Phishing y suplantación de sitios web en Colombia: artículo 269G, pena y defensa
Usted recibe un correo de «su banco» con un enlace. La página que abre es idéntica a la real: el mismo logo, los mismos colores. Ingresa su usuario y su clave sin sospechar que está en un sitio falso, montado para «pescar» sus datos. Ese engaño digital tiene un nombre técnico —phishing— y un delito propio en Colombia: la suplantación de sitios web para capturar datos personales. Le ayudamos a denunciar phishing ante la Fiscalía con la evidencia técnica correcta.
En Estudio Penal Abogados representamos a las víctimas de estos fraudes y defendemos a quienes son señalados de participar en ellos. Esta guía explica el artículo 269G del Código Penal, su pena —de 4 a 8 años de prisión— y las líneas de defensa.
El origen del 269G: falsedad y fraude en clave digital
El phishing combina dos conductas tan viejas como el derecho penal: falsificar y estafar. La Ley 1273 de 2009 les dio una versión digital inspirada en el Convenio de Budapest —cuyos artículos 7 y 8 tratan la falsedad y el fraude informáticos— y en el trabajo del Comité de ese convenio, que le dedicó una guía específica al robo de identidad y al phishing.
Colombia, fiel al patrón del capítulo, adoptó la figura en 2009 y solo se adhirió al convenio con la Ley 1928 de 2018. La herramienta internacional llegó antes como norma interna que como tratado ratificado.
¿Qué es el delito de suplantación de sitios web?
El artículo 269G castiga a quien, con objeto ilícito, diseña, desarrolla, vende, ejecuta, programa o envía páginas electrónicas, enlaces o ventanas emergentes para capturar datos. Y castiga igual el pharming: manipular el sistema que traduce los nombres de dominio para que el usuario, creyendo entrar a su banco, aterrice en una dirección falsa.
Es, en esencia, un delito de peligro: se consuma con crear o enviar la página trampa, aunque ninguna víctima llegue a caer. La ley se adelanta al fraude y castiga la fabricación del anzuelo. Además es subsidiario: si el phishing logra una transferencia de dinero, entran a jugar delitos con pena mayor, como el hurto por medios informáticos o la transferencia no consentida de activos.
Texto vigente del artículo 269G del Código Penal
Artículo 269G. Suplantación de sitios web para capturar datos personales. El que con objeto ilícito y sin estar facultado para ello, diseñe, desarrolle, trafique, venda, ejecute, programe o envíe páginas electrónicas, enlaces o ventanas emergentes, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes, siempre que la conducta no constituya delito sancionado con pena más grave.
En la misma sanción incurrirá el que modifique el sistema de resolución de nombres de dominio, de tal manera que haga entrar al usuario a una IP diferente en la creencia de que acceda a su banco o a otro sitio personal o de confianza, siempre que la conducta no constituya delito sancionado con pena más grave.
La pena señalada en los dos incisos anteriores se agravará de una tercera parte a la mitad, si para consumarlo el agente ha reclutado víctimas en la cadena del delito. Si lo señalan a usted, contamos con abogados para investigados por estos delitos.
Ley 599 de 2000, artículo 269G, adicionado por el artículo 1 de la Ley 1273 de 2009.
¿Víctima o investigado por phishing? Hable con un abogado penalista →
¿Qué ha dicho la Corte Suprema sobre el artículo 269G?
La Sala de Casación Penal no tiene jurisprudencia de fondo sobre el phishing, en consonancia con la escasa producción sobre los delitos informáticos en general. Sí existe, sin embargo, un pronunciamiento tangencial: en el concepto de extradición CSJ CP027-2025, 19 feb. 2025, rad. 67698, la Corte examinó la solicitud de otro país para juzgar a una persona por un fraude de phishing —la creación de una página falsa de un banco para capturar usuario y clave de los clientes— y encuadró esa conducta, para efectos de la doble incriminación, en el artículo 269G. En Estudio Penal Abogados completamos el análisis con el Convenio de Budapest y con el derecho comparado.
Glosario: 5 términos para entender el artículo 269G
- Phishing: envío de correos o mensajes con enlaces a páginas falsas para que la víctima entregue sus datos creyendo que está en un sitio legítimo.
- Vishing: la misma trampa, pero por llamada telefónica, suplantando a un banco o una entidad.
- Smishing: variante por mensaje de texto (SMS) con enlaces o instrucciones fraudulentas.
- Pharming: manipulación técnica que desvía al usuario a una página falsa aunque escriba correctamente la dirección real.
- Falsedad de identidad virtual: suplantación de la imagen o el nombre de una entidad de confianza en el entorno digital.
Un caso real: la página falsa que copiaba a un banco
El esquema clásico quedó retratado en una sentencia del Tribunal Supremo español. Personas desconocidas, mediante phishing, enviaron correos a los clientes de una entidad bancaria simulando provenir del propio banco. Las víctimas, creyendo estar en el sitio auténtico, facilitaron sus claves, con las que los atacantes accedieron a sus cuentas en línea.
En la STS 379/2019, el Tribunal abordó ese fraude como estafa informática —la vía por la que España persigue el phishing, al no tener un tipo autónomo como el colombiano—. El caso muestra la estructura completa del delito: la captación mediante la página falsa, y luego el uso de las claves para vaciar las cuentas. En Colombia, esa segunda fase corresponde a otros tipos penales (269I o 269J), lo que explica por qué el 269G es subsidiario.
Hacia dónde va: la inteligencia artificial y el Convenio de Budapest
El phishing es hoy el terreno donde más se nota la inteligencia artificial. El propio Comité de la Convención de Budapest advierte que la IA permite campañas de phishing automatizadas que se adaptan a cada víctima, además de voces y videos falsos («deepfakes») que hacen el engaño casi indetectable. Por eso el Comité creó un Grupo de Trabajo sobre Inteligencia Artificial, que prepara para 2025-2026 un estudio sobre el impacto de la IA en el cibercrimen. Es la discusión que redefinirá este delito.
¿Qué hacer si es víctima de phishing o si lo investigan por el 269G?
Si cayó en un fraude de phishing, actúe rápido: reporte a su banco, conserve los correos, enlaces y capturas, y no borre nada. Esa evidencia es la que permite rastrear el origen del ataque y respaldar la denuncia. Puede contáctenos aquí para orientar la reclamación y la denuncia penal.
Si es la persona investigada, la defensa se enfoca en el rol y en la prueba. En estas tramas suele haber muchos eslabones —quien crea la página, quien envía los correos, quien presta su cuenta—, y no todos responden igual. Determinar con precisión la conducta atribuida, y revisar la licitud de la prueba digital, es esencial. Antes de rendir versión, programe una consulta.
Evalúe su caso con un especialista en delitos informáticos →
Preguntas frecuentes sobre el phishing y la suplantación de sitios web
¿Qué es la suplantación de sitios web o phishing?
Es el delito del artículo 269G del Código Penal que castiga diseñar, programar o enviar páginas o enlaces falsos para capturar datos personales, así como el pharming, que desvía al usuario a un sitio falso. Se conoce popularmente como phishing.
¿Cuántos años de cárcel tiene el phishing en Colombia?
La pena del artículo 269G es de prisión de 48 a 96 meses —de 4 a 8 años— y multa de 100 a 1.000 salarios mínimos legales mensuales vigentes. Si para consumar la conducta el agente reclutó víctimas en la cadena del delito, esa pena se agrava de una tercera parte a la mitad, con lo que el máximo llega a 144 meses.
¿Es necesario que alguien caiga en la trampa para que exista el delito?
No. El artículo 269G es un delito de peligro: se consuma con diseñar, programar o enviar la página o el enlace falso, aunque ninguna víctima llegue a entregar sus datos. La conducta reprochada es fabricar y difundir el anzuelo.
¿Qué diferencia hay entre el phishing y el hurto por medios informáticos?
El 269G castiga crear la página falsa para capturar datos. Si con esos datos se sustrae dinero, la conducta pasa al hurto por medios informáticos (269I) o a la transferencia no consentida (269J), que tienen pena mayor. Por eso el 269G es subsidiario.
¿Prestar mi cuenta para recibir el dinero de un phishing es delito?
Puede serlo. Quien presta su cuenta para recibir y trasladar dinero de origen fraudulento —el llamado «mulero»— suele ser investigado por lavado de activos o como partícipe del fraude. La creencia de que era un «trabajo legítimo» debe evaluarse con un abogado.
¿En cuánto tiempo prescribe el delito del artículo 269G?
Antes de la formulación de imputación, la acción penal por el artículo 269G prescribe en un tiempo igual al máximo de la pena —ocho años—, sin que pueda ser inferior a cinco (artículo 83 del Código Penal). La imputación interrumpe ese término y, a partir de ella, vuelve a correr por la mitad: cuatro años, sin que ese lapso pueda ser inferior a tres (artículo 292 del Código de Procedimiento Penal) ni superior a diez (artículo 86 del Código Penal). Si opera el agravante del inciso tercero, por reclutamiento de víctimas, el máximo sube a 144 meses y el término posterior a la imputación es de seis años.
Luis Andrés González Rivera
Abogado de la Universidad Externado de Colombia y Especialista en Derecho Procesal Penal de esta misma casa de estudios.
Como Socio Fundador de Estudio Penal, lidera la estrategia de defensa en los escenarios más críticos del proceso. Su trayectoria incluye su paso por la firma Jaime Granados Peña & Asociados, donde perfeccionó la técnica del litigio en casos de alto perfil nacional.
Su práctica se distingue por una visión integral del conflicto: interviene desde la fase de investigación hasta el juicio oral con un enfoque técnico riguroso. Se especializa en Manejo de Crisis Penales, asumiendo la representación cuando la libertad y el patrimonio están en juego.