Un interruptor que se activó al desactivar una cuenta

El 9 de septiembre de 2019, un desarrollador con casi doce años en una empresa con sede en Beachwood, Ohio, fue enviado a casa y se le pidió entregar su laptop. Ese mismo día, cuando su cuenta en el directorio corporativo dejó de estar habilitada, se activó un código que él mismo había instalado semanas antes: bloqueó el inicio de sesión de miles de usuarios en todo el mundo. Antes ya había introducido otros códigos que provocaban caídas de sistemas. Según el Departamento de Justicia de Estados Unidos, Davis Lu había visto reducidas sus responsabilidades y accesos en una reestructura de 2018; un jurado lo declaró culpable en marzo de 2025 de causar daño intencional a computadoras protegidas y, el 21 de agosto de 2025, fue sentenciado a cuatro años de prisión. El caso es estadounidense y no tiene relación con México. Lo citamos porque desmonta una idea muy extendida: que el riesgo de una salida se resuelve apagando la cuenta el último día.


En México no existe una ley que fije en cuántas horas o días deben revocarse los accesos digitales de quien deja una empresa. Lo que sí existen son piezas dispersas: la Ley Federal del Trabajo (LFT) regula cómo termina la relación y qué debe devolver o resguardar el trabajador; la Ley Federal de Protección de Datos Personales en Posesión de los Particulares (LFPDPPP), publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, exige medidas de seguridad contra el acceso no autorizado; el Código Penal Federal sanciona el acceso ilícito a sistemas, y la Ley Federal de Protección a la Propiedad Industrial protege el secreto industrial solo si la empresa restringió el acceso a él. Coordinar esas piezas el día de una baja es, hoy, tarea de cada organización.


Lo que la Ley Federal del Trabajo sí ordena al terminar la relación

La LFT, en su texto consolidado por la Cámara de Diputados con última reforma del 14 de mayo de 2026, se ocupa con detalle de la forma en que termina el vínculo. Cuando hay rescisión por causa imputable al trabajador, el artículo 47 exige entregarle un aviso por escrito en el momento del despido o, si no es posible, comunicarlo al Tribunal dentro de los cinco días hábiles siguientes; la falta de ese aviso presume que el despido fue injustificado. Entre las causales, la fracción IX contempla revelar secretos de fabricación o asuntos de carácter reservado con perjuicio de la empresa. El artículo 132, fracción VIII, obliga al patrón a expedir, dentro de los tres días siguientes, una constancia escrita de servicios a quien la solicite o se separe de la empresa, y el artículo 33 exige que cualquier convenio o liquidación conste por escrito y no implique renuncia de derechos.

Del lado del trabajador, el artículo 134 establece en su fracción VI la obligación de restituir los materiales no usados y conservar en buen estado los instrumentos y útiles de trabajo, y en su fracción XIII la de guardar escrupulosamente los secretos técnicos, comerciales y de fabricación, así como los asuntos administrativos reservados cuya divulgación pueda causar perjuicios a la empresa. Ninguno de estos artículos menciona contraseñas, tokens o repositorios en la nube. La ley ordena el papel, el pago y la devolución de los bienes; la baja digital queda fuera de su lenguaje. En muchas empresas el finiquito se firma con cuidado mientras el correo de la persona sigue recibiendo información de clientes, porque "siempre se ha hecho así": RR.HH. cierra el expediente y Sistemas se entera días después.


Datos personales y secreto industrial: obligaciones que no se apagan con el gafete

La LFPDPPP es más explícita en lo que importa para esta brecha. Su artículo 18 obliga a todo responsable a establecer y mantener medidas de seguridad administrativas, técnicas y físicas que protejan los datos personales contra el uso, acceso o tratamiento no autorizado, considerando el riesgo y la sensibilidad de los datos. El artículo 20 exige controles para que quienes intervienen en el tratamiento guarden confidencialidad, obligación que subsiste aun después de finalizar su relación con el responsable. Y el artículo 19 dispone que las vulneraciones de seguridad que afecten de forma significativa los derechos patrimoniales o morales de los titulares les sean informadas de forma inmediata. Una cuenta activa de un exempleado con acceso a la nómina o a la base de clientes no es, por sí sola, una vulneración, pero sí es exactamente el tipo de acceso que esas medidas de seguridad deberían impedir. La autoridad competente es hoy la Secretaría Anticorrupción y Buen Gobierno, que absorbió las funciones del extinto INAI; a la fecha de consulta no se ha localizado en el DOF el reglamento actualizado, por lo que el de 2011 se aplica de manera supletoria en lo que no contradiga la nueva ley.


La Ley Federal de Protección a la Propiedad Industrial añade un matiz poco comentado. Su artículo 163 define el secreto industrial como información de aplicación industrial o comercial, guardada con carácter confidencial, respecto de la cual su titular haya adoptado medios o sistemas suficientes para preservar su confidencialidad y el acceso restringido a ella. El artículo 402, fracción III, tipifica como delito divulgar a un tercero un secreto industrial conocido con motivo del trabajo, habiendo sido prevenido de su confidencialidad, y se persigue por querella. Dicho de otro modo: si la empresa no puede demostrar que restringía el acceso, ni siquiera es claro que lo que se llevó la persona califique como secreto. Revocar accesos a tiempo no solo reduce el riesgo; también forma parte de la prueba de que la información merecía protección.


Cuando el acceso sigue abierto, el Código Penal no siempre es la salida

El Código Penal Federal sanciona en su artículo 211 bis 1, vigente desde 1999, a quien sin autorización conozca o copie información contenida en sistemas o equipos de informática protegidos por algún mecanismo de seguridad, con tres meses a un año de prisión, y con seis meses a dos años a quien sin autorización la modifique, destruya o provoque su pérdida. Las penas aumentan cuando se trata de sistemas del Estado. En la Cámara de Diputados se han presentado iniciativas para endurecer estas sanciones, pero a la fecha no modifican el texto vigente.


Dos elementos del tipo penal deberían inquietar a cualquier área de Tecnología: "sin autorización" y "protegidos por algún mecanismo de seguridad". Cuando una cuenta sigue activa porque nadie la desactivó, la discusión sobre qué estaba autorizado y qué no se vuelve más difícil de sostener, aunque la relación laboral ya haya terminado. La vía penal existe, pero llega tarde, depende de una investigación y no repara la información perdida. No se encontró un caso mexicano documentado públicamente en que un exempleado haya sido vinculado a proceso por usar accesos que su exempleador no revocó; ese silencio no prueba que no ocurra, y es probable que muchos casos se resuelvan sin llegar a tribunales.


Lo que dicen los estándares y los datos internacionales

Los marcos de seguridad abordan la salida de personal como un proceso, no como un evento. La norma ISO/IEC 27001:2022 incluye en su Anexo A el control 5.11, sobre devolución de activos; el 5.18, sobre derechos de acceso, que contempla retirarlos cuando dejan de ser necesarios, y el 6.5, sobre responsabilidades que se mantienen después de la terminación o el cambio de empleo. Es un estándar voluntario en México: se vuelve exigible solo si la empresa decide certificarse o si un contrato o regulación sectorial lo requiere.


El Data Breach Investigations Report 2026 de Verizon analizó más de 31,000 incidentes y más de 22,000 brechas confirmadas en 145 países, y encontró el elemento humano en 62% de las brechas, frente a 60% en la edición anterior. Es un estudio global con metodología propia que no mide específicamente a México ni distingue a exempleados como categoría. Lo que sugiere es que buena parte del riesgo pasa por personas y credenciales, no solo por fallas técnicas.


Una salida que empieza antes del último día

El caso de Ohio deja una lección incómoda: el código se instaló semanas antes de la baja, cuando la persona aún tenía acceso legítimo y era, para muchos, "de toda la confianza". Por eso un buen proceso de salida no consiste en sospechar de quien se va, sino en saber, antes de comunicar la decisión, qué cuentas, equipos, permisos privilegiados y aplicaciones contratadas por fuera de Tecnología tiene esa persona, y quién se hace cargo de cada una.


"La salida de una persona es el último tramo de la gestión del riesgo humano, no un trámite de nómina; lo razonable no es tratar a quien se va como sospechoso, sino que Recursos Humanos, Tecnología y Seguridad sepan el mismo día qué accesos existen y quién responde por cerrarlos", señala Guido Schenone, Comercial & Growth Manager de Validato. Validato, compañía especializada en Background Screening y Human Risk Management con presencia en México, trabaja sobre la verificación de personas en función del rol y del riesgo de cada posición; no administra ni revoca accesos en los sistemas de sus clientes.

La mayoría de las personas que dejan una empresa en México lo hacen sin ninguna intención de dañarla. Precisamente por eso, la baja digital no debería depender de la buena voluntad de nadie, ni de la del exempleado ni de la memoria de quien tenía que abrir un ticket. La LFT cuida cómo termina el contrato; la pregunta pendiente es quién cuida cómo termina el acceso.


Fuentes y marco normativo consultado

  1. U.S. Department of Justice, Office of Public Affairs, "Chinese National Who Deployed Kill Switch Code on Employer's Network Sentenced to Four Years in Prison" (21 de agosto de 2025); caso estadounidense, sin relación con México. https://www.justice.gov/opa/pr/chinese-national-who-deployed-kill-switch-code-employers-network-sentenced-four-years-prison
  2. The Register, "Developer jailed for taking down employer's network with kill switch malware" (22 de agosto de 2025), cobertura del mismo caso. https://www.theregister.com/2025/08/22/worlds_dumbest_it_admin_gets/
  3. Cámara de Diputados, Ley Federal del Trabajo, texto vigente, última reforma DOF 14 de mayo de 2026: arts. 33, 47 (fr. IX y aviso de rescisión), 132 fr. VIII (constancia de servicios en tres días), 134 fr. VI y XIII. https://www.diputados.gob.mx/LeyesBiblio/pdf/LFT.pdf
  4. Cámara de Diputados, Ley Federal de Protección de Datos Personales en Posesión de los Particulares (DOF 20 de marzo de 2025, última reforma 14 de noviembre de 2025): arts. 18, 19 y 20. https://www.diputados.gob.mx/LeyesBiblio/pdf/LFPDPPP.pdf
  5. Reglamento de la LFPDPPP de 2011, aplicable de forma supletoria mientras no se publique el reglamento actualizado; competencia transferida a la Secretaría Anticorrupción y Buen Gobierno.
  6. Código Penal Federal, art. 211 bis 1 (adicionado DOF 17 de mayo de 1999) y 211 bis 2; texto consolidado de la Cámara de Diputados, última reforma DOF 13 de marzo de 2026. https://www.diputados.gob.mx/LeyesBiblio/pdf/CPF.pdf
  7. El Universal, "Alistan en San Lázaro reforma para sancionar uso indebido de datos protegidos; plantean hasta 10 años de prisión" (fecha no precisada en la nota consultada), iniciativa no aprobada sobre el art. 211 bis 1.
  8. Ley Federal de Protección a la Propiedad Industrial (DOF 1 de julio de 2020): art. 163 fr. I (definición de secreto industrial) y art. 402 fr. III (divulgación de secreto industrial; querella). https://mley.mx/LFPPI/articulo/163/
  9. Verizon, 2026 Data Breach Investigations Report, resumen ejecutivo; estudio internacional, no específico de México. https://www.verizon.com/business/resources/executivebriefs/2026-dbir-executive-summary.pdf
  10. ISO/IEC 27001:2022, Anexo A, controles 5.11, 5.18 y 6.5; estándar voluntario salvo requisito contractual o sectorial.
  11. Validato, descripción de servicios de Background Screening y Human Risk Management en México. https://validato.ch/mx-es/