Ciberdelitos en Colombia: Estafas, Deepfakes y Cómo Denunciar en 2026

Los delitos informáticos en Colombia han crecido de manera exponencial. Según cifras de la Fiscalía General de la Nación, las denuncias por delitos cibernéticos superaron las 60.000 en 2024, con un incremento sostenido en modalidades como el phishing, la suplantación de identidad digital y el uso de inteligencia artificial para crear deepfakes con fines fraudulentos.

Esta guía analiza el marco legal vigente, los tipos penales aplicables y la ruta de denuncia para víctimas de ciberdelitos en territorio colombiano.

1. Marco Legal: ¿Qué leyes protegen a las víctimas?

Ley 1273 de 2009 — Protección de la Información y los Datos

Esta es la norma fundacional del derecho penal informático en Colombia. Adicionó el Título VII BIS al Código Penal (Ley 599 de 2000) y creó los siguientes tipos penales:

• Artículo 269A — Acceso abusivo a un sistema informático: Pena de 48 a 96 meses de prisión y multa de 100 a 1.000 SMLMV.
• Artículo 269C — Interceptación de datos informáticos: Pena de 36 a 72 meses de prisión.
• Artículo 269F — Violación de datos personales: Pena de 48 a 96 meses de prisión. Se aplica cuando alguien obtiene, compila, sustrae, ofrece o intercambia datos personales sin autorización.
• Artículo 269G — Suplantación de sitios web para capturar datos personales: Pena de 48 a 96 meses y multa de 100 a 1.000 SMLMV. Este artículo es el que se aplica al phishing.
• Artículo 269I — Hurto por medios informáticos: Pena de prisión del hurto común, con agravación cuando se utilicen medios tecnológicos.
• Artículo 269J — Transferencia no consentida de activos: Pena de 48 a 120 meses de prisión. Se aplica cuando se manipulan sistemas para transferir dinero sin consentimiento.

Código Penal — Delitos Aplicables a Deepfakes

El uso de deepfakes puede configurar varios delitos según el Código Penal colombiano (Ley 599 de 2000):

• Artículo 220 — Injuria: Cuando el deepfake se usa para dañar la honra de una persona.
• Artículo 221 — Calumnia: Cuando se atribuyen hechos falsos mediante un video manipulado.
• Artículo 269A (Ley 1273): Si se accede a sistemas para obtener el material audiovisual original.
• Artículo 188D: En casos de deepfakes pornográficos no consentidos, puede aplicarse la normativa sobre explotación sexual.

Ley 1581 de 2012 — Protección de Datos Personales

Complementa la protección penal con un marco administrativo. La Superintendencia de Industria y Comercio (SIC) puede imponer multas de hasta 2.000 SMLMV a quienes traten datos personales sin autorización.

2. Tipos de Ciberdelitos Más Frecuentes en Colombia

Phishing y Vishing

Consiste en el envío de correos electrónicos, mensajes de texto o llamadas que suplantan la identidad de bancos o entidades oficiales para obtener credenciales de acceso. La Policía Nacional registra esta como la modalidad más frecuente.

Estafas en Plataformas Digitales

Incluye ventas fraudulentas en redes sociales, esquemas piramidales digitales y falsos portales de inversión. Se tipifica generalmente bajo el Artículo 246 del Código Penal (estafa) con la agravante del uso de medios informáticos.

Suplantación de Identidad Digital

Creación de perfiles falsos en redes sociales usando fotografías y datos de terceros. Puede configurar el delito del Artículo 269F (violación de datos personales) y el Artículo 296 (falsedad personal).

Deepfakes con IA

El uso de herramientas de inteligencia artificial para generar videos o audios falsos que suplantan la imagen o voz de una persona. Aunque no existe un tipo penal específico para deepfakes en Colombia, se persigue mediante la combinación de los tipos penales mencionados anteriormente.

Ransomware

Bloqueo de sistemas informáticos mediante software malicioso, con exigencia de pago para su liberación. Se tipifica como extorsión (Artículo 244 del Código Penal) en concurso con daño informático (Artículo 269D, Ley 1273).

3. Ruta de Denuncia: ¿Qué Hacer si Eres Víctima?

Paso 1 — Preservar la Evidencia Digital

Antes de cualquier acción, asegure la evidencia:

• Capture pantallazos con fecha y hora visible.
• Guarde correos electrónicos completos (con encabezados técnicos).
• No elimine conversaciones de WhatsApp, Telegram o redes sociales.
• Si es posible, descargue los datos de la plataforma afectada.

Nota técnica: La cadena de custodia digital es fundamental. Según el Artículo 275 del Código de Procedimiento Penal (Ley 906 de 2004), los elementos materiales probatorios deben ser recolectados conforme a las reglas de cadena de custodia para ser admisibles.

Paso 2 — Denuncia Formal

• CAI Virtual de la Policía Nacional: caivirtual.policia.gov.co — permite radicar denuncias en línea las 24 horas.
• Fiscalía General de la Nación: Presencial en cualquier URI (Unidad de Reacción Inmediata) o a través del portal fiscalia.gov.co.
• Línea 122: Atención de emergencias de la Fiscalía.

Paso 3 — Notificación a Entidades Financieras

Si el ciberdelito involucra cuentas bancarias o tarjetas de crédito:

• Notifique inmediatamente al banco para bloquear productos.
• Solicite la reversión del pago dentro de las primeras 24 horas (conforme a la circular de la Superfinanciera).
• Reporte ante la Superintendencia Financiera si la entidad no responde en 15 días hábiles.

Paso 4 — Reporte ante la SIC

Si sus datos personales fueron comprometidos, radique queja ante la Superintendencia de Industria y Comercio invocando la Ley 1581 de 2012.

4. Prescripción y Tiempos Procesales

• Los delitos informáticos de la Ley 1273 de 2009 tienen términos de prescripción que oscilan entre 5 y 10 años, dependiendo de la pena máxima del tipo penal.
• La acción penal prescribe en un tiempo igual al máximo de la pena fijada en la ley, sin que pueda ser inferior a 5 años ni superior a 20 (Artículo 83 del Código Penal).
• La investigación debe iniciarse con celeridad dado que la evidencia digital es volátil y las plataformas pueden eliminar registros.

5. Preguntas Frecuentes

¿Puedo denunciar un ciberdelito si el atacante está en otro país? Sí. La Fiscalía General tiene convenios de cooperación internacional (MLAT). Si el delito afecta a una víctima en territorio colombiano, la jurisdicción colombiana es competente, independientemente de la ubicación del atacante.

¿Qué pasa si el banco no me devuelve el dinero de una transferencia fraudulenta? Puede acudir a la Superintendencia Financiera para radicar una queja formal. Si la entidad financiera no demuestra que aplicó los protocolos de seguridad adecuados, puede ser obligada a reintegrar el dinero.

¿Crear un deepfake de alguien es delito en Colombia? Depende del uso. Si se utiliza para dañar la honra, extorsionar, estafar o con fines de explotación sexual, se persigue penalmente bajo los tipos mencionados. La mera creación sin difusión ni perjuicio podría no configurar delito, pero sí puede generar responsabilidad civil.

¿Qué pruebas necesito para denunciar? La libertad probatoria del sistema penal acusatorio (Ley 906 de 2004) permite aportar pantallazos, grabaciones de pantalla, registros de transacciones y dictámenes técnicos. Un perito informático puede ser designado por la Fiscalía para analizar la evidencia.

Fuentes Normativas

• Ley 599 de 2000 — Código Penal Colombiano.
• Ley 906 de 2004 — Código de Procedimiento Penal.
• Ley 1273 de 2009 — Delitos Informáticos (Título VII BIS del Código Penal).
• Ley 1581 de 2012 — Protección de Datos Personales.
• Constitución Política de Colombia — Artículos 15 (intimidad) y 20 (libertad de expresión).

¿Fuiste víctima de un ciberdelito? En Jurisline Colombia analizamos tu caso con el marco legal vigente. Primera orientación gratuita. 👉 Contactar especialista