El Estatuto de los Trabajadores solo admite el despido disciplinario por un incumplimiento grave y culpable del trabajador, y los juzgados de lo social distinguen desde hace décadas entre el empleado que engaña a su empresa y el empleado al que han engañado a él. El phishing es la suplantación de un banco, un proveedor o un directivo de la propia empresa, por correo, mensaje o llamada, para que la víctima entregue claves de acceso o autorice un pago que acaba en manos del defraudador. En el Código Penal es un delito de estafa de los artículos 248 a 250, y la persona que pincha el enlace o aprueba la transferencia es la víctima, también cuando el dinero sale de la cuenta de su empleador.
Esa es la norma. La práctica es que una parte de las empresas, al descubrir el agujero, buscan a quien culpar y lo encuentran en el empleado que aprobó la transferencia o abrió el adjunto. Llega entonces una carta de despido por transgresión de la buena fe contractual, una propuesta de que el trabajador «asuma» el importe, o las dos cosas. En los tribunales ese planteamiento prospera pocas veces y solo cuando concurre algo más que el error. Lo explico por partes, empezando por lo que usted puede hacer hoy mismo.
Lo que puede asegurar hoy sin empeorar su posición
No firme ningún documento en el que reconozca una deuda, acepte una responsabilidad o autorice descuentos en su nómina. Un reconocimiento de deuda firmado en caliente es un título que la empresa puede hacer valer y que después cuesta mucho anular. Tampoco firme una baja voluntaria ni un acuerdo de extinción que no haya revisado un abogado, aunque se lo presenten como la salida amistosa. Si le entregan una carta de despido, fírmela solo como «recibido, no conforme» con la fecha, porque firmar el recibí no es aceptar lo que dice.
Guarde el correo, el mensaje o el registro de la llamada por los que entró el fraude, con sus cabeceras completas, y no borre nada del equipo ni del buzón, tampoco a petición de la empresa, salvo que lo pida por escrito y quede constancia de qué se borró y por qué. Haga capturas de la cadena de comunicaciones que siguió, incluida la aprobación interna del pago si la hubo, y de cualquier instrucción que recibió de un superior. Conserve los correos o avisos previos de la empresa sobre seguridad, o anote que nunca los hubo, porque la formación que recibió será decisiva.
Pida por escrito, sin discutir, copia de la política de seguridad y del procedimiento de pagos que le hayan aplicado y de la formación que la empresa diga haberle impartido. Si la empresa ha presentado denuncia, pida el número de atestado. Si no la ha presentado, usted puede hacerlo como persona afectada en cualquier comisaría o puesto de la Guardia Civil, y conviene hacerlo sin dejar pasar un día más, porque los bancos receptores solo retienen fondos si la orden llega pronto.
No llame al número que aparece en el correo o mensaje sospechoso ni vuelva a abrir el enlace para «comprobar». Si entregó contraseñas, cámbielas desde un dispositivo limpio y active la verificación en dos pasos en el correo profesional y en cualquier cuenta personal que usara la misma clave. No comente el asunto en grupos de mensajería de compañeros. Todo lo que escriba ahí puede acabar en el juzgado.
Phishing, qué es y qué significa cuando ocurre en el trabajo
El término viene del inglés «fishing», pescar, y en español se usa sin traducir. Designa cualquier técnica de engaño en la que el atacante se hace pasar por alguien de confianza para obtener credenciales, datos o un pago. La variante por SMS se llama «smishing», la telefónica «vishing» y la que usa códigos QR falsos «quishing». Cuando el objetivo es una persona concreta, estudiada antes, se habla de «spear phishing», y cuando esa persona es un directivo, de «whaling».
En la empresa el daño suele ser mayor que en el ámbito doméstico porque las cuentas mueven más dinero y porque el atacante aprovecha la cadena de mando. El llamado fraude del CEO, o BEC por sus siglas en inglés, consiste en un correo que aparenta venir del director o de un proveedor habitual y que ordena una transferencia urgente a una cuenta nueva, con una excusa verosímil y la indicación de que no se comente con nadie. El empleado de administración que lo ejecuta sigue una orden que cree real.
Jurídicamente eso tiene tres planos que se mezclan y conviene separar. Hay un delito, cuyo autor es el estafador y cuya víctima patrimonial es la empresa. Hay una relación laboral en la que la empresa puede plantearse si el trabajador incumplió sus deberes. Y hay, con frecuencia, una brecha de seguridad con datos personales de clientes o empleados que genera obligaciones propias de la empresa ante la Agencia Española de Protección de Datos. Lo que pase en uno de los planos no decide automáticamente los otros.
Phishing ejemplos y penas, del correo masivo al fraude del CEO
El correo masivo que suplanta a un banco o a una empresa de mensajería sigue siendo el más frecuente y el más fácil de detectar, porque suele contener errores y dominios que no coinciden. El spear phishing dirigido a una persona de la empresa usa su nombre, el de su jefe y detalles reales tomados de redes profesionales, y por eso funciona. Las campañas con inteligencia artificial generan textos sin faltas y voces clonadas para la llamada que confirma el correo, de modo que el «ya hablé con él por teléfono» ha dejado de ser una garantía. Ninguna de estas variantes cambia la calificación penal, que depende de la cuantía y de las circunstancias y no del medio empleado.
| Supuesto | Artículo del Código Penal | Pena |
|---|---|---|
| Estafa de hasta 400 euros, delito leve | 249 | Multa de uno a tres meses |
| Estafa de más de 400 euros | 248 y 249 | Prisión de seis meses a tres años |
| Estafa de más de 50.000 euros o que afecta a un número elevado de personas | 250.1 | Prisión de uno a seis años y multa de seis a doce meses |
| Estafa de más de 250.000 euros | 250.2 | Prisión de cuatro a ocho años y multa de doce a veinticuatro meses |
El artículo 248 define la estafa como el engaño bastante para producir error en otro y moverle a un acto de disposición en perjuicio propio o ajeno, y el artículo 249 incluye expresamente la cometida mediante manipulación informática o uso no autorizado de datos de identificación. El fraude del CEO cumple el tipo con holgura porque el engaño recae sobre el empleado y el perjuicio sobre la empresa, lo que la ley llama «perjuicio ajeno». Si el atacante entró antes en el correo corporativo para estudiar las operaciones y colarse en una conversación real, hay además un delito de acceso ilícito a sistemas informáticos del artículo 197 bis, con prisión de seis meses a dos años, del que trato en el artículo sobre acceso ilegal a cuentas y sistemas.
Lo que importa al trabajador de este cuadro es sencillo. Las penas son para quien engaña. El empleado engañado no está en ninguna de esas filas, y una empresa que insinúe lo contrario para presionar en la negociación laboral maneja un argumento que no tiene.
Phishing bancario y phishing que suplanta a la Seguridad Social o a Hacienda
En el phishing bancario el atacante se hace pasar por la entidad donde la empresa tiene la cuenta y consigue las claves de la banca electrónica o la firma de operaciones. En el que suplanta a la Seguridad Social, a la Agencia Tributaria o a Correos, el cebo es una devolución pendiente, una multa o un paquete retenido, y el objetivo es el mismo, obtener credenciales o un pago. Ni la Seguridad Social ni Hacienda envían enlaces de pago por SMS ni piden datos de tarjeta por correo, y ambos organismos lo recuerdan en sus avisos de seguridad.
Para la empresa víctima hay una consecuencia práctica. Cuando el dinero sale de la cuenta por una operación que el titular no autorizó realmente, la normativa de servicios de pago impone al banco una obligación de devolución, con excepciones tasadas en las que la entidad intenta situar casi siempre la discusión. Cómo se plantea esa reclamación y cómo se contesta a esa postura es trabajo del abogado, y lo tratamos en la entrada sobre cuándo el banco debe devolver el dinero tras un phishing. Lo relevante aquí es que la empresa tiene una vía de recuperación frente a su banco, y que esa vía existe con independencia de lo que decida hacer con el empleado.
Eso cambia la conversación sobre el dinero. Si la empresa puede recuperar todo o parte de lo perdido del banco, o del banco receptor de la transferencia, el daño que pretenda trasladar al trabajador es menor o inexistente. Y si no reclama por desidia, ese daño tampoco puede cargárselo a quien pinchó el enlace. En el artículo sobre ciberestafas y recuperación del dinero explico qué cubre cada vía.
El trabajador es víctima en lo penal y eso pesa en lo laboral
En el proceso penal el empleado que ejecutó el pago es testigo, y si entregó credenciales personales o sufrió un daño propio, perjudicado. Solo pasa a investigado si existen indicios de connivencia con el autor, y esos indicios tienen que ser reales, como un pago recibido, una comunicación previa con la cuenta destino o una conducta que el engaño no explique. La torpeza no abre una investigación penal contra nadie.
Hay una excepción que conviene conocer. Si el fraude consistió en que el empleado recibió dinero en su propia cuenta y lo reenvió por indicación de alguien que creía legítimo, el riesgo penal es distinto, porque las cuentas puente de las estafas se investigan por blanqueo de capitales. El artículo 301 del Código Penal castiga también el blanqueo cometido por imprudencia grave, y quien hizo de intermediario con su cuenta personal puede acabar en la lista de investigados aunque no cobrara nada. Ese caso exige defensa penal desde el primer día, antes de declarar en comisaría.
En el plano laboral la condición de víctima tiene un efecto directo sobre el despido. El artículo 54.2.d) del Estatuto de los Trabajadores permite despedir por transgresión de la buena fe contractual y abuso de confianza. La transgresión exige una conducta desleal, un engaño del trabajador hacia la empresa o un aprovechamiento de su posición. Quien ha sido engañado por un tercero no ha engañado a su empleador. Los juzgados de lo social llevan ese razonamiento al terreno de la prueba y preguntan qué hizo el trabajador que no debiera, o qué dejó de hacer estando obligado a hacerlo.
Despido disciplinario por caer en un phishing, lo que exige el artículo 54 ET
El despido disciplinario es la sanción máxima y la ley lo reserva a incumplimientos graves y culpables. El Tribunal Supremo aplica desde hace décadas lo que se conoce como teoría gradualista, que exige adecuar la sanción a la gravedad de los hechos y a las circunstancias del trabajador, su antigüedad, su historial y la entidad del daño. Un error aislado de quien nunca ha sido sancionado, en una tarea para la que la empresa no le formó, rara vez alcanza ese umbral.
La culpabilidad es el otro elemento. Caer en un engaño bien construido no es un acto doloso y los juzgados tampoco lo tratan, por sí solo, como negligencia grave. Lo que se examina es si el trabajador se saltó una norma interna que conocía, por ejemplo un procedimiento de doble firma para pagos a cuentas nuevas, si ignoró una advertencia expresa y reciente, o si actuó fuera de sus funciones para ordenar una transferencia que no le correspondía. Cuando concurre algo de eso, el despido tiene posibilidades. Cuando el trabajador hizo lo que hacía siempre, con las herramientas y los controles que la empresa le dio, lo habitual es la improcedencia.
Aquí entran el deber de diligencia del artículo 5 del Estatuto, que obliga al trabajador a cumplir sus obligaciones conforme a la buena fe, y el poder de control del artículo 20.3, que permite a la empresa vigilar ese cumplimiento. Ambos funcionan en las dos direcciones. La empresa que invoca la falta de diligencia tiene que explicar qué diligencia concreta exigía y cómo la comunicó. La que presume de controles tiene que acreditar que existían y funcionaban. Un procedimiento de pagos que permite a una sola persona transferir una cantidad importante a una cuenta nueva con un correo como única orden es un fallo de organización, y la organización corresponde al empleador.
La formación cierra el círculo. El artículo 19 de la Ley 31/1995 de Prevención de Riesgos Laborales obliga a dar al trabajador formación suficiente y adecuada frente a los riesgos de su puesto, y aunque su objeto es la seguridad y la salud, la idea de que la empresa debe preparar al trabajador para los riesgos de su trabajo se traslada a la ciberseguridad en la práctica judicial a través de la buena fe y de la carga de la prueba. La empresa que nunca formó a su personal en detectar correos fraudulentos y no tenía protocolo de verificación de pagos difícilmente convence a un juez de que el fallo fue solo del empleado.
En el despacho revisamos la carta de despido y el expediente del incidente antes de que el trabajador firme o responda nada, un trabajo que se hace desde derecho laboral y desde la defensa penal a la vez, porque las dos piezas se cruzan.
La carta, los plazos y el paro tras un despido por phishing
El artículo 55 del Estatuto de los Trabajadores exige que el despido disciplinario se comunique por escrito, con expresión de los hechos que lo motivan y la fecha de efectos. Una carta que hable de «los graves perjuicios causados a la empresa por su negligencia» sin concretar qué hizo el trabajador, cuándo y qué norma incumplió, es insuficiente, y el defecto de forma lleva a la improcedencia sin entrar en el fondo. Si el trabajador es representante de los trabajadores o está afiliado a un sindicato, la ley añade requisitos cuya omisión tiene el mismo efecto.
El Estatuto fija además la prescripción de las faltas en su artículo 60.2. Las muy graves prescriben a los sesenta días desde que la empresa tuvo conocimiento de su comisión y, en todo caso, a los seis meses de haberse cometido. Una empresa que descubrió el fraude en febrero y despide en junio por ese hecho llega tarde. El trabajador, por su parte, dispone de veinte días hábiles desde el despido para presentar la papeleta de conciliación, plazo de caducidad que no se detiene por negociar ni por esperar a que la empresa «lo piense».
Si el despido se declara improcedente, la empresa elige entre readmitir con salarios de tramitación o indemnizar con treinta y tres días de salario por año de servicio, con el tope de veinticuatro mensualidades, conforme al artículo 56 del Estatuto, y los contratos anteriores a febrero de 2012 conservan un tramo a cuarenta y cinco días. Si la empresa reconoce la improcedencia en la conciliación se ahorra el juicio y los salarios de tramitación, y por eso muchos despidos por phishing terminan ahí.
Sobre la pregunta que más se busca, el despido disciplinario da derecho a la prestación por desempleo. El artículo 267 de la Ley General de la Seguridad Social considera situación legal de desempleo la extinción del contrato por despido sin distinguir si es procedente o improcedente, y basta la carta de despido para solicitar la prestación en los quince días hábiles siguientes. El trabajador no tiene que esperar a la conciliación ni a la sentencia para pedir el paro.
Que devuelva el dinero, la responsabilidad del trabajador y los límites de la empresa
La segunda amenaza habitual es la reclamación del importe perdido. El artículo 1101 del Código Civil obliga a indemnizar los daños causados por dolo, negligencia o morosidad en el cumplimiento de una obligación, y la empresa lo invoca para sostener que el trabajador le debe lo que el estafador se llevó. En la relación laboral ese artículo no se aplica en bruto. El trabajador presta servicios dentro del ámbito de organización y dirección del empresario, que es quien asume el riesgo de la actividad, y los tribunales exigen para trasladarle un daño un incumplimiento grave y culpable, con la misma vara que para el despido. Un error en el curso ordinario del trabajo, inducido por un engaño diseñado para producirlo, no cumple ese estándar.
Si la empresa quiere reclamar tiene que demandar ante el juzgado de lo social y probar la culpa grave, la relación entre esa culpa y el daño y la cuantía real del perjuicio, descontando lo que haya recuperado o pudiera haber recuperado de su banco. La acción prescribe al año, conforme al artículo 59.1 del Estatuto. Lo que no puede hacer es descontarlo de la nómina por su cuenta. El salario está protegido frente a compensaciones unilaterales, es inembargable hasta el importe del salario mínimo interprofesional conforme al artículo 27.2 del Estatuto, y una retención sin consentimiento ni resolución judicial permite al trabajador reclamar las cantidades con el interés por mora del diez por ciento.
Por eso insisto en no firmar. La única manera de que la empresa cobre sin pleito es que el trabajador lo consienta por escrito, y ese consentimiento es lo que buscan el reconocimiento de deuda y el acuerdo de «pago fraccionado» que a veces se ofrecen junto con la promesa de no despedir. Firmado eso, la discusión sobre si existía culpa grave desaparece.
Hay también un criterio de proporción que el lector debe aplicar antes de litigar. Si la empresa se limita a una amonestación o a una suspensión breve, impugnarla puede no compensar en tiempo ni en relación laboral, y lo sensato es dejar constancia escrita de la disconformidad por si el episodio se usa más adelante. Si hay despido o reclamación de cantidad la cuenta es otra, porque lo que se juega es la indemnización completa o varios meses de sueldo, y ahí el abogado se paga solo.
Phishing alert dentro de la empresa, lo que hay que notificar y a quién
El incidente no se agota en el dinero. Si el atacante accedió al correo corporativo, a un gestor de clientes o a archivos con datos de personas, la empresa es responsable del tratamiento y el artículo 33 del Reglamento (UE) 2016/679 le obliga a notificar la brecha a la Agencia Española de Protección de Datos sin dilación indebida y, de ser posible, en setenta y dos horas desde que tuvo constancia, salvo que sea improbable que suponga un riesgo para los afectados. El artículo 34 añade la comunicación a los propios interesados cuando el riesgo es alto. La Ley Orgánica 3/2018 de Protección de Datos y garantía de los derechos digitales completa el régimen sancionador, y las multas por no notificar recaen en la empresa, nunca en el empleado que abrió el correo.
Esto importa al trabajador por dos razones. Una empresa que incumple sus propias obligaciones de seguridad y notificación tiene poca autoridad para presentar el incidente como fallo exclusivo del empleado. Y la documentación de la brecha, el informe interno y la notificación a la Agencia describen cómo entró el ataque y qué controles faltaban, de modo que el trabajador puede pedir que se aporten al procedimiento laboral.
Si la empresa cuenta con delegado de protección de datos, es la persona a la que debe dirigirse para que conste la comunicación interna del incidente. Si no lo tiene y usted es quien detectó el fraude, deje constancia por escrito, con fecha y hora, de a quién avisó y qué le dijo. En estos asuntos la cronología de quién supo qué y cuándo decide tanto como el fondo.
Dónde se denuncia, cuánto tiempo hay y qué pasa si la causa no llega a nadie
La denuncia se presenta en cualquier dependencia de la Policía Nacional o de la Guardia Civil, o en el juzgado de guardia. En las estafas por internet el Tribunal Supremo aplica el criterio de la ubicuidad y considera competente, entre otros, el juzgado del lugar donde la víctima realizó el acto de disposición o donde tenía la cuenta de la que salió el dinero, de modo que nadie tiene que ir a buscar al estafador a su provincia ni a su país. La empresa denuncia como perjudicada patrimonial, y el trabajador puede hacerlo si entregó credenciales propias o si la empresa no denuncia y él necesita una denuncia a la que remitirse.
La estafa prescribe conforme al artículo 131 del Código Penal. La básica, con pena máxima de tres años, a los cinco años. La agravada del artículo 250, con penas que superan los cinco años, a los diez. El delito leve, al año. La reclamación civil contra el autor, si llega a identificarse, va dentro del proceso penal y no exige pleito aparte.
Lo habitual es que la causa se archive provisionalmente porque el autor opera desde fuera de España y las cuentas receptoras son de testaferros. Ese archivo no significa que no hubiera delito ni convierte al empleado en responsable. La investigación policial habrá documentado la ruta del dinero y la existencia del engaño, y ese atestado es la prueba de que el trabajador fue víctima de una estafa, un documento que conviene incorporar al procedimiento laboral desde el principio. La reclamación frente al banco tampoco depende de que se encuentre al estafador, porque se funda en que la operación no estaba autorizada por el titular.
Preguntas frecuentes
Si he caído en un phishing, ¿puedo reclamar al banco?
Sí, el titular de la cuenta puede reclamar al banco la devolución de las operaciones que no autorizó. Cuando la cuenta es de la empresa, reclama la empresa como titular, y el resultado de esa reclamación reduce el daño que pueda intentar trasladar al trabajador. Cómo se plantea la reclamación y cómo se contesta a la negativa del banco es trabajo del abogado.
¿El phishing es delito en España? ¿Qué pena tiene?
Sí, es un delito de estafa de los artículos 248 a 250 del Código Penal. La pena es de seis meses a tres años de prisión cuando lo defraudado supera los 400 euros, de uno a seis años si pasa de 50.000 y de cuatro a ocho años si pasa de 250.000. Por debajo de 400 euros es delito leve con multa. El empleado engañado es víctima, no autor.
Me han sacado dinero de la cuenta por phishing, ¿el banco está obligado a devolvérmelo?
Con carácter general sí. La normativa de servicios de pago obliga al banco a devolver las operaciones que el cliente no autorizó, y la primera negativa de la entidad no es la última palabra. Que el estafador no haya sido identificado no afecta a esa obligación. En qué momento y con qué fundamento se formula la reclamación es trabajo del abogado.
Qué toca hacer ahora y a quién le corresponde
Si ya tiene la carta de despido, el plazo de veinte días hábiles corre desde la fecha de efectos y lo que toca es que un abogado la examine antes de que usted responda a la empresa, porque la forma de la carta y la prescripción de la falta se ganan o se pierden en esos primeros días. Si lo que tiene es una reclamación de dinero o un documento para firmar, lo que toca es no firmarlo y que el abogado lo lea. En el despacho ejercemos la defensa en estos asuntos desde delitos informáticos y fraude bancario y desde derecho laboral, con la carta, el correo del fraude y la denuncia sobre la mesa. Respondemos a la mayor brevedad en el +34 677 841 007 o a través de la página de contacto.