Una captura de pantalla del perfil falso, guardada en el móvil, no prueba por sí sola ante un juez que ese perfil existiera, quién lo creó ni desde dónde, y cuando la parte contraria la impugna el Tribunal Supremo exige que su autenticidad se acredite por otros medios, normalmente una pericial informática. Con esa captura llega al despacho la mayoría de las personas suplantadas, acompañada de un enlace que ya no abre porque la plataforma retiró el perfil, de un correo reenviado sin cabeceras y de la conversación en la que un amigo avisa de que «alguien se está haciendo pasar por ti». Nada de eso es inútil, pero nada de eso, solo, sostiene una denuncia. Lo que sí la sostiene es el identificador numérico del perfil o de la publicación, que la plataforma conserva aunque borre el contenido; la dirección completa y la fecha y hora exactas en que se vio; las cabeceras íntegras del correo electrónico, que indican por qué servidores pasó; el acta notarial que da fe de lo que había en pantalla en un momento dado, o la certificación de un prestador de servicios de confianza; los registros de acceso que el banco o la operadora conservan; y, sobre todo, la denuncia interpuesta pronto, porque los datos de conexión que identifican al autor los guardan las plataformas durante un tiempo limitado y solo los entregan a requerimiento judicial. La diferencia entre un caso que prospera y uno que se archiva por autor desconocido está, casi siempre, en lo que se aseguró la primera semana.
Qué es la suplantación de identidad y cuándo es delito
Suplantar la identidad es actuar frente a terceros como si se fuera otra persona, usando su nombre, su imagen, su documento o sus claves. En el lenguaje corriente se llama usurpación de identidad, pero el Código Penal no tiene un delito con ese nombre. Lo que tiene es la usurpación de estado civil del artículo 401, castigada con prisión de seis meses a tres años, y una jurisprudencia del Tribunal Supremo que la interpreta de forma estricta. Para que exista ese delito el autor tiene que hacerse pasar por la víctima de manera completa y con cierta permanencia, asumiendo su personalidad para ejercer derechos o contraer obligaciones que solo a ella corresponden. Contratar un préstamo con el DNI de otro, abrir una cuenta bancaria a su nombre o presentarse como él ante una administración encajan en el 401. Crear un perfil con su nombre y su foto para insultar a alguien o para pedir dinero a sus contactos, por sí solo, muchas veces no encaja, y la acusación se construye entonces con otros delitos.
Por eso no siempre hay delito y por eso la calificación importa tanto. Un perfil falso de broma entre conocidos que no engaña a nadie ni causa perjuicio puede quedar en una infracción de protección de datos y en una intromisión en el derecho a la propia imagen, ambas reclamables, pero no en un proceso penal. El mismo perfil, si sirve para que un amigo suyo transfiera trescientos euros creyendo que se los pide usted, es una estafa. Y si para crearlo el autor entró antes en su correo para sacar fotos y datos, hay además un delito contra la intimidad. En el despacho ejercemos la acusación en estos asuntos y lo primero que hacemos es encajar los hechos en la figura correcta, porque de ella dependen la pena, la prescripción y las diligencias de investigación que el juzgado puede autorizar.
Los delitos que suele haber detrás de una suplantación
La suplantación casi nunca viene sola. Lo habitual es que sea el medio para cometer otro delito, y ese otro delito es el que da la pena.
La estafa de los artículos 248 y 249 del Código Penal castiga el engaño a un tercero para obtener un desplazamiento patrimonial, y el artículo 249 recoge su modalidad informática, la que se comete manipulando sistemas o utilizando tarjetas, credenciales o datos ajenos. La pena es de prisión de seis meses a tres años y, cuando lo defraudado no supera los 400 euros, multa de uno a tres meses como delito leve. Si la cuantía supera los 50.000 euros o el fraude afecta a un número elevado de personas, el artículo 250 la agrava a prisión de uno a seis años y multa de seis a doce meses. La confusión que se ve en tantos artículos entre el 248 y el 249 se explica sola. El 248 define la estafa clásica y el 249 la castiga e incluye desde la reforma de 2022 la variante informática.
El descubrimiento y revelación de secretos del artículo 197 castiga con prisión de uno a cuatro años y multa de doce a veinticuatro meses a quien se apodera de mensajes, correos o documentos ajenos, o los intercepta, para descubrir la intimidad de otro. El artículo 197 bis castiga el mero acceso ilícito a un sistema informático, la cuenta de correo, el perfil o el móvil, con prisión de seis meses a dos años, aunque después no se difunda nada.
La falsedad documental aparece cuando el suplantador usa un DNI falso, artículo 392.2, con prisión de seis meses a un año y multa de tres a seis meses, y el artículo 400 bis equipara a ese uso el de un documento de identidad auténtico por quien no es su titular, que es exactamente lo que ocurre cuando alguien presenta la foto de su DNI robada para contratar.
Cuando el perfil falso se crea para degradar, por ejemplo publicando su teléfono en portales de contactos con ofrecimientos sexuales, el Tribunal Supremo ha aplicado el delito contra la integridad moral del artículo 173.1, con prisión de seis meses a dos años, y según lo publicado pueden concurrir injurias o calumnias.
| Delito | Artículo del Código Penal | Pena | Prescripción |
|---|---|---|---|
| Usurpación de estado civil | 401 | Prisión de 6 meses a 3 años | 5 años |
| Estafa, incluida la informática | 248 y 249 | Prisión de 6 meses a 3 años; multa de 1 a 3 meses si no supera 400 euros | 5 años (1 año si es delito leve) |
| Estafa agravada | 250 | Prisión de 1 a 6 años y multa de 6 a 12 meses | 10 años |
| Descubrimiento y revelación de secretos | 197.1 | Prisión de 1 a 4 años y multa de 12 a 24 meses | 5 años |
| Acceso ilícito a sistema informático | 197 bis | Prisión de 6 meses a 2 años | 5 años |
| Uso de documento de identidad falso o ajeno | 392.2 y 400 bis | Prisión de 6 meses a 1 año y multa de 3 a 6 meses | 5 años |
Los plazos de prescripción son los del artículo 131 del Código Penal, que fija cinco años para los delitos con pena máxima inferior a cinco años de prisión, diez años para los que la superan y un año para los delitos leves, las injurias y las calumnias.
Tres escenarios y lo que cambia en cada uno
Han contratado un préstamo, una tarjeta o una línea de teléfono a su nombre
Se entera por una carta de una empresa de recobro, por una notificación de un fichero de solvencia o porque el banco le deniega una hipoteca. Alguien consiguió la imagen de su DNI, a menudo unida a un vídeo o una foto suya sacada de redes sociales, y superó la verificación de identidad a distancia de una financiera. Aquí concurren la usurpación de estado civil, la estafa a la entidad, que es la engañada, y la falsedad del 400 bis. Usted es perjudicado aunque el dinero no saliera de su cuenta, porque le han generado una deuda, un historial y una inscripción que no le pertenecen. El contrato que firmó el suplantador no le obliga. Falta su consentimiento, y sin consentimiento no hay contrato según el artículo 1261 del Código Civil. Quien tiene que probar que fue usted quien contrató es la entidad, y lo que suele tener es una foto de un documento y una grabación de alguien que no es usted.
Un perfil falso en redes o en WhatsApp con su nombre y su foto
Hay dos variantes con consecuencias distintas. En la primera el perfil sirve para pedir dinero a sus contactos con una urgencia inventada, y la víctima de la estafa es quien paga, mientras que usted lo es del uso de su imagen y de su nombre. En la segunda el perfil sirve para dañarle, publicando cosas que no ha dicho, contactando con su entorno o exponiéndole en contextos sexuales, y ahí entran la integridad moral, las injurias y, si hay insistencia, el acoso del artículo 172 ter. Cuando la suplantación es del propio WhatsApp, lo normal es que hayan duplicado su tarjeta SIM o le hayan sacado el código de verificación con un mensaje, lo que añade el acceso ilícito del 197 bis. La retirada del perfil por la plataforma es rápida, y precisamente por eso conviene guardar antes los identificadores, porque una vez retirado queda usted con una captura y sin nada que permita al juzgado pedir los datos del autor. Si además del perfil hay mensajes intimidatorios, he explicado lo que cabe hacer en el artículo sobre amenazas y coacciones y en el de ciberacoso.
Le acusan de una estafa que no cometió
Es el escenario que más asusta y el que peor se gestiona por cuenta propia. Recibe una citación de la Policía o del juzgado como investigado porque una cuenta abierta con sus datos vendió productos inexistentes, o porque una transferencia fraudulenta acabó en una cuenta a su nombre. Tiene derecho a no declarar y a hacerlo asistido de abogado, y su primera declaración condiciona todo lo demás. Su defensa consiste en probar la suplantación, y para eso valen la denuncia previa si la puso, los registros de acceso, la localización de su móvil el día de los hechos y cualquier rastro de la filtración de su documento. Un caso aparte es el de quien recibió dinero en su cuenta y lo reenvió a cambio de una comisión, la llamada mula. Aunque no supiera de dónde venía, el artículo 301.3 castiga el blanqueo por imprudencia grave con prisión de seis meses a dos años y multa, y la Fiscalía lo aplica con frecuencia. Si es su caso, o si la citación es por un delito menor, en el artículo sobre qué hacer si le denuncian por un delito leve hay orientación útil.
Si se encuentra en el tercer escenario, o en cualquiera de los dos primeros con una cantidad relevante en juego, en el despacho asumimos desde el primer momento la dirección del asunto y ejercemos la acusación o la defensa, según toque, dentro del área de delitos informáticos.
Las cuatro vías de respuesta y por qué se abren a la vez
La vía penal busca identificar y castigar al autor, y lleva aparejada la responsabilidad civil derivada del delito, artículos 109 y siguientes del Código Penal, para que el condenado le indemnice. Es la única que permite al juzgado exigir a las plataformas y a las operadoras los datos de conexión, y por eso es la primera que se abre. Su límite es que si el autor no se identifica o está fuera de España, la causa puede archivarse y la indemnización quedar en el papel.
La vía civil no depende de que se identifique a nadie. La Ley Orgánica 1/1982, de protección del honor, la intimidad y la propia imagen, considera intromisión ilegítima la utilización del nombre o de la imagen de una persona sin su consentimiento, artículo 7, y presume que esa intromisión causa perjuicio, artículo 9, lo que abre la indemnización por daño moral frente a quien la cometió o la mantuvo. Esta vía también sirve para que un juez declare nulo el contrato que alguien firmó en su nombre.
La vía de protección de datos actúa sobre quien trató sus datos sin base para ello. El Reglamento General de Protección de Datos le reconoce el derecho a que se supriman, artículo 17, y la Ley Orgánica 3/2018 y la Agencia Española de Protección de Datos permiten reclamar contra la plataforma que no retira el perfil, contra la financiera que dio crédito con un documento sin verificar y contra el fichero de morosos que le inscribió sin cumplir los requisitos. La Agencia tiene además un canal prioritario para contenidos sexuales o violentos publicados sin consentimiento.
La vía bancaria entra cuando el dinero ha salido de sus cuentas. La normativa de servicios de pago obliga a la entidad a devolver las operaciones que usted no autorizó, y cómo se plantea esa reclamación, con qué argumentos y en qué orden, es trabajo del abogado. Lo he desarrollado en el artículo sobre cómo recuperar el dinero de una ciberestafa.
Qué hacer en las primeras horas y qué no hacer
En las primeras veinticuatro horas lo que importa es cerrar el acceso y conservar el rastro. Cambie las contraseñas desde un dispositivo que no sea el comprometido y active la verificación en dos pasos. Si su móvil se ha quedado sin cobertura sin motivo, llame a la operadora, porque es la señal típica del duplicado de SIM. Bloquee tarjetas si sospecha de la cuenta. Antes de denunciar el perfil dentro de la plataforma, guarde la dirección completa, el identificador, la fecha y hora y, si puede, grabe la pantalla navegando por él, y solo después pida la retirada. Avise a sus contactos de que no es usted quien escribe. No conteste al suplantador ni intente negociar con él, no borre conversaciones aunque le avergüencen, no pague nada a quien le reclame una deuda que no reconoce y no entregue su teléfono a nadie que no sea un perito o la Policía.
En la primera semana se denuncia. Puede hacerlo en la Policía Nacional o en la Guardia Civil, ambas con unidades dedicadas a delitos tecnológicos, en el juzgado de guardia, que es más lento de tramitar pero llega directo al juez cuando hay urgencia, o por vía telemática, que la Policía Nacional admite para algunos delitos sin autor conocido y que exige ratificación presencial después. Se denuncia aunque no sepa quién ha sido, porque identificarlo es tarea de la instrucción y no suya. En cuanto a dónde, es competente el juzgado del lugar donde el delito produjo sus efectos, y en las estafas informáticas el Tribunal Supremo atiende al lugar donde la víctima actuó o donde sufrió el perjuicio, de modo que puede denunciar en A Coruña aunque el autor esté en otra provincia o en otro país.
En el primer mes se abren las vías que no son penales, la supresión de datos, la reclamación ante la Agencia, la comunicación formal a la entidad que concedió el crédito y, si procede, a Hacienda o a la Seguridad Social.
La deuda a su nombre y el fichero de morosos
Mientras se investiga, usted no paga. La deuda no es suya porque el contrato es nulo por falta de consentimiento, y pagar una cuota «para que dejen de llamar» puede leerse después como un reconocimiento de la deuda. Lo que corresponde es comunicar a la entidad por escrito que ha sido suplantado, con copia de la denuncia, y a partir de ese momento la deuda está discutida.
Eso importa para el fichero de morosos. El artículo 20 de la Ley Orgánica 3/2018 solo permite inscribir deudas ciertas, vencidas y exigibles cuya existencia no haya sido reclamada, y exige que el acreedor haya avisado de la posible inclusión al requerir el pago. Una deuda nacida de una suplantación denunciada no cumple ninguna de esas condiciones, y su mantenimiento en el fichero es una intromisión en el honor que el Tribunal Supremo indemniza como daño moral por la vía de la Ley Orgánica 1/1982, con responsabilidad tanto del acreedor que la comunicó como del fichero que la mantuvo sin comprobar. Las empresas de recobro que le llamen no tienen más facultades que el acreedor, y la insistencia con amenazas o llamadas a su trabajo puede ser un delito de coacciones. Conseguir la exclusión del fichero y la declaración de que no debe nada tiene su procedimiento, y en el despacho lo tramitamos junto con la denuncia.
Los plazos que corren en su contra
Los penales son los de la tabla, cinco años para lo más frecuente, y se cuentan desde que se cometió el delito, no desde que usted lo descubrió. La acción civil de la Ley Orgánica 1/1982 caduca a los cuatro años desde que pudo ejercitarse. La reclamación ante la Agencia de Protección de Datos no tiene un plazo cerrado, pero las plataformas conservan los datos de conexión meses, no años. Y si ya le ha llegado papel del juzgado por una deuda que no es suya, los plazos son cortos. En un proceso monitorio tiene veinte días hábiles para oponerse desde que le notifican el requerimiento; en un juicio verbal, diez días para contestar la demanda. Dejar pasar esos plazos convierte una deuda ajena en una deuda firme contra usted, y ese es el riesgo más serio de todo el asunto.
Qué indemnización puede reclamar y a quién
Al suplantador, si se identifica y se condena, se le reclama dentro del proceso penal todo el daño patrimonial y el daño moral, con el problema práctico de que suele ser insolvente. A la entidad que concedió el crédito con un documento sin verificar se le puede exigir responsabilidad por culpa, artículo 1902 del Código Civil, y la indemnización por tratamiento ilícito de datos que reconoce el artículo 82 del Reglamento General de Protección de Datos, además del daño moral por la inclusión en el fichero. Al banco se le exige la devolución de lo que salió de su cuenta sin su autorización, conforme a la normativa de servicios de pago. La plataforma que alojó el perfil responde solo cuando, conociendo la ilicitud, no actuó con diligencia para retirarlo, según el régimen de responsabilidad de los intermediarios de la Ley 34/2002 y del Reglamento europeo de Servicios Digitales, por lo que el aviso formal y su fecha son los que abren esa responsabilidad. No hay baremo para el daño moral por suplantación y las cantidades las modera cada tribunal según la difusión, la duración y el efecto sobre su vida, así que desconfíe de quien le prometa una cifra antes de ver el expediente.
Otras dudas que nadie contesta
Renovar el DNI solo es necesario si se lo han robado o lo ha perdido, y en ese caso hay que denunciar la sustracción para que conste antes de que alguien lo use. Si lo que circula es una fotografía del documento, renovarlo no cambia el número y no resuelve nada; lo que sirve es la denuncia y tener constancia de la filtración para cualquier contrato futuro que aparezca. El número de teléfono conviene cambiarlo si ha habido duplicado de SIM, y la cuenta bancaria solo si las credenciales estuvieron comprometidas.
Hacienda y la Seguridad Social pueden reclamarle si alguien facturó con su NIF, se dio de alta como autónomo con sus datos o contrató trabajadores en su nombre. Ambas administraciones admiten la suplantación como causa para anular esas obligaciones, pero hay que probarla, y la denuncia previa es la pieza que lo permite. Sin ella, las liquidaciones siguen su curso y acaban en apremio.
Si el suplantador está fuera de España, la denuncia sigue siendo necesaria. La cooperación judicial dentro de la Unión Europea funciona, y fuera de ella el Convenio de Budapest sobre ciberdelincuencia permite pedir datos a muchos países, aunque los tiempos son largos y hay jurisdicciones donde no llega nada. La ventaja es que las vías civil, de protección de datos y bancaria no dependen de que el autor aparezca, y son las que en la práctica devuelven el dinero y limpian su nombre.
Lo que se juega si lo hace por su cuenta
El riesgo concreto de este asunto no es que le castiguen a usted, es que una deuda que no es suya se convierta en firme porque contestó tarde a un monitorio, que el juzgado archive la denuncia porque la prueba era una captura impugnable y los datos de conexión ya no existían, o que una declaración como investigado sin preparación le deje atrapado en una causa de la que era la víctima. En el despacho ejercemos la acusación y la defensa en suplantaciones de identidad, preparamos la prueba electrónica para que resista una impugnación y abrimos en paralelo las vías civil, de protección de datos y bancaria para recuperar el dinero y anular lo contratado en su nombre.
Si le han suplantado, llame al +34 677 841 007 o escríbanos desde la página de contacto. Tenga a mano la fecha en que detectó la suplantación, los identificadores y direcciones de los perfiles o mensajes, los correos completos sin reenviar, las cartas o notificaciones de deuda y ficheros, la denuncia si ya la ha puesto y cualquier citación judicial con su fecha de notificación, porque de esa fecha depende el plazo con el que trabajamos.
Preguntas frecuentes
¿Puedo denunciar si no sé quién me ha suplantado ni desde dónde?
Sí, y es lo normal. La denuncia se presenta contra autor desconocido y es la instrucción judicial la que pide a las plataformas y a las operadoras los datos de conexión para identificarlo. Lo que usted aporta son los identificadores del perfil o de los mensajes, las fechas y los documentos de la deuda, no la identidad del autor.
¿Tengo que pagar el préstamo que han contratado a mi nombre mientras se investiga?
No. El contrato firmado por un suplantador es nulo por falta de su consentimiento y la carga de probar que fue usted quien contrató es de la entidad. Pagar una cuota puede interpretarse después como reconocimiento de la deuda. Lo que corresponde es denunciar y comunicar por escrito a la entidad que ha sido suplantado, y a partir de ahí la deuda queda discutida y no puede mantenerse en un fichero de morosos.
¿Cuánto tiempo tengo para denunciar una suplantación de identidad?
La mayoría de los delitos implicados prescriben a los cinco años desde que se cometieron, diez si es estafa agravada y uno si es delito leve o injurias. La acción civil por uso de su nombre o imagen caduca a los cuatro años. En la práctica el plazo que manda es otro, porque las plataformas conservan los datos que identifican al autor durante meses, y una denuncia tardía suele acabar archivada por autor desconocido.
¿Necesito abogado para una suplantación de identidad o puedo hacerlo yo?
Depende de lo que haya en juego. Un perfil falso que la plataforma retira en horas, sin dinero de por medio y sin difusión, puede resolverlo usted con la denuncia y la solicitud de supresión, y contratar un abogado no le compensa. Necesita abogado cuando hay una deuda o un contrato a su nombre, cuando le han incluido en un fichero de morosos, cuando le citan como investigado por algo que hizo el suplantador, cuando ha salido dinero de sus cuentas o cuando la difusión ha dañado su reputación o su trabajo. En esos casos los plazos son cortos, la prueba electrónica se impugna y hay varias vías que deben abrirse en el orden correcto.