Uso de software malicioso en Colombia: artículo 269E, pena y defensa
Un empleado de sistemas es despedido. Días después, antes de entregar sus equipos, deja instalado un programa que quedará latente y se activará solo semanas más tarde, cuando ya nadie lo relacione con él. Ese programa —un malware— es, por sí mismo, un delito en Colombia: el uso de software malicioso del artículo 269E del Código Penal.
En Estudio Penal Abogados defendemos a empresas y directivos investigados por delitos informáticos y representamos a las víctimas de estos ataques. En esta guía encontrará qué castiga exactamente el artículo 269E, cuál es su pena —de 4 a 8 años de prisión—, cómo se prueba, y un dato incómodo pero importante: la Corte Suprema de Justicia todavía no ha proferido una sola sentencia sobre este delito. Acompañamos la denuncia por ataques informáticos contra su empresa.
De dónde viene el delito: la Ley 1273 y el Convenio de Budapest
El uso de software malicioso no existía como delito autónomo en Colombia hasta 2009. Lo creó la Ley 1273 de 2009, que añadió al Código Penal un título nuevo —el Título VII BIS, «De la protección de la información y de los datos»— y tipificó nueve conductas contra la confidencialidad, la integridad y la disponibilidad de la información.
Ese esquema no se inventó en Colombia. Proviene del Convenio de Budapest sobre la Ciberdelincuencia, adoptado por el Consejo de Europa en 2001, el primer tratado internacional en la materia. El artículo 269E es el equivalente colombiano de su artículo 6, el llamado «abuso de los dispositivos».
Hay un detalle histórico que conviene conocer: Colombia copió el modelo de Budapest antes de ser parte del tratado. La Ley 1273 es de 2009, pero Colombia solo se adhirió formalmente al Convenio con la Ley 1928 de 2018, que entró en vigor en 2020. Primero llegó la ley interna; la ratificación del instrumento que le sirvió de fuente vino una década después.
¿Qué es el delito de uso de software malicioso?
El uso de software malicioso es el delito que castiga producir, distribuir o comercializar programas informáticos dañinos, como virus, troyanos o ransomware. El bien jurídico que protege es la seguridad de la información y de los sistemas informáticos.
Su rasgo más importante para entenderlo es este: es un delito de peligro. No se necesita que el malware llegue a causar un daño real para que el delito exista. Basta con crearlo, traficarlo o distribuirlo. La ley se adelanta y castiga la herramienta antes de que golpee, porque el peligro nace desde que el programa dañino circula.
Por eso es también un delito autónomo: se sanciona con independencia de que después ocurra o no un daño informático. Si el software malicioso efectivamente destruye datos, aparecerá además el delito de daño informático (artículo 269D), y ambos pueden concurrir.
Texto vigente del artículo 269E del Código Penal
Artículo 269E. Uso de software malicioso. El que, sin estar facultado para ello, produzca, trafique, adquiera, distribuya, venda, envíe, introduzca o extraiga del territorio nacional software malicioso u otros programas de computación de efectos dañinos, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.
Ley 599 de 2000, art. 269E, adicionado por la Ley 1273 de 2009. Norma vigente.
Del texto se desprenden los elementos del tipo penal. El sujeto activo es indeterminado: puede cometerlo cualquier persona. Los verbos rectores son ocho —producir, traficar, adquirir, distribuir, vender, enviar, introducir o extraer—, de modo que el delito abarca toda la cadena, desde quien programa el malware hasta quien lo comercializa. El objeto material es el software malicioso «u otros programas de computación de efectos dañinos». Y el tipo exige que se actúe «sin estar facultado para ello»: quedan por fuera las herramientas de seguridad usadas con autorización, como las pruebas de intrusión que una empresa contrata sobre sus propios sistemas.
¿Su empresa enfrenta un caso de software malicioso? Hable con un abogado penalista →
¿Qué ha dicho la Corte Suprema sobre el artículo 269E?
La producción jurisprudencial sobre este tipo penal —y sobre los delitos informáticos en general— ha sido entre nula y escasa. Por esa razón, en Estudio Penal Abogados hemos sistematizado su análisis acudiendo al tratado del que se originan, el Convenio de Budapest, y al derecho comparado, en particular a la jurisprudencia del Tribunal Supremo español, que aplica un tipo penal gemelo.
De ahí que el caso más ilustrativo para comprender cómo se juzga en la práctica el uso de software malicioso provenga de España. Lo explicamos enseguida.
Glosario: 6 términos para entender el artículo 269E
- Malware (software malicioso): cualquier programa creado para dañar, alterar o tomar control de un sistema informático sin autorización. Es el género que abarca todos los demás.
- Bomba lógica: un programa que permanece inactivo dentro del sistema y se activa cuando se cumple una condición o una fecha determinada, para ejecutar entonces la acción dañina.
- Troyano: software que se disfraza de programa legítimo para que la víctima lo instale, y una vez dentro abre una puerta al atacante.
- Ransomware: programa que cifra o bloquea la información de la víctima y exige un pago (rescate) para devolver el acceso.
- Inyección de código: técnica que introduce instrucciones maliciosas en un programa o sitio web para alterar su funcionamiento.
- Exfiltración: extracción no autorizada de datos desde un sistema hacia el exterior, muchas veces facilitada por un malware previamente instalado.
Un caso real: la «bomba lógica» que paralizó a un banco
Como Colombia aún no tiene un caso de casación sobre el 269E, el ejemplo más ilustrativo viene de España, cuyo Código Penal castiga la misma conducta (artículos 264 ter y 197 ter). Se trata de la sentencia del Tribunal Supremo español STS 183/2024, del 29 de febrero de 2024.
Los hechos son un caso de manual. Un administrador de red que prestaba servicios a una gran entidad bancaria, con ánimo de perjudicarla, dejó instalada una bomba lógica: un programa que quedó latente y se activó en una fecha programada. Cuando se disparó, inutilizó de forma simultánea más de 3.000 equipos informáticos, afectando la operación de cientos de oficinas, con un perjuicio tasado en varios cientos de miles de euros.
El Tribunal Supremo confirmó la condena «como autor criminalmente responsable de un delito de daños en sistemas informáticos, del art. 264 bis, 1, a y c) CP en relación con el del art. 264 ter CP».
Tribunal Supremo de España, Sala de lo Penal, STS 183/2024, 29 feb. 2024.
Ese artículo 264 ter español es el equivalente del 269E colombiano: castiga el uso del programa concebido para dañar. El caso muestra por qué la ley trata el software malicioso como delito autónomo: la herramienta se creó y se colocó con antelación, y el reproche penal recae sobre esa conducta preparatoria, no solo sobre el daño final. Es una decisión extranjera —no obliga a los jueces colombianos—, pero es un criterio persuasivo valioso, precisamente porque nuestro tipo penal proviene de la misma fuente: el artículo 6 del Convenio de Budapest y la Guía sobre malware del Comité de la Convención (T-CY).
Hacia dónde va: la inteligencia artificial y el Convenio de Budapest
El reto ya no es solo el malware escrito a mano. La inteligencia artificial permite generar software malicioso y campañas de ataque que se adaptan solas a cada víctima. Por eso el Comité de la Convención de Budapest creó un Grupo de Trabajo sobre Inteligencia Artificial, encargado de preparar un estudio (2025-2026) sobre cibercrimen, evidencia electrónica e inteligencia artificial, con recomendaciones para actualizar el marco internacional.
La conclusión para Colombia es directa: el artículo 269E se escribió en 2009, pero su interpretación tendrá que evolucionar al ritmo de la tecnología que pretende contener. En Estudio Penal Abogados seguimos de cerca esa evolución para anticiparla en la defensa. Si lo investigan, asumimos su defensa técnica.
¿Qué hacer si su empresa enfrenta un caso de software malicioso?
Si su empresa es víctima de un ataque con malware, el primer paso no es apagar los equipos, sino preservar la evidencia digital. La denuncia se puede presentar de forma virtual o presencial, pero el valor probatorio de un caso informático depende de la integridad de la información recolectada y de su cadena de custodia. Un acompañamiento penal desde el primer momento evita que la prueba se contamine y se pierda el caso.
Si es usted —o su empresa— quien está siendo investigado, hay defensas técnicas concretas. La Fiscalía debe probar la autoría del software malicioso, y la prueba digital es frágil. La interceptación de comunicaciones la ordena el fiscal, debe fundamentarse por escrito y queda sometida al control posterior de legalidad del juez de control de garantías; su prórroga, en cambio, sí exige control previo. La búsqueda selectiva en bases de datos que acceda a información confidencial del indiciado o imputado requiere autorización previa del juez de control de garantías. Una evidencia digital obtenida sin esos controles, o con una cadena de custodia rota, puede ser excluida del proceso. Evaluar esas nulidades a tiempo cambia el resultado; programe una consulta confidencial antes de rendir cualquier interrogatorio.
Evalúe su caso con un especialista en delitos informáticos →
Preguntas frecuentes sobre el uso de software malicioso (art. 269E)
¿Qué es el uso de software malicioso en Colombia?
Es el delito del artículo 269E del Código Penal que castiga producir, traficar, adquirir, distribuir, vender, enviar, introducir o extraer del país software malicioso o programas de efectos dañinos, como virus, troyanos o ransomware. Fue creado por la Ley 1273 de 2009.
¿Cuántos años de cárcel tiene el uso de software malicioso?
La pena es de prisión de 48 a 96 meses, es decir, de 4 a 8 años, y multa de 100 a 1.000 salarios mínimos legales mensuales vigentes. Si concurre alguna circunstancia de agravación del artículo 269H, la pena se aumenta de la mitad a las tres cuartas partes.
¿Es necesario causar un daño para que exista el delito?
No. El uso de software malicioso es un delito de peligro: se consuma con solo producir, distribuir o comercializar el programa dañino, aunque nunca llegue a activarse ni a causar un daño real. Si además destruye o altera datos, concurre con el delito de daño informático (artículo 269D).
¿El delito del artículo 269E se investiga de oficio o requiere denuncia?
Se investiga de oficio. Los delitos contra la información y los datos de la Ley 1273 no están en la lista de delitos querellables del Código de Procedimiento Penal, de modo que la Fiscalía puede iniciar la investigación sin necesidad de querella de la víctima.
¿En cuánto tiempo prescribe el delito de uso de software malicioso?
El artículo 269E fue adicionado por la Ley 1273 de 2009, de modo que solo se tramita por la Ley 906 de 2004: no hay «etapa de instrucción», sino indagación e investigación. Antes de la formulación de imputación, la acción penal prescribe en un término igual al máximo de la pena, ocho años, sin que pueda ser inferior a cinco (artículo 83 del Código Penal). La formulación de imputación interrumpe ese término y desde ahí vuelve a correr por la mitad, esto es, cuatro años, sin que ese lapso pueda ser inferior a tres (artículo 292 del Código de Procedimiento Penal) ni superior a diez (artículo 86 del Código Penal).
¿Qué diferencia hay entre el uso de software malicioso (269E) y el daño informático (269D)?
El 269E castiga crear o distribuir el programa dañino y se consuma sin necesidad de daño, porque es un delito de peligro. El 269D, en cambio, exige un daño efectivo: destruir, borrar o alterar datos o un sistema. Un mismo ataque puede configurar los dos delitos en concurso.
¿Cómo se prueba el uso de software malicioso?
Con evidencia digital y peritaje informático forense: imágenes forenses de los equipos, análisis del código malicioso y trazabilidad del autor, todo sometido a cadena de custodia. La búsqueda selectiva en bases de datos con información confidencial requiere autorización previa del juez de control de garantías. La interceptación de comunicaciones la ordena el fiscal y se somete a control posterior de legalidad. Si ese control falta o llega tarde, o si la cadena de custodia está rota, la prueba puede ser excluida.
Luis Andrés González Rivera
Abogado de la Universidad Externado de Colombia y Especialista en Derecho Procesal Penal de esta misma casa de estudios.
Como Socio Fundador de Estudio Penal, lidera la estrategia de defensa en los escenarios más críticos del proceso. Su trayectoria incluye su paso por la firma Jaime Granados Peña & Asociados, donde perfeccionó la técnica del litigio en casos de alto perfil nacional.
Su práctica se distingue por una visión integral del conflicto: interviene desde la fase de investigación hasta el juicio oral con un enfoque técnico riguroso. Se especializa en Manejo de Crisis Penales, asumiendo la representación cuando la libertad y el patrimonio están en juego.