El dinero de una ciberestafa sale de la cuenta en segundos y vuelve, cuando vuelve, por dos caminos que no tienen nada que ver entre sí. Uno es el penal, contra el estafador, y suele ser lento porque el autor está fuera de España o detrás de una cadena de cuentas puente. El otro es el bancario, contra su propia entidad, y es el que devuelve el dinero en la mayoría de los asuntos que llevamos en el despacho. Confundirlos, o esperar al primero para activar el segundo, es la forma más habitual de perder un dinero que era recuperable.
Dos caminos para un mismo dinero
La denuncia persigue al autor. Sirve para que se investigue, para que se bloqueen cuentas de destino si se llega a tiempo y para que, si hay condena, se declare la responsabilidad civil. Pero el estafador que opera desde otro país con una identidad falsa rara vez acaba sentado en un banquillo español, y cuando lo hace no suele tener con qué pagar.
La reclamación al banco no persigue a nadie. Se basa en que la normativa de servicios de pago obliga a la entidad a devolver el importe de las operaciones que el cliente no ha autorizado, salvo en los supuestos legales de fraude o negligencia grave del propio cliente. Esa obligación existe con independencia de que el estafador aparezca o no. Es la vía en la que se juega el dinero y la que exige más cuidado, porque lo que el cliente diga y firme en los primeros días condiciona todo lo que viene después. Cómo se plantea esa reclamación y con qué argumentos es trabajo del abogado, no de este artículo.
El delito en el Código Penal
Desde la reforma de la Ley Orgánica 14/2022, en vigor el 12 de enero de 2023, la estafa por internet se castiga en el artículo 249 del Código Penal con prisión de seis meses a tres años. Hay dos modalidades que interesan a la víctima de una ciberestafa.
El artículo 249.1.a) castiga a quien, mediante manipulación informática o artificio semejante, consigue una transferencia no consentida de un activo patrimonial en perjuicio de otro. Es la estafa informática en sentido estricto, la que no necesita engañar a una persona porque engaña al sistema. El phishing que roba claves y ejecuta una transferencia, el acceso a la banca en línea con credenciales robadas.
El artículo 249.1.b) castiga el uso fraudulento de tarjetas de crédito o débito, o de los datos que llevan, para realizar operaciones en perjuicio de su titular o de un tercero. Compras en línea con una tarjeta cuyos datos se copiaron, cargos con una tarjeta duplicada.
Cuando el fraude se apoya en engañar a una persona para que ella misma pague, el tipo aplicable es la estafa clásica del artículo 248, con la misma pena. Si lo defraudado no supera los 400 euros se considera delito leve y la pena es de multa. Si supera los 50.000 euros, o afecta a un número elevado de personas, entra en juego el artículo 250 y la prisión es de uno a seis años, con multa. Por encima de 250.000 euros, de cuatro a ocho años.
Estas cifras importan por dos razones. Una, la prescripción, que va ligada a la pena. Otra, que el juzgado no trata igual una estafa leve de 200 euros que una organización que ha vaciado cientos de cuentas, y en el segundo caso las denuncias individuales se acumulan y la investigación tiene recorrido.
Las modalidades que más vemos
Phishing, smishing y vishing
Un correo, un SMS o una llamada que imita al banco, a Correos, a la Agencia Tributaria o a la DGT y pide validar datos o hacer clic en un enlace. Con las claves obtenidas, el estafador entra en la banca en línea y ordena transferencias, o llama a la víctima haciéndose pasar por el departamento de seguridad y le pide que apruebe en la app una operación «para cancelar un cargo». Aquí las operaciones son, en su mayoría, no autorizadas, y es el terreno donde el banco tiene más que devolver.
Cambio de IBAN en una factura
Alguien intercepta el correo entre una empresa y su proveedor y, en la factura auténtica, cambia el número de cuenta. El pago sale con normalidad a una cuenta que no es la del proveedor. La transferencia sí está autorizada por quien la ordena, así que frente al banco propio hay poco margen. El trabajo se concentra en la reclamación al banco receptor, en la denuncia y en el reparto de responsabilidad con el proveedor cuyo correo estaba comprometido.
Fraude del CEO
Una variante para empresas. Un correo que parece del director general ordena al departamento financiero una transferencia urgente y confidencial. Además de la vía penal, suele haber consecuencias laborales y de seguro que conviene revisar antes de dar ningún paso interno.
Inversiones y criptomonedas
Plataformas con web cuidada, un gestor que llama por teléfono y un panel donde el saldo crece. Cuando la víctima quiere retirar, aparecen «impuestos» o «comisiones de desbloqueo» que hay que pagar antes. Todas las transferencias las ordena la víctima, así que la reclamación bancaria es difícil salvo que el banco haya incumplido sus deberes de alerta ante operaciones anómalas o hacia entidades advertidas por la CNMV. La lista de chiringuitos financieros de la CNMV es una prueba útil.
Wallapop, Vinted, Instagram
Compra que nunca llega, vendedor que pide salir de la plataforma para pagar por Bizum o transferencia, enlaces falsos de «recogida de envío» que en realidad capturan la tarjeta. Las plataformas no responden del fraude entre usuarios como regla general, pero conservan datos que solo entregan con requerimiento judicial, y esa es una razón más para denunciar aunque el importe sea pequeño.
Estafa romántica
Relación por redes o aplicaciones de citas, semanas o meses de conversación, y luego una emergencia médica, un billete de avión, una aduana. Los importes suelen ser altos y fraccionados en muchas transferencias. La dificultad es probatoria, porque la víctima ha querido pagar, y la prueba se construye con el historial completo de la conversación.
Bizum
Dos formas. La primera es la solicitud de dinero disfrazada de envío, el llamado Bizum inverso, en la que la víctima cree que acepta un cobro y en realidad aprueba un pago. La segunda es el Bizum ordenado por un tercero que ha tomado el control del teléfono o de la app. Solo la segunda es una operación no autorizada en sentido propio, y la diferencia decide la reclamación.
Alquileres vacacionales falsos
Anuncios copiados de pisos reales, con fotos verdaderas, a precio algo inferior al de mercado, y un propietario que está en el extranjero y pide señal por transferencia. La víctima descubre el fraude al llegar. Denuncia, pruebas del anuncio y de la conversación, y comprobación de si el pago pasó por la plataforma o fuera de ella.
Suplantación de identidad y SIM swapping
Con datos personales obtenidos por otras vías, el estafador consigue un duplicado de la tarjeta SIM y recibe los códigos de verificación del banco, o contrata préstamos y financiaciones a nombre de la víctima. Aquí se abre además la posibilidad de reclamar a la operadora de telefonía y a la entidad financiera que concedió el préstamo sin comprobar la identidad.
Las primeras horas
El orden importa más que la velocidad de cada paso.
Llame al banco por el teléfono de la tarjeta o de la web oficial, nunca por el número que le facilitó quien le llamó, y pida el bloqueo de las credenciales y la retrocesión de las operaciones. Anote la hora, el nombre del empleado y el número de incidencia. Si la transferencia es reciente, el banco puede intentar la recuperación frente al banco receptor, y a veces funciona cuando el dinero todavía no ha salido de la cuenta puente.
No borre nada. Ni el SMS, ni el correo, ni el historial de llamadas, ni la conversación de WhatsApp. No restablezca el teléfono de fábrica aunque sospeche que está infectado. Primero se preservan las pruebas y después se limpia.
No firme ni acepte por escrito nada que el banco le proponga en los primeros días sin haberlo leído con calma. Algunas comunicaciones incluyen un relato de los hechos que reconoce que usted facilitó las claves, y ese relato luego se usa en su contra.
Cambie las contraseñas desde un dispositivo distinto al comprometido, active la verificación en dos pasos y avise a la operadora si sospecha duplicado de SIM.
Denuncie en Policía Nacional o Guardia Civil con todo lo anterior. La denuncia es necesaria para la reclamación bancaria, para el seguro si lo hay y para cualquier acción posterior.
Lo que el banco tiene que devolver y lo que no
La distinción que lo decide todo es si la operación fue autorizada por usted o no. Una transferencia que ordenó un tercero con sus claves, una compra con su tarjeta que usted no hizo, un Bizum enviado desde una app que otro controlaba, son operaciones no autorizadas y el banco tiene la obligación legal de devolverlas. Una transferencia que usted ordenó engañado, aunque el engaño sea grosero, es una operación autorizada, y frente al banco solo cabe discutir si incumplió sus propios deberes de vigilancia.
Los bancos rechazan con frecuencia la primera reclamación alegando negligencia grave, con argumentos como que el cliente introdujo las claves en una web falsa o aprobó la operación en la app. Que ese rechazo se convierta en definitivo o no depende de cómo se conteste, con qué prueba y en qué momento. En el despacho revisamos primero el expediente completo de la entidad, incluidos los registros técnicos de la operación, antes de decidir qué recorrido tiene la reclamación.
Pruebas que debe guardar
Capturas de pantalla del mensaje o correo con la dirección o número completo del remitente. La URL exacta del enlace. El extracto de cuenta con las operaciones marcadas. La conversación íntegra, exportada, no solo fotografiada. El justificante de la llamada al banco y su respuesta escrita. El anuncio, el perfil o la plataforma donde empezó todo. Los datos del destinatario del pago, sea IBAN, nombre o teléfono de Bizum. Y la denuncia con su número de atestado.
Con eso el abogado puede evaluar en una primera consulta qué vía tiene sentido y qué expectativa real de recuperación hay.
Dónde se denuncia y qué juzgado es competente
La denuncia se presenta en cualquier comisaría de Policía Nacional o puesto de la Guardia Civil, o directamente en el juzgado de guardia. Para importes pequeños y hechos sencillos suele bastar la comisaría. Para fraudes de empresa o importes altos preferimos redactar la denuncia o querella nosotros, porque el relato inicial determina cómo se investiga.
El estafador no está en A Coruña, la cuenta de destino puede estar en Lituania y el servidor en cualquier parte. El criterio consolidado del Tribunal Supremo es que la estafa se consuma donde se produce el acto de disposición patrimonial, o sea, donde la víctima ordena el pago o donde está la cuenta de la que sale el dinero. En la práctica, el juzgado de instrucción de su propio partido judicial. Si le dicen en comisaría que denuncie en otra ciudad, no es correcto.
Denuncia o querella
La denuncia pone los hechos en conocimiento de la autoridad y ahí termina la participación de quien la presenta, salvo que después se persone. La querella se presenta con abogado y procurador y convierte a la víctima en parte desde el principio, con acceso al procedimiento, posibilidad de pedir diligencias y de recurrir el archivo. Para una estafa de 300 euros la querella no compensa. Para un fraude del CEO o una inversión de decenas de miles de euros, estar dentro del procedimiento o fuera de él es la diferencia entre que se pidan a tiempo los bloqueos y los datos, o que no se pidan.
Cuándo prescribe
La estafa de más de 400 euros, con pena máxima de tres años, prescribe a los cinco años (artículo 131 del Código Penal). La estafa leve, de 400 euros o menos, prescribe al año. Las agravadas del artículo 250, con pena máxima superior a cinco años, prescriben a los diez.
La acción civil contra el banco se rige por la responsabilidad contractual, que prescribe a los cinco años (artículo 1964 del Código Civil). Ninguno de estos plazos es el problema en la práctica. El problema es que las pruebas técnicas se pierden mucho antes, y que una reclamación tardía se contesta con que el cliente no comunicó la incidencia cuanto antes.
Si ha prestado su cuenta, ha pasado de víctima a investigado
Una parte de los detenidos por estafa informática en España no ha estafado a nadie. Son personas que aceptaron recibir un dinero en su cuenta y reenviarlo a cambio de una comisión, o que abrieron una cuenta «para un amigo», o que cayeron en una oferta de trabajo falsa. Son las llamadas mulas.
La consecuencia penal es real. Quien recibe el dinero de una estafa y lo mueve puede ser acusado de blanqueo de capitales (artículo 301 del Código Penal), con prisión de seis meses a seis años y multa del tanto al triplo del importe, o de blanqueo por imprudencia grave (artículo 301.3), con prisión de seis meses a dos años, si no sabía pero debía haber sospechado. También puede ser considerado cooperador en la propia estafa. Y en lo civil responde frente a la víctima del importe que pasó por su cuenta, que es lo que ocurre en la mayoría de las condenas, porque la mula es el único eslabón identificado.
Si le ha pasado esto, la defensa consiste en acreditar que usted mismo fue engañado, y eso se construye con la misma prueba que usaría una víctima. Lo que no se hace es acudir a declarar a comisaría sin abogado y sin haber preparado la versión.
Cuando la causa se archiva
La mayoría de las denuncias por ciberestafa acaban en sobreseimiento provisional por autor desconocido. Eso no cierra la vía bancaria, que es independiente, y tampoco cierra la penal, que puede reabrirse si aparecen datos nuevos, por ejemplo la identificación de la mula por el banco receptor. El auto de archivo, además, es un documento útil frente al banco y frente al seguro, porque acredita que se denunció y que no ha sido posible recuperar el dinero por otra vía.
Cuándo compensa reclamar y cuánto tarda
La reclamación al banco no tiene coste judicial y, bien planteada, se resuelve en meses. Merece la pena casi siempre, incluso con importes de unos cientos de euros, porque el trabajo es proporcional a la cuantía y muchas veces el banco rectifica sin necesidad de pleito.
Si el banco mantiene su negativa queda la vía judicial, y ahí la decisión es de estrategia más que de trámite. Pesan el importe, la calidad de la prueba y lo que la propia entidad haya puesto por escrito al rechazar. Esa valoración la hacemos caso por caso antes de dar ningún paso, porque de ella depende que el asunto merezca un pleito o se cierre antes.
La vía penal, con éxito, tarda años y depende de que se identifique a alguien con patrimonio. Es imprescindible para bloquear, para obtener datos y para fraudes de empresa. Como forma de recuperar el dinero, es la última.
Si ha sido víctima de una ciberestafa, o le han llamado para declarar por un dinero que pasó por su cuenta, en el despacho llevamos estos asuntos desde la primera reclamación hasta el juzgado. Puede ver cómo trabajamos en delitos informáticos y en derecho penal, o contactar con nosotros.
Preguntas frecuentes
Me han estafado por internet y el banco dice que fui negligente, ¿se ha acabado?
No. El rechazo inicial es la respuesta estándar de casi todas las entidades y no cierra nada. Quedan más pasos por dar, y los argumentos con los que el banco justifica ese no suelen ser débiles cuando se contrastan con sus propios registros técnicos. Lo que sí conviene es dejar de escribir al banco por su cuenta después de ese primer rechazo, porque cada comunicación se guarda, y llevar el expediente a un abogado.
¿Merece la pena reclamar si me han estafado 300 euros?
Sí frente al banco, si la operación no la autorizó usted, porque la reclamación no cuesta nada y la entidad devuelve importes pequeños con más facilidad. La denuncia también, aunque la causa se archive, porque se suma a otras denuncias sobre la misma cuenta de destino. Lo que no compensa con esa cuantía es una querella o un pleito con abogado.
Presté mi cuenta para recibir una transferencia y ahora me llama la policía, ¿soy víctima o investigado?
Investigado, con independencia de que a usted también le engañaran. Pueden acusarle de blanqueo de capitales o de cooperar en la estafa, y en todo caso de responder civilmente del dinero que pasó por su cuenta. Vaya a declarar con abogado y con todas las pruebas de cómo le captaron, porque esa es su defensa.
¿Prescribe una estafa por internet?
Sí. A los cinco años si lo estafado supera los 400 euros, al año si no llega, y a los diez en las modalidades agravadas del artículo 250 del Código Penal, por ejemplo cuando supera los 50.000 euros. En la práctica el plazo rara vez es el problema. Las pruebas técnicas desaparecen mucho antes.