Hasta el 12 de enero de 2023 el Código Penal reunía en el artículo 248 tanto la estafa clásica, la que se comete engañando a una persona para que ella misma disponga de su dinero, como la estafa informática, en la que el autor manipula el sistema sin necesidad de engañar a nadie. La Ley Orgánica 14/2022 separó las dos figuras y desde esa fecha el artículo 248 castiga la estafa por engaño bastante con prisión de seis meses a tres años, o con multa si lo defraudado no excede de 400 euros, mientras que las modalidades en las que el autor opera directamente con las claves o con los datos de una tarjeta pasaron al artículo 249, con la misma pena.
Para quien recibe un SMS o una llamada que se hace pasar por Revolut la distinción tiene consecuencias. Si usted, convencido de que hablaba con la entidad, hizo la transferencia o dictó el código, el hecho encaja en el 248. Si lo que ocurrió es que capturaron sus credenciales en una web falsa y vaciaron la cuenta sin que usted moviera un dedo, el encaje es el 249. La pena no varía, pero sí varía la forma de describir los hechos en la denuncia y, sobre todo, la discusión posterior con la entidad sobre si la operación estuvo o no autorizada. Revolut es aquí la entidad suplantada y en ningún caso la autora del fraude.
Cómo reconocer el SMS o la llamada
El patrón se repite con pocas variaciones. Un mensaje avisa de que la cuenta ha sido bloqueada por seguridad, de un cargo que usted no reconoce o de un acceso desde un dispositivo nuevo, y le pide que verifique su identidad en un enlace. El enlace suele ir acortado o apunta a un dominio parecido al oficial pero que no lo es. Al abrirlo aparece una pantalla que imita la de la app y solicita usuario, contraseña y, a continuación, el código que le acaba de llegar por SMS.
En la variante telefónica alguien que se presenta como empleado del departamento de fraude le dice que hay operaciones sospechosas en curso y que hay que actuar de inmediato. A partir de ahí le pedirá el código de confirmación «para cancelar el cargo», le propondrá mover el saldo a una «cuenta segura» o le guiará para instalar una aplicación que da al interlocutor control remoto del teléfono. Con frecuencia la llamada llega minutos después del SMS, de modo que una cosa parece confirmar la otra.
Por qué parece real
El estafador conoce su nombre, a veces las últimas cifras de la tarjeta, y el SMS aparece en el mismo hilo que los mensajes legítimos porque el remitente alfanumérico se puede falsificar. El número desde el que llaman puede coincidir con uno oficial por la misma razón. Esos datos circulan por filtraciones de terceros, por listas compradas o por formularios que usted rellenó en otro sitio. La urgencia hace el resto. Quien cree que le están vaciando la cuenta en ese instante no comprueba dominios ni cuelga para llamar por su cuenta.
Lo que ninguna entidad hace nunca
Esto vale para Revolut y para cualquier banco que opere en España. Ninguna entidad le pide por teléfono, SMS o correo la contraseña completa, el PIN o el código de un solo uso que acaba de recibir. Tampoco le propondrá trasladar su dinero a otra cuenta para protegerlo, ni le indicará que instale una aplicación de acceso remoto o que lea en voz alta lo que aparece en su pantalla. El enlace para «verificar su identidad» fuera de la app oficial no existe. Si la conversación va por cualquiera de esos caminos, es la estafa.
Qué hacer ahora mismo
Si solo ha recibido el mensaje, no pulse el enlace, no conteste y no llame al número que aparece en él. Si quiere comprobar si pasa algo con su cuenta, hágalo desde la app oficial o llamando al teléfono que figura en el reverso de su tarjeta. Conserve el SMS con la fecha y el remitente visibles, porque más adelante puede hacer falta acreditar cómo empezó todo.
Si ha llegado a introducir datos o ha dado un código, el orden importa. Bloquee la tarjeta y cambie la contraseña desde la app, y si el teléfono está comprometido porque instaló una aplicación a petición del interlocutor, apáguelo y use otro dispositivo. Después comunique la operación a la entidad por el chat de la app sin esperar a tener todos los detalles, porque cada hora que pasa reduce las posibilidades de retener el dinero antes de que salga de la cuenta de destino. Guarde capturas de toda la conversación con el chat, de los movimientos no reconocidos y de cualquier mensaje o llamada recibida. Denuncie. La denuncia fija la fecha de los hechos y es el documento que la entidad le va a pedir.
No borre nada, no formatee el teléfono y no acepte por el chat un cierre del asunto que no entienda. Si vuelve a recibir una llamada de «seguridad» para completar la gestión, es la misma organización rematando el trabajo.
Si ya dio las claves o hizo el pago
Que usted haya tecleado el código o haya ordenado la transferencia no significa que la operación estuviera autorizada en el sentido que emplea la ley. La normativa de servicios de pago obliga a la entidad a devolver las operaciones que el cliente no autorizó, y una autorización arrancada mediante engaño es precisamente lo que se discute en estos casos. Revolut es una entidad con licencia bancaria en la Unión Europea que opera en España, y esa normativa se le aplica igual que a cualquier banco con sede aquí.
La entidad puede oponerse alegando que el cliente actuó con negligencia grave, y ese es el terreno en el que se decide la reclamación. Quién tiene que probar qué, con qué documentos y en qué momento es la parte técnica del asunto, y es la que se estropea cuando se plantea sin criterio en un chat. En el despacho ejercemos en delitos informáticos y dirigimos la reclamación frente a la entidad de pago, y lo primero que hacemos en un caso así es fijar la versión de los hechos antes de que la respuesta automática del chat la fije por usted. Puede ver cómo trabajamos en delitos informáticos. Sobre lo que está obligado a devolver el banco escribí con más detalle en ciberestafa, cómo recuperar el dinero y en el banco tiene que devolverle el dinero del phishing.
Denuncia, competencia y prescripción
La denuncia se presenta ante la Policía Nacional, la Guardia Civil o el juzgado de guardia. No tiene que averiguar dónde está el estafador. En las estafas cometidas a distancia los juzgados asumen la competencia del lugar donde la víctima realizó la disposición o donde tiene la cuenta, así que si usted vive en A Coruña el asunto se tramita aquí.
| Conducta | Artículo del Código Penal | Pena | Prescripción |
|---|---|---|---|
| Estafa por engaño con perjuicio superior a 400 euros | 248 | Prisión de seis meses a tres años | Cinco años |
| Estafa por engaño con perjuicio de hasta 400 euros | 248, como delito leve | Multa de uno a tres meses | Un año |
| Operar la cuenta o la tarjeta con las claves capturadas | 249 | La misma que la estafa del artículo 248 | Cinco años |
| Prestar la cuenta para recibir y reenviar el dinero de la víctima | 301, blanqueo de capitales | Prisión de seis meses a seis años y multa; de seis meses a dos años en la modalidad imprudente | Diez años, o cinco en la imprudente |
La mayoría de estas causas se archivan provisionalmente porque el autor material no se identifica o está fuera del alcance de los juzgados españoles. Ese archivo no afecta a su reclamación frente a la entidad, que es independiente y se apoya en la normativa de servicios de pago, no en que se condene a nadie. Sí conviene que la denuncia esté bien hecha desde el principio, porque una versión imprecisa de cómo se dio el código o se ordenó la transferencia se vuelve en su contra cuando la entidad la lee.
Si el dinero pasó por su cuenta
Algunas personas descubren que su cuenta se ha utilizado para recibir y reenviar dinero de otra víctima, bien porque dieron las claves, bien porque aceptaron una «gestión» a cambio de una comisión. La entidad bloquea la cuenta y la policía cita como investigado por el delito de blanqueo de capitales del artículo 301 del Código Penal, que se castiga también cuando se comete por imprudencia grave. Si recibe una citación de ese tipo, no declare sin abogado. La diferencia entre víctima y mula se decide en esa primera declaración.
Qué se juega si lo hace solo
El riesgo concreto de este asunto está en el chat. Una explicación mal dada en las primeras horas, la aceptación de una respuesta de rechazo que parece definitiva o una denuncia que describe los hechos de forma que encaja con la negligencia grave cierran la vía de recuperación antes de que empiece. En el despacho comunicamos la operación a la entidad, preparamos la denuncia con la versión correcta de los hechos y dirigimos la reclamación por la vía extrajudicial y, si hace falta, la judicial. Llame al +34 677 841 007 o escríbanos desde contacto. Tenga a mano las capturas del SMS y de la conversación con el chat, el extracto con los movimientos no reconocidos, la fecha y hora de la llamada si la hubo y la denuncia si ya la ha presentado.
Preguntas frecuentes
He pulsado el enlace del SMS de Revolut y he metido mis datos, ¿qué hago ahora mismo?
Bloquee la tarjeta y cambie la contraseña desde la app oficial, no desde el enlace. Si instaló alguna aplicación durante la llamada, apague ese teléfono y use otro dispositivo. Comunique lo ocurrido por el chat de la app y guarde capturas de toda la conversación. Después presente denuncia. No borre el SMS ni el historial de llamadas, porque son la prueba de cómo empezó el engaño.
Si yo mismo hice la transferencia o di el código porque me engañaron, ¿tiene Revolut que devolverme el dinero?
Depende de si la operación se considera autorizada, y haber tecleado un código bajo engaño no cierra esa discusión. La normativa de servicios de pago obliga a devolver las operaciones no autorizadas y la entidad solo puede oponerse alegando negligencia grave del cliente. Cómo se acredita cada cosa es lo que decide el resultado y es trabajo del abogado.
¿Sirve de algo denunciar si el estafador está en otro país?
Sí. La denuncia se presenta donde usted vive, los juzgados de aquí asumen la competencia y el documento le hace falta para la reclamación frente a la entidad. Aunque la causa penal acabe archivada por no identificarse al autor, la reclamación del dinero sigue su curso por otra vía.
¿Me compensa reclamar y necesito abogado para esto?
Si la entidad ya le ha devuelto el importe por el chat, no. Si la cantidad es pequeña y la operación fue una compra que usted mismo confirmó con datos correctos, tampoco suele compensar. Si le han rechazado la reclamación o el importe es significativo, sí, porque la discusión sobre la negligencia grave es técnica y una mala explicación inicial no se corrige después.