Una estafa cometida a través de PayPal prescribe, en la vía penal, a los cinco años contados desde el día del pago si la cantidad supera los 400 euros, y al año si no llega a esa cifra, porque por debajo de ese importe el Código Penal la trata como delito leve (artículos 131 y 132, en relación con el 248). Si la estafa es agravada, por ejemplo cuando el perjuicio supera los 50.000 euros o afecta a un número elevado de personas, el plazo sube a diez años. En la vía civil, la acción para reclamar el dinero al estafador o a quien deba responder por él prescribe a los cinco años desde que pudo ejercitarse (artículo 1964 del Código Civil). La Protección del Comprador de PayPal tiene su propio reloj, que no está en ninguna ley porque es una condición del contrato con la plataforma, y son 180 días desde la fecha del pago. Pasado ese tiempo PayPal no admite la disputa, pero eso no afecta a los plazos legales. Una denuncia que el juzgado admite y dirige contra alguien interrumpe la prescripción penal; una disputa abierta en PayPal no interrumpe nada.
Con los plazos claros, lo que decide casi todos estos casos es una casilla que el usuario marcó en cuestión de segundos.
Amigos y familiares o bienes y servicios, la casilla que lo decide
PayPal permite enviar dinero de dos maneras. Con «Bienes y servicios» el vendedor asume una comisión y el comprador queda dentro de la Protección del Comprador, que cubre el artículo que no llega y el artículo que llega sustancialmente distinto de lo anunciado. Con «Amigos y familiares» no hay comisión y tampoco hay protección alguna, porque PayPal trata ese envío como un regalo entre personas que se conocen. Las condiciones de uso lo excluyen de forma expresa.
Los estafadores lo saben y por eso piden justo eso. La excusa varía, «así nos ahorramos la comisión», «es que mi cuenta es personal», «te hago un descuento si me lo mandas así», pero el objetivo es el mismo, que el dinero salga por la puerta que PayPal no vigila. Una variante es pedirle que, tras pagar por bienes y servicios, marque el pedido como recibido antes de que llegue, lo que cierra la protección con el mismo efecto.
Que PayPal no le devuelva el dinero de un pago personal no significa que el dinero sea irrecuperable en derecho. Significa que la plataforma no lo va a hacer por usted. La inducción a elegir esa casilla forma parte del engaño y así se describe en la denuncia. Si la cuenta de PayPal estaba alimentada por una tarjeta, existe además la retrocesión del cargo frente a su banco, una vía distinta de la de PayPal y que no depende de cómo estuviera marcado el envío. Cómo se plantea esa reclamación es trabajo nuestro, y lo explico en otro artículo sobre recuperar el dinero de una ciberestafa.
Las tres situaciones que la gente mezcla
Bajo «me han estafado por PayPal» caben tres problemas jurídicamente distintos, y a cada uno le corresponde un responsable diferente.
La primera es la cuenta vaciada sin permiso. Alguien accedió a su PayPal, con una contraseña obtenida por phishing o por un dispositivo comprometido, y ordenó pagos que usted no autorizó. PayPal (Europe) S.à r.l. et Cie, S.C.A. es una entidad de pago con licencia en Luxemburgo que opera en España, y como tal está obligada a responder de las operaciones que el titular no autorizó. La discusión que plantea siempre es si hubo negligencia del usuario, y cómo se rebate eso es trabajo del abogado. He tratado la lógica de estas devoluciones, que es la misma que rige para los bancos, en este artículo sobre phishing.
La segunda es la del comprador que pagó y no recibió nada, o recibió algo distinto. Si pagó como bienes y servicios, la Protección del Comprador cubre el caso dentro de sus 180 días. Si el vendedor era un empresario, se aplica además el texto refundido de la Ley General para la Defensa de los Consumidores y Usuarios (Real Decreto Legislativo 1/2007), con el derecho de desistimiento de catorce días naturales para las compras a distancia (artículo 102) y la falta de conformidad, con un plazo de garantía de tres años desde la entrega (artículo 120). Si el vendedor era un particular que le vendió por un anuncio, no hay derecho de desistimiento y rige el Código Civil. Y si nunca hubo intención de entregar nada, la relación civil es una ficción y estamos ante una estafa.
La tercera es la del vendedor engañado. Recibe un correo que parece de PayPal diciendo que el pago está retenido hasta que envíe el número de seguimiento, o un comprador paga de más y pide que le devuelva la diferencia a otra cuenta, o el comprador reclama a su banco el cargo tras recibir el artículo. El vendedor pierde la mercancía y el dinero. Aquí la Protección del Vendedor de PayPal exige prueba de envío a la dirección que figura en la transacción, y quien envió a otra dirección porque el comprador se lo pidió queda fuera.
Cómo son las estafas que pasan por PayPal
El phishing sigue siendo la puerta más habitual. Un correo o un SMS avisa de «actividad inusual» o de una «limitación de la cuenta» y lleva a una página clonada donde el usuario entrega su contraseña. Con ella el estafador ordena pagos, vincula otra tarjeta o cambia el correo de la cuenta. La mecánica es idéntica a la suplantación de un banco, que describo en este artículo.
Las facturas y solicitudes de dinero falsas tienen una particularidad que confunde a mucha gente, y es que llegan desde el sistema real de PayPal. El estafador crea una cuenta, emite una solicitud de pago por un producto que usted nunca compró y añade un número de teléfono de «soporte» para que llame. Al llamar, el supuesto técnico le pide instalar un programa de control remoto o le guía para «cancelar» el cargo, que en realidad es pagarlo. Una solicitud de pago que usted no reconoce se ignora y se elimina, no se paga y no se llama al teléfono que aparece en ella.
Los sobrepagos y reembolsos falsos van dirigidos a quien vende. El comprador paga una cantidad mayor de la acordada, alega error y pide que le devuelva el exceso por transferencia o a otra cuenta de PayPal. Después el pago original resulta no autorizado o proviene de una tarjeta robada, PayPal lo retira y el vendedor se queda sin el exceso que devolvió y sin el producto.
El soporte técnico falso combina todo lo anterior con una llamada telefónica. En las variantes más elaboradas el estafador se presenta con datos reales de la cuenta, obtenidos en una filtración previa, y con voz o vídeo manipulados, un fenómeno que trato en este artículo sobre fraudes con identidad falsa.
Qué dice el Código Penal y con qué penas
El artículo 248 del Código Penal, en la redacción dada por la Ley Orgánica 14/2022, castiga como estafa a quien, con ánimo de lucro, utiliza engaño bastante para producir error en otro y le induce a realizar un acto de disposición patrimonial en perjuicio propio o ajeno. El vendedor que cobra y no envía, el falso técnico que le guía para «cancelar» un cargo, el comprador que devuelve un sobrepago que nunca existió, todos encajan en esa descripción.
El artículo 249 recoge la estafa informática, la que se comete mediante manipulación informática o artificio semejante para conseguir una transferencia no consentida de activos. Es el tipo aplicable cuando alguien entra en su cuenta de PayPal y ordena pagos desde ella. Ese acceso, por sí mismo, encaja además en el artículo 197 bis, que castiga con prisión de seis meses a dos años a quien accede sin autorización a un sistema informático ajeno.
Las penas del artículo 249 son prisión de seis meses a tres años cuando lo defraudado supera los 400 euros, y multa de uno a tres meses cuando no llega a esa cantidad, que es el supuesto de delito leve. El artículo 250 agrava la pena hasta prisión de uno a seis años y multa de seis a doce meses cuando concurren determinadas circunstancias, entre ellas que el perjuicio supere los 50.000 euros o que la estafa afecte a un número elevado de personas, lo que ocurre con frecuencia cuando una misma tienda falsa o un mismo anuncio ha engañado a decenas de compradores en distintas provincias.
Junto a la pena, el proceso penal permite reclamar la responsabilidad civil derivada del delito (artículos 109 y siguientes del Código Penal), de modo que la devolución del dinero se pide dentro de la misma causa sin necesidad de un pleito civil aparte contra el condenado.
Qué se consigue con la denuncia y dónde se presenta
La denuncia se presenta ante la Policía Nacional, la Guardia Civil o directamente en el juzgado de instrucción. En cuanto a qué juzgado instruye, la Sala Segunda del Tribunal Supremo aplica desde su Acuerdo de Pleno no jurisdiccional de 3 de febrero de 2005 la teoría de la ubicuidad, según la cual el delito se entiende cometido en todos los lugares donde se realizó algún elemento del tipo. En la práctica, un vecino de A Coruña estafado por alguien que opera desde otra provincia o desde el extranjero puede denunciar aquí, porque aquí se produjo el engaño y desde aquí salió el dinero.
Lo que una denuncia consigue, y que ninguna disputa en PayPal puede conseguir, es que un juez requiera a PayPal la identidad del titular de la cuenta receptora, las direcciones IP, los dispositivos usados y la entidad bancaria a la que se retiraron los fondos. Si el dinero todavía está en tránsito, el juzgado puede ordenar su bloqueo. La denuncia sirve también como acreditación frente a PayPal y frente al banco, y permite que su caso se acumule con los de otros perjudicados por el mismo estafador, lo que cambia la calificación del delito y el interés con que se investiga.
La pregunta de si merece la pena denunciar una cantidad pequeña tiene respuesta sencilla. Sí, porque las estafas por PayPal se cometen en masa y su denuncia de 80 euros puede ser la que permita sumar la de otros cuarenta afectados, y porque sin denuncia se cierran las vías que dependen de ella.
Qué guardar desde el primer minuto
Las pruebas de una estafa digital desaparecen rápido, unas veces porque el estafador borra el anuncio y la cuenta y otras porque la víctima, con la rabia del momento, elimina la conversación. Antes de hacer nada más, conserve lo siguiente.
El identificador de la transacción de PayPal y una captura completa del detalle del pago, donde conste la fecha, el importe, el destinatario y, sobre todo, si se envió como bienes y servicios o como pago personal. El anuncio, la tienda o el perfil del vendedor, con su dirección web, capturas fechadas y cualquier dato de contacto que figurase. Todas las conversaciones, en la aplicación donde se produjeron y sin borrar nada, porque un pantallazo aislado vale menos que el hilo completo exportado. Los correos recibidos, con sus cabeceras, tanto los auténticos de PayPal como los que imitaban a PayPal. El movimiento de la tarjeta o de la cuenta bancaria vinculada. Si hubo acceso no autorizado, la lista de inicios de sesión y dispositivos que PayPal muestra en la configuración de la cuenta, antes de que el estafador la altere.
Hay además tres cosas que hacer en las primeras horas. Si la cuenta ha sido comprometida, cambie la contraseña, active la verificación en dos pasos y revise las direcciones de correo y los teléfonos asociados, porque el método habitual es añadir un correo secundario para recuperar el control después. Avise a su banco de la tarjeta o cuenta vinculada, sin esperar a lo que diga PayPal. Y no vuelva a pagar nada a nadie, ni «tasas de liberación», ni «costes de aduana», ni «verificaciones», porque la segunda petición de dinero es la continuación de la misma estafa.
Cuando PayPal dice que no
Todos los artículos que circulan sobre este tema terminan en el Centro de resoluciones de PayPal, como si una disputa cerrada a favor del vendedor fuera el final. No lo es.
La Protección del Comprador y la obligación de devolver operaciones no autorizadas son cosas distintas y se reclaman de forma distinta. La primera es una cláusula del contrato que usted aceptó con PayPal, y como cualquier cláusula contractual es exigible ante los tribunales si la plataforma la aplica mal. La segunda es una obligación legal que no depende de las condiciones de PayPal y que se exige por otro camino. Cuál conviene en cada caso, y con qué argumentos, se decide con los movimientos delante. Para cantidades de hasta 15.000 euros el cauce civil es el juicio verbal, cuya cuantía fijó el Real Decreto-ley 6/2023, en vigor desde el 20 de marzo de 2024, y desde la Ley Orgánica 1/2025 hay que acreditar un intento de solución previo antes de presentar la demanda.
A esa vía se suma, en paralelo, la retrocesión del cargo frente a su banco cuando el pago salió de una tarjeta vinculada a PayPal. Son reclamaciones independientes, con fundamentos distintos, y se pueden llevar a la vez. El orden en que se plantean, la argumentación frente a la alegación de negligencia y qué se pide a cada uno son decisiones de estrategia que dependen del caso y que en el despacho estudiamos con la documentación delante.
La pregunta de contra quién se reclama tiene, por tanto, tres respuestas simultáneas. Contra el estafador, por la vía penal y con la responsabilidad civil dentro de la causa. Contra PayPal, si hubo operación no autorizada o si aplicó mal su propia protección. Contra el banco, por la retrocesión del cargo si pagó con tarjeta. Ninguna excluye a las demás.
Qué pasa cuando la causa se archiva
Es frecuente que la denuncia termine en un auto de sobreseimiento provisional por no haberse identificado al autor (artículo 641 de la Ley de Enjuiciamiento Criminal). Eso no es una sentencia absolutoria ni cierra nada de forma definitiva. La causa puede reabrirse si aparece un dato nuevo, y con frecuencia aparece cuando otro juzgado identifica a la misma persona en otra estafa. Mientras tanto, el archivo penal no afecta a la reclamación frente a PayPal ni a la retrocesión frente al banco, que siguen su curso, y tampoco cierra la acción civil de cinco años.
Si el dinero acabó pasando por su cuenta
Hay un riesgo del que casi nadie avisa. Quien acepta recibir un pago de un desconocido en su PayPal para reenviarlo a otra cuenta a cambio de una comisión está actuando como mula, y el artículo 301 del Código Penal castiga el blanqueo de capitales con prisión de seis meses a seis años, con una modalidad imprudente en su apartado tercero castigada con prisión de seis meses a dos años y multa. Quien ha recibido un pago inesperado y una petición de devolverlo a otra cuenta, o quien ha aceptado un «trabajo» consistente en mover dinero, tiene que consultarlo antes de tocar ese dinero, no después.
Qué llevar al despacho
Para valorar un caso necesitamos el detalle de la transacción con su identificador, el historial de la disputa en PayPal si la hubo y su resolución, las conversaciones completas, los correos con cabeceras, el extracto de la tarjeta o cuenta vinculada, la denuncia si ya se presentó y, si la cuenta fue comprometida, el registro de accesos. Con eso se sabe en una primera lectura qué vía tiene recorrido y cuál no.
En el despacho llevamos estafas cometidas a través de plataformas de pago tanto en la vía penal como en la reclamación frente a la entidad y frente al banco. Si le han estafado por PayPal, puede consultar nuestra página de delitos informáticos o ponerse en contacto para que estudiemos su caso.
Preguntas frecuentes
¿Puedo recuperar el dinero si lo envié como amigos y familiares o ya no hay nada que hacer?
Dentro de PayPal no, porque ese tipo de envío queda fuera de la Protección del Comprador por las propias condiciones del servicio. Fuera de PayPal sí hay vías. La inducción a pagar de ese modo forma parte de la estafa del artículo 248 del Código Penal, y con la denuncia el juzgado puede identificar al titular de la cuenta receptora. Si el dinero salió de una tarjeta vinculada, cabe además la retrocesión del cargo frente a su banco.
¿Qué hago si PayPal me ha cerrado la disputa a favor del vendedor?
La decisión del Centro de resoluciones no es la última palabra. Esa decisión se puede discutir, porque la Protección del Comprador es una cláusula contractual y como tal es exigible. En paralelo puede reclamar al banco la retrocesión si pagó con tarjeta y denunciar la estafa. Conviene reunir el historial completo de la disputa antes de dar el siguiente paso.
¿Merece la pena denunciar si la cantidad es pequeña?
Sí. Por debajo de 400 euros la estafa es delito leve, pero estas estafas se cometen en masa y su denuncia puede acumularse con las de otros perjudicados por el mismo estafador, lo que agrava el delito y cambia la investigación. Además la denuncia es lo que permite al juzgado pedir a PayPal la identidad del receptor y sirve como acreditación frente a PayPal y frente al banco.
¿Contra quién reclamo, contra el estafador, contra PayPal o contra mi banco?
Contra los tres a la vez, porque son reclamaciones independientes. Al estafador se le persigue en la vía penal y se le reclama la devolución dentro de la misma causa. A PayPal se le reclama si hubo una operación no autorizada o si aplicó mal su propia protección. Al banco se le pide la retrocesión del cargo si el pago salió de una tarjeta vinculada. Ninguna de esas vías excluye a las otras.