Phishing, smishing y pharming en el proceso penal argentino
Análisis de las diferencias entre phishing, smishing y pharming, su impacto en la tipificación penal, los límites de la prueba digital y los problemas defensivos que aparecen cuando se imputan cuentas receptoras, titulares de dispositivos o direcciones IP sin trazabilidad suficiente.
Resumen ejecutivo
En las causas por fraudes bancarios digitales suele usarse un vocabulario técnico impreciso. Phishing, smishing y pharming aparecen como rótulos intercambiables, aunque describen dinámicas distintas. Esa confusión no es menor: puede alterar la calificación legal, el objeto de la prueba, el rol atribuido al imputado y la estrategia de defensa o querella.
Esos términos describen métodos de ejecución, no tipos penales. La calificación depende del mecanismo probado: el artículo 172 del Código Penal contempla la defraudación por ardid o engaño y exige reconstruir el enlace entre engaño, error, disposición patrimonial y perjuicio; el artículo 173, inciso 16, exige una técnica de manipulación informática que altere el normal funcionamiento de un sistema o la transmisión de datos. Una misma maniobra puede combinar ingeniería social y manipulación técnica. Por eso no corresponde asignar la figura legal a partir del rótulo comercial.
La imputación de titulares de cuentas receptoras —las llamadas “mulas”— exige un análisis particularmente cuidadoso. Recibir dinero en una cuenta no prueba por sí solo dolo, acuerdo previo ni conocimiento del fraude. Según la secuencia, deben diferenciarse participación (arts. 45 y 46), encubrimiento (art. 277) y lavado de activos (art. 303), sin convertir la palabra “mula” en una calificación jurídica. La defensa debe revisar trazabilidad, comunicaciones, contexto económico, captación previa, movimientos posteriores, pericia sobre dispositivos y consistencia de los logs.
La prueba también requiere matices. Una captura, una IP o la titularidad de una cuenta pueden ser indicios útiles, pero su alcance depende del origen, la integridad, el contexto y la corroboración. Una falla de preservación no genera por sí sola exclusión: debe distinguirse entre obtención ilícita, defecto de documentación y pérdida de confiabilidad.
1. Phishing, smishing y pharming: tres maniobras distintas
El phishing suele valerse de correos, sitios falsos, perfiles apócrifos o formularios para obtener claves, tokens u otros datos. Puede inducir a la víctima a entregarlos, pero el episodio completo también puede incluir accesos no autorizados, uso de datos de tarjetas o manipulación de sistemas. La etiqueta no demuestra ninguno de esos extremos.
El smishing identifica el uso de SMS o mensajería como canal de captación. Puede explotar urgencias, premios, deudas o alertas bancarias falsas y conducir a un enlace, una llamada o la instalación de software malicioso. Su particularidad probatoria es la volatilidad del mensaje y de los datos asociados, no la existencia de un tipo penal propio.
El pharming se asocia con redirecciones técnicas: alteración de DNS, compromiso del router o del dispositivo, malware u otra intervención sobre la ruta de navegación. No basta que la víctima recuerde haber ingresado a una dirección legítima. La hipótesis debe contrastarse con los componentes concretos que pudieron producir la redirección.
No todos los casos requieren idénticos actos de prueba. Según la hipótesis, pueden ser relevantes los encabezados del correo, el contenido y los datos asociados del mensaje, los dominios y enlaces, los registros de autenticación, el dispositivo, la IP y el puerto, los factores de validación, los logs bancarios y la trazabilidad del dinero. La selección debe responder a una proposición fáctica concreta, no a una lista ritual.
2. Tipicidad: estafa, defraudación informática y prueba del engaño
La distinción entre estafa y defraudación informática exige partir del texto vigente. El artículo 172 sanciona a quien defrauda mediante los ardides allí enumerados o “cualquier otro ardid o engaño”. La acusación debe explicar la cadena que atribuye: idoneidad del ardid, error causado, disposición patrimonial y perjuicio. El artículo 173, inciso 16, incorporado por la Ley 26.388, requiere defraudar mediante una técnica de manipulación informática que altere el normal funcionamiento de un sistema informático o la transmisión de datos. La presencia de tecnología, por sí sola, no satisface este último requisito.
El análisis no es binario. Un mensaje engañoso puede obtener credenciales que luego se usan en una operación automatizada; una redirección puede coexistir con una conducta dispositiva de la víctima. También debe examinarse el inciso 15 del artículo 173 cuando se alegue el uso no autorizado de datos de una tarjeta, aun mediante una operación automática. La subsunción y los eventuales concursos dependen de la secuencia acreditada, no de una equivalencia automática entre técnica y figura.
El acceso consciente, sin autorización o con exceso de la autorización, a un sistema o dato informático restringido puede remitir al artículo 153 bis, siempre que no resulte un delito más severamente penado. El segundo párrafo agrava la escala cuando el acceso perjudica un sistema o dato de un proveedor de servicios financieros. Pero ni el acceso ni el perjuicio identifican por sí solos a su autor. La imputación debe precisar el aporte, el momento, el conocimiento atribuido y la evidencia que enlaza a cada persona con cada tramo del hecho.
3. Cuentas receptoras: participación, encubrimiento y lavado
En la práctica, muchas investigaciones avanzan rápidamente contra el titular de la cuenta que recibió fondos. Esa asociación es comprensible como línea inicial de investigación, pero no alcanza para fundar una responsabilidad penal automática. La titularidad de una cuenta no prueba por sí sola que la persona conociera el origen ilícito del dinero ni que hubiera integrado el plan de fraude.
Deben distinguirse, entre otros escenarios, el aporte acordado al plan, la entrega consciente de la cuenta, la captación bajo una falsa oferta laboral, la suplantación de identidad, el uso por terceros y la intervención exclusivamente posterior. Las transferencias siguientes, el retiro o dispersión del dinero, las comunicaciones, el beneficio y el control efectivo de las credenciales ayudan a evaluar esas hipótesis.
La discusión se conecta con la autoría y participación. No basta decir que una cuenta recibió dinero. Hay que probar una contribución y su elemento subjetivo conforme a los artículos 45 y 46. La ayuda posterior que cumple una promesa anterior al hecho está contemplada expresamente por el artículo 46. Si la conducta es posterior a un delito ejecutado por otro, sin participación previa, el artículo 277 contempla hipótesis de encubrimiento, entre ellas adquirir, recibir u ocultar dinero proveniente de un delito. Para ese supuesto, el inciso 2 contiene además una regla especial cuando las circunstancias permitían sospechar el origen delictivo. La frontera depende de la cronología, la promesa previa, el aporte y el elemento subjetivo concretamente atribuido.
El artículo 303 tampoco se activa por la mera recepción. Su inciso 1 requiere, entre otros elementos, una operación sobre bienes o activos provenientes de un ilícito penal, la posible apariencia de origen lícito y el umbral legal de ciento cincuenta salarios mínimos, vitales y móviles; el inciso 3 contempla la recepción con la finalidad de aplicar esos bienes a una operación de esa clase. Deben verificarse finalidad, monto, reiteración y maniobras de conversión, transferencia o disimulación, sin confundir la circulación del producido del fraude con lavado por simple denominación.
Por eso, “mula” es una expresión descriptiva y ambigua, no una categoría de responsabilidad. La recepción de fondos autoriza a investigar; no reemplaza la prueba de la intervención y del conocimiento exigidos por la figura finalmente atribuida. Tampoco deben confundirse los deberes bancarios o de consumo con la responsabilidad penal personal.
4. Prueba digital: capturas, IP, CGNAT y cadena de custodia
Una captura de pantalla puede ser evidencia y no es inadmisible por su formato. Su fuerza depende de que puedan examinarse origen, autor, fecha, contenido completo, método de obtención y corroboraciones. Preservar el archivo original o realizar una adquisición controlada conserva más información que una fotografía o transcripción tardía. El hash es una herramienta para verificar integridad de archivos o copias; no constituye un requisito universal cuya ausencia anule toda evidencia digital.
La dirección IP tampoco equivale a una identidad penal. En un esquema CGNAT, varios abonados pueden compartir una dirección IPv4 pública. El RFC 6888 explica que la correlación técnica puede requerir protocolo de transporte, identificador del abonado, dirección y puerto externos y marca temporal. Esa lista es informativa: el RFC no crea una obligación argentina de conservación. La pesquisa debe verificar qué registró realmente el proveedor, durante cuánto tiempo y con qué zona horaria y precisión. Aun una asignación correcta vincula una conexión o abono: para atribuir la conducta a una persona se necesitan datos adicionales sobre dispositivo, cuenta, autenticación y contexto.
La evidencia digital en el proceso penal exige documentar identificación, recolección, preservación, procesamiento y presentación. La cadena de custodia registra la trazabilidad y las personas que intervinieron; no convierte la evidencia en verdadera ni es la única forma de autenticarla. Una adquisición contraria a garantías puede abrir una discusión de invalidez o exclusión. Una documentación incompleta o una duda de integridad, en cambio, puede incidir principalmente en la confiabilidad y el peso, según el caso y las reglas procesales aplicables.
Los registros de autenticación también deben leerse por capas. Que una credencial, un segundo factor o una sesión hayan sido aceptados acredita un evento del sistema, no necesariamente que el titular los haya usado o autorizado. Conviene correlacionar alta y recuperación de credenciales, canal de entrega del código, identificadores de sesión, dispositivo, horarios, alertas, cambios de datos de contacto y operación patrimonial concreta.
En smishing conviene preservar tempranamente el mensaje y sus datos asociados, individualizar la cuenta y el dispositivo y solicitar, cuando sea jurídicamente procedente, información al proveedor. En pharming deben contrastarse DNS, router, navegador, dispositivo, malware e infraestructura. El relato de la víctima y los registros bancarios pueden corroborar, pero no sustituyen la explicación técnica de una redirección atribuida. La obtención desde dispositivos debe respetar el alcance de la medida y el control de las partes; sobre ese punto puede consultarse la defensa ante allanamientos, celulares y dispositivos secuestrados.
5. Estrategia procesal: defensa, querella y prueba mínima necesaria
La estrategia cambia según el rol procesal, pero el punto de partida es común: fijar una hipótesis verificable y preservar datos perecederos. Para la defensa importan la individualización del aporte, el dolo, las alternativas de uso de cuentas y dispositivos, la legalidad de las medidas y la posibilidad de controlar la prueba. Para la querella importan la preservación temprana, la trazabilidad patrimonial y la reconstrucción técnica sin sustituir evidencia por afirmaciones del banco o de la víctima.
La acusación debería precisar cuál fue el engaño, la operación con datos de tarjeta o la manipulación informática; quién realizó cada acción; qué credenciales y factores de autenticación se usaron; qué dispositivo, cuenta, IP y puerto aparecen; cómo se movió el dinero; y qué evidencia sostiene la atribución subjetiva. La defensa debe poder acceder al material relevante y controvertir su obtención, integridad e interpretación.
Cuando intervienen proveedores extranjeros, la Ley 27.411 incorpora a la legislación argentina el Convenio sobre Ciberdelito. Su artículo 16 contempla la conservación inmediata de datos especificados particularmente expuestos a pérdida o modificación; conservar no equivale a entregar el contenido ni autoriza por sí solo su acceso. La obtención posterior requiere la medida, autoridad y garantías aplicables, incluidas las del artículo 15. Preservación y cooperación no suplen un requerimiento tardío, impreciso o ajeno a la ley procesal. Deben individualizarse la cuenta, el período y la categoría de datos buscada. Si el caso parte de un reclamo o desconocimiento de cargos, también puede consultarse el artículo sobre estafa bancaria y desconocimiento de cargos.
Fuentes, referencias y forma de cita
Fuentes primarias consultadas y verificadas al 3 de septiembre de 2026. Las guías técnicas orientan la preservación y el análisis; no reemplazan las reglas procesales de la jurisdicción ni el control judicial del caso concreto.
- Código Penal de la Nación, texto actualizado, arts. 45, 46, 153 bis, 172, 173 incs. 15 y 16, 277 y 303.
- Ley 26.388, reforma sobre delitos informáticos.
- Ley 27.411, aprobación del Convenio sobre Ciberdelito; y su anexo oficial, especialmente arts. 15 y 16.
- MPF y Ministerio de Seguridad, Protocolo para la identificación, recolección, preservación, procesamiento y presentación de evidencia digital, 2023.
- IETF, RFC 6598, IANA-Reserved IPv4 Prefix for Shared Address Space; y RFC 6888, Common Requirements for Carrier-Grade NATs (CGNs).
Cita sugerida
Selser, Jacobo Iván, “Phishing, smishing y pharming en el proceso penal argentino”, ST Abogados, 1 de enero de 2026, revisado el 3 de septiembre de 2026.
PDF del artículo
El PDF reproduce el contenido doctrinario, las fuentes y la fecha de revisión de esta versión HTML.
Preguntas frecuentes
¿Qué diferencia hay entre phishing, smishing y pharming?
Phishing describe una captación engañosa de datos; smishing, el uso de SMS o mensajería como canal; y pharming, una redirección técnica. Son descripciones operativas, no tipos penales ni prueba suficiente de cómo ocurrió el caso.
¿Todo phishing se califica como estafa?
No. La calificación exige reconstruir la conducta. El artículo 172 contempla el ardid o engaño; el artículo 173, inciso 16, requiere una técnica de manipulación informática que altere el sistema o la transmisión de datos; y el inciso 15 puede ser relevante ante uso no autorizado de datos de tarjeta. Puede haber mecanismos combinados.
¿Ser titular de una cuenta receptora alcanza para imputar participación?
No. Es un dato que justifica investigar, pero debe probarse el aporte y el elemento subjetivo de la figura atribuida. La cronología y una eventual promesa previa permiten distinguir participación de una conducta posterior examinable bajo el artículo 277. El artículo 303 exige elementos adicionales y tampoco surge de la sola titularidad o recepción.
¿Una dirección IP identifica automáticamente al autor?
No. Con CGNAT varios abonados pueden compartir una IP pública. La correlación puede exigir dirección y puerto externos, tiempo preciso, protocolo e identificador del abonado, siempre según los registros efectivamente conservados. Aun así, vincular una conexión no equivale sin más a identificar a la persona que ejecutó la conducta.
¿Una orden de preservación entrega los datos o el contenido?
No. La conservación urgente busca evitar que datos especificados se pierdan o modifiquen. Su posterior entrega, registro o acceso requiere la medida de obtención, la autoridad competente y las garantías aplicables. Preservar y producir evidencia son actos diferentes.
¿Qué debería revisar una defensa en una causa por ciberfraude bancario?
Debe revisar la descripción precisa del hecho y del aporte, movimientos, logs, autenticación, IP y puerto, dispositivos, comunicaciones, pericias, trazabilidad patrimonial, alcance de las medidas y posibilidad de controlar la evidencia. También debe comparar esos datos con los elementos de la figura legal invocada.