Estafa informática

Qué es la estafa informática

La estafa informática está recogida en el artículo 248.2 del Código Penal como una modalidad específica dentro del capítulo dedicado a las defraudaciones. El legislador la incorporó reconociendo que los mecanismos clásicos de la estafa —basados en el engaño bastante a una persona— no eran suficientes para capturar conductas en las que el fraude opera sobre máquinas o sistemas automatizados en lugar de sobre la voluntad humana.

En términos prácticos, la estafa informática engloba conductas muy heterogéneas: desde el phishing bancario (suplantación de identidad de entidades financieras para capturar credenciales), hasta el fraude del CEO (suplantación de un directivo para ordenar transferencias), pasando por el vishing (fraude por llamada telefónica simulando ser el banco), el smishing (mensajes SMS fraudulentos), las compraventas fraudulentas en plataformas digitales, y el fraude mediante aplicaciones o malware que redirigen pagos.

La jurisprudencia consolidada del Tribunal Supremo ha delimitado este tipo penal frente a la estafa ordinaria, subrayando que la peculiaridad no es únicamente el medio técnico empleado, sino la ausencia de necesidad de engañar a una persona física concreta cuando la manipulación recae directamente sobre el proceso de datos. No obstante, en muchas modalidades coexisten el engaño humano y la manipulación informática, lo que plantea cuestiones de concurso que los tribunales resuelven caso a caso.

Elementos y requisitos jurídicos

El artículo 248.2 CP contempla dos grandes vías comisivas. La primera es la manipulación informática: una alteración en el funcionamiento de un programa o sistema de tratamiento de datos que produce una transferencia patrimonial no consentida. La segunda es la utilización de artificios semejantes, expresión deliberadamente amplia que el legislador empleó para capturar nuevas formas de fraude tecnológico aún no previstas en el momento de tipificación.

Los elementos estructurales del delito son:

• Acción de manipulación o artificio: intervención sobre el sistema, los datos de entrada, el proceso de tratamiento o los datos de salida, o bien una conducta engañosa vehiculada a través de medios tecnológicos que produce el mismo efecto.
• Resultado de transferencia patrimonial: debe producirse un desplazamiento efectivo de activos económicos —dinero, activos digitales, bienes— desde el patrimonio de la víctima o de un tercero al del autor o a un tercero designado por este.
• Ánimo de lucro: el autor actúa buscando un beneficio patrimonial para sí o para un tercero.
• Perjuicio ajeno: el desplazamiento patrimonial causa un daño económico real y cuantificable en la víctima.
• Nexo causal: la manipulación o el artificio deben ser la causa directa del desplazamiento.

A diferencia de la estafa del artículo 248.1 CP, no se exige que medie un «engaño bastante» que induzca a error a una persona física determinada, aunque en muchas conductas reales ese engaño también concurre (como en el phishing, donde la víctima introduce voluntariamente sus credenciales creyendo estar en un portal legítimo). Cuando concurren ambos elementos, los tribunales valoran si ambos tipos concurren en concurso aparente de normas o si el tipo especial del 248.2 absorbe la conducta.

Marco penal

La estafa informática prevista en el artículo 248.2 CP se sanciona con las mismas penas que la estafa ordinaria: prisión de seis meses a tres años como tipo básico. No obstante, la pena varía significativamente en función de las circunstancias concurrentes, por lo que el marco real aplicable en cada caso puede diferir sustancialmente del tipo básico.

Tipos agravados: El artículo 250 CP recoge las agravaciones aplicables también a la estafa informática cuando, entre otras circunstancias, la cuantía del perjuicio supera los 50.000 euros (pena de prisión de uno a seis años y multa), cuando afecta a un número elevado de personas, cuando la víctima se encuentra en situación de especial vulnerabilidad, cuando se comete por integrantes de una organización criminal, o cuando se abusa de la firma electrónica, certificados o cualquier otro medio de identificación electrónica de otro. Cuando concurran dos o más agravaciones del artículo 250 se prevé la pena en su mitad superior.

Umbral de 400 euros: La pena de prisión es exigible cuando el perjuicio supera los 400 euros. Por debajo de esa cantidad, los hechos pueden reconducirse a un delito leve de estafa con pena de multa. Además de la responsabilidad penal, el condenado debe responder civilmente por la totalidad del perjuicio causado, con los intereses correspondientes. Es frecuente que los juzgados de instrucción acumulen en la misma causa hechos de múltiples víctimas cometidos por el mismo modus operandi, lo que puede elevar considerablemente la cuantía total y desencadenar las agravaciones del artículo 250 CP. [VERIFICAR las cifras de umbral y horquillas con la versión vigente del CP al momento de su consulta, pues han sido objeto de reformas].

Modalidades y tipología práctica

La casuística de la estafa informática es especialmente rica y evoluciona con rapidez al compás de la tecnología. Las modalidades más frecuentes ante los tribunales españoles son:

Phishing: envío masivo de correos electrónicos que suplantan a entidades bancarias o servicios de pago, dirigiendo a la víctima a páginas web falsas donde introduce sus credenciales. El autor las emplea para realizar transferencias no autorizadas.

Vishing y smishing: variantes del phishing por voz telefónica y por SMS, respectivamente. En el vishing es habitual que un supuesto empleado de banco llame a la víctima alertándole de un cargo fraudulento y le solicite datos de seguridad o le induzca a autorizar una transferencia.

Fraude del CEO (Business Email Compromise, BEC): suplantación de un directivo de una empresa mediante correo electrónico manipulado para ordenar a empleados de administración transferencias urgentes a cuentas controladas por el defraudador.

Fraude en plataformas de compraventa: publicación de anuncios de bienes inexistentes en marketplaces, cobro del precio y no entrega, o al contrario, recepción de bienes y reversión fraudulenta del pago.

Malware y troyanos bancarios: software malicioso instalado en el dispositivo de la víctima que intercepta o redirige operaciones bancarias en tiempo real.

SIM swapping: duplicado fraudulento de la tarjeta SIM de la víctima para interceptar los SMS de autenticación y acceder a sus cuentas bancarias.

Criptofraudes: captación de inversiones en criptoactivos mediante plataformas falsas, modalidad con perfil propio y que tiene entrada específica en esta enciclopedia bajo la voz «estafa de inversión en criptomonedas».

Fases del procedimiento penal

El proceso penal por estafa informática sigue las reglas generales de la Ley de Enjuiciamiento Criminal, aunque presenta particularidades propias de la prueba digital.

Inicio: habitualmente mediante denuncia de la víctima ante la Policía Nacional (Unidad de Investigación Tecnológica, UDEF o TEDAX), la Guardia Civil (GDT) o directamente ante el Juzgado de Instrucción. Algunas víctimas optan por la querella para constituirse desde el inicio como acusación particular, lo que permite acceso más temprano a las diligencias. Muchos casos se acumulan por unidad de investigación cuando se detecta un modus operandi común.

Instrucción: el juez instructor dirige las diligencias de investigación, que suelen incluir solicitudes de información a entidades bancarias sobre los titulares de las cuentas de destino, petición a proveedores de servicios de internet de los datos de identificación vinculados a las IP utilizadas, registro de dispositivos electrónicos, intervención de comunicaciones si concurren los requisitos legales, y peritajes forenses sobre los equipos incautados. Es frecuente la cooperación judicial internacional mediante comisiones rogatorias cuando los servidores o los autores se encuentran fuera de España.

Acusación y juicio oral: una vez concluida la instrucción, si se abren juicio oral las partes formulan sus escritos de calificación. El procedimiento aplicable depende de la pena solicitada: si no supera los cinco años de prisión, se tramita como procedimiento abreviado ante el Juzgado de lo Penal; si supera ese umbral, ante la Audiencia Provincial. La conformidad penal es estadísticamente frecuente en estos procedimientos cuando la acusación y la defensa alcanzan un acuerdo sobre pena y responsabilidad civil.

Defensas y estrategias habituales

La defensa en un caso de estafa informática puede estructurarse en varios planos, y la estrategia concreta depende de la posición procesal del cliente (investigado, acusado o víctima que ejerce acusación particular).

Desde la perspectiva del investigado/acusado, las líneas de defensa más habituales son:

• Falta de autoría: el mero titular de una cuenta bancaria receptora de fondos fraudulentos no es necesariamente el autor del fraude. Las denominadas «mulas de dinero» —personas que prestan o venden su cuenta sin conocer su uso ilícito— pueden verse imputadas como coautoras o cómplices. La defensa debe acreditar la ausencia de dolo o, en su caso, la concurrencia de un error de tipo invencible. La jurisprudencia consolidada exige un análisis riguroso del conocimiento efectivo de la ilicitud.
• Atipicidad de la conducta: verificar si la conducta concreta encaja en el tipo del 248.2 o si debe reconducirse a otro ilícito (incumplimiento contractual civil, por ejemplo, cuando no hay manipulación informática ni artificio fraudulento sino mero incumplimiento de una obligación de entrega).
• Nulidad de la prueba digital: impugnar la cadena de custodia de los dispositivos electrónicos, la validez de los registros sin autorización judicial suficiente o la autenticidad de las capturas de pantalla aportadas como prueba.
• Dilaciones indebidas: cuando la instrucción se ha prolongado de forma injustificada, la atenuante de dilaciones indebidas puede reducir la pena significativamente.
• Reparación del daño: la devolución total o parcial de lo defraudado antes del juicio oral puede fundar la atenuante del artículo 21.5 CP, con efecto reductor de la pena.

Desde la perspectiva de la víctima, el penalista que ejerce la acusación particular debe orientar la estrategia hacia la identificación completa de los partícipes (incluidas mulas y organizadores), la traza completa del dinero para fundar la responsabilidad civil, y la solicitud de medidas cautelares reales (embargo de cuentas) con la mayor celeridad posible para evitar que el dinero se disipe.

Errores frecuentes

Para víctimas:

• Tardanza en denunciar: cada hora que pasa desde la transferencia fraudulenta reduce las posibilidades de que el banco bloquee el movimiento o de que las autoridades rastreen los fondos antes de que sean retirados o retransferidos. Debe contactarse inmediatamente con la entidad bancaria para intentar la retrocesión del cargo y presentar denuncia sin demora.
• No reclamar también al banco: en función de las circunstancias, la entidad financiera puede tener responsabilidad civil por no haber aplicado medidas de seguridad adecuadas o por haber ejecutado una operación claramente anómala. Esta vía civil o administrativa (ante el Banco de España) es complementaria a la denuncia penal y no debe desatenderse.
• Aportar capturas de pantalla sin verificar su valor probatorio: las imágenes de pantalla sin peritaje informático que acredite su autenticidad tienen un valor probatorio limitado y pueden ser impugnadas. Es aconsejable solicitarla notarial o pericial desde el inicio.
• Creer que la denuncia garantiza la recuperación del dinero: el proceso penal persigue la condena del responsable; la recuperación económica depende de que el autor tenga patrimonio embargable o de que el banco asuma responsabilidad.

Para investigados:

• Declarar sin abogado o sin preparar la declaración: el derecho a no declarar y el derecho a la asistencia letrada desde la primera diligencia son garantías fundamentales que deben ejercerse activamente.
• Facilitar el acceso al teléfono móvil a la policía sin orden judicial: el registro de dispositivos electrónicos requiere, con carácter general, autorización judicial. Consentir voluntariamente sin valorar las consecuencias puede comprometer seriamente la defensa.
• Asumir que ser mula de dinero es un hecho menor: la condición de mula no excluye automáticamente la responsabilidad penal. Dependiendo del conocimiento y la participación, puede imputarse complicidad o incluso coautoría, con penas relevantes.

Cómo lo aborda un penalista colegiado

Un abogado penalista colegiado que recibe un caso de estafa informática realiza en primer lugar una valoración de la posición procesal del cliente: si es víctima que busca reparación, si es investigado en una causa ya en marcha, o si es un empresario que ha sufrido un fraude corporativo y necesita articular simultáneamente la respuesta penal y la gestión del daño reputacional.

En los casos en que el cliente es víctima, el letrado actúa con urgencia para intentar la retrocesión bancaria, prepara la denuncia o querella con el mayor detalle técnico posible (incluyendo hashes de correos, capturas validadas, extractos bancarios y cualquier dato identificativo del defraudador), y solicita desde el inicio medidas cautelares reales sobre las cuentas de destino. Valora también la posible responsabilidad de la entidad financiera en vía civil o administrativa.

Cuando el cliente es investigado, el penalista analiza la solidez de la prueba en su contra, identifica si existe riesgo real de condena y en qué margen penal, y diseña la estrategia de defensa: desde la impugnación de prueba digital obtenida irregularmente, hasta la negociación de una conformidad ventajosa si los hechos están acreditados. La cuestión de la atenuación por reparación del daño y la posible suspensión de la pena son aspectos que se valoran de forma temprana para orientar al cliente sobre sus opciones reales.

En ambos casos, la pericia técnica en materia de evidencia digital es determinante: el abogado penalista debe conocer los fundamentos del peritaje informático forense para interrogar eficazmente a los peritos, tanto en instrucción como en el juicio oral, y para detectar deficiencias en la cadena de custodia que puedan determinar la nulidad de la prueba. JBH coordina con letrados penalistas colegiados con experiencia en delincuencia informática para que el cliente tenga la dirección técnica adecuada desde el primer momento.

Preguntas frecuentes

Jurisprudencia: cómo buscarla

La interpretación de «estafa informática» evoluciona con la doctrina de los tribunales. No reproducimos números de sentencia ni identificadores ECLI sin verificar: la jurisprudencia aplicable a un caso concreto debe localizarla y contrastarla un abogado colegiado en la fuente oficial. Puedes preparar tu estrategia de búsqueda en el CENDOJ con nuestro buscador de jurisprudencia asistido y validar cualquier referencia con el verificador de citas legales.

Sigue explorando

¿Te afecta «Estafa informática» en un caso real?

Evalúa tu situación con la IA penal de JBH y conéctate con un abogado penalista colegiado independiente. La decisión y la dirección del caso son siempre humanas.

¿Eres abogado penalista? Conoce la IA penal de JBH para tu despacho: primer caso gratis en jbhasesorialegal.com/para-abogados.

Información orientativa elaborada con fines divulgativos; no constituye asesoramiento jurídico ni crea relación profesional. Las referencias legales deben contrastarse con la normativa vigente (BOE) y la jurisprudencia con el CENDOJ. JBH es una plataforma de intermediación jurídica que coordina con abogados penalistas colegiados independientes; la dirección del caso corresponde siempre a un colegiado habilitado.

Te puede servir