaer sobre redes del sector financiero.

Enlaces de «puntos por vencer», premios y devoluciones

Mensajes masivos a nombre de supermercados, aerolíneas o entidades públicas anuncian puntos por redimir, premios o devoluciones de impuestos, con un enlace a un sitio clonado. Ese sitio captura claves y datos de tarjeta.

Quien diseña, programa o envía esas páginas, enlaces o ventanas emergentes comete suplantación de sitios web para capturar datos personales (art. 269G): 48 a 96 meses de prisión y multa de 100 a 1.000 SMLMV, con aumento de una tercera parte a la mitad si reclutó víctimas dentro de la cadena del delito. Si con esos datos se logra mover dinero, se suma la transferencia no consentida de activos (art. 269J), que llega a 120 meses y se incrementa en la mitad cuando la cuantía supera 200 salarios mínimos.

Cambiazo de tarjeta y cobros por aproximación

Personas que se presentan en el domicilio como empleados bancarios, con carné falso, para «reemplazar» la tarjeta; o datáfonos activados cerca de bolsos y bolsillos para generar cargos sin clave. Aquí el delito base es el hurto (art. 239), habitualmente calificado por el artículo 240 y agravado por el artículo 241 numeral 4 —persona disfrazada o que aduce calidad supuesta— o numeral 10 —destreza y pluralidad de autores—.

El caso que muestra cómo termina el dinero: SP216-2023

Este fallo explica por qué la cadena del fraude bancario no acaba en quien manipula el sistema, sino en quien recibe el dinero.

«[M]ediante accesos fraudulentos a los sistemas informáticos [de una entidad bancaria], se efectuaron múltiples transacciones electrónicas por un valor total de $643.220.000. El dinero extraído ilícitamente de la entidad fue transferido por canales virtuales a 24 cuentas de ahorros. Logradas las transacciones ilícitas, sus titulares retiraron inmediatamente los valores consignados para luego entregárselo a quienes les encomendaron “prestar sus cuentas”».

CSJ SP216-2023, 7 jun. 2023, rad. 56.584, M.P. Myriam Ávila Roldán

Los titulares de esas cuentas fueron acusados y condenados como coautores de hurto por medios informáticos (art. 269I). La Corte no casó la sentencia por los errores alegados y solo suprimió una obligación indebida que condicionaba el subrogado. El mensaje para el lector es doble y muy concreto: «prestar la cuenta» no es un favor, es una imputación penal; y para la víctima, identificar rápido las cuentas receptoras es lo que permite rastrear y recuperar el dinero.

¿Fue víctima de un fraude o lo están investigando? Hable con un abogado penalista →

Modalidad 3: inversiones falsas, pirámides y ofertas irresistibles

Es la categoría donde más patrimonio se pierde y donde las penas son más altas, porque suelen concurrir tres delitos a la vez: estafa agravada, captación masiva y concierto para delinquir.

Plataformas de inversión y activos digitales

Rentabilidades garantizadas, gráficas de ganancias fabricadas y la exigencia de instalar aplicaciones de control remoto «para verificar el crecimiento». Esa instalación es la que abre el acceso a la información y a la banca digital del usuario.

La oferta engañosa es estafa (art. 246), agravada por la cuantía (art. 267). Si además se induce a instalar programas que permiten manipular el equipo, entran el uso de software malicioso (art. 269E) y el acceso abusivo (art. 269A).

Cuando la captación es masiva: el artículo 316

Si el esquema recibe dinero del público de forma masiva y habitual sin autorización de la autoridad competente, hay un delito autónomo y mucho más grave: captación masiva y habitual de dineros (art. 316), con pena de 120 a 240 meses de prisión y multa de hasta 50.000 SMLMV, que se aumenta hasta en una cuarta parte si se usan medios de comunicación social. Si además el captador no devuelve el dinero, el artículo 316A añade una pena de 96 a 180 meses. La captación masiva figura, igualmente, entre los delitos excluidos de subrogados por el artículo 68A.

La Corte Suprema ha juzgado exactamente ese concurso.

«[L]a captación masiva y habitual de dineros, conducta en la que incurre quien capte dineros del público, en forma masiva y habitual sin contar con la previa autorización de la autoridad competente».

CSJ SP184-2024, 7 feb. 2024, rad. 55597, M.P. Jorge Hernán Díaz Soto

En ese caso la condenada respondió por captación masiva y habitual en concurso con estafa agravada en la modalidad de delito masa, y la Corte casó de oficio y parcialmente el fallo para redosificar la pena en 69 meses y 27 días de prisión y multa de 220 salarios mínimos. La figura del «delito masa» permite tratar como una sola conducta la pluralidad de víctimas de un mismo designio criminal, y es la que explica por qué las penas en estos esquemas escalan tan rápido.

Sociedades fachada, arriendos y ventas que no existen

Fotos robadas de fincas y apartamentos, contratos de vinculación de vehículos, ofertas de trabajo o de crédito que exigen un pago previo. El patrón es el mismo: una estructura con apariencia de empresa formal que nunca ejecuta lo prometido. La Corte lo describió así en un caso reciente:

«[L]a mencionada compañía fue creada el 16 de octubre de 2013 […] con el fin de que funcionara como fachada para desarrollar actividades ilícitas. Su principal función era atraer personas mediante la promesa de vincular los vehículos de contratistas para trabajar con empresas petroleras, aseguradoras o multinacionales a cambio de una renta mensual […]».

CSJ SP1901-2024, 17 jul. 2024, rad. 64214, M.P. Gerson Chaverra Castro

La compañía recibía los vehículos, nunca ejecutaba los contratos y los revendía a terceros de buena fe con documentos adulterados; también comercializaba apartamentos de los que no tenía disposición. La Corte no casó la condena por estafa agravada en la modalidad de delito masa, en concurso con fraude procesal, concierto para delinquir, receptación y falsedad en documento privado. La pena impuesta en las instancias fue de 174 meses de prisión.

Modalidad 4: suplantación de autoridad y amenazas cibernéticas

Correos con logos oficiales anuncian una citación judicial, una inconsistencia en la declaración de renta o una devolución de impuestos. El archivo adjunto —con frecuencia un PDF protegido con contraseña, para evadir el antivirus— instala un programa que captura contraseñas y datos bancarios. La misma lógica opera con las falsas «actualizaciones de sistema» que descargan archivos .apk y con los códigos QR alterados en lugares públicos.

El delito principal aquí es el uso de software malicioso (art. 269E), en concurso con el acceso abusivo a un sistema informático (art. 269A) y, si el programa captura credenciales, con la violación de datos personales (art. 269F). Cuando el atacante logra mover fondos, se suma la transferencia no consentida de activos (art. 269J). Y si con el material obtenido amenaza a la víctima o a sus contactos para exigirles dinero, el delito escala a extorsión (art. 244).

Cómo verificar si una página web es real

Ninguna de estas maniobras funciona si el enlace no parece legítimo. Antes de escribir una clave, revise cinco cosas:

• El protocolo. La dirección debe comenzar por https://. Un sitio de pagos sin cifrado es una señal de alarma inmediata.
• El dominio exacto. Debe coincidir carácter por carácter con la marca oficial, sin guiones añadidos, sufijos extraños ni letras cambiadas.
• La antigüedad del registro. Un dominio creado hace pocas semanas y registrado a nombre de un particular no corresponde a una entidad establecida.
• Los datos de contacto. Las empresas reales publican dirección física, teléfonos fijos y correos verificables, no solo un número de WhatsApp.
• La calidad del contenido. Errores ortográficos, logos borrosos y traducciones automáticas delatan un sitio clonado.

Y una regla que resume todas: ninguna entidad financiera, ninguna autoridad tributaria y ningún juzgado le pedirán jamás su clave, su token o un código de verificación por teléfono, correo o mensaje.

¿Qué hacer si usted o su empresa fueron víctimas?

Las primeras horas definen si el dinero se recupera. Estos son los pasos, en orden.

1. Bloquee y documente. Bloquee tarjetas y accesos, y deje constancia escrita del reporte ante la entidad financiera, con fecha y número de radicado. Ese soporte es prueba.
2. Preserve la evidencia digital. Capturas de pantalla completas con fecha y hora, números de teléfono, correos con encabezados, enlaces, comprobantes y números de cuenta receptores. No borre las conversaciones.
3. Denuncie de inmediato. La denuncia permite solicitar el rastreo de las cuentas destino. Como muestra CSJ SP216-2023, rad. 56.584, el dinero se retira casi enseguida de las cuentas receptoras: cada hora cuenta.
4. Califique bien el delito. Estafa, hurto por medios informáticos, transferencia no consentida y extorsión tienen consecuencias procesales distintas. Una denuncia mal encuadrada demora la investigación.
5. Actúe como víctima en el proceso. Puede solicitar medidas cautelares sobre bienes, impulsar la investigación e intervenir en las audiencias. Contáctenos aquí si el monto es significativo o si la afectada es su empresa.

¿Y si es a usted a quien están investigando?

Dos escenarios llegan con frecuencia a nuestro despacho. El primero: personas que prestaron su cuenta bancaria a cambio de una comisión y aparecen imputadas como coautoras, exactamente como en CSJ SP216-2023, rad. 56.584. El segundo: empresarios y administradores denunciados por estafa cuando lo que existió fue un negocio que salió mal.

En ese segundo escenario, la exigencia de precisión es la mejor defensa. En CSJ SP741-2021, rad. 54658, la Corte casó la sentencia y declaró la nulidad desde la audiencia de imputación porque la Fiscalía nunca concretó el ardid.

«El fiscal nunca explicó cuáles fueron los artificios o engaños cometidos por [las procesadas], para inducir o mantener en error a las presuntas víctimas».

CSJ SP741-2021, 10 mar. 2021, rad. 54658, M.P. Diego Eugenio Corredor Beltrán

Y en CSJ SP151-2025, 29 ene. 2025, rad. 61.434, M.P. José Joaquín Urbano Martínez, donde el procesado fingió llamarse de otro modo y tener grado militar para ofrecer vehículos de las Fuerzas Militares supuestamente en remate, la Corte casó de oficio y parcialmente el fallo: aunque mantuvo la condena por estafa agravada, redosificó la pena a 42 meses y 20 días y concedió la prisión domiciliaria. La dosificación punitiva es un terreno donde una defensa técnica sigue ganando terreno incluso después de la condena.

Si lo citaron a interrogatorio o a una audiencia de imputación por cualquiera de estos delitos, no rinda versión sin abogado. Programe una consulta con Estudio Penal Abogados antes de hablar.

Consultar con un abogado penalista →

Preguntas frecuentes sobre las estafas y los fraudes digitales en Colombia