Siete años de prisión por usar el acceso que el puesto le daba

En diciembre de 2025 se dio a conocer que un Juez de Distrito especializado en el Sistema Penal Acusatorio declaró culpable, tras un juicio oral, a una cajera de una sucursal bancaria de Monterrey, Nuevo León, identificada como Miriam "T". De acuerdo con lo reportado por POSTA, Expansión y adn40, la mujer realizó disposiciones de dinero de las cuentas de dos cuentahabientes sin su consentimiento. Fueron los propios clientes quienes detectaron movimientos que no reconocían y presentaron una reclamación; después, auditorías internas del banco revisaron fechas y montos de esas operaciones y la vincularon directamente con ellas. Según esas notas, el caso fue integrado por la Fiscalía Especializada de Control Regional de la Fiscalía General de la República en Nuevo León. La pena reportada fue de siete años de prisión, mil días multa, equivalentes a 89,620 pesos, y una reparación del daño de 250,000 pesos a favor de la institución. Las notas consultadas no precisan si la sentencia ya es firme.


Lo relevante del caso no es lo que falló, sino lo que funcionó exactamente como estaba previsto. Nadie robó una contraseña ni vulneró un sistema desde fuera. La persona tenía un usuario legítimo, asignado por la propia institución, y el sistema le permitió ejecutar operaciones sobre cuentas ajenas sin que una segunda persona tuviera que confirmarlas en ese momento. La alerta no vino de un control preventivo: vino de los clientes.

No es un expediente aislado. En mayo de 2026, la Fiscalía General de Justicia de Nuevo León informó que una exempleada bancaria, identificada como Grizelda "N", fue vinculada a proceso por presuntamente sustraer recursos de las cuentas de dos personas, entre ellas un residente de Allende que denunció la falta de alrededor de 12 millones de pesos. Se trata de una investigación en curso: la vinculación a proceso no equivale a una declaración de responsabilidad, y lo publicado no explica cómo se habrían movido los fondos.


Identidad confiable y privilegio adecuado son dos preguntas distintas

En muchas organizaciones mexicanas la conversación sobre riesgo interno se agota en la contratación: si la persona "es de toda la confianza", si "viene recomendada", si su expediente salió limpio. Esa es una pregunta legítima sobre identidad y trayectoria. Pero hay una segunda pregunta, que suele quedar sin dueño: una vez que esa persona confiable está dentro, ¿qué puede aprobar, descargar, modificar o borrar por sí sola?

La primera pregunta se resuelve con procesos de selección y verificación proporcionales al puesto. La segunda se resuelve con arquitectura de permisos: mínimo privilegio, segregación de funciones, doble autorización para operaciones sensibles y revisión periódica de perfiles. Una no sustituye a la otra. Una persona con un historial impecable puede, por diseño del puesto, iniciar y ejecutar un movimiento sin contrapeso, y entonces la organización depende por completo de su integridad presente, no de la que tenía el día que fue contratada. Cuando el argumento para mantener un permiso amplio es que "siempre se ha hecho así", el riesgo ya no está en la persona, sino en el puesto.


Lo que dice la ley penal cuando el acceso sí estaba autorizado

El Código Penal Federal contempla expresamente esta situación. Su capítulo sobre acceso ilícito a sistemas y equipos de informática distingue entre quien entra sin autorización y quien, estando autorizado, abusa de ese acceso. El artículo 211 bis 3 sanciona a quien, estando autorizado para acceder a sistemas del Estado, indebidamente modifique, destruya o provoque pérdida de información, con dos a ocho años de prisión, y a quien la copie indebidamente, con uno a cuatro años. Para el sector financiero, el artículo 211 bis 5 prevé de seis meses a cuatro años de prisión para quien, estando autorizado, modifique, destruya o provoque pérdida de información de los sistemas de las instituciones que integran el sistema financiero, y de tres meses a dos años para quien la copie; las penas aumentan en una mitad cuando las conductas las cometen funcionarios o empleados de esas instituciones. El artículo 211 bis 6 remite al artículo 400 Bis para definir qué instituciones integran ese sistema, y el 211 bis 7 permite aumentar las penas hasta en una mitad cuando la información obtenida se usa en provecho propio o ajeno.


Cuando lo que se toca es el dinero de los clientes, entra además la Ley de Instituciones de Crédito. Su artículo 113 Bis sanciona a quien en forma indebida utilice, obtenga, transfiera o disponga de recursos de clientes de una institución de crédito, y eleva la pena, de siete a quince años de prisión, cuando el autor es funcionario o empleado de la institución o un tercero con acceso autorizado a sus sistemas. Las notas sobre el caso de Monterrey hablan de "disposición indebida de recursos de clientes" sin citar el artículo aplicado, aunque la pena reportada se ubica dentro de ese rango.


El mensaje del legislador es claro: el acceso autorizado no es una excusa. Pero el derecho penal actúa después del daño. Ninguna de estas normas le dice a una empresa cómo diseñar sus perfiles de usuario.


Lo que exigen el regulador financiero y la ley de datos personales

Ese diseño aparece con más detalle en la regulación sectorial. Las disposiciones de carácter general de la Comisión Nacional Bancaria y de Valores aplicables a instituciones de crédito, en sus artículos 168 Bis 11 y 168 Bis 14 según el texto consultado, piden mecanismos de identificación y autenticación, accesos limitados a lo que cada función necesita y una verificación anual de los perfiles con privilegios altos. Son obligaciones para bancos, no para cualquier empresa.


Para el resto del sector privado, el punto de apoyo es la Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada como nueva ley en el Diario Oficial de la Federación el 20 de marzo de 2025. Su artículo 18 obliga a todo responsable a establecer y mantener medidas de seguridad administrativas, técnicas y físicas contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado, y ordena considerar el riesgo existente, las posibles consecuencias para los titulares, la sensibilidad de los datos y el desarrollo tecnológico. El artículo 20 exige controles para que quienes intervienen en el tratamiento guarden confidencialidad, incluso después de terminada la relación. La autoridad es hoy la Secretaría Anticorrupción y Buen Gobierno y, a la fecha de consulta, no se localizó la publicación del nuevo reglamento. Que un empleado pueda descargar la base completa de clientes cuando su función solo requiere consultar un registro difícilmente encaja en una medida de seguridad proporcional al riesgo.


Los estándares voluntarios aterrizan el principio. ISO/IEC 27001:2022 incluye en su Anexo A controles sobre segregación de funciones (5.3), control de acceso (5.15) y derechos de acceso privilegiado (8.2). No son obligatorios en México salvo que un contrato, una certificación elegida o una regulación sectorial los exija.


Los datos internacionales apuntan en la misma dirección. El informe Occupational Fraud 2026 de la Association of Certified Fraud Examiners analizó 2,402 casos de fraude ocupacional investigados entre enero de 2024 y septiembre de 2025 en 143 países y territorios. Entre las debilidades de control que facilitaron los fraudes, la falta de controles internos apareció en 33% de los casos, la elusión de controles existentes en 19% y la falta de revisión gerencial en 18%. Es un estudio internacional, con apenas 108 casos de América Latina y el Caribe, que no mide la realidad mexicana. Lo que aporta es una pista: una parte importante del fraude interno no depende de genialidad técnica, sino de que nadie diseñó o revisó quién podía hacer qué.


Diseñar el permiso, no sospechar de la persona

Human Risk Management, entendido como la gestión estructurada de los riesgos asociados a personas, funciones, accesos y decisiones, no consiste en desconfiar de quien ya trabaja en la organización ni en vigilarlo. Consiste en aceptar que confiar en alguien y limitar lo que puede hacer solo no son ideas contradictorias. "Separar quién inicia una operación de quién la autoriza no es una acusación contra nadie; es lo que permite que la confianza en una persona no tenga que cargar sola con todo el riesgo de un proceso", señala Guido Schenone, Comercial & Growth Manager de Validato. Validato, compañía especializada en Background Screening y Human Risk Management con presencia en México, describe sus procesos de verificación como estructurados en función del rol y la exposición de cada puesto; esa proporcionalidad ayuda a decidir con qué profundidad conocer a una persona, pero no sustituye la decisión, propia de cada organización, sobre qué privilegios tiene en sus sistemas. La compañía no tiene relación con los casos mencionados.


La pregunta que queda después de la sentencia

El caso de Monterrey terminó con una condena, pero empezó con dos clientes revisando su estado de cuenta. Para Recursos Humanos, Tecnología, Compliance y Auditoría, la pregunta útil no es si confían en su gente, sino cuántas personas pueden hoy mover, borrar o descargar algo sensible sin que nadie más lo vea, y cuándo fue la última vez que alguien se lo preguntó.


Fuentes y marco normativo consultado

  1. POSTA, "Cajera bancaria es sentenciada a 7 años de cárcel por desfalco a clientes" (16 de diciembre de 2025), sobre la integración del caso por la FECOR de la FGR y la sentencia tras juicio oral; https://www.posta.com.mx/nuevo-leon/cajera-bancaria-es-sentenciada-a-7-anos-de-carcel-por-desfalco-a-clientes/vl2139179
  2. Expansión Política, nota sobre la cajera sentenciada en Monterrey (18 de diciembre de 2025), pena, multa y reparación del daño; https://politica.expansion.mx/estados/2025/12/18/cajera-roba-clientes-debe-pagar-banco
  3. adn40, nota sobre la cajera condenada (17 de diciembre de 2025), reclamación de clientes y auditorías internas; https://www.adn40.mx/mexico/2025-12-17/cajera-bancaria-condenada-carcel-robar-dinero-a-clientes/
  4. N+, "Vinculan a proceso a exempleada bancaria por presunto fraude a adultos mayores en Nuevo León" (14 de mayo de 2026), con información de la FGJNL; https://www.nmas.com.mx/nuevo-leon/seguridad/vinculan-a-proceso-a-exempleada-bancaria-por-presunto-fraude-a-adultos-mayores-en-nuevo-leon/
  5. Código Penal Federal, arts. 211 bis 3, 211 bis 5, 211 bis 6 y 211 bis 7 (acceso ilícito a sistemas por personas autorizadas), texto consolidado de la Cámara de Diputados, última reforma DOF 13 de marzo de 2026
  6. Ley de Instituciones de Crédito, art. 113 Bis (disposición indebida de recursos de clientes; agravante para funcionarios, empleados y terceros con acceso autorizado)
  7. CNBV, Disposiciones de carácter general aplicables a las instituciones de crédito, arts. 168 Bis 11 y 168 Bis 14 (autenticación, acceso limitado a la función, revisión de perfiles con altos privilegios), según texto consultado
  8. Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20 de marzo de 2025), arts. 18 y 20; autoridad: Secretaría Anticorrupción y Buen Gobierno
  9. ACFE, Occupational Fraud 2026: A Report to the Nations (14.ª edición), estudio internacional, no específico de México; https://www.acfe.com/fraud-resources/report-to-the-nations
  10. ISO/IEC 27001:2022, Anexo A, controles 5.3, 5.15 y 8.2; estándar voluntario
  11. Validato, descripción de servicios en México; https://validato.ch/mx-es/