Un SMS con el remitente de Correos avisa de un paquete retenido por 2,99 euros de tasas de aduana, el destinatario introduce el número de su tarjeta, la caducidad y el código de seguridad en una página idéntica a la oficial, y durante diez días no aparece ningún cargo en su cuenta. Ese mensaje es phishing, el envío de correos, SMS o llamadas que suplantan a una empresa o a una administración para que la víctima entregue sus claves, los datos de su tarjeta o su documentación, y en España es delito de estafa de los artículos 248 y 249 del Código Penal, castigado con prisión de seis meses a tres años en su forma básica, desde el momento en que con esos datos se hace un pago o una transferencia. Mientras el estafador solo tiene los datos, o entra con ellos en una cuenta sin mover dinero, el hecho se castiga por los artículos 197 y 197 bis, descubrimiento de secretos y acceso ilícito a un sistema, con otra pena y otro plazo de prescripción. La calificación la inclina el primer cargo, por pequeño que sea, y a la víctima le importa por dos razones, porque cambia la pena que puede pedir y porque solo la segunda situación abre la reclamación al banco del dinero perdido.
El mensaje sin borrar, la tarjeta bloqueada y la clave cambiada, lo primero si acaba de picar
Si ha introducido datos o pulsado un enlace hace minutos u horas, hay cosas que solo puede hacer usted y que nadie podrá rehacer después. No borre el SMS ni el correo, no vacíe la papelera y no desinstale la aplicación desde la que abrió el enlace. Haga una captura en la que se vean el remitente, la hora y la dirección completa del enlace, y si es un correo guárdelo como archivo o reenvíeselo a otra cuenta suya, porque las cabeceras identifican el servidor del que salió. Si dio los datos de una tarjeta, bloquéela desde la aplicación del banco o llamando al número del dorso, nunca al que figure en el mensaje o en la llamada que acaba de recibir. Si dio una contraseña, cámbiela desde un dispositivo distinto al que usó para abrir el enlace y active la verificación en dos pasos en esa cuenta y en todas las que compartieran la misma clave, el correo primero, porque desde el correo se restablecen las demás. Si en las horas siguientes le llama alguien que dice ser del banco, de la policía o de una empresa de recuperación de fondos, no siga instrucciones, no instale programas de acceso remoto y no haga transferencias «a una cuenta segura», porque esa llamada forma parte del mismo fraude. Anote la hora en que introdujo los datos y la hora del primer cargo, y descargue el extracto con los movimientos. Con eso tiene la prueba del hecho y la del perjuicio, que es lo que sostiene cualquier denuncia y cualquier reclamación. No restaure el móvil ni formatee el ordenador aunque se lo recomienden en una tienda, porque el rastro de lo instalado desaparece con ello.
Phishing, qué es y cómo funciona desde el envío hasta la salida del dinero
La palabra viene del inglés «fishing», pescar, escrita con la «ph» que usaban los primeros piratas de la red telefónica. Describe la técnica con exactitud. Se lanzan miles de anzuelos idénticos a los mensajes de una entidad real y se espera a que una parte pequeña de los destinatarios pique. El engaño tiene cuatro momentos, y cada uno deja una prueba distinta.
El primero es el envío. El estafador compra o roba una lista de teléfonos o de correos, con frecuencia procedente de una brecha de datos de otra empresa, y manda el mensaje con el nombre de la entidad suplantada. En los SMS puede falsear el remitente para que el texto aparezca en el mismo hilo que los auténticos de su banco, y eso explica que personas prudentes caigan.
El segundo es el enlace. Lleva a una página que copia la oficial, alojada en un dominio parecido o en un servidor ajeno comprometido, activa a veces solo unas horas. El formulario pide lo que el estafador necesita, usuario y contraseña, datos de la tarjeta, el código que el banco envía para confirmar operaciones o una foto del DNI.
El tercero es el uso de los datos. Puede ser inmediato, con la víctima todavía en la página mientras el estafador introduce las claves en la web real y le pide el código de confirmación que acaba de llegarle al móvil. Puede ser diferido, con la tarjeta usada semanas después en compras en el extranjero. Puede no llegar a tocar el dinero, como en el caso con el que abre este artículo.
El cuarto es la salida del dinero. Casi nunca va directo al estafador. Pasa por cuentas de terceros, las cuentas mula, desde donde se fragmenta, se convierte en criptomoneda o se retira en efectivo en pocas horas. Ese recorrido es el que una denuncia bien planteada intenta reconstruir, y la razón de que el tiempo cuente.
Phishing en ciberseguridad y en informática, para qué le sirve a quien lo envía
En ciberseguridad el phishing se clasifica como ingeniería social, porque el objetivo es la persona que maneja el equipo, y por eso funciona con el antivirus al día y la conexión cifrada. La página falsa puede llevar candado y certificado válido, el certificado solo acredita que la conexión está cifrada y nada dice de quién hay detrás. En informática se habla de robo de credenciales, y la credencial es lo que vale, porque abre puertas que el saldo de la cuenta no abre.
A quien lo envía le sirve para cuatro cosas. Dinero inmediato, transferencias, Bizum, compras con la tarjeta o retiradas en cajero con la tarjeta añadida a un monedero del móvil. Cuentas, de correo, de Google o Microsoft, de redes sociales o de plataformas de venta, que se revenden en bloque, sirven para pedir un rescate al titular o para estafar a sus contactos con la confianza que da un remitente conocido. Identidad, el DNI, la dirección y la fecha de nacimiento, con los que se abren cuentas en entidades de pago, se contratan líneas de teléfono o se piden microcréditos a nombre de la víctima, que se entera meses después por una reclamación de deuda. Y acceso a un equipo, cuando el enlace descarga un programa, lo que en empresas termina a menudo en cifrado de archivos y petición de rescate. Cada uso encaja en un delito distinto del Código Penal, y por eso la calificación jurídica de un phishing empieza por preguntar qué se hizo con lo robado.
Phishing, smishing, vishing, pharming y spear phishing, lo que cambia con el canal
El canal da nombre a la variante, pero el delito es el mismo. Lo que cambia es la prueba que deja y, en la práctica, la discusión posterior con el banco.
El phishing en sentido estricto es el correo electrónico masivo. El smishing es el mismo mensaje por SMS, hoy el más frecuente en España por la facilidad de falsear el remitente. El vishing es la llamada, y casi siempre llega en segunda fase, después de un SMS que avisa de un acceso sospechoso, con alguien que dice ser del departamento de seguridad del banco, conoce su nombre y los últimos dígitos de la tarjeta, y le guía para «anular» operaciones que en realidad está autorizando. El número que aparece en pantalla puede ser el oficial del banco, falseado. El quishing es el enlace escondido en un código QR, pegado en un parquímetro o impreso en una carta de una supuesta administración.
El pharming funciona sin mensaje. Se manipula el router doméstico o la resolución de nombres de dominio, de modo que la víctima teclea bien la dirección de su banco y llega a una copia. Jurídicamente es la manipulación informática que describe el artículo 249.2.a), y la alteración del equipo puede sumar el delito de daños informáticos de los artículos 264 y siguientes.
El spear phishing es el ataque dirigido. Un solo correo, escrito para una persona concreta con datos reales de su trabajo, su jefe o un proveedor, obtenidos de redes profesionales o de un correo anterior ya comprometido. Cuando el destinatario es un directivo se habla de whaling, y cuando el correo se hace pasar por el director para ordenar a administración una transferencia urgente, de fraude del CEO. Aquí las cifras son otras y entran las agravantes del artículo 250.
Para la víctima la diferencia relevante está en quién mueve el dinero. Si el estafador entra con las claves y ordena él la transferencia, la operación no la ha autorizado el titular. Si en una llamada de vishing la víctima hace la transferencia con sus propias manos convencida de que protege su dinero, el banco sostendrá que la operación fue autorizada, y la respuesta jurídica a esa discusión es distinta y más trabajosa.
Phishing, qué es y ejemplos reales de correos y SMS que circulan en España
Los mensajes que siguen circulan con variaciones mínimas desde hace años y se reconocen por su estructura.
Paquetería. «Correos. Su paquete no ha podido ser entregado por falta de pago de las tasas de aduana (2,99 €). Confirme el pago para programar una nueva entrega». El enlace lleva a un dominio del tipo correos-entrega24.com y la página pide la tarjeta completa. La cantidad pequeña rebaja la guardia y el objetivo real son los datos de la tarjeta.
Agencia Tributaria. «Tras la revisión de su declaración se ha detectado una devolución pendiente de 243,56 euros. Acceda para confirmar la cuenta de abono». La Agencia Tributaria devuelve en la cuenta que consta en la declaración y no pide datos bancarios por correo ni por SMS.
Tráfico. «DGT. Tiene una multa pendiente. Para evitar el recargo abone el importe en 48 horas». La DGT notifica las sanciones por correo postal o por la Dirección Electrónica Vial, nunca con un enlace de pago por SMS.
Suscripciones. «No hemos podido procesar el pago de su suscripción. Actualice su método de pago para no perder el acceso a su cuenta», con el logotipo de Netflix, Amazon Prime o Spotify.
Cuentas de correo, Microsoft y Google. «Hemos detectado un inicio de sesión inusual desde Brasil. Si no ha sido usted, proteja su cuenta ahora». La página falsa pide usuario, contraseña y, acto seguido, el código de verificación en dos pasos, que el estafador usa en el mismo instante en la web real. Con el correo tomado se restablecen las contraseñas de todo lo demás.
Redes sociales. «Su cuenta ha recibido una denuncia por infracción de derechos de autor y será desactivada en 24 horas si no presenta una apelación», dirigido a cuentas de Instagram con un negocio detrás, o el mensaje privado de un contacto ya suplantado que pide un voto en un concurso.
Banco. «Se ha detectado un acceso no autorizado a su cuenta. Verifique su identidad para evitar el bloqueo», en el hilo de SMS de su propia entidad, seguido minutos después de la llamada de un supuesto gestor.
Compraventa entre particulares. El comprador de Wallapop o Vinted que envía un enlace para «recibir el pago de forma segura» y la página pide los datos de su tarjeta para abonarle, cuando ninguna plataforma necesita su tarjeta para pagarle.
Soporte técnico. La ventana que bloquea el navegador con un aviso de infección y un número gratuito, donde alguien pide instalar un programa de control remoto y con él entra en la banca en línea.
Phishing, qué es y cómo evitarlo, las frases que delatan el mensaje
Las señales se repiten porque el engaño necesita siempre las mismas piezas. Un plazo corto, 24 o 48 horas, para que no consulte a nadie. Una consecuencia grave si no actúa, bloqueo, multa o pérdida del servicio. Un pago pequeño o una devolución, que convierten los datos de la tarjeta en un trámite. Una petición que ningún banco ni administración formula por ese canal, la clave completa, el código de una operación o una foto del DNI por las dos caras. Un enlace cuyo dominio, lo que hay inmediatamente antes de la primera barra, es distinto del oficial, por mucho que el nombre conocido aparezca en otra parte de la dirección. Un saludo genérico y un remitente que, mirado despacio, tiene una letra cambiada. Los errores de redacción, durante años la pista más fiable, han desaparecido con los traductores automáticos.
Para evitarlo bastan unos hábitos. Entrar en el banco y en las administraciones por la aplicación o escribiendo la dirección, nunca desde el enlace. Verificación en dos pasos con aplicación o llave física en vez de SMS cuando el servicio lo permita. Alertas por cada operación de la tarjeta y límites bajos que se suben cuando hace falta. Una tarjeta virtual para compras en línea. Y colgar y llamar al número del dorso cuando el que llama dice ser del banco, por mucho que sepa de usted. Esos hábitos tienen además una lectura jurídica, porque la diligencia del usuario es lo que el banco examina cuando después se le reclama.
Qué delito es el phishing en España, los artículos 248, 249 y 250 y sus penas
El Código Penal no usa la palabra phishing. Castiga el resultado, y el resultado típico es una estafa. El artículo 248 define la estafa clásica, el engaño bastante que induce a otro a un acto de disposición en su perjuicio, y se aplica cuando la víctima mueve ella misma el dinero convencida por la llamada o el mensaje. El artículo 249 fija la pena, prisión de seis meses a tres años, y describe en su apartado 2 las dos modalidades informáticas. La letra a) castiga a quien mediante manipulación informática o artificio semejante consigue una transferencia no consentida de un activo patrimonial, y encaja cuando el estafador entra con las claves robadas y ordena la transferencia. La letra b) castiga a quien usa de forma fraudulenta una tarjeta o los datos que figuran en ella para hacer operaciones en perjuicio del titular, y es la del SMS de paquetería que acaba en compras. Hasta la reforma de la Ley Orgánica 14/2022 esas dos conductas estaban en el artículo 248.2, letras a) y c), y muchos textos las citan todavía así. El mismo artículo 249 castiga a quien fabrica o facilita los programas destinados a cometer estas estafas, lo que alcanza a quien monta la página falsa aunque no toque el dinero.
| Conducta | Artículo del Código Penal | Pena |
|---|---|---|
| Transferencia o cargo hecho con las claves o la tarjeta robadas | 249.2.a) y b) | Prisión de seis meses a tres años |
| Perjuicio total que no supera los 400 euros | 249.1 | Multa de uno a tres meses |
| Más de 50.000 euros o elevado número de perjudicados | 250.1 | Prisión de uno a seis años y multa de seis a doce meses |
| Más de 250.000 euros | 250.2 | Prisión de cuatro a ocho años y multa de doce a veinticuatro meses |
| Entrar en el correo o la red social con la clave robada | 197 bis.1 | Prisión de seis meses a dos años |
| Apoderarse de correos o de datos personales reservados | 197.1 y 197.2 | Prisión de uno a cuatro años y multa de doce a veinticuatro meses |
Las agravantes del artículo 250 suben la pena en los casos graves. La más habitual en phishing es la del apartado 1.5º, cuando lo defraudado supera los 50.000 euros o afecta a un elevado número de personas, algo frecuente en campañas de SMS que llegan a miles de víctimas. Cuando hay varios cargos a la misma persona o la misma campaña alcanza a muchas, el artículo 74 permite tratarlo como delito continuado y sumar el perjuicio total, de modo que una serie de cargos de 50 euros deja de ser delito leve. Muchos afectados dan por perdida una cantidad pequeña sin saber que forma parte de una suma mucho mayor que un juzgado sí persigue.
Suplantación de identidad, qué delito es cuando el phishing no toca el dinero
No existe en el Código Penal un delito que se llame suplantación de identidad. Hacerse pasar por su banco para engañarle es el medio de la estafa y se castiga dentro de ella. Hacerse pasar por usted después, con sus datos, encaja en varios artículos según lo que se haga.
Entrar en su correo, su Google, su Microsoft o su Instagram con la contraseña obtenida en el formulario es acceso ilícito a un sistema de información del artículo 197 bis, con prisión de seis meses a dos años, y la contraseña obtenida con engaño no deja de ser una medida de seguridad vulnerada. Lo explico con más detalle en el artículo sobre el delito de acceso ilícito. Leer sus correos, descargar sus fotos o apoderarse de sus datos personales dentro de la cuenta es descubrimiento y revelación de secretos del artículo 197, apartados 1 y 2, con prisión de uno a cuatro años y multa, y la pena sube si lo obtenido se difunde o si afecta a datos de salud, ideología o vida sexual. Borrar sus archivos o dejar la cuenta inutilizable añade los daños informáticos del artículo 264. Vender las credenciales a terceros entra en el artículo 197 ter.
Con la foto de su DNI el estafador abre cuentas de pago, contrata una línea o pide un microcrédito. El artículo 400 bis equipara al uso de documento falso el uso de un documento de identidad auténtico por quien no es su titular, así que no hace falta que el DNI esté manipulado para que haya delito. La usurpación de estado civil del artículo 401, prisión de seis meses a tres años, se reserva a quien asume de forma plena la identidad de otro para ejercer sus derechos, y los tribunales no la aplican a un uso puntual del nombre. Cuando con su nombre y sus fotos se crea un perfil para hostigarle o para engañar a sus contactos, el camino es el que describo en el artículo sobre acoso por internet y perfiles falsos.
Cuando el phishing acaba en un cargo o una transferencia, el banco y la normativa de servicios de pago
La vía penal persigue al autor, que casi nunca está identificado al principio. La vía que devuelve el dinero es otra. La normativa de servicios de pago obliga a la entidad a reintegrar las operaciones que el cliente no autorizó, y una transferencia ordenada por un tercero con claves robadas es, en principio, una operación no autorizada. El banco responderá que usted entregó las claves y que eso le exime, y en esa discusión se decide el asunto. Haber picado en un SMS no cierra la puerta por sí solo, pero cómo se construye esa reclamación, en qué orden se presenta respecto a la denuncia y con qué documentos es trabajo del abogado, y de ello depende que se cobre. Lo desarrollo en el artículo sobre cuándo el banco debe devolver el dinero tras un phishing. En el despacho ejercemos la defensa de la víctima en las dos vías a la vez, la querella y la reclamación a la entidad, y la forma de hacerlo está explicada en la página de estafas bancarias.
Phishing en la empresa, el fraude del CEO, el trabajador que pica y la brecha de datos del RGPD
En una empresa el phishing cambia de escala y de problema jurídico. El correo que llega a administración con la firma del director pidiendo una transferencia urgente a un proveedor nuevo, o la factura de un proveedor real con el IBAN cambiado tras meses de leer su correspondencia, se persiguen como estafa con las agravantes del artículo 250 por la cuantía, y abren además una disputa civil sobre quién soporta la pérdida. El proveedor sostiene que no ha cobrado, el cliente que pagó la factura que le enviaron, y la respuesta depende de de quién era el correo comprometido y de qué comprobaciones hizo cada parte antes de pagar.
El trabajador que pulsó el enlace o hizo la transferencia tiene una posición más protegida de lo que se teme. El despido disciplinario del artículo 54 del Estatuto de los Trabajadores exige un incumplimiento grave y culpable, y seguir un correo verosímil en una empresa que no formó a su plantilla ni tenía un protocolo de doble verificación para pagos rara vez lo es. La empresa que quiera repercutirle la pérdida tendrá que probar una negligencia que vaya mucho más allá de haber sido engañado.
Si las credenciales robadas daban acceso a datos de clientes, empleados o pacientes, la empresa tiene una brecha de seguridad y las obligaciones del Reglamento General de Protección de Datos. El artículo 33 obliga a notificarla a la Agencia Española de Protección de Datos en setenta y dos horas desde que se tuvo constancia, salvo que sea improbable que suponga un riesgo, y el artículo 34 a comunicarla a los afectados cuando el riesgo para ellos sea alto. No notificar se sanciona con independencia del phishing. La empresa suplantada, la que ve su marca en miles de SMS, puede exigir la retirada de la página falsa al proveedor que la aloja, cuyo régimen de responsabilidad fija la Ley 34/2002 de servicios de la sociedad de la información, y denunciar aunque no haya perdido un euro, porque el perjuicio a sus clientes y a su nombre es suyo.
Denunciar un phishing en A Coruña, el juzgado competente, el autor en el extranjero y la prescripción
La denuncia se presenta en cualquier comisaría de la Policía Nacional, en un puesto de la Guardia Civil o en el juzgado de guardia, y en los casos con varias operaciones o cantidades altas, por querella redactada por abogado, que permite pedir desde el primer escrito las diligencias que la denuncia en comisaría no pide. La competencia territorial se rige por el principio de ubicuidad que aplica el Tribunal Supremo, el delito se entiende cometido en cualquier lugar donde se haya realizado un elemento del tipo, y el lugar donde la víctima recibió el mensaje y tiene la cuenta de la que salió el dinero es uno de ellos. Un vecino de A Coruña denuncia en A Coruña aunque el servidor esté en otro continente, y no tiene por qué aceptar que le remitan a otra provincia.
Que el autor esté fuera de España no archiva nada por sí solo. El Convenio de Budapest sobre la Ciberdelincuencia, ratificado por España, es el marco por el que los juzgados piden a otros países la identificación de titulares de cuentas y servidores, y los grupos que hacen smishing masivo tienen casi siempre cuentas mula y colaboradores en España, que es por donde la instrucción avanza. Lo que sí caduca es la prueba. Las operadoras conservan los datos de tráfico de las comunicaciones durante doce meses por la Ley 25/2007, solo un juez puede pedirlos, y pasado ese plazo el SMS ya no se rastrea hasta su origen. Esa es la urgencia real, por encima de cualquier otra.
El plazo de prescripción lo marca el artículo 131 del Código Penal según la pena máxima. La estafa básica prescribe a los cinco años, la agravada del artículo 250 a los diez y el delito leve de menos de 400 euros al año. En el delito continuado el plazo se cuenta desde el último cargo.
Denunciar con abogado compensa cuando hay transferencias o varias operaciones, cuando el banco ha rechazado la devolución o cuando además del dinero se han llevado cuentas o documentación con la que pueden seguir actuando a su nombre. No compensa por un cargo de 2,99 euros que el banco ya ha devuelto, y en ese caso basta la denuncia en comisaría para dejar constancia y alimentar la investigación de la campaña.
La cuenta mula, quien recibe el dinero del phishing y el artículo 301
Al otro lado de cada transferencia hay una cuenta española a nombre de alguien. A veces es una cuenta abierta con el DNI de otra víctima de phishing. Muchas veces es la de una persona real que aceptó un «trabajo» consistente en recibir dinero y reenviarlo a cambio de una comisión, o que prestó su cuenta a un conocido. Esa persona es la mula, y su situación penal es seria. Los tribunales la condenan por blanqueo de capitales del artículo 301, en su modalidad imprudente del apartado 3 cuando no se prueba que conociera el origen, con prisión de seis meses a dos años y multa, y por blanqueo doloso o cooperación en la estafa cuando sí lo conocía. Quien ha recibido en su cuenta un ingreso que no esperaba y una petición de reenviarlo no debe mover ese dinero, debe comunicarlo al banco y debe hablar con un abogado antes de declarar en comisaría, porque lo que diga en esa primera declaración fija su posición para el resto del procedimiento. La defensa penal en estos casos se ejerce desde ese primer momento, y en derecho penal explicamos cómo.
Causa archivada sin autor identificado, lo que sigue abierto y la llamada que vendrá después
Si en unos meses el juzgado no identifica al autor, dictará sobreseimiento provisional por el artículo 641 de la Ley de Enjuiciamiento Criminal. No es una absolución y no cierra la causa de forma definitiva. Se reabre cuando aparece el autor, lo que ocurre con frecuencia porque las mismas personas están detrás de cientos de denuncias y una detención en otra provincia enlaza con la suya si su denuncia tiene bien identificados el número, la cuenta de destino y la fecha. La reclamación al banco no depende de ese resultado y sigue su propio camino.
Lo que sí llega después del archivo, a veces con la copia de la denuncia en la mano, es la llamada de una supuesta empresa de recuperación de fondos o de un falso abogado que dice haber localizado su dinero y pide una provisión por adelantado. Es la segunda estafa, construida sobre la lista de víctimas de la primera. Ningún despacho y ninguna autoridad localiza dinero y llama a la víctima para pedirle un pago previo.
La denuncia con el mensaje y el extracto, el paso que toca ahora y quién lo da
Si ha llegado hasta aquí con un cargo o una transferencia que no reconoce, el paso que toca ahora es la denuncia con el mensaje íntegro, el extracto con la operación y la hora del bloqueo de la tarjeta, presentada antes de que operadoras y bancos dejen de conservar lo que permite seguir el rastro, y la reclamación a la entidad planteada en el orden que no perjudique a la denuncia. Ese escrito lo redacta el abogado, porque lo que se pida en él es lo que el juzgado investigará. En el despacho ejercemos la defensa de las víctimas de phishing y de estafa informática en A Coruña y en toda Galicia, con la querella y la reclamación al banco tramitadas a la vez. Puede ver qué hacemos en la página de delitos informáticos y plantearnos su caso en el +34 677 841 007 o a través del formulario de contacto. Respondemos a la mayor brevedad.
Preguntas frecuentes
¿Qué es el phishing y cómo se pronuncia?
El phishing es el envío de correos, SMS o llamadas que suplantan a una empresa o administración para robar claves, datos bancarios o documentación. Se pronuncia aproximadamente «físhin», igual que «fishing», pescar en inglés, de donde toma el nombre, con la «ph» heredada de la jerga de los primeros piratas telefónicos. En español se usa el término inglés, aunque la ley lo persigue como estafa.
¿Qué es el phishing y qué significa?
Significa literalmente «pesca» de datos. El estafador envía miles de mensajes idénticos a los de un banco, Correos, Hacienda o una red social, con un enlace a una página copiada donde la víctima introduce sus claves o su tarjeta. Con esos datos se hacen pagos y transferencias o se toman sus cuentas. En España esa conducta es estafa de los artículos 248 y 249 del Código Penal.
¿Qué es que te hagan phishing?
Que le han hecho phishing significa que ha introducido datos en una página falsa o los ha dado por teléfono creyendo que hablaba con una entidad real, y que esos datos están en manos de un estafador. No significa necesariamente que haya perdido dinero. Hay que bloquear la tarjeta, cambiar las contraseñas desde otro dispositivo y conservar el mensaje, porque es la prueba de la denuncia y de la reclamación al banco.
¿Qué es el phishing y cómo identificarlo?
Se identifica por un plazo corto, una consecuencia grave si no actúa, una petición que su banco o la administración nunca hace por ese canal, la clave completa, el código de una operación o la foto del DNI, y un enlace cuyo dominio, lo que va justo antes de la primera barra, es distinto del oficial. La buena ortografía ya no descarta nada. Ante la duda, entre por la aplicación y no por el enlace.
¿El phishing es delito en España y con qué pena se castiga?
Sí. Es estafa de los artículos 248 y 249 del Código Penal, con prisión de seis meses a tres años cuando con los datos robados se hace una transferencia o un cargo, y de uno a seis años por el artículo 250 si supera los 50.000 euros o afecta a muchas personas. Si solo se entra en sus cuentas sin mover dinero, es acceso ilícito del artículo 197 bis, con prisión de seis meses a dos años.