Delitos informáticos en Colombia: Ley 1273 de 2009, penas y defensa

Un empleado de su empresa recibe un correo que parece del banco, hace clic en un enlace y, sin saberlo, entrega las claves de la tesorería. Horas después, varios millones de pesos han salido hacia cuentas desconocidas. O quizá descubre que un exempleado se llevó la base de datos de clientes, o que alguien clonó el sitio web de su compañía para estafar a sus usuarios. Todas estas conductas son delitos informáticos, y en Colombia tienen penas de prisión que arrancan, por regla general, en cuatro años.

Los delitos informáticos están tipificados en los artículos 269A a 269J del Código Penal, adicionados por la Ley 1273 de 2009. En este artículo, Estudio Penal Abogados explica cada conducta, las penas exactas vigentes, cómo se diferencia el hurto por medios informáticos del hurto común y de la estafa, qué ha resuelto la Corte Suprema de Justicia y qué debe hacer una empresa cuando es víctima —o cuando uno de sus directivos o empleados resulta investigado.

¿Qué son los delitos informáticos en Colombia?

Los delitos informáticos, también llamados ciberdelitos, son conductas que atentan contra la información y los datos usando sistemas informáticos, redes de telecomunicaciones o tecnologías de la información. En el Código Penal colombiano forman un título propio: el Título VII BIS, «De la protección de la información y de los datos», que fue agregado en bloque por la Ley 1273 de 2009.

Lo relevante de esa ley es que creó un bien jurídico nuevo y autónomo: la información y los datos. Antes de 2009, atacar un sistema informático solo se castigaba si encajaba forzadamente en delitos clásicos como el hurto o el daño en bien ajeno. Hoy, el solo hecho de acceder sin autorización a un sistema —aunque no se sustraiga nada— ya es delito.

El título se divide en dos capítulos. El Capítulo I agrupa los atentados contra la confidencialidad, la integridad y la disponibilidad de los datos y de los sistemas informáticos (artículos 269A a 269H): acceso abusivo, obstaculización, interceptación, daño informático, software malicioso, violación de datos personales y suplantación de sitios web. El Capítulo II, «De los atentados informáticos y otras infracciones» (artículos 269I y 269J), recoge los ataques al patrimonio cometidos por medios informáticos: el hurto por medios informáticos y la transferencia no consentida de activos. Esta segunda categoría es la que más golpea a las empresas.

Los delitos informáticos de la Ley 1273 de 2009, artículo por artículo

El Título VII BIS contiene diez artículos, de los cuales nueve son tipos penales (269A a 269G, 269I y 269J); el 269H no describe conducta alguna, sino las circunstancias de agravación aplicables a todos los demás. Estos son los nueve delitos, con su verbo rector y su pena vigente, que es la fijada directamente por la Ley 1273 de 2009.

Acceso abusivo a un sistema informático (artículo 269A)

Comete este delito quien, sin autorización o por fuera de lo acordado, accede en todo o en parte a un sistema informático —protegido o no con una medida de seguridad— o se mantiene dentro de él contra la voluntad de quien tiene derecho a excluirlo. Es un delito de mera conducta: se consuma con el solo acceso indebido, sin que haga falta causar un daño o sustraer información.

«El que, sin autorización o por fuera de lo acordado, acceda en todo o en parte a un sistema informático protegido o no con una medida de seguridad, o se mantenga dentro del mismo en contra de la voluntad de quien tenga el legítimo derecho a excluirlo, incurrirá en pena de prisión de cuarenta y ocho (48) a noventa y seis (96) meses y en multa de 100 a 1.000 salarios mínimos legales mensuales vigentes.»

Ley 599 de 2000, art. 269A (adicionado por el art. 1 de la Ley 1273 de 2009). Texto vigente.

La pena es de 48 a 96 meses de prisión (4 a 8 años) y multa de 100 a 1.000 SMLMV. Es el delito típico del empleado que entra a un sistema al que ya no tiene acceso autorizado, o del que excede los permisos que su cargo le concede.

Obstaculización ilegítima de sistema informático o red de telecomunicación (artículo 269B)

Sanciona a quien, sin estar facultado, impide u obstaculiza el funcionamiento o el acceso normal a un sistema informático, a los datos allí contenidos o a una red de telecomunicaciones. La pena es de 48 a 96 meses de prisión y multa de 100 a 1.000 SMLMV, siempre que la conducta no constituya delito sancionado con una pena mayor. Cubre, por ejemplo, los ataques de denegación de servicio que dejan caída la plataforma de una empresa.

Interceptación de datos informáticos (artículo 269C)

Castiga a quien, sin orden judicial previa, intercepta datos informáticos en su origen, destino o en el interior de un sistema, o las emisiones electromagnéticas provenientes de un sistema informático que los transporte. La pena es de 36 a 72 meses de prisión (3 a 6 años). Es el único tipo del Título VII BIS que fija pena propia sin multa; el hurto por medios informáticos (269I) tampoco la contempla, pero porque remite a las penas del artículo 240.

Daño informático (artículo 269D)

Sanciona a quien, sin estar facultado, destruye, daña, borra, deteriora, altera o suprime datos informáticos, o un sistema de tratamiento de información o sus partes o componentes lógicos. Pena: 48 a 96 meses de prisión y multa de 100 a 1.000 SMLMV. La expresión «sin estar facultado» es decisiva y es, como se verá, el terreno donde se ganan y se pierden estos casos.

Uso de software malicioso (artículo 269E)

Castiga a quien, sin estar facultado, produce, trafica, adquiere, distribuye, vende, envía, introduce o extrae del territorio nacional software malicioso —virus, troyanos, ransomware— u otros programas de computación de efectos dañinos. Pena: 48 a 96 meses de prisión y multa de 100 a 1.000 SMLMV.

Violación de datos personales (artículo 269F)

Sanciona a quien, sin estar facultado para ello y con provecho propio o de un tercero, obtiene, compila, sustrae, ofrece, vende, intercambia, envía, compra, intercepta, divulga, modifica o emplea códigos personales o datos personales contenidos en ficheros, archivos, bases de datos o medios semejantes. Pena: 48 a 96 meses de prisión y multa de 100 a 1.000 SMLMV.

Ese ingrediente subjetivo —el provecho propio o de un tercero— no es decorativo: es un elemento del tipo. Si la Fiscalía no lo acredita, la conducta no se adecua al artículo 269F, por más que el manejo de la base de datos haya sido irregular. Es el delito que suele imputarse cuando un exempleado se lleva la base de clientes o cuando se filtra información personal de una compañía.

Suplantación de sitios web para capturar datos personales — phishing (artículo 269G)

Castiga a quien, con objeto ilícito y sin estar facultado para ello, diseña, desarrolla, trafica, vende, ejecuta, programa o envía páginas electrónicas, enlaces o ventanas emergentes. En la misma sanción incurre quien modifica el sistema de resolución de nombres de dominio para hacer entrar al usuario a una IP distinta creyendo que accede a su banco o a otro sitio de confianza —lo que técnicamente se conoce como pharming—. Pena: 48 a 96 meses de prisión y multa de 100 a 1.000 SMLMV, siempre que la conducta no constituya delito sancionado con pena más grave. La pena se agrava de una tercera parte a la mitad si, para consumarlo, el agente ha reclutado víctimas en la cadena del delito.

Hurto por medios informáticos y semejantes (artículo 269I)

Comete este delito quien, superando medidas de seguridad informáticas, realiza la conducta del artículo 239 —apoderarse de una cosa mueble ajena con el propósito de obtener provecho— manipulando un sistema informático, una red de sistema electrónico, telemático u otro medio semejante, o suplantando a un usuario ante los sistemas de autenticación y de autorización establecidos.

El verbo es «superar», no «eludir»: la norma exige que existan medidas de seguridad y que el agente las venza. Ese matiz no es cosmético, porque la superación de la barrera de seguridad es precisamente lo que la defensa discute en la mayoría de estos procesos. El artículo no fija pena propia: remite a las del artículo 240, es decir, las del hurto calificado.

Transferencia no consentida de activos (artículo 269J)

Sanciona a quien, con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante, consigue la transferencia no consentida de cualquier activo en perjuicio de un tercero, siempre que la conducta no constituya delito sancionado con pena más grave. Pena: 48 a 120 meses de prisión (4 a 10 años) y multa de 200 a 1.500 SMLMV. Si la cuantía supera los 200 SMLMV, la sanción se incrementa en la mitad. El mismo artículo castiga a quien fabrique, introduzca, posea o facilite el programa de computador destinado a cometer la transferencia o una estafa.

Ciberdelito y fraude a empresas: phishing, hurto informático y transferencia no consentida

Para una empresa, los tres tipos penales que más importan son el phishing (269G), el hurto por medios informáticos (269I) y la transferencia no consentida de activos (269J). Casi todos los fraudes corporativos por canales digitales encajan en una combinación de ellos.

El esquema típico funciona así: un atacante suplanta el sitio web del banco o de un proveedor de confianza (269G), engaña a un empleado de tesorería para que entregue credenciales, supera con ellas las medidas de seguridad y ordena una transferencia que la víctima nunca autorizó (269J). Cuando además se sustrae la base de datos de clientes o de empleados con provecho para el autor o un tercero, se suma la violación de datos personales (269F). Y cuando el fraude lo comete alguien de adentro —un empleado que manipula el sistema contable o de pagos— suele configurarse el hurto por medios informáticos (269I).

Estas conductas casi nunca llegan solas. Lo habitual es un concurso de delitos y, con frecuencia, concurren con falsedades documentales o con lavado de activos cuando el dinero se mueve después por terceros. Eso eleva de manera importante la pena final y exige una defensa —o una representación de víctima— que entienda el conjunto, no cada delito por separado.

¿Su empresa fue víctima de fraude informático? Hable con un abogado penalista →

Las circunstancias de agravación del artículo 269H

El artículo 269H no crea un delito: aumenta la pena de todos los tipos del título, de la mitad a las tres cuartas partes, cuando concurre alguna de estas ocho circunstancias. Para el contexto empresarial e institucional, las más relevantes son:

• Que la conducta se cometa sobre redes o sistemas informáticos o de comunicaciones estatales u oficiales o del sector financiero, nacionales o extranjeros.
• Que la cometa un servidor público en ejercicio de sus funciones.
• Que se aproveche la confianza depositada por el poseedor de la información o por quien tuviere un vínculo contractual con este.
• Que se revele o dé a conocer el contenido de la información en perjuicio de otro.
• Que se obtenga provecho para sí o para un tercero.
• Que se utilice como instrumento a un tercero de buena fe.
• Que quien incurra en la conducta sea el responsable de la administración, manejo o control de la información. En ese caso se impone además, hasta por tres años, la inhabilitación para el ejercicio de profesión relacionada con sistemas de información.

Estas agravantes son decisivas en los fraudes internos: un empleado de sistemas o de tesorería que abusa de su acceso no solo responde por el delito base, sino por el delito agravado, con una pena considerablemente mayor.

Diferencia entre hurto por medios informáticos, hurto común y estafa

Esta es una de las confusiones más frecuentes, y una de las que más decide el resultado de un proceso. Los tres delitos protegen el patrimonio, pero se configuran de manera distinta y tienen penas distintas.

El hurto común (artículo 239) consiste en apoderarse de una cosa mueble ajena con el propósito de obtener provecho. Su pena base es de 32 a 108 meses de prisión. No interviene ningún sistema informático: es el apoderamiento clásico.

El hurto por medios informáticos (artículo 269I) también es un apoderamiento de cosa ajena, pero realizado superando medidas de seguridad informáticas y manipulando un sistema o suplantando a un usuario. Como el artículo remite al artículo 240, su pena es la del hurto calificado: de 6 a 14 años de prisión en la modalidad básica. Es, por tanto, sustancialmente más grave que el hurto común. La clave está en que la víctima no entrega voluntariamente el bien: el agente lo sustrae burlando los controles del sistema.

La estafa (artículo 246), en cambio, supone que la propia víctima, inducida en error mediante artificios o engaños, entrega o dispone voluntariamente de su patrimonio. La diferencia esencial con el hurto informático es quién realiza el acto de disposición: en la estafa lo hace la víctima engañada; en el hurto informático lo hace el agente, manipulando el sistema. Por eso, cuando alguien clona una página y la víctima, creyendo que paga a su proveedor, transfiere ella misma el dinero, el debate típico es si se trata de transferencia no consentida (269J), de estafa o de un concurso entre ambas, y ese encuadre cambia la pena y la estrategia.

La transferencia no consentida de activos (artículo 269J) se distingue de las anteriores porque el núcleo es la manipulación informática que produce una transferencia que el titular nunca consintió. No exige apoderamiento de una cosa en sentido físico ni necesariamente la disposición voluntaria de la víctima: basta con que, mediante artificio informático y con ánimo de lucro, el activo termine donde el titular no quería.

¿Cuántos años de prisión tienen los delitos informáticos en Colombia?

Las penas dependen del delito concreto. Estas son las vigentes, fijadas por la Ley 1273 de 2009.

• Acceso abusivo a un sistema informático (269A): 48 a 96 meses (4 a 8 años) y multa de 100 a 1.000 SMLMV.
• Obstaculización de sistema o red (269B): 48 a 96 meses y multa de 100 a 1.000 SMLMV.
• Interceptación de datos (269C): 36 a 72 meses (3 a 6 años), sin multa.
• Daño informático (269D): 48 a 96 meses y multa de 100 a 1.000 SMLMV.
• Uso de software malicioso (269E): 48 a 96 meses y multa de 100 a 1.000 SMLMV.
• Violación de datos personales (269F): 48 a 96 meses y multa de 100 a 1.000 SMLMV.
• Suplantación de sitios web — phishing (269G): 48 a 96 meses y multa de 100 a 1.000 SMLMV; agravante de una tercera parte a la mitad si recluta víctimas.
• Hurto por medios informáticos (269I): las penas del artículo 240 (hurto calificado), 6 a 14 años de prisión en la modalidad básica.
• Transferencia no consentida de activos (269J): 48 a 120 meses (4 a 10 años) y multa de 200 a 1.500 SMLMV; la sanción se incrementa en la mitad si la cuantía supera 200 SMLMV.

A todas estas conductas pueden sumarse las agravantes del artículo 269H, que aumentan la pena de la mitad a las tres cuartas partes.

Una precisión técnica importante: estas penas no se incrementan con el aumento general de la Ley 890 de 2004. Ese aumento —una tercera parte en el mínimo y la mitad en el máximo— solo afecta a los tipos penales de la redacción original del Código Penal del año 2000. Como los delitos informáticos fueron creados después, por la Ley 1273 de 2009, su pena es la que fija esa ley, sin sumarle nada más.

La rebaja del artículo 269 del Código Penal: reparar antes de la sentencia

Hay una herramienta de defensa que suele pasarse por alto en los procesos por hurto por medios informáticos. El artículo 269 del Código Penal ordena al juez disminuir la pena de la mitad a las tres cuartas partes si, antes de la sentencia de primera o única instancia, el responsable restituye el objeto material del delito o su valor e indemniza los perjuicios al ofendido.

Durante años se discutió si esa rebaja podía aplicarse al artículo 269I, dado que está ubicado en el Título VII BIS y no en el Título VII de los delitos contra el patrimonio. La Sala de Casación Penal zanjó la discusión y respondió que sí:

«[P]ese a la ubicación sistemática del punible de hurto por medios informáticos y semejantes en el título VII bis del Código Penal, rubricado bajo la denominación de la información y los datos, este bien jurídico resulta ser, para el caso concreto […] de naturaleza meramente intermedia, pues el interés superior protegido de manera directa es el patrimonio económico.»

CSJ SP1245-2015, 11 feb. 2015, rad. 42724, M.P. Eyder Patiño Cabrera

La Corte casó parcialmente ese fallo para reconocer la rebaja del artículo 269, y fijó la pena en 59 meses y 12 días. En otro caso, la reparación integral hecha antes de la sentencia de primera instancia llevó la pena de un condenado por hurto por medios informáticos a 17 meses de prisión, con suspensión condicional de la ejecución de la pena por dos años, al no registrar antecedentes y no estar el delito en el listado del artículo 68A. CSJ SP14302-2016, 5 oct. 2016, rad. 41517, M.P. Luis Guillermo Salazar Otero.

Para una empresa investigada, o para un directivo, esto significa que la negociación de la reparación con la víctima es una decisión estratégica que debe tomarse temprano, no después del juicio. Contáctenos aquí si necesita evaluar ese escenario.

¿Prescriben los delitos informáticos?

Sí. La acción penal prescribe en un tiempo igual al máximo de la pena de prisión, sin que pueda ser inferior a 5 años ni superior a 20 (artículo 83 del Código Penal). Para el acceso abusivo (269A), cuyo máximo es de 96 meses (8 años), la prescripción antes de la formulación de imputación es de 8 años. Tras la imputación, el término se reduce a la mitad, pero nunca baja del piso de 5 años; en este caso, queda en 5 años.

El delito más grave del título, la transferencia no consentida de activos (269J), con un máximo de 120 meses (10 años), prescribe en 10 años antes de la imputación. Hay dos reglas que pueden alargar el cómputo: si el autor es servidor público que actúa en ejercicio de sus funciones, el término se aumenta en la mitad; y si la conducta se inició o consumó en el exterior, también se aumenta en la mitad, siempre respetando el techo de 20 años.

¿Qué ha resuelto la Corte Suprema sobre los delitos informáticos?

La Sala de Casación Penal ha ido fijando criterios que interesan directamente a las empresas y a quienes son investigados. Estos cinco fallos concentran lo esencial.

Usar la clave del jefe «para cumplir metas» sí es delito (SP473-2023)

Una funcionaria de policía judicial utilizó el perfil y la contraseña de su coordinador para ingresar, desde su computador, en 77 ocasiones al sistema interno de gestión de su entidad, e introducir prórrogas inexistentes en 24 investigaciones vencidas. Su defensa sostuvo que se trataba de un asunto laboral o disciplinario, que no había ánimo de causar daño y que existía una autorización «tácita» del superior.

La Corte rechazó esa tesis. Casó en su totalidad la sentencia de segunda instancia, revocó la absolución y condenó por acceso abusivo a un sistema informático y falsedad material en documento público, ambos en modalidad continuada y con la agravante del numeral 2 del artículo 269H —servidor público en ejercicio de sus funciones—, a la pena de 116 meses de prisión. CSJ SP473-2023, 22 nov. 2023, rad. 57922, M.P. Diego Eugenio Corredor Beltrán.

La lección para el sector privado es directa: compartir credenciales, o usar las de otro para «cumplir metas» o cubrir un incumplimiento interno, no es una falta menor ni un asunto de recursos humanos. Es un delito autónomo que puede concurrir con falsedades y conducir a condena.

Mover archivos a la papelera de reciclaje no es daño informático (SP2699-2022)

La jefa de recursos humanos de una cooperativa, el día en que entregaba su puesto, trasladó archivos de una carpeta compartida del servidor a la papelera de reciclaje. Fue absuelta en primera instancia, condenada por el Tribunal y, al resolver la impugnación especial, la Sala de Casación Penal revocó la condena y la absolvió por atipicidad.

El razonamiento tiene dos ejes que toda empresa debería conocer. Primero, la acusación nunca acreditó que la procesada careciera de facultades para manipular esos archivos: el jefe de sistemas declaró que su equipo tenía permisos para borrar archivos del servidor, y de ese alcance dependía la licitud de la conducta. Segundo, y de forma independiente, «la conducta de trasladar los archivos desde una carpeta compartida hasta la «papelera de reciclaje», en el mismo disco duro, sigue siendo atípica de borrar datos informáticos».

La Sala añadió que existían dudas sobre el dolo: la empleada actuó a plena vista de sus compañeras y de quien la reemplazaba, bajo dos cámaras de vigilancia, sabiendo que existían copias de respaldo y sin vaciar la papelera pese a disponer de tiempo para hacerlo. CSJ SP2699-2022, 3 ago. 2022, rad. 59733, M.P. Fernando León Bolaños Palacios.

El acceso hay que probarlo: no basta tener la información (SP1477-2025)

En el marco de una crisis societaria, un accionista fue acusado de acceso abusivo agravado a la cuenta de correo de otro socio, porque tenía en su poder una cadena de correos de aquel y la usó en un trámite ante una superintendencia. El Tribunal lo absolvió y el apoderado de víctimas recurrió en casación. La Corte no casó la sentencia.

La Sala fue clara sobre la estructura del tipo penal y sobre la carga probatoria de quien acusa:

«Una cosa es acceder al sistema informático abusivamente y otra extraer y usar la información allí contenida […] el acceso constituía al delito en uno de mera conducta, pero que el uso o la revelación de la información extraída por medio del acceso abusivo al sistema informático además de que configuraba una causal de agravación convertía al delito en uno de resultado.»

CSJ SP1477-2025, 21 may. 2025, rad. 59074, M.P. Gerson Chaverra Castro

Como los correos habían sido reenviados desde la cuenta de un tercero y no desde la del denunciante, la tenencia del mensaje no probaba la intrusión. La Corte insistió en que el hecho jurídicamente relevante era el acceso a una cuenta determinada, y que no podía condenarse por una conducta distinta a la imputada. Es la mejor ilustración de por qué la denuncia empresarial debe construirse con evidencia técnica —registros de acceso, direcciones IP— y no con inferencias.

El insider que manipula un sistema institucional (SP030-2023)

El sistema de reparto de un centro de servicios judiciales fue manipulado para asignar irregularmente un expediente a un despacho determinado, dentro de una maniobra por la que un condenado pagó una suma millonaria a un abogado a cambio de una rebaja de pena y de la prisión domiciliaria. El Tribunal condenó a uno de los intervinientes como cómplice de acceso abusivo a un sistema informático y daño informático, ambos agravados, y como autor de prevaricato por acción. La Sala de Casación Penal confirmó la sentencia. CSJ SP030-2023, 8 feb. 2023, rad. 58252, M.P. Myriam Ávila Roldán.

El caso muestra el patrón más costoso para cualquier organización: la manipulación de un sistema desde adentro, con la agravante del artículo 269H y en concurso con delitos contra la administración pública.

El fraude con tarjetas clonadas como hurto por medios informáticos (SP1245-2015)

Una organización dedicada a clonar tarjetas de crédito grababa la información de las bandas magnéticas en plásticos falsos y contactaba a administradores de establecimientos de comercio, a quienes ofrecía entre el 40% y el 50% del monto por realizar compras ficticias. Los procesados fueron condenados por hurto por medios informáticos y semejantes agravado, en concurso con concierto para delinquir y falsedad en documento privado. CSJ SP1245-2015, 11 feb. 2015, rad. 42724.

Además de reconocer la rebaja por reparación integral, la Corte negó la suspensión condicional de la ejecución de la pena y la prisión domiciliaria. La lección es que el reconocimiento de la rebaja no arrastra automáticamente los subrogados: son decisiones independientes.

¿Qué hacer si su empresa es víctima de un delito informático?

La reacción de las primeras horas determina buena parte del resultado. Si su compañía sufrió un fraude por canales digitales, estos son los pasos esenciales.

1. Preserve la evidencia digital de inmediato. No apague ni formatee equipos. Conserve correos, registros de acceso (logs), direcciones IP, comprobantes de transferencia y capturas. La cadena de custodia de la evidencia electrónica es frágil y decisiva: la jurisprudencia reciente ha absuelto precisamente por no haberse establecido el equipo desde el cual se hizo el acceso.
2. Notifique al banco y bloquee operaciones. En las transferencias no consentidas, la rapidez puede permitir congelar fondos antes de que se dispersen.
3. Documente el alcance del acceso y de los permisos. Deje constancia de qué perfiles tenía cada persona y qué estaba autorizada a hacer. Sin esa prueba, la ausencia de facultades —elemento del tipo en los artículos 269B, 269D, 269E y 269F— no se acredita.
4. Documente la filtración de datos personales. Si hubo violación de datos personales, además del proceso penal pueden surgir obligaciones ante la autoridad de protección de datos.
5. Formule la denuncia penal con asesoría especializada. Una denuncia técnicamente bien construida, que califique correctamente las conductas (269G, 269I, 269J, 269F) y aporte la evidencia desde el inicio, acelera y orienta la investigación. Y evita la acusación por un hecho que después no puede probarse.

Si su empresa fue víctima, o si un directivo o empleado está siendo investigado por alguna de estas conductas, programe una consulta para evaluar el caso. En Estudio Penal Abogados diseñamos la estrategia tanto para la representación de víctimas como para la defensa, atendiendo el concurso de delitos y la prueba técnica que estos casos exigen.

Consultar con un abogado penalista →

Preguntas frecuentes sobre los delitos informáticos