Suplantación, fraude y disputas con la firma digital: qué puede salir mal, quién responde y qué hacer

Una contadora de Lima abre un correo del banco y se entera de que existe un préstamo firmado digitalmente con su nombre. Ella no firmó nada. No perdió ningún token ni recuerda haber prestado su PIN. Tiene tres preguntas: si el certificado es suyo, si la firma le obliga y a quién reclama. La respuesta depende de cómo se hizo la firma. Que alguien use su clave privada, que alguien saque un certificado nuevo a su nombre y que el banco tenga una imagen de su firma pegada en un PDF son tres situaciones con normas y salidas distintas.

Este artículo es el mapa de esa serie. Recorre seis situaciones en que la firma digital sale mal, y para cada una dice qué norma aplica, qué hacer y dónde está el artículo que la desarrolla. Leímos las fuentes el 15 de octubre de 2026 y, donde no pudimos leer el texto vigente, lo decimos en su sitio.

El mapa de un vistazo

Situación	Norma principal	Primer paso
Firmaron con tu certificado, o sacaron uno a tu nombre	Reglamento de la Ley 27269, arts. 10, 15, 17 y 18; Ley 30096, art. 9	Pedir la cancelación hoy
Te impugnan un documento que firmaste	Reglamento, arts. 2A y 8; Código Procesal Civil, arts. 242 y 300	Reunir la validación y el registro de eventos
Llega un PDF con la firma escaneada o pegada	Ley 27269, art. 1; Reglamento, arts. 1A y 2A	Comprobar si hay firma digital de verdad
Correo falso de «documento pendiente de firma»	Ley 30096, arts. 8 y 9; Código Penal, art. 196	No entrar; cambiar credenciales si ya entraste
La entidad emitió a un impostor	Reglamento, arts. 26 a 31 y 74 a 75	Pedir el expediente de emisión
Hace falta un peritaje	Reglamento, art. 4; Código Procesal Civil, arts. 262 a 268	Conservar todo sin tocarlo

Antes de nada: quién responde por una firma digital

El D.S. 052-2008-PCM, reglamento de la Ley 27269 (El Peruano, 19 de julio de 2008), pone la responsabilidad en el titular del certificado. Su artículo 9 dice que «la responsabilidad sobre los efectos jurídicos generados por la utilización de una firma digital corresponde al titular del certificado». En una persona natural, titular y suscriptor son la misma persona. En una empresa, el titular es la persona jurídica y el suscriptor, el representante que tiene la clave privada.

El artículo 8 añade tres presunciones: que el suscriptor controla la clave privada, que el documento se firmó con ella y que no se alteró después. La primera la reescribió el D.S. 029-2021-PCM (19 de febrero de 2021): control «con un elevado grado de confianza, incluso cuando la misma es gestionada» por un prestador de firma remota acreditado. De ahí sale que el suscriptor «no podrá repudiar o desconocer un documento electrónico que ha sido firmado digitalmente usando su clave privada», salvo que medie alguno de los vicios de la voluntad que prevé el Código Civil.

El artículo 2A, añadido por el mismo decreto, reparte la prueba. Con firma electrónica simple o avanzada prueba quien la invoca como auténtica. Con firma digital, «la carga de la prueba se invierte debiendo quien niegue la autoría, demostrar que la firma es apócrifa». La contadora tiene que probar que no firmó. Esa regla se desarrolla en quién prueba qué según la modalidad de firma.

Un tercer artículo cierra el cuadro. El 17 dice que usar un certificado tras su cancelación «conlleva la inaplicabilidad de los artículos 3º, 4º y 8º»: sin cancelación vigente se pierde la equivalencia con la firma manuscrita, la admisión como prueba y las presunciones. Por eso el primer paso de casi todo lo que sigue es cancelar.

Caso 1: firmaron con tu certificado o sacaron uno a tu nombre

Son dos problemas y se resuelven distinto.

Tu clave privada la usó otro. El token quedó enchufado, alguien copió el archivo del certificado, un empleado conocía el PIN. El certificado sigue siendo tuyo y la firma es técnicamente válida. El artículo 10 e) del reglamento obliga al suscriptor, si la clave privada queda comprometida, a notificarlo «de inmediato» a la entidad de registro o de certificación que intervino en la emisión «para que proceda a la cancelación». El artículo 18 obliga al titular y al suscriptor, «bajo responsabilidad», a pedir la cancelación al saber de la «exposición, puesta en peligro o uso indebido de la clave privada». El 15 c) repite la obligación del titular, con una excepción de 2021 para la clave privada gestionada por un prestador de firma remota acreditado.

El detonante es enterarse, no probar el fraude. Y la cancelación no se aplica hacia atrás: el artículo 17 dice que «no puede ser aplicada retroactivamente» y que la entidad debe indicar fecha, hora, minuto y segundo. Lo firmado antes de ese segundo queda en pie, con las presunciones del artículo 8 en tu contra. El procedimiento está en cancelar un certificado digital, y cómo se entera el resto del mundo en revocación, CRL y OCSP.

El certificado no es tuyo: lo sacó un impostor con tus datos. La Ley 27269 (El Peruano, 28 de mayo de 2000) no regula este caso con nombre propio. Su artículo 9 permite la cancelación «a solicitud del titular», y su artículo 10 enumera tres supuestos de revocación por la entidad: información inexacta o modificada, muerte del titular e incumplimiento contractual. Nuestra lectura, y es una inferencia, es que un certificado emitido a un impostor contiene datos que no corresponden a quien lo pidió, lo que encaja en el primer supuesto. El artículo 17 i) del reglamento da una vía a quien no es titular: un tercero puede pedir la cancelación si informa y prueba «de manera fehaciente» uno de los supuestos de los incisos 1) y 2) del artículo 10 de la Ley.

En lo penal hay dos normas. El artículo 9 de la Ley 30096, Ley de Delitos Informáticos (El Peruano, 22 de octubre de 2013), castiga la suplantación de identidad. Su texto actual es el del Decreto Legislativo 1591 (13 de diciembre de 2023): quien «mediante las tecnologías digitales suplanta la identidad de una persona natural o jurídica», con perjuicio «material, moral o de cualquier otra índole», recibe de tres a cinco años, y de seis a nueve si la víctima es menor de 18. La Ley 30171 (10 de marzo de 2014) reformó otros artículos de la Ley 30096, pero no el 9: lo comprobamos en su texto y en el compendio del Ministerio de Justicia con las modificatorias.

La otra es el artículo 427 del Código Penal, que sanciona al que hace «en todo o en parte, un documento falso o adultera uno verdadero» para usarlo, si el uso puede causar perjuicio: de dos a cuatro años si es documento privado. El 438, falsedad genérica, alcanza a quien falsea «usurpando nombre, calidad o empleo que no le corresponde», con dos a cuatro años. Los leímos en la duodécima edición oficial, de mayo de 2016, y no pudimos comprobar reformas posteriores.

El procedimiento completo está en alguien firmó con tu certificado o sacó uno a tu nombre. Perder un token sin fraude es otro asunto: token o PIN bloqueado o perdido.

Caso 2: te impugnan un documento firmado, o tú desconoces uno

El Código Procesal Civil (Decreto Legislativo 768, publicado el 4 de marzo de 1992) dice en su artículo 300: «Se puede interponer tacha contra los testigos y documentos». El artículo 242 fija el efecto: si se declara fundada la tacha «por haberse probado su falsedad, no tendrá eficacia probatoria». El 243 cubre la nulidad por falta de una formalidad que la ley prescribe bajo esa sanción. Y el 247 prevé que, si el obligado desconoce el documento, se establezca su autenticidad «a través del cotejo».

Leímos esos artículos en la edición del Congreso, que anota reformas hasta 1997. No hallamos en fuente oficial un texto actualizado del código, y el artículo 301, el que regula cómo y cuándo se interpone la tacha, se reformó después. Por eso no damos plazos: los fija cada vía procedimental y tu abogado debe leerlos en el texto vigente.

Con firma digital la discusión cambia por dos artículos del reglamento. El 2A pone la prueba de la falsedad en quien niega. El 4 dice que la validez se comprueba «en un ambiente electrónico aplicando el Software de Verificación de la firma digital». Nuestra lectura, otra inferencia, es que el cotejo del artículo 247 se hace aquí con un validador y no comparando trazos. Qué comprueba cada una de sus cuatro verificaciones está en qué comprueba el validador del Estado.

Si defiendes el documento, necesitas un expediente: el archivo original sin tocar, el informe de validación, el sello de tiempo si existe y el registro de eventos del proveedor. Este último pesa más cuando la firma fue remota, y casi nadie lo pide a tiempo; cómo pedirlo está en registro de eventos de la firma remota. Si eres quien desconoce, además de la tacha cuenta el artículo 11 a) del reglamento: la firma carece de validez cuando se usa «en fines distintos para los que fue extendido el certificado». Es una vía estrecha, pero existe. La tacha, la nulidad del documento y cómo armar la prueba de cada lado están en impugnar o defender en juicio un documento firmado digitalmente.

Caso 3: un PDF con la firma escaneada o pegada como imagen

Es el caso más común y el que menos parece un fraude. La Ley 27269 define en su artículo 1 la firma electrónica como «cualquier símbolo basado en medios electrónicos utilizado o adoptado por una parte con la intención precisa de vincularse o autenticar un documento». Nuestra lectura es que una imagen de firma puede encajar ahí si quien la puso, o la adoptó, quiso vincularse. Encajar en la definición no la convierte en firma digital. El artículo 1A del reglamento, de 2021, distingue la firma electrónica simple, la avanzada y la cualificada o digital, y una imagen pegada es, como mucho, simple.

La consecuencia está en el artículo 2A: con firma simple, la carga de probar la autoría recae en quien la invoca. Si quieres hacer valer el PDF, tienes que demostrar que la imagen la puso quien dices. Si el PDF dice llevar tu firma y no la pusiste, esa prueba le toca a quien lo invoca.

La comprobación práctica es abrir el PDF en un visor con panel de firmas o subirlo al validador oficial. Si no hay firma criptográfica, el documento no tiene firma digital, por nítido que se vea el garabato, y la imagen tampoco dice si el texto cambió después. Qué hacer con los contratos que ya tienes así está en carga de la prueba por modalidad. Cuándo la imagen no basta por la forma, cuándo puede ser falsedad y cómo comprobar qué te llegó está en la firma escaneada o pegada como imagen en un PDF.

Caso 4: un correo falso de «documento pendiente de firma»

Llega un correo con aspecto de plataforma de firma. El enlace lleva a una página que pide usuario y contraseña, o el código que acaba de llegar al móvil. Detrás no hay documento.

Esto no es un problema de firma digital sino de fraude. El artículo 8 de la Ley 30096 castiga el fraude informático; su texto actual es el del Decreto Legislativo 1614 (21 de diciembre de 2023). Alcanza a quien procura un provecho ilícito en perjuicio de tercero mediante «el diseño, introducción, alteración, borrado, supresión, clonación de datos informáticos, suplantación de interfaces o páginas web», con cuatro a ocho años. Una página clonada que pide tus credenciales está nombrada en la ley desde diciembre de 2023; la versión de la Ley 30171 (2014) no la mencionaba y tenía de tres a ocho años. La misma pena alcanza a quien colabora «facilitando la transferencia de activos», como el que presta su cuenta para recibir el dinero.

Si el engaño no manipula ningún sistema, el artículo 196 del Código Penal (edición de 2016) castiga con uno a seis años al que procura un provecho ilícito «induciendo o manteniendo en error al agraviado mediante engaño, astucia, ardid u otra forma fraudulenta». Y desde la Ley 32314 (29 de abril de 2025), emplear inteligencia artificial en cualquier delito de la Ley 30096 agrava la pena hasta un tercio sobre el máximo legal.

Si ya pulsaste, cambia la contraseña desde otra vía, no desde el enlace, y avisa a la entidad que envió cualquier código que hayas escrito. Si el correo hablaba de tu firma remota o tu token, trátalo como clave privada posiblemente expuesta y pide la cancelación: el artículo 18 habla de «exposición», no de uso consumado. Guarda el correo original con sus cabeceras, no solo una captura. Cómo distinguir una solicitud real de una falsa, y qué hacer según lo que entregaste, está en el correo falso de «documento pendiente de firma».

Caso 5: la entidad emitió el certificado a un impostor

La pregunta habitual es si no responde quien emitió. La respuesta de la norma que leímos es más corta de lo que se espera.

La entidad de registro o verificación comprueba quién eres. Según el artículo 13 de la Ley 27269, identifica y autentica al suscriptor y autoriza las solicitudes de emisión. El artículo 29 a) del reglamento, en el texto de 2021, exige hacerlo «en presencia física del solicitante», a distancia con los certificados del DNI electrónico, o con métodos que apruebe INDECOPI y den «seguridad equivalente». El 30 b) le obliga a «determinar objetivamente y en forma directa» la veracidad de lo que dicen los solicitantes, «bajo su responsabilidad».

Esa es la responsabilidad más explícita. Lo demás está en tres sitios. Los artículos 27 y 31 obligan a las entidades de certificación y de registro a mantener seguros o garantías bancarias e informar de los montos; la cuantía mínima la fija INDECOPI, designado Autoridad Administrativa Competente. Sus guías de acreditación piden US$ 50 000 a la entidad de certificación y US$ 35 000 a la de registro; qué significa eso para la víctima lo explicamos en cuando la entidad emite el certificado a un impostor. El 26 b) obliga a la entidad de certificación a informar de las condiciones de emisión y uso. Y los artículos 74 y 75 dan a INDECOPI facultad de supervisión y sanción.

No encontramos, ni en la Ley 27269 ni en el reglamento, un artículo que diga cuánto indemniza la entidad, con qué tope ni por qué procedimiento se reclama. El único reparto de daños escrito es el del artículo 17 a), para la demora en cancelar: responde la entidad de registro si tardó en comunicar la aprobación, y la de certificación si la recibió a tiempo. Lo demás cae en las reglas generales. El Código Civil dice en su artículo 1969 que quien por dolo o culpa causa un daño a otro está obligado a indemnizarlo, y en el 1321 que queda sujeto a indemnización quien no ejecuta sus obligaciones por dolo, culpa inexcusable o culpa leve (edición oficial de 2015). Aplicarlos a una entidad que verificó mal es razonamiento nuestro, no una regla del reglamento, y depende de tu contrato y de lo que se pruebe.

Pide por escrito a la entidad el expediente de emisión de ese certificado: la documentación que presentó el solicitante, el nivel de verificación aplicado y la fecha de cada paso. Antes de comprar uno, conviene exigir a la entidad estas seis cosas. Qué cambia entre el nivel Medio y el Medio Alto está en la entidad de registro o verificación. Qué pedirle, qué seguro hay detrás y ante quién reclamar está en emitieron un certificado digital a un impostor.

Caso 6: el peritaje informático

Cuando la validación automática no zanja la discusión, hay que llamar a un perito. El artículo 4 del reglamento lo prevé: «el Juez podrá solicitar a la Autoridad Administrativa Competente el nombramiento de un perito especializado en firmas digitales», sin perjuicio del Código Procesal Civil.

El código dice en su artículo 262 que la pericia procede cuando los hechos controvertidos requieren «conocimientos especiales de naturaleza científica, tecnológica, artística u otra análoga». El 264 permite a las partes presentar informe de perito de parte en el mismo plazo que los nombrados por el juez, si lo ofrecieron a tiempo. El 268 prevé una lista anual de especialistas que forma el Poder Judicial a partir de las propuestas de los colegios profesionales; es texto anotado hasta 1997 y la regla puede haber cambiado.

Lo práctico: un perito solo analiza lo que se conserva. Guarda el archivo firmado original sin abrirlo ni volver a guardarlo en otro programa, calcula su huella para poder demostrar que no cambió, y pide cuanto antes al proveedor el registro de eventos, que está en el servidor de quien presta el servicio. Qué examina el perito, qué puntos pedirle y cómo se ofrece la pericia en el proceso está en el peritaje informático de una firma digital.

Las primeras 24 horas

Si no sabes aún en cuál de los casos estás, este orden vale para todos:

1. Pide la cancelación del certificado afectado a la entidad que lo emitió, por escrito y con acuse. Anota la hora que te devuelva.
2. No borres ni reenvíes nada. Conserva el documento, el correo con sus cabeceras y los mensajes recibidos.
3. Comprueba en el validador oficial si el documento tiene firma digital y de quién.
4. Avisa por escrito a quienes recibieron documentos firmados con ese certificado.
5. Presenta la denuncia, con copia de tu DNI y de lo conservado.
6. Pide a la entidad o al proveedor el registro de eventos y, si el certificado no era tuyo, el expediente de emisión.

Si aún no tienes certificado, el catálogo explica las opciones. Si ya tienes un caso abierto y quieres revisar con qué tipo de certificado y qué custodia de la clave privada se firmó, escríbenos por la página de contacto.

Lo que este artículo no afirma

• No es asesoría legal. No sustituye al abogado que lleve tu caso, y menos en plazos procesales.
• No afirmamos el texto vigente del Código Procesal Civil ni del Código Penal. Leímos el primero en la edición del Congreso con enmiendas anotadas hasta 1997 y el segundo en la edición oficial de 2016. No encontramos en fuente oficial una versión más reciente de ninguno.
• No afirmamos que el reglamento sea completo. Verificamos el texto original del D.S. 052-2008-PCM y las modificaciones del D.S. 029-2021-PCM y del D.S. 070-2011-PCM, y no barrimos otras modificatorias.
• No afirmamos que la entidad que emitió a un impostor sea responsable civil en tu caso. Solo decimos que la norma que leímos no fija indemnización ni tope; la aplicación de los artículos 1321 y 1969 del Código Civil es nuestra inferencia.
• No damos a ningún organismo concreto como el que recibe la denuncia. No lo verificamos en fuente primaria.
• La lectura de que un certificado emitido a un impostor es información inexacta a efectos del artículo 10 de la Ley 27269 es nuestra, no de un texto oficial.

Los satélites de esta serie

• Alguien firmó con tu certificado o sacó uno a tu nombre: revocar, denunciar y desconocer lo firmado
• Impugnar o defender en juicio un documento firmado digitalmente: tacha, nulidad y quién tiene que probar qué
• La firma escaneada o pegada como imagen en un PDF: qué vale, cuándo no vale y cuándo es falsedad
• El correo falso de «documento pendiente de firma»: cómo comprobarlo antes de abrir y qué hacer si ya hiciste clic
• Emitieron un certificado digital a un impostor: qué responde la entidad de certificación, la de registro y quién te indemniza
• El peritaje informático de una firma digital: qué examina el perito, qué pedirle y cómo se ofrece en el proceso

Fuentes

Consultadas el 15 de octubre de 2026.

• Ley 30096, Ley de Delitos Informáticos, El Peruano, 22 de octubre de 2013: artículos 8 y 9 en su texto original.
• Ley 30171, que modifica la Ley 30096, El Peruano, 10 de marzo de 2014: modifica los artículos 2, 3, 4, 5, 7, 8 y 10.
• Ley 30096 y sus modificatorias, compendio del Ministerio de Justicia: artículos 8 y 9 con las notas de modificación.
• Decreto Legislativo 1591, El Peruano, 13 de diciembre de 2023: artículo 2, nuevo artículo 9.
• Decreto Legislativo 1614, El Peruano, 21 de diciembre de 2023: artículo 2, nuevo artículo 8.
• Ley 32314, El Peruano, 29 de abril de 2025: artículo 11 de la Ley 30096 y artículo 196-A del Código Penal.
• Ley 27269, Ley de Firmas y Certificados Digitales, El Peruano, 28 de mayo de 2000: artículos 1, 9, 10 y 13.
• D.S. 052-2008-PCM, Reglamento de la Ley 27269, El Peruano, 19 de julio de 2008: artículos 4, 8, 9, 10, 11, 15, 17, 18, 26, 27, 29, 30, 31, 57, 74 y 75.
• D.S. 029-2021-PCM, El Peruano, 19 de febrero de 2021: artículos 1A y 2A y nueva redacción de los artículos 8, 10, 15 y 29 del reglamento.
• Código Penal, Decreto Legislativo 635, duodécima edición oficial, mayo de 2016: artículos 196, 427 y 438.
• Código Procesal Civil, Decreto Legislativo 768, 4 de marzo de 1992, texto del Congreso con enmiendas anotadas hasta 1997: artículos 242, 243, 247, 262, 264, 268 y 300.
• Código Civil, decimosexta edición oficial, marzo de 2015: artículos 1321 y 1969.