Desde el 12 de enero de 2023 el Código Penal ordena de otra manera los delitos de estafa. Hasta esa fecha el artículo 248 reunía en un mismo precepto la estafa clásica, la que se comete engañando a alguien para que pague, y las modalidades informáticas y de tarjeta. La reforma que entró en vigor ese día dejó en el artículo 248 la estafa por engaño y trasladó al artículo siguiente la manipulación informática y el uso de tarjetas o de datos de tarjeta ajenos. La pena no se tocó. La estafa del artículo 248 del Código Penal sigue castigada con prisión de seis meses a tres años, y con multa si lo defraudado no excede de 400 euros. Para quien recibe un SMS que dice venir de la DGT con una multa pendiente y termina tecleando su tarjeta en una web falsa, esa ordenación tiene una consecuencia práctica, porque el engaño que le hizo pagar y el uso posterior de sus datos son dos hechos distintos, se persiguen por preceptos distintos y comparten la misma horquilla de pena. Lo explico porque la denuncia y la recuperación del dinero dependen de saber cuál de los dos ha sufrido, o si ha sufrido ambos.
La DGT es el organismo suplantado en esta estafa. No envía SMS con enlaces de pago, no cobra sanciones por ese canal y no avisa por mensaje de que un expediente va a recibir un recargo. Si el mensaje que tiene en el móvil hace cualquiera de esas cosas, es falso, y todo lo que sigue parte de esa certeza.
Cómo es el mensaje y por qué engaña
El patrón se repite con pequeñas variaciones. Llega un SMS, a veces dentro del mismo hilo en el que ha recibido antes mensajes legítimos de otras administraciones o de su banco, que le informa de una multa de tráfico pendiente de pago. El texto avisa de que el plazo está a punto de agotarse y de que, si no paga, el importe aumentará o el expediente pasará a la vía ejecutiva. Incluye un enlace, con frecuencia acortado o con un dominio que imita el oficial añadiendo palabras o cambiando una letra. Al abrirlo aparece una página con el logotipo, los colores y el aspecto de la sede electrónica, que le pide la matrícula, el DNI y los datos de la tarjeta, incluido el código de seguridad del reverso. Algunas versiones piden a continuación el código que el banco envía por SMS para confirmar operaciones, y ese es el momento en que el estafador consigue lo que necesita para cargar en su tarjeta lo que quiera.
Engaña porque casi todo el mundo ha tenido una multa alguna vez y no descarta tener otra, y porque la cantidad que pide no es absurda. Es una cifra verosímil para una infracción de tráfico, a menudo presentada con la rebaja por pronto pago que sí existe en las multas reales. A eso se suma que la técnica de falsificación del remitente permite que el SMS aparezca con un nombre que parece oficial, de modo que ni el número ni el nombre que ve en pantalla sirven por sí solos para descartarlo. Esto se conoce como «smishing», la variante por mensaje de texto del phishing, y jurídicamente es una estafa del artículo 248 del Código Penal. La suplantación de una administración pública es el instrumento del engaño, no un adorno.
Cómo notifica la DGT de verdad y cómo comprobar si tiene una multa
Las sanciones de tráfico se notifican por dos canales. Si usted o su empresa tienen activada la Dirección Electrónica Vial, la notificación se deposita en ese buzón y se accede a él identificándose en la sede electrónica con los medios propios de cada uno. Si no la tiene activada, la notificación llega por correo postal al domicilio que consta en el registro de conductores o de vehículos. Cualquier aviso legítimo le remite a identificarse por su cuenta en la sede, nunca a pagar desde un enlace, y la Administración tampoco devuelve dinero por ese camino, que es la otra cara del mismo fraude.
Si le queda la duda de tener una multa real, no la resuelva desde el enlace del mensaje. Entre por sus propios medios en la sede electrónica de la DGT o en su aplicación oficial, identifíquese como lo haga habitualmente con la Administración y consulte las sanciones pendientes a su nombre y a la matrícula de su vehículo. Allí verá el expediente, el importe y el plazo, y desde allí se paga. Si no aparece nada, no hay nada, y el SMS queda retratado. Si aparece una multa real, páguela por ese canal y no por el del mensaje, porque la coincidencia en el tiempo no convierte el SMS en legítimo. Ignorar un mensaje que no envió la Administración no genera recargo, embargo ni consecuencia alguna sobre un expediente real, cuyos plazos corren por su propia notificación y no por un SMS.
Qué hacer en las primeras horas según hasta dónde haya llegado
Si solo ha leído el SMS, no pulse el enlace y no lo borre todavía. Guarde una captura en la que se vean el remitente, la fecha, la hora y el texto completo con el enlace, y después bloquee el número. Ese mensaje es prueba, tanto si acaba denunciando usted como si lo hace otro.
Si pulsó el enlace pero no rellenó nada, el riesgo es bajo. Cierre la página, no vuelva a entrar y, si el móvil le pidió instalar algo o conceder permisos, no lo conceda. Anote la dirección exacta de la página, porque es un dato útil para la denuncia y para que se bloquee.
Si introdujo la matrícula y el DNI pero no llegó a la tarjeta, no tiene todavía un problema de dinero, pero sí de datos personales, y lo trato más abajo.
Si introdujo los datos de la tarjeta, cada minuto cuenta. Llame al teléfono de emergencias de su banco que figura en la propia tarjeta o dentro de su aplicación, nunca a un número que le haya llegado por mensaje o por una llamada posterior, y pida el bloqueo inmediato de la tarjeta. Hágalo antes de ponerse a mirar si hay cargos, porque los cargos pueden tardar horas en aparecer y el bloqueo evita los siguientes. Pida también que le confirmen si hay operaciones autorizadas pendientes de liquidar. Después revise los movimientos y guarde justificante de cada cargo que no reconozca y, si lo hizo, del pago que usted mismo realizó en la web falsa.
Si además facilitó el código de confirmación que su banco le envió por SMS, dígalo tal cual al banco y anótelo para la denuncia. Forma parte de los hechos, saldrá en los registros de la entidad y ocultarlo solo perjudica a quien lo oculta.
Si ya pagó, quién tiene que devolverle el dinero
La confusión más frecuente entre las víctimas de este fraude es pensar que todo el dinero perdido se reclama al mismo sitio y por la misma razón. No es así, y de esa diferencia depende que la reclamación prospere. La normativa de servicios de pago obliga al banco a devolver las operaciones que el titular no autorizó. Un cargo que hace el estafador con los datos de su tarjeta, después de que usted los tecleara en la web falsa, es una operación que usted no ordenó, por mucho que los datos salieran de sus manos. Ese cargo entra en el terreno de la operación no autorizada y el banco tiene una obligación legal de devolución, con las excepciones que la propia normativa prevé y que la entidad tratará de invocar.
Cosa distinta es el pago que usted mismo hizo en la web falsa creyendo que abonaba una multa. Ese pago lo ordenó usted, con su tarjeta y su confirmación, aunque lo hiciera engañado. Es un pago autorizado bajo engaño, y la regla de devolución de las operaciones no autorizadas no le sirve tal cual. Para recuperar ese dinero la vía es la retrocesión del cargo a través del sistema de la tarjeta, prevista precisamente para compras a comercios fraudulentos o que no entregan lo prometido, junto con la reclamación al propio estafador dentro de la causa penal. La retrocesión tiene condiciones y ventanas de tiempo que se cuentan en días, no en meses, y plantearla con la documentación y el encaje adecuados es trabajo del abogado.
| Lo que ocurrió | Qué es jurídicamente | Frente a quién se reclama |
|---|---|---|
| El estafador hizo cargos con los datos de tarjeta que usted tecleó en la web falsa | Operación de pago no autorizada | El banco, por la obligación de devolución de la normativa de servicios de pago |
| Usted pagó la multa falsa en la web con su tarjeta | Pago autorizado bajo engaño, estafa del artículo 248 del Código Penal | Retrocesión del cargo a través de la tarjeta y responsabilidad civil del estafador en la causa penal |
| Dio la matrícula y el DNI, pero no la tarjeta ni hubo cargos | Obtención fraudulenta de datos personales, sin perjuicio económico todavía | Denuncia para dejar constancia fechada y vigilancia de usos posteriores |
| Ignoró el SMS y tenía una multa real | Sanción administrativa que sigue su curso por sus propios plazos | Se paga por la sede electrónica de la DGT y el SMS no altera nada |
En el despacho, cuando el cliente llega con varios cargos en la tarjeta, lo primero que hacemos es separarlos, porque cada uno tiene su camino y mezclarlos en una misma reclamación es la manera más segura de que el banco rechace las dos. Es parte del trabajo que hacemos en delitos informáticos. Sobre lo que el banco está obligado a devolver y cómo suele resistirse, escribí con más detalle en Ciberestafa, cómo recuperar el dinero y qué está obligado a devolverle el banco.
Sus datos personales ya están en manos de otro
Aunque el banco le devuelva hasta el último euro, el formulario falso se quedó con su DNI, su matrícula, su teléfono y, en muchas versiones, su nombre completo y su dirección. Con eso se contratan créditos rápidos, se piden duplicados de tarjeta SIM, se abren cuentas en servicios de pago y se dan de alta suministros a nombre de quien no ha firmado nada. El riesgo no se agota con el bloqueo de la tarjeta y puede aparecer meses después, en forma de una reclamación de deuda por un préstamo que usted nunca pidió o de una inclusión en un fichero de solvencia patrimonial.
Contra eso hay dos cosas que puede hacer hoy. La primera es denunciar aunque no haya perdido dinero, porque la denuncia fechada es la prueba de que sus datos fueron sustraídos antes de cualquier contratación que después le atribuyan, y sin ella la carga de demostrar que no fue usted se vuelve mucho más pesada. La segunda es desconfiar de toda llamada posterior. Quien tiene sus datos los usa para una segunda fase, en la que alguien se presenta como su banco, como la propia DGT o incluso como la policía para «ayudarle» con el fraude anterior, y con esa excusa le pide claves o le indica que mueva dinero a una cuenta segura. Ningún banco pide claves ni traslados de dinero por teléfono. Si le piden que reciba una transferencia y la reenvíe, o que preste su cuenta para «recuperar» lo perdido, la persona que acepta pasa de víctima a investigada como intermediaria del dinero de otros, y ese es un problema penal propio que ya no tiene nada que ver con la multa.
Cómo funciona esa segunda fase de suplantación bancaria y qué puede exigirse a la entidad lo desarrollé en el banco debe devolver el dinero tras un phishing.
La denuncia, la causa penal y lo que se puede reclamar
Denunciar no exige saber quién es el estafador ni dónde está. La denuncia se presenta en cualquier comisaría de Policía Nacional, puesto de la Guardia Civil o juzgado de guardia, y lo habitual en estos fraudes es que la investigación la asuma un juzgado del lugar donde la víctima realizó el pago o sufrió el perjuicio, no del lugar desde donde se envió el mensaje. Lleve la captura del SMS con el remitente y la hora, la dirección de la página falsa si la anotó, el extracto con los cargos señalados, el justificante del bloqueo de la tarjeta y cualquier comunicación que haya tenido con el banco. La denuncia sirve para tres cosas distintas, para que se investigue, para acreditar el fraude ante el banco y ante el sistema de la tarjeta, y para tener fecha cierta si sus datos reaparecen más adelante.
Conviene saber que una parte importante de estas causas se archiva provisionalmente porque no se identifica al autor, que suele operar desde fuera de España y a través de intermediarios. Ese archivo no cierra nada de forma definitiva. La causa se reabre si aparece el autor, cosa que ocurre con más frecuencia de lo que se cree cuando se acumulan denuncias de muchas víctimas contra la misma infraestructura, y mientras tanto la denuncia mantiene todo su valor probatorio frente al banco. Que su cargo concreto no llegara a 400 euros tampoco convierte el asunto en menor, porque la calificación se hace por el conjunto de lo defraudado por el mismo autor a todas sus víctimas, no por lo que le quitaron a usted.
Cuando el autor se identifica, junto a la pena se declara la responsabilidad civil derivada del delito, que abarca la restitución de lo pagado y la indemnización de los perjuicios que se acrediten, incluidos los derivados del uso posterior de sus datos. Ejercer la acusación particular es lo que le permite pedir todo eso dentro del mismo procedimiento en lugar de esperar a que lo pida el fiscal. En cuanto a plazos, la estafa prescribe a los cinco años y el delito leve al año, de modo que el plazo penal no es el problema. El problema real son los plazos de la retrocesión del cargo, que se agotan en días, y la prueba que desaparece cuando el mensaje se borra o la web falsa se cierra.
Qué se juega si lo hace por su cuenta y qué hacemos nosotros
El riesgo concreto de este asunto es doble. Por un lado, reclamar al banco el pago que usted mismo hizo como si fuera una operación no autorizada, y aceptar la primera negativa como definitiva cuando el cargo tenía otro camino. Por otro, dejar pasar la ventana de la retrocesión mientras espera respuesta a una reclamación mal dirigida. En el despacho ordenamos los hechos, separamos cada cargo por su naturaleza, planteamos la reclamación bancaria y la retrocesión donde corresponde y ejercemos la acusación en la causa penal para que la responsabilidad civil quede pedida desde el principio. Si está en esta situación, puede llamar al +34 677 841 007 o escribir desde la página de contacto. Cuando llame, tenga a mano la captura del SMS, el extracto con los cargos marcados, la hora en que avisó al banco y lo que le respondieron, y la copia de la denuncia si ya la ha presentado. Con eso la primera conversación resuelve más que con cualquier otra cosa.
Preguntas frecuentes
¿Cómo sé si de verdad tengo una multa pendiente con la DGT?
Entrando por su cuenta en la sede electrónica de la DGT o en su aplicación oficial, identificándose como lo haga habitualmente y consultando las sanciones pendientes a su nombre y a su matrícula. Nunca desde el enlace del mensaje. La DGT notifica por la Dirección Electrónica Vial o por correo postal, y si allí no hay nada, no hay multa. Si la hay, se paga desde la sede y el SMS sigue siendo falso.
Si ya pagué la multa falsa con mi tarjeta, ¿me tiene que devolver el dinero el banco?
Depende de qué cargo sea. Los que hizo el estafador con sus datos después son operaciones que usted no autorizó y el banco tiene obligación legal de devolverlos, con las excepciones que la normativa de servicios de pago prevé. El pago que hizo usted mismo en la web falsa es un pago autorizado bajo engaño y se recupera por la retrocesión del cargo a través de la tarjeta y reclamando al estafador en la causa penal. Cómo se plantea cada reclamación es trabajo del abogado.
¿Tengo plazo para denunciar la estafa del SMS de la DGT?
El plazo penal es amplio, porque la estafa prescribe a los cinco años y el delito leve al año. El plazo que de verdad aprieta es el de la retrocesión del cargo con tarjeta, que se cuenta en días, y la prueba que se pierde si borra el mensaje o la web falsa desaparece. Denuncie cuanto antes y conserve captura del SMS, extractos y justificante del bloqueo.
¿Necesito abogado para esto o me compensa reclamar?
Si se trata de un único cargo de importe pequeño y el banco lo devuelve en cuanto lo comunica, no necesita abogado. Denuncie usted mismo y guarde los papeles. Compensa buscar abogado cuando el banco rechaza la devolución, cuando hay varios cargos o son de cuantía relevante, cuando facilitó el código de confirmación y el banco lo usa para negarse, o cuando sus datos han empezado a aparecer en contrataciones que no hizo. En esos casos lo que está en juego supera con claridad el coste de defenderlo bien.