Cuando la denuncia por un SMS que suplanta a Banco Sabadell entra en un juzgado de instrucción, se incoan diligencias por un delito de estafa del artículo 248 del Código Penal y el juez ordena lo que en esas primeras semanas decide el asunto. Oficia a la entidad donde aterrizó el dinero para que identifique al titular de la cuenta de destino y retenga el saldo que quede, pide a la operadora los datos del número desde el que se envió el mensaje o se hizo la llamada, y requiere al banco suplantado el detalle técnico de la operación, con la dirección IP, el dispositivo y la hora exacta en que se ordenó. Si la Policía Nacional o la Guardia Civil han actuado antes de esa fase, es porque la víctima denunció el mismo día y dio tiempo a solicitar la retención de los fondos en la cuenta receptora antes de que la vaciasen. Ese es el recorrido real de estos asuntos, y de él dependen dos cosas que hay que separar desde el principio, la persecución de quien estafó y la recuperación de su dinero, porque no siempre salen del mismo sitio ni al mismo ritmo.
Cómo reconocer el mensaje o la llamada
El patrón se repite con pocas variaciones. Llega un SMS que avisa de que la cuenta ha sido bloqueada, de un cargo no reconocido, de un acceso desde un dispositivo nuevo o de que hay que verificar la identidad para no perder el servicio. Incluye un enlace, casi siempre acortado o con un dominio que imita el nombre del banco pero no es el oficial, y una prisa artificial, unas horas de plazo o la amenaza de que la cuenta quedará inutilizada. El enlace abre una página calcada de la del banco que pide el usuario, la clave y, acto seguido, el código que el propio banco envía por SMS para firmar operaciones.
La segunda fase es la llamada. Alguien que se presenta como el «departamento de seguridad» o el «departamento de fraude» de la entidad dice haber detectado movimientos sospechosos y ofrece anularlos. Conoce su nombre, a veces los últimos dígitos de su tarjeta o el saldo aproximado, porque lo acaba de obtener en la página falsa o de una filtración anterior. Con esa credibilidad pide el código que le llega al móvil, propone trasladar el dinero a una «cuenta segura» hasta que pase el peligro, o indica que instale una aplicación para que un técnico revise el teléfono. Esa aplicación es un programa de control remoto y, una vez instalada, quien está al otro lado opera su banca como si fuera usted.
| Modalidad | Qué le dicen | Qué buscan |
|---|---|---|
| SMS con enlace | Cuenta bloqueada, cargo no reconocido, nuevo dispositivo, verificar identidad | Su usuario y su clave en una página falsa |
| Llamada del «departamento de seguridad» | Han detectado operaciones sospechosas y hay que anularlas | El código de firma que recibe por SMS |
| Traslado a una «cuenta segura» | Su dinero corre peligro y hay que ponerlo a salvo | Que la transferencia la ordene usted mismo |
| Aplicación de control remoto | Un técnico necesita revisar su teléfono | Manejar su banca desde otro dispositivo |
| Cobro por Bizum o tarjeta | Le devuelven un cargo o le confirman una compra | Que acepte una solicitud de pago o dé los datos de la tarjeta |
Por qué parece real
El nombre del remitente de un SMS se puede falsificar. Por eso el mensaje fraudulento aparece en su móvil dentro del mismo hilo que los avisos auténticos del banco, encima o debajo del último SMS legítimo, y no hay nada en la pantalla que lo distinga. Con las llamadas ocurre lo mismo, el número que se muestra puede ser uno parecido al de la entidad o directamente el suyo copiado. A eso se suma que quien llama ya sabe cosas de usted, habla con soltura, mantiene la conversación durante el tiempo necesario para que el código llegue y, en muchos casos, elige la noche o el fin de semana, cuando las oficinas están cerradas y comprobar es más incómodo. Nada de esto requiere gran técnica, es un guion trabajado, y funciona con personas de cualquier edad y formación.
Lo que ninguna entidad hace nunca
Esto no es una peculiaridad de Banco Sabadell, que aquí es la entidad suplantada, sino una regla común a toda la banca española. Ningún banco le pide por teléfono ni por mensaje la clave completa de acceso. Ninguno le pide el código que le ha enviado para firmar una operación, porque ese código existe justamente para que solo usted lo conozca. Ninguno le propone mover su dinero a otra cuenta para protegerlo, ni le pide que instale una aplicación de control remoto, ni le envía un enlace por SMS para desbloquear la cuenta o verificar su identidad. Si recibe cualquiera de estas peticiones, cuelgue, no responda al mensaje y llame usted al teléfono que figura en el reverso de su tarjeta o dentro de la app oficial. Esa llamada, hecha por usted y no atendida por quien le ha llamado, es la única comprobación fiable.
Qué hacer ahora mismo
Si pulsó el enlace pero no llegó a introducir nada, el riesgo es bajo. Cambie la clave desde la app oficial y revise los movimientos durante unos días. Si introdujo el usuario y la clave, dio el código por teléfono o instaló la aplicación, actúe en el orden que sigue y hágalo en las primeras horas, porque el dinero se mueve rápido de una cuenta a otra y cada traspaso es una cuenta más a la que oficiar.
Llame al teléfono del reverso de su tarjeta o a través de la app oficial, pida el bloqueo del acceso a la banca digital y de las tarjetas, y haga que le lean todas las operaciones de las últimas horas, incluidas las pendientes. Solicite en esa misma llamada que consten como no reconocidas y apunte la hora y el nombre o número de referencia que le den. Si instaló algo, desconecte el móvil de internet, pero no lo formatee ni borre la aplicación todavía, porque es prueba. No borre el SMS. Haga captura de pantalla completa, con el número o nombre del remitente, la fecha y la hora, y copie la dirección exacta del enlace sin volver a abrirlo. Guarde el registro de llamadas. Escriba, mientras lo recuerda, qué le dijeron y qué hizo usted en cada momento.
Con eso vaya a la Policía Nacional o a la Guardia Civil y denuncie. Cuanto antes, mejor, porque la petición de retención de fondos en la cuenta de destino solo sirve si todavía hay saldo. Una advertencia más, que en el despacho vemos con frecuencia. En los días siguientes a una estafa suelen llegar mensajes de supuestos despachos o empresas que ofrecen recuperar el dinero a cambio de un adelanto. Es la segunda estafa sobre la misma víctima. Ningún profesional serio le cobra por adelantado a cambio de una promesa de recuperación.
Si ya dio las claves o hizo un pago
Hay que distinguir dos situaciones que el banco trata de forma muy distinta. La primera es la operación no autorizada, la que ordenó el estafador con las credenciales obtenidas en la página falsa o desde el control remoto de su móvil, sin que usted la firmara. La normativa de servicios de pago obliga a la entidad a devolver el importe de esas operaciones, y esa obligación no depende de la buena voluntad del banco. En la práctica la entidad contesta con frecuencia que hubo negligencia grave del cliente por haber introducido las claves en un enlace o dado el código por teléfono. Que esa alegación se sostenga o no depende de los hechos de cada caso, de lo que el sistema del banco detectó y de cómo se plantea la reclamación, y eso es trabajo del abogado.
La segunda situación es la transferencia que hizo usted mismo, convencido por la llamada, a la «cuenta segura». Esa operación sí está autorizada en el sentido formal, aunque la autorización se obtuviera con engaño, y el terreno para reclamar a la entidad es más difícil, aunque no cerrado. Se examina qué hizo el banco ante una operación anómala por importe, destino y hora, y qué controles tenía. Lo que se puede exigir y con qué argumentos lo explico con más detalle en ciberestafa y devolución por el banco y en cuándo devuelve el banco tras un phishing.
En ambos casos hay una reclamación al banco por escrito y, si no devuelve, un camino de reclamación posterior que termina, si hace falta, en el juzgado. En el despacho, en ese punto, revisamos la operación y la contestación de la entidad y planteamos la reclamación desde el área de delitos informáticos.
La estafa en el Código Penal
Quien le envió el SMS o le llamó comete un delito de estafa del artículo 248 del Código Penal, castigado con prisión de seis meses a tres años. Si lo defraudado no supera los 400 euros, la conducta es un delito leve y la pena es de multa. Existen agravaciones por la cuantía o por el modo de cometerla que no detallo aquí, pero la pena base ya es de prisión, y los tribunales agrupan las causas cuando la misma organización ha estafado a muchas personas con la misma campaña, lo que ocurre casi siempre con estos SMS masivos.
Puede denunciar en A Coruña aunque el dinero terminase en una cuenta de otra provincia o de otro país. El criterio de los tribunales es que la estafa se investigue donde la víctima ordenó el pago o sufrió el perjuicio, y en un caso de banca por internet eso es donde usted estaba y donde tiene la cuenta. La denuncia se puede presentar en comisaría o en el juzgado de guardia, y en ella deben ir las capturas, la dirección del enlace, el extracto con las operaciones y la referencia de la comunicación al banco.
Qué pasa si la causa se archiva y el riesgo de acabar de mula
Muchas de estas causas terminan en un sobreseimiento provisional. El titular de la cuenta receptora resulta ser una persona que prestó su cuenta a cambio de una comisión, o vive fuera de la Unión Europea, o el dinero pasó a criptomonedas en horas y el rastro se perdió. El archivo provisional no significa que no hubo delito ni que usted no fue estafado, y no impide en absoluto la reclamación contra el banco, que discurre por otra vía y con otras reglas. La causa se reabre si aparecen datos nuevos, algo que ocurre cuando otra víctima aporta una pista que a usted le faltaba.
El otro lado de estas cadenas es la persona que recibió el dinero. Si le han ofrecido un trabajo consistente en recibir transferencias y reenviarlas, o le han pedido su cuenta para un ingreso a cambio de quedarse con una parte, es la mula de una estafa. Aunque no sepa de dónde sale el dinero, puede acabar como investigado por blanqueo o por la propia estafa, con el saldo embargado y una causa penal encima. Si se ve en esa situación, no mueva el dinero y consulte antes de declarar.
Qué se juega y qué hacemos
Si reclama por su cuenta, el riesgo concreto es doble. En la parte bancaria, contestar a la entidad con una explicación que reconozca lo que no debe, aceptar una devolución parcial que se presente como saldo final o dejar pasar el tiempo hasta que la reclamación pierde fuerza. En la parte penal, denunciar sin las pruebas que dan pie a la retención de fondos y ver cómo la causa se archiva a los pocos meses. En el despacho presentamos la denuncia con la prueba ordenada desde el área penal, reclamamos al banco la devolución de lo que le corresponde desde el área de delitos informáticos y, si la entidad se niega, demandamos. Puede llamar al +34 677 841 007 o escribir desde contacto. Tenga a mano, cuando llame, la captura del SMS con el número y la hora, el extracto con las operaciones marcadas, la hora y la referencia de su llamada al banco, la contestación escrita de la entidad si ya la tiene y la copia de la denuncia si ya la presentó.
Preguntas frecuentes
¿Me tiene que devolver el Sabadell el dinero si metí mis claves en el enlace del SMS?
Si la operación la ordenó el estafador con esas claves y usted no la firmó, la normativa de servicios de pago obliga a la entidad a devolver su importe. El banco suele oponer que hubo negligencia grave del cliente, y que esa alegación prospere o no depende de cómo ocurrieron los hechos y de cómo se plantea la reclamación. Haber picado en un enlace no cierra la puerta por sí solo.
¿Sirve de algo denunciar en la policía y es obligatorio para que el banco devuelva?
Sirve, y en las primeras horas es lo que permite pedir la retención del dinero en la cuenta de destino. La devolución por el banco no depende legalmente de que exista denuncia, pero la entidad la pide casi siempre y su ausencia se usa en su contra. Denuncie el mismo día y conserve una copia.
¿Y si me llamaron haciéndose pasar por el banco y la transferencia la hice yo?
La operación cuenta como autorizada aunque la autorización se obtuviera con engaño, y reclamar a la entidad es más difícil que cuando el pago lo hizo el estafador. No es imposible, se analiza qué hizo el banco ante una operación fuera de lo habitual por importe, destino y hora. Contra quien le llamó, la vía penal es la misma que en cualquier estafa.
¿Necesito abogado o basta con reclamar al Sabadell?
Si el banco le ha devuelto el dinero en la primera reclamación, no lo necesita. Tampoco compensa si la cantidad perdida es pequeña y la entidad ya se ha negado, porque el coste de litigar puede superar lo que se recupera, y en ese caso la denuncia penal es lo único que tiene sentido. Cuando el importe es relevante y el banco se niega alegando negligencia, sí, porque la reclamación se gana o se pierde en cómo se acreditan los hechos, y eso no se improvisa.