Entender cómo trata el derecho penal español el cibercrimen requiere bajar de la etiqueta técnica al tipo penal concreto. Aquí se recogen las conductas que castiga el Código Penal y sus penas, la forma en que se fija la sanción real, los pasos para denunciar y las garantías de quien resulta investigado.
La ciberdelincuencia no ocupa un capítulo propio del Código Penal. Abarca tanto los ataques contra sistemas y datos como los delitos cometidos a través de tecnologías digitales. A partir de ahí, cada hecho se califica según el artículo que describe la conducta realizada.
En España no existe un delito único llamado «cibercrimen». Los términos «ciberdelito», «delito cibernético» o «delincuencia informática» sirven para explicar el fenómeno, pero no son categorías legales cerradas, y los foros internacionales sobre cooperación frente a la ciberdelincuencia emplean esa misma distinción entre ataques a sistemas y delitos cometidos con tecnología. En el derecho penal español, la referencia básica es el Código Penal, en la redacción vigente en la fecha de los hechos.
Esa misma lógica rige en los fraudes digitales: la etiqueta técnica no decide la calificación, la conducta sí. Antonio Rodas Abogado aborda en su defensa en procedimientos por estafa tanto el tipo básico como las manipulaciones de transferencias.
Frente a los fraudes, otro bloque protege los sistemas informáticos en sí. El acceso ilícito a un sistema de información, incluida la permanencia contra la voluntad del titular cuando concurren los requisitos legales, se castiga en el artículo 197 bis.1. Interceptar transmisiones de datos no públicas tiene su propio tipo en el apartado 2 de ese artículo, y ambos supuestos forman parte de la defensa en delitos informáticos que presta el despacho.
Cuando el objetivo son mensajes, correos o documentos personales ajenos, entra en juego el descubrimiento de secretos del artículo 197.1, y su difusión agrava la pena. La revelación de secretos e intimidad digital exige, además, examinar cómo se obtuvo la información. En cambio, ante un ransomware o un ataque DDoS, la clave está en comprobar qué daños o interrupciones concurren realmente.
| Conducta | Artículo | Pena del tipo citado |
| Acceso ilícito a un sistema | 197 bis.1 | Prisión de 6 meses a 2 años |
| Interceptación de transmisiones no públicas | 197 bis.2 | Prisión de 3 meses a 2 años o multa de 3 a 12 meses |
| Apoderamiento de comunicaciones para descubrir secretos | 197.1 | Prisión de 1 a 4 años y multa |
| Difusión de lo descubierto | 197.3 | Prisión de 2 a 5 años |
| Daños graves a datos, programas o documentos ajenos | 264 | Prisión de 6 meses a 3 años |
| Interrupción grave de un sistema ajeno | 264 bis | Prisión de 6 meses a 3 años |
Además de los sistemas, el entorno digital sirve para atacar a personas. El acoso reiterado por medios digitales puede encajar en el artículo 172 ter: prisión de 3 meses a 2 años o multa de 6 a 24 meses en el tipo básico. Las amenazas y coacciones se califican según su contenido y modalidad. La difusión no consentida de imágenes íntimas del artículo 197.7 recibe prisión de 3 meses a 1 año o multa de 6 a 12 meses.
Ante una imagen manipulada, deben separarse la creación, la difusión y las amenazas, ya que el mero uso de inteligencia artificial no genera por sí solo un delito específico. En el ámbito de la propiedad intelectual, distribuir programas informáticos sin autorización puede ser delito conforme al artículo 270, con prisión de 6 meses a 4 años y multa de 12 a 24 meses, aunque no toda infracción de licencia es penal. La sustracción de datos empresariales puede afectar a secretos de empresa, y la empresa solo responde si se cumplen los requisitos del artículo 31 bis del Código Penal y del tipo aplicable.
Una vez identificado el tipo, la pena abstracta es solo el punto de partida. La cuantía, las circunstancias del caso y la reparación del daño modulan la sanción final en los delitos informáticos, y por eso dos hechos con la misma etiqueta pueden terminar con condenas muy distintas.
En la estafa, la cuantía marca el primer umbral. Si la defraudación no excede de 400 €, el artículo 248 impone como regla general multa de 1 a 3 meses, salvo excepciones legales, entre ellas las circunstancias del artículo 250.
Ese artículo 250 regula la estafa agravada, castigada con prisión de 1 a 6 años y multa. Entre sus circunstancias figuran una defraudación superior a 50.000 €, la afectación a numerosas personas y el abuso de credibilidad. Por encima de 250.000 €, la prisión puede alcanzar 8 años.
Los daños informáticos siguen el mismo esquema escalonado. El artículo 264.2 prevé prisión de 2 a 5 años y multa del tanto al décuplo del perjuicio cuando concurren sus circunstancias, entre ellas determinadas afectaciones a servicios esenciales.
Fuera de las multas proporcionales, rige el sistema de días-multa del artículo 50: la cuota diaria de una persona física oscila entre 2 y 400 €, según su situación económica. Las atenuantes y agravantes de los artículos 21 y 22, junto con las reglas de los artículos 66 y siguientes, ajustan después la pena. Reparar el daño puede atenuar, aunque devolver el dinero no borra el delito, y tampoco existe una agravante universal por usar Internet.
A esa pena se suma la responsabilidad civil derivada del delito: restitución, reparación e indemnización, distintas de la multa penal. Frente a lo que se teme a menudo, la pena abstracta de prisión no implica que toda condena termine con ingreso efectivo en un centro penitenciario.
Que intervengan varias personas no convierte los hechos en organización criminal. Deben acreditarse los requisitos de los artículos 570 bis o 570 ter; solo entonces operan agravaciones como las del artículo 197 quater o ciertos supuestos del artículo 264.2.
El tiempo también condiciona la responsabilidad penal. El artículo 131 fija plazos generales de prescripción de 20, 15, 10 o 5 años según la pena máxima prevista. Para delitos leves, calumnias e injurias, el plazo es de 1 año, y el artículo 132 regula cuándo empieza el cómputo y cómo se interrumpe.
En cuanto a los costes, una persona física no paga tasa judicial por presentar una denuncia penal. La asistencia jurídica gratuita de la Ley 1/1996, en cambio, depende de los recursos y demás requisitos legales, sin concederse automáticamente a las víctimas ni a los investigados en el proceso penal.
Para quien sufre el ataque, el orden de las actuaciones importa tanto como la denuncia. Primero se frena el perjuicio, después se preserva la prueba y, con ella organizada, se elige el canal adecuado.
Si hubo una operación económica fraudulenta, contacte de inmediato con su banco o proveedor de pagos para pedir el bloqueo o la gestión de recuperación. Con credenciales comprometidas, conviene cambiarlas desde un dispositivo seguro y revocar las sesiones activas cuando sea posible.
Ante accesos o sabotajes, Antonio Rodas Abogado aconseja no apagar ni limpiar los sistemas afectados. La copia forense, los registros de acceso y un informe técnico permiten acreditar los hechos sin alterar la evidencia, frente a una denuncia genérica sin respaldo.
Con la documentación preparada, la denuncia puede presentarse ante la Policía Nacional, la Guardia Civil o el cuerpo competente del territorio, así como ante el juzgado de guardia o la Fiscalía. La vía telemática de la Policía Nacional solo admite ciertos hechos: excluye, entre otros, determinados supuestos con autor conocido, testigos, violencia o delitos sexuales, y exige firma presencial en el plazo que indique su sistema. La Ley Orgánica 1/2025 modificó esas exclusiones del artículo 266 de la Ley de Enjuiciamiento Criminal.
Presentada la denuncia, la Ley 4/2015 reconoce a la víctima, bajo sus requisitos, una copia certificada y la información sobre determinadas resoluciones. Guarde la referencia del procedimiento y comunique cualquier operación o indicio posterior.
A partir de la denuncia, la investigación puede combinar diligencias policiales, información bancaria y análisis de peritos informáticos. El artículo 324 de la Ley de Enjuiciamiento Criminal fija como regla general 12 meses de investigación judicial desde la incoación, prorrogables motivadamente por periodos de hasta 6 meses, sin limitar por ello la duración total del proceso.
Si la causa se archiva, examine el fundamento del auto y el recurso procedente. Conforme al artículo 636 de esa ley, la víctima puede recurrir el sobreseimiento dentro de 20 días aunque no se haya personado; un archivo, además, no convierte la denuncia en falsa.
En paralelo, la reclamación al banco es compatible con la vía penal, aunque denunciar no garantiza recuperar el dinero. INCIBE orienta en materia de ciberseguridad y la AEPD actúa sobre datos personales dentro de sus competencias, sin sustituir a los órganos penales ni al proveedor de pagos.
En el lado opuesto, la persona investigada parte de garantías concretas. En términos de defensa penal en ciberdelitos, el trabajo se centra en tres frentes: los derechos desde la citación, la autoría real y la calidad de la prueba digital.
Los artículos 24 de la Constitución y 118 de la Ley de Enjuiciamiento Criminal respaldan el derecho a conocer los hechos, guardar silencio, no autoincriminarse y contar con abogado. Aclare primero si comparece como testigo o investigado y no declare sin asistencia letrada; en una estafa, conocer la denuncia y la operación imputada es previo a cualquier decisión. No borre conversaciones ni dispositivos ni presione a testigos: conservar contratos, autorizaciones y comunicaciones permite reconstruir los hechos.
Una vez fijados esos derechos, el debate se desplaza a quién hizo qué. Ser titular de una cuenta, dueño de un equipo o empleado de la empresa afectada no demuestra participación: deben acreditarse la conducta individual y la intención que exige el tipo.
En los sistemas empresariales, la discusión sobre un acceso ilícito pasa por los límites de la autorización y las políticas previas de uso y control de dispositivos. Disponer de permisos técnicos no habilita cualquier consulta, pero tampoco convierte una incidencia o un incumplimiento contractual en delito.
Establecida la autoría como cuestión abierta, la defensa revisa cómo se obtuvo cada dato. La diferencia entre un sobreseimiento y una condena se juega en detalles verificables de la extracción y su documentación.
Para esa contradicción técnica, Antonio Rodas Abogado trabaja con peritos que analizan o rebaten los informes sobre qué se hizo, desde dónde, cuándo y por quién en los delitos informáticos investigados.
Según el Ministerio del Interior, en 2025 se registraron 488.426 ciberdelitos, el 19,8 % de la criminalidad registrada y un 5,1 % más que en 2024. Ese año constaron 19.876 personas detenidas o investigadas, cifra que no equivale a condenadas. La Fiscalía General del Estado atribuye a la estafa informática el 83,43 % de los procedimientos judiciales de esa categoría en 2024.
Antonio Rodas Abogado recomienda preservar la publicación mediante acta notarial o pericial, guardando enlaces, fechas y contexto sin reenviar el contenido. Conviene pedir con urgencia la retirada a las plataformas y denunciar pronto, porque la persecución depende, como regla, de la denuncia de la persona agraviada.
Grabar una conversación en la que usted participa no vulnera por sí solo el secreto de las comunicaciones y puede ser prueba válida, salvo afectación de otros derechos fundamentales. Grabar conversaciones ajenas o leer sin consentimiento los mensajes de la pareja puede ser delito del artículo 197.1, y la prueba obtenida vulnerando derechos fundamentales no surte efecto en ningún procedimiento, incluido el de divorcio o custodia.
