Por encima de 250.000 euros defraudados, la estafa se castiga con prisión de cuatro a ocho años (artículo 250.2 del Código Penal). Por encima de 50.000 y hasta esa cifra, la pena es de uno a seis años (artículo 250.1.5.º). Los 900.000 euros que una empresa catalana transfirió engañada por alguien que imitaba la voz de su consejero delegado están, por tanto, en el tramo más grave del delito. Esa cifra fija la pena de un autor que casi nunca llega a sentarse en el banquillo. La cuestión que decide si la empresa vuelve a ver su dinero se juega en otro sitio, en si la transferencia cuenta como autorizada o no. Una sentencia de un juzgado de Barcelona conocida el 9 de septiembre de 2026, según publica Cinco Días, acaba de condenar a un banco a devolver esos 900.000 euros, y lo interesante es por qué.
Qué es la estafa del CEO y por qué sigue funcionando
La estafa del CEO, en inglés business email compromise o BEC, consiste en suplantar a un directivo con poder de decisión para que un empleado con acceso a la tesorería ordene un pago urgente y confidencial a una cuenta controlada por los estafadores. El engaño se prepara. Antes de llamar o escribir, los autores estudian la empresa en el registro mercantil, la web corporativa y las redes profesionales, identifican quién manda, quién paga y quién está de viaje, y aprenden cómo se escriben entre ellos. Con ese material construyen un contacto verosímil, un correo con dominio casi idéntico, un mensaje de WhatsApp desde un número nuevo «porque tengo el móvil de empresa averiado» o, como en el caso de Barcelona, una llamada en la que el identificador muestra el número real de la oficina central porque el número llamante se ha falseado.
La presión es el ingrediente. Hay urgencia, una adquisición que se cierra hoy o un plazo que vence esta tarde; hay confidencialidad, de modo que nadie más en la empresa debe saberlo; y hay un motivo por el que el directivo no puede hacerlo personalmente. Esa combinación anula los controles habituales porque el empleado cree que saltárselos es precisamente lo que le están pidiendo desde arriba. Cuando el dinero sale, va a una cuenta abierta a nombre de un tercero, con frecuencia en otro país, desde la que se reparte en horas.
Las variantes cambian con la técnica. El correo sigue siendo la más frecuente, WhatsApp le ha ganado terreno y la clonación de voz, que ya expliqué a propósito de las llamadas que imitan a un familiar, se usa ahora para imitar a un directivo. Es exactamente lo que ocurrió en el caso catalán, donde se imitaron las voces del consejero delegado de la matriz, del gerente y del director financiero de la filial. Hay que distinguirla del fraude del proveedor, en el que el estafador se cuela en la correspondencia con un proveedor real y cambia el número de cuenta de una factura verdadera. Ahí el pago es legítimo y solo se desvía el destino; en la estafa del CEO el pago entero es inventado. La diferencia importa después, porque en el fraude del proveedor la discusión suele centrarse en quién soporta la pérdida entre cliente y proveedor, mientras que en la estafa del CEO no hay un proveedor al que reclamar y todo se concentra en el banco y en las cuentas de destino.
El caso de Barcelona, 900.000 euros y un banco condenado
Los hechos, tal como los describe Cinco Días, son estos. Una empresa catalana, filial de una matriz alemana, recibió una llamada en la que el teléfono mostraba el número de la central. Al otro lado, alguien que imitaba la voz del consejero delegado de la matriz pidió con mucha urgencia un pago confidencial de 900.000 euros que él no podía tramitar por estar de viaje. Para reforzar la historia llegaron correos que simulaban proceder de la abogada externa que llevaba los asuntos legales de la matriz. Por el importe, los administradores de la filial pidieron ayuda a su sucursal. El destino inicial era una cuenta en Hong Kong; cuando el envío dio problemas técnicos, el estafador cambió sobre la marcha el destino a una cuenta en Portugal, y quienes atendieron a la empresa, personal de un centro de atención telefónica del banco y no su gestor habitual, la guiaron para sortear los problemas informáticos y completar la transferencia. Poco después, el gerente y el director financiero llamaron a la matriz real y descubrieron el engaño.
El juzgado no aprecia falta de diligencia en los empleados de la empresa. Según recoge Cinco Días, la sentencia razona que «un consumidor de productos de banca medio habría resultado víctima del delito, solo una actuación altamente diligente o suspicaz podría apercibirse de estar sufriendo un delito patrimonial», y atribuye la responsabilidad a la entidad como responsable de la seguridad de los fondos, «conclusión que no es sino la contrapartida a un sistema que permite que los fondos puedan transferirse en décimas de segundos de un lugar a otro sin posibilidad de recuperación». Añade que «este es el precio» de la informatización de los servicios bancarios y que el gestor de oficina habitual habría percibido lo extraño de la operación, cosa que no ocurrió con empleados de un centro de atención telefónica «que carecen de conocimientos acerca del historial y manera de proceder de la empresa». El abogado de la empresa, Diego Zapatero, de Asoban Abogados, sostiene ante el periódico que el banco «cooperó activamente en su propio perjuicio», que su responsabilidad es «cuasiobjetiva» y que al cambiar el destino de Hong Kong a Portugal «el banco debió haber encendido todas las alarmas». Esto último es la posición de una parte, no del juzgado.
Dos advertencias antes de sacar conclusiones. Es una sentencia de primera instancia y cabe recurso de apelación. Y el propio periódico señala que se aparta de otras resoluciones en casos similares que dieron la razón a los bancos. Quien lea el titular y dé por hecho que el banco devuelve el dinero de la estafa del CEO se equivoca. Lo que la sentencia demuestra es que, con determinados hechos, puede hacerlo.
Autorizada por engaño o no autorizada, la línea que decide la reclamación
Explico por qué la mayoría de las resoluciones favorecen al banco. En el phishing, en el duplicado de la tarjeta SIM o en el acceso indebido a la banca electrónica, el dinero lo mueve un tercero sin intervención del cliente. Son operaciones no autorizadas, y para ellas la normativa de servicios de pago impone al banco una obligación de devolución muy exigente, que ya traté al hablar de cuándo el banco debe devolver el dinero del phishing. El Tribunal Supremo aplicó ese régimen en su sentencia 571/2025, de 9 de abril, Sala de lo Civil, ponente Manuel Almenar Belenguer, ECLI:ES:TS:2025:1671, en el caso de un cliente de Ibercaja que sufrió transferencias fraudulentas por 56.474,63 euros los días 17 y 18 de marzo de 2021 mediante una tarjeta SIM duplicada sin su autorización. El Juzgado de Primera Instancia número 7 de Zaragoza y la Audiencia Provincial de Zaragoza condenaron al banco por incumplir el contrato de banca a distancia, y el Supremo desestimó el recurso de casación de la entidad y confirmó la condena.
En la estafa del CEO no ocurre eso. La transferencia la ordena la propia empresa, con sus claves, sus firmas y sus apoderados, aunque lo haga engañada. El artículo 36.1 del Real Decreto-ley 19/2018, de servicios de pago, considera autorizada la operación cuando el ordenante ha dado su consentimiento, y el consentimiento viciado por un engaño ajeno al banco sigue siendo consentimiento a estos efectos. Por eso el régimen protector de las operaciones no autorizadas no se aplica de forma directa. A eso se suma que una sociedad mercantil que no sea microempresa tiene menos red que un particular, porque el artículo 34.1 de la misma norma permite pactar con ella que no se apliquen varias de las reglas protectoras, y los contratos bancarios de empresa suelen aprovecharlo.
La tercera pieza es el artículo 59. Una orden ejecutada conforme al identificador único, el IBAN, se considera correctamente ejecutada, y el banco no tiene que comprobar que el nombre del beneficiario que la empresa escribió coincide con el titular real de la cuenta. Sobre ese artículo se construyen las sentencias que absuelven a los bancos. Un ejemplo reciente es la sentencia 528/2025, de 7 de noviembre, de la Sección Cuarta de la Audiencia Provincial de Asturias (ROJ SAP O 3805/2025), que absolvió al banco receptor en un fraude del CEO de 50.000 euros, con factura y cuenta cambiadas por correo, porque el banco ejecutó la orden conforme al IBAN y porque la empresa ordenante fue negligente al no comprobar un correo raro que cambiaba la cuenta. La Audiencia aplicó la doctrina de la sentencia del Tribunal de Justicia de la Unión Europea de 21 de marzo de 2019 (asunto C-245/18, Tecnoservice) y la sentencia del Tribunal Supremo 507/2025, de 27 de marzo, que limita la responsabilidad del banco a la correcta ejecución conforme al IBAN salvo, entre otros casos, que, comunicado el error sin demora, el banco no adopte las medidas que exigiría la diligencia de un comerciante experto para permitir la retroacción o minimizar el daño.
Con esos tres artículos delante, la pregunta de si el banco tiene que devolver el dinero de la estafa del CEO tiene, de entrada, una respuesta desfavorable para la empresa. En el despacho, cuando una empresa nos llega con un fraude de este tipo, lo primero que hacemos es reconstruir minuto a minuto lo que hizo el banco durante esa operación, porque ahí está la única puerta abierta, y a partir de esa reconstrucción le decimos si hay caso o no lo hay. Es parte de lo que hacemos en delitos informáticos.
Cuándo responde el banco pese a todo
La puerta que queda es la responsabilidad contractual del propio banco por falta de diligencia en esa operación concreta, con base en los artículos 1101 y 1104 del Código Civil. El banco no responde por haber ejecutado una orden con un IBAN correcto. Responde si, en el modo en que la tramitó, incumplió la diligencia que le era exigible como profesional que custodia los fondos de su cliente. Eso es lo que ha aplicado el juzgado de Barcelona, y los hechos que valoró marcan lo que hay que buscar en cualquier caso parecido. Empleados del banco intervinieron guiando la operación en lugar de limitarse a recibir una orden. El país de destino cambió sobre la marcha, de Hong Kong a Portugal, en una transferencia de casi un millón de euros. Y quien atendió no conocía el historial de la empresa ni su forma de operar, cuando el gestor habitual sí la conocía.
Lo que hizo el banco decide el resultado. Si la operación disparó alertas internas y nadie las atendió, si se hicieron preguntas o no se hicieron, si el importe era inusual para esa cuenta, si hubo cambio de beneficiario o de país y cómo se reaccionó, si la entidad conocía a su cliente y aplicó ese conocimiento. Frente a eso pesa la conducta de la empresa, porque una negligencia clara en el origen, como la de no comprobar un correo raro en el caso asturiano, cierra la vía. Nada de esto se improvisa en la demanda. Hay que documentarlo desde el primer día, cuando aún se puede pedir al banco el registro de la operación y aún se recuerda quién dijo qué. Cómo se plantea esa reclamación, qué se pide, en qué orden y con qué prueba, es trabajo del abogado.
Qué delito es y qué pena tiene
La estafa del CEO es una estafa del artículo 248 del Código Penal, un engaño bastante que provoca un acto de disposición patrimonial en perjuicio propio o ajeno. La pena base es de seis meses a tres años de prisión, y solo si la cantidad no excede de 400 euros queda en multa. Por encima de 50.000 euros entra en juego el artículo 250.1.5.º, con prisión de uno a seis años, y por encima de 250.000 el artículo 250.2, con prisión de cuatro a ocho años. Quien recibe el dinero en su cuenta y lo reenvía, el llamado mulero, puede responder por blanqueo de capitales del artículo 301, y lo hace incluso cuando no sabía con certeza el origen del dinero, porque el artículo 301.3 castiga el blanqueo cometido por imprudencia grave con prisión de seis meses a dos años.
| Conducta | Artículo del Código Penal | Pena |
|---|---|---|
| Estafa que no excede de 400 euros | 248 | Multa |
| Estafa básica | 248 | Prisión de seis meses a tres años |
| Estafa de más de 50.000 euros | 250.1.5.º | Prisión de uno a seis años |
| Estafa de más de 250.000 euros | 250.2 | Prisión de cuatro a ocho años |
| Blanqueo por imprudencia grave (quien presta su cuenta) | 301.3 | Prisión de seis meses a dos años |
En la práctica el autor casi nunca se identifica. Lo que sí se identifica es la cuenta de destino y su titular, y por ahí es por donde se bloquea y se recupera parte del dinero, además de por donde se localiza a quien prestó su cuenta. Para la empresa, la denuncia sirve para intentar el bloqueo de esa cuenta, para obtener la identificación del titular y para dejar constancia formal frente al banco y a la aseguradora de que la operación fue fraudulenta. Puede presentarse en el lugar desde el que se ordenó la transferencia, que es donde se produjo el perjuicio, sin que haya que acudir al lugar de la cuenta de destino ni al del estafador. La prescripción del delito, con estas penas, se cuenta en años y no es lo que apremia. Lo que apremia es que el dinero se reparte en horas.
Las primeras horas, qué hacer y qué no tocar
Todo lo que puede recuperarse del dinero se decide en las primeras horas, y en ese tramo la empresa actúa sola. Primero, llamar al banco y pedir la retrocesión de la transferencia. Dentro de la zona SEPA, como Portugal, es posible si la cuenta de destino no se ha vaciado todavía; fuera de ella, como Hong Kong, casi nunca se consigue. Después, comunicar por escrito al banco que la operación es fraudulenta, sin demora, y conservar el acuse de esa comunicación, porque la fecha de ese aviso va a discutirse más adelante. La denuncia viene a continuación, y tiene que llevar los correos con las cabeceras completas y no solo el texto reenviado, las grabaciones si las hay, los justificantes de la transferencia y la conversación entera con el supuesto directivo, incluidos los mensajes anteriores que parecían inofensivos, y debe pedir expresamente el bloqueo de la cuenta de destino y la identificación de su titular. Si la empresa tiene póliza de ciberriesgos con cobertura de fraude de transferencia, avise a la aseguradora ese mismo día, porque las pólizas fijan un plazo de comunicación y el retraso es la excusa más fácil para no pagar.
No borre nada. Ni el correo con el dominio falso, ni el chat de WhatsApp, ni el registro de llamadas del teléfono que recibió la llamada, ni los borradores de la orden. No reenvíe los correos originales a nadie fuera de la empresa; expórtelos con cabeceras y guárdelos en un soporte aparte. No llame de vuelta al número que le llamó ni conteste al correo del estafador, porque le dará información y le avisará de que la operación se ha descubierto. Y no firme nada que el banco le presente en esos días sin leerlo con calma, porque los documentos de conformidad o de reconocimiento de la orden aparecen después en el pleito. A partir de ahí vienen la reclamación escrita al banco y, si la rechaza, la demanda civil. Esa parte ya no la haga solo.
El empleado que ordenó el pago y los administradores
Una de las primeras preguntas que hace el administrador es si puede repercutir la pérdida en el empleado que ejecutó la orden. Para que un trabajador responda con su patrimonio de un daño causado en el trabajo hace falta algo más que un error; hace falta una negligencia grave o una actuación al margen de las instrucciones recibidas, y los tribunales son restrictivos. El razonamiento del juzgado de Barcelona va en contra de esa pretensión, porque si un consumidor medio de banca habría caído en el engaño, difícilmente se le puede reprochar al empleado no haber sido «altamente diligente o suspicaz». Cosa distinta es que el empleado se saltara un protocolo escrito de doble verificación que la empresa tenía implantado y que él conocía. Ahí la conducta cambia de naturaleza y puede tener consecuencias disciplinarias, con el despido como posibilidad en los casos más claros, además de abrir la puerta a una reclamación de daños. Sin protocolo previo, reclamar al empleado suele ser una mala inversión y además debilita la posición de la empresa frente al banco, porque admite que la negligencia estaba en casa.
La otra cara es la responsabilidad de los administradores frente a la sociedad y los socios. Un administrador tiene el deber de gestionar con la diligencia de un ordenado empresario, y eso incluye tener controles de pago proporcionados al tamaño de la empresa. Si una sociedad con tesorería relevante no tiene doble firma, ni verificación por segundo canal, ni instrucciones al personal, y pierde una cantidad importante por ello, los socios pueden plantearse si el daño tiene un responsable dentro. Es una acción que se ve poco en este tipo de fraudes, pero existe, y es una razón más para que el protocolo esté escrito y aprobado antes de que haga falta.
Prevención, lo que cuesta poco y evita casi todo
Cualquier pago urgente o confidencial se verifica por un canal distinto de aquel por el que llegó la petición y a un número que ya estaba en la agenda antes de ese día, nunca al que figura en el correo o en el mensaje recibido. Los importes altos exigen doble firma sin excepción, y la excepción es exactamente lo que el estafador va a pedir. Cualquier cambio de cuenta o de país de destino se trata como una alarma y no como una incidencia técnica. Y el personal de tesorería recibe formación con casos reales, porque el empleado que ha oído contar cómo se falsea un número llamante o se clona una voz reacciona distinto. Ninguna de estas medidas cuesta dinero y cualquiera de ellas habría frenado el caso de Barcelona.
Hacerlo por su cuenta tiene dos riesgos concretos. El primero, que se pierdan las horas en que aún cabe la retrocesión y el bloqueo, que es cuando de verdad se recupera dinero. El segundo, que la reclamación al banco se plantee como si fuera un phishing, con la norma equivocada, y el banco la rechace con el artículo 59 en la mano sin que nadie haya documentado los fallos de diligencia que son la única base real. En el despacho dirigimos estos asuntos en las dos vías, la penal contra las cuentas de destino y sus titulares y la civil contra el banco cuando su conducta en la operación lo permite, y ejercemos la defensa de la empresa también cuando el banco o la aseguradora intentan cargarle a ella la negligencia; lo explico en la página de delitos informáticos. Si a su empresa le ha pasado esto, llame al +34 677 841 007 o escriba desde /contacto/. Tenga a mano la orden de transferencia con fecha y hora, los correos y mensajes completos que llevaron al pago, el nombre de quién le atendió en el banco y por qué canal, la comunicación escrita al banco con su acuse, la denuncia si ya la ha presentado y la póliza de seguro de la empresa.
Preguntas frecuentes
¿El banco tiene que devolver el dinero de la estafa del CEO?
No de forma automática. La transferencia la ordenó la propia empresa, así que la ley la considera autorizada aunque mediara engaño, y el régimen de devolución de las operaciones no autorizadas no se aplica de forma directa. El banco responde cuando en esa operación concreta actuó sin la diligencia exigible, por ejemplo guiando una transferencia inusual sin hacer preguntas o ignorando un cambio de país de destino, y siempre que la empresa no haya sido negligente. La sentencia de Barcelona condenó al banco por eso, pero es de primera instancia y la mayoría de las resoluciones publicadas dan la razón a los bancos.
¿Cuánto tiempo tengo para reclamar y para denunciar?
Los plazos legales para comunicar la operación al banco, reclamar por responsabilidad contractual y perseguir el delito se cuentan en meses y en años, y ninguno de ellos es el problema real. El problema es el dinero, que se reparte en horas desde la cuenta de destino. Comunique al banco por escrito el mismo día, pida la retrocesión y denuncie en los días siguientes. Cada día que pasa reduce lo que se puede bloquear.
¿Sirve de algo denunciar si el dinero ya está en una cuenta extranjera?
Sí. Al autor casi nunca se le identifica, pero la cuenta de destino y su titular sí se identifican, y la denuncia permite pedir el bloqueo de esa cuenta y localizar a quien la prestó, que puede responder por blanqueo aunque alegue que no sabía nada. Dentro de la zona SEPA hay posibilidades reales de recuperar parte del dinero si se actúa rápido; fuera de ella, como en Hong Kong, casi ninguna. La denuncia también es la constancia formal del fraude que el banco y la aseguradora le van a exigir.
¿Me compensa reclamar al banco o es tirar el dinero?
Depende de lo que hizo el banco en esa operación. Compensa cuando hay hechos concretos que documentar, empleados del banco que intervinieron en la transferencia, un importe muy fuera de lo habitual en esa cuenta, un cambio de beneficiario o de país sobre la marcha, alertas que nadie atendió. No compensa cuando la empresa ordenó una transferencia normal en su operativa a un IBAN válido sin que el banco interviniera en nada, o cuando en la empresa hubo una negligencia clara, como pagar a una cuenta cambiada por un correo que nadie comprobó. En esos casos el artículo 59 de la normativa de servicios de pago le da la razón al banco y el gasto del pleito no se justifica. Le diremos cuál es su caso antes de presentar nada.