Acceso abusivo a un sistema informático en Colombia: artículo 269A, pena y defensa
Usted renunció hace un mes, pero su usuario y su contraseña todavía funcionan. Una noche entra «solo para revisar» un correo, o para descargar un archivo que considera suyo. Aunque nadie haya sufrido un daño, en ese instante puede estar cometiendo el delito de acceso abusivo a un sistema informático.
En Estudio Penal Abogados asesoramos tanto a las empresas que descubren un ingreso no autorizado a sus sistemas como a las personas señaladas de haberlo hecho. Esta guía explica qué exige el artículo 269A del Código Penal, cuál es su pena —de 4 a 8 años de prisión— y cómo se defiende un caso de este tipo. Le acompañamos a denunciar un acceso abusivo a sus sistemas.
De dónde viene el artículo 269A
El acceso abusivo llegó al Código Penal con la Ley 1273 de 2009, que agrupó los delitos informáticos en un título propio. Su modelo directo es el artículo 2 del Convenio de Budapest de 2001, el tratado internacional que definió el «acceso ilícito» como una de las conductas básicas contra la seguridad informática.
Conviene recordar un detalle poco conocido: Colombia adoptó ese modelo antes de firmar el tratado. La Ley 1273 es de 2009, pero el país solo se adhirió al Convenio de Budapest con la Ley 1928 de 2018, vigente desde 2020. Primero se legisló con la fórmula extranjera y después se ratificó la fuente.
¿Qué es el delito de acceso abusivo a un sistema informático?
El acceso abusivo consiste en ingresar a un sistema informático sin autorización, o mantenerse en él contra la voluntad de quien tiene derecho a excluirlo. El bien jurídico que protege es la seguridad de la información y de los sistemas. Y si lo investigan, asumimos su defensa por acceso abusivo.
Es un delito de mera conducta: se consuma con el solo hecho de entrar o permanecer sin permiso, aunque el intruso no copie, borre ni altere nada. La ley protege el sistema en sí mismo, como un espacio cerrado al que no se puede entrar sin llave. Da igual que el sistema esté o no protegido con una medida de seguridad: lo decisivo es la falta de autorización.
Texto vigente del artículo 269A del Código Penal
Artículo 269A. Acceso abusivo a un sistema informático. El que, sin autorización o por fuera de lo acordado, acceda en todo o en parte a un sistema informático protegido o no con una medida de seguridad, o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.
Ley 599 de 2000, art. 269A, adicionado por la Ley 1273 de 2009. Norma vigente.
La conducta tiene dos verbos rectores: acceder y mantenerse. El primero castiga a quien entra; el segundo, a quien entró legítimamente pero se queda cuando ya no debía —el caso del empleado cuyo permiso terminó con el contrato—. La expresión «por fuera de lo acordado» es clave: comete el delito quien tenía acceso para una cosa y lo usa para otra distinta.
¿Lo investigan por acceso abusivo? Hable con un abogado penalista →
¿Qué ha dicho la Corte Suprema sobre el artículo 269A?
El acceso abusivo es uno de los pocos delitos informáticos que sí ha llegado a la Corte Suprema, aunque con cuentagotas. La producción jurisprudencial sobre el conjunto de la Ley 1273 sigue siendo escasa, y por eso en Estudio Penal Abogados completamos el análisis con el tratado que le da origen y con el derecho comparado.
Un ejemplo colombiano ilustra la conducta con claridad. En la sentencia CSJ SP473-2023, 22 nov. 2023, rad. 57922, la Corte examinó el caso de una funcionaria de una entidad estatal que, sin autorización de su superior, ingresó al sistema informático de la institución y añadió datos. Fue procesada por acceso abusivo en concurso con otros delitos. El caso muestra el perfil más común de este tipo penal: la persona que tiene acceso por su cargo y lo desborda.
Glosario: 5 términos para entender el artículo 269A
- Sistema informático: conjunto de equipos y programas que almacenan o procesan datos, desde el servidor de una empresa hasta una cuenta de correo o una plataforma en la nube.
- Credenciales: el usuario y la contraseña que autorizan a una persona a entrar a un sistema. Usarlas después de perder el permiso convierte el acceso en abusivo.
- Medida de seguridad: la barrera que protege el sistema (contraseña, cifrado, doble factor). El delito existe aunque el sistema no la tenga.
- Ataque de fuerza bruta: técnica que prueba miles de combinaciones de clave hasta acertar la correcta.
- Acceso remoto: ingreso al sistema desde otro lugar a través de una red, sin estar físicamente frente al equipo.
Un caso real: el empleado que siguió entrando tras el despido
La forma más frecuente de este delito no es el hacker anónimo, sino el trabajador desleal. Lo confirma una sentencia reciente del Tribunal Supremo español, cuyo Código Penal castiga la misma conducta en el artículo 197 bis (la llamada «intrusión informática»).
En la STS 569/2025, un empleado fue despedido de una empresa y, dos días después, entró a sus sistemas con claves que aún conocía —»habiendo perdido la autorización» que le daba su relación laboral—. Cambió contraseñas, bloqueó la venta en línea y borró correos de clientes. El Tribunal confirmó la condena por acceso no autorizado a un sistema de información en concurso con la obstaculización de su funcionamiento. La regla es sencilla y sirve igual en Colombia: la autorización caduca con el vínculo laboral; seguir entrando después es delito.
Hacia dónde va: la inteligencia artificial y el Convenio de Budapest
El acceso ya no siempre exige a un experto. La inteligencia artificial automatiza los intentos de intrusión —probar credenciales filtradas a gran escala o adivinar contraseñas en segundos—. Consciente de ese salto, el Comité de la Convención de Budapest creó un Grupo de Trabajo sobre Inteligencia Artificial, encargado de estudiar (2025-2026) cómo adaptar el tratado a estas nuevas formas de ataque. Es la fuente de la que, tarde o temprano, beberá también la interpretación del 269A en Colombia.
¿Qué hacer si lo investigan por acceso abusivo?
Si es su empresa la afectada, lo primero es preservar los registros de acceso (los «logs») y la evidencia digital con cadena de custodia; sin esa trazabilidad, es muy difícil probar quién entró y cuándo. Un acompañamiento penal temprano asegura que la prueba no se contamine.
Si es usted el señalado, la defensa suele girar en torno a la autorización y a la prueba. ¿Realmente había perdido el permiso? ¿El acceso estaba «por fuera de lo acordado» o dentro de sus funciones? ¿La evidencia digital se obtuvo con las autorizaciones judiciales necesarias? Una búsqueda en bases de datos hecha sin control del juez de garantías puede ser excluida. Antes de rendir cualquier versión, programe una consulta confidencial.
Evalúe su caso con un especialista en delitos informáticos →
Preguntas frecuentes sobre el acceso abusivo a un sistema informático
¿Qué es el acceso abusivo a un sistema informático?
Es el delito del artículo 269A del Código Penal que castiga ingresar sin autorización, o por fuera de lo acordado, a un sistema informático, o mantenerse en él contra la voluntad de quien puede excluirlo. Fue creado por la Ley 1273 de 2009.
¿Cuántos años de cárcel tiene el acceso abusivo en Colombia?
La pena es de prisión de 48 a 96 meses, es decir, de 4 a 8 años, y multa de 100 a 1.000 salarios mínimos legales mensuales vigentes. Si concurre una circunstancia de agravación del artículo 269H, la pena se aumenta de la mitad a las tres cuartas partes.
¿Se necesita vulnerar una medida de seguridad para que exista el delito?
No. El artículo 269A castiga el acceso a un sistema «protegido o no con una medida de seguridad». Lo determinante es la falta de autorización, no que haya que romper una contraseña o un cifrado.
¿Comete el delito quien tenía la clave por su trabajo?
Puede cometerlo. Si accede «por fuera de lo acordado» —para un fin distinto al autorizado— o se mantiene en el sistema después de que terminó su permiso, por ejemplo tras el despido, incurre en acceso abusivo aunque las credenciales fueran suyas.
¿El acceso abusivo se investiga de oficio?
Sí. Los delitos de la Ley 1273 no figuran entre los querellables del Código de Procedimiento Penal, de modo que la Fiscalía puede iniciar la investigación de oficio, sin necesidad de querella de la víctima.
¿En cuánto tiempo prescribe el acceso abusivo?
Antes de la imputación, la acción penal prescribe en un tiempo igual al máximo de la pena: ocho años para el acceso abusivo, sin que pueda ser inferior a cinco (artículo 83 del Código Penal). La formulación de imputación interrumpe ese término y desde ahí vuelve a correr por la mitad, esto es, cuatro años, sin que ese lapso pueda ser inferior a tres (artículo 292 del Código de Procedimiento Penal) ni superior a diez (artículo 86 del Código Penal). Si el delito lo comete un servidor público en ejercicio de sus funciones, el término se aumenta en la mitad.
¿Cómo se prueba quién accedió al sistema?
Con los registros de acceso o «logs», las direcciones IP, y el peritaje informático forense, siempre bajo cadena de custodia. La búsqueda en bases de datos y la interceptación de comunicaciones requieren autorización judicial previa; sin ella, la prueba puede excluirse.
Luis Andrés González Rivera
Abogado de la Universidad Externado de Colombia y Especialista en Derecho Procesal Penal de esta misma casa de estudios.
Como Socio Fundador de Estudio Penal, lidera la estrategia de defensa en los escenarios más críticos del proceso. Su trayectoria incluye su paso por la firma Jaime Granados Peña & Asociados, donde perfeccionó la técnica del litigio en casos de alto perfil nacional.
Su práctica se distingue por una visión integral del conflicto: interviene desde la fase de investigación hasta el juicio oral con un enfoque técnico riguroso. Se especializa en Manejo de Crisis Penales, asumiendo la representación cuando la libertad y el patrimonio están en juego.