Phishing y suplantación bancaria

Qué es

El término phishing —adaptación fonética del inglés fishing, pescar— describe el conjunto de técnicas por las que un autor se hace pasar por una entidad legítima (banco, Agencia Tributaria, correo electrónico corporativo, plataforma de pagos) para capturar datos personales, credenciales de acceso o fondos de sus víctimas. En la práctica judicial española, el phishing no es un tipo penal autónomo: se encuadra sistemáticamente dentro de la estafa o, con más precisión técnica, de la estafa informática prevista en el artículo 248.2 del Código Penal, que castiga específicamente las defraudaciones realizadas mediante manipulación informática o artificio semejante.

La suplantación bancaria es la modalidad más frecuente y socialmente dañina. El modus operandi clásico combina un correo electrónico, SMS (smishing) o llamada telefónica (vishing) que imita con fidelidad la imagen corporativa de la entidad financiera, redirigiendo a la víctima hacia una página web clon donde introduce sus claves de banca electrónica. Con esas credenciales, el autor —o una red organizada de intermediarios llamados _muleros bancarios_— vacía cuentas, contrata créditos o realiza transferencias al extranjero.

Desde la perspectiva de la víctima, la confusión es total: el dominio del sitio falso difiere del original en un solo carácter, el diseño es idéntico, y en ocasiones llegan incluso mensajes SMS que aparecen en el mismo hilo que los legítimos del banco. Esta sofisticación tiene relevancia jurídica, pues la doctrina del Tribunal Supremo exige valorar si el engaño era «bastante» para vencer la diligencia ordinaria de un ciudadano medio, y en estos supuestos ese requisito se cumple con notable facilidad.

Elementos y requisitos jurídicos

Para apreciar estafa informática por phishing deben concurrir los elementos propios de la estafa genérica más la especificidad informática que exige el artículo 248.2 CP:

1. Engaño bastante. El ardid debe tener entidad suficiente para inducir a error a una persona medianamente diligente. En el phishing, la jurisprudencia consolidada ha admitido este requisito cuando la suplantación es de alta calidad técnica, aunque se mantiene un debate sobre la responsabilidad de la entidad bancaria cuando sus sistemas de doble autenticación eran deficientes.

2. Error en la víctima. La víctima debe creer, a causa del engaño, que está introduciendo sus datos en el entorno legítimo de su banco. La confusión ha de ser consecuencia directa del artificio del autor.

3. Acto de disposición patrimonial. La víctima transfiere fondos, facilita claves que permiten transferirlos, o autoriza operaciones que no habría autorizado de conocer la realidad. El acto puede ser activo (introducir credenciales) o resultar de la manipulación directa de sistemas informáticos por el autor una vez obtenidas las claves.

4. Ánimo de lucro y perjuicio ajeno. El autor busca un enriquecimiento ilícito que se corresponde con el empobrecimiento de la víctima o de la entidad que, en última instancia, asume la pérdida.

5. Nexo causal. El error debe ser consecuencia del engaño y el perjuicio consecuencia del error. Si la víctima actuó con total negligencia o la entidad bancaria dispuso de sistemas de seguridad manifiestamente insuficientes, la cadena causal puede romperse o modular la responsabilidad civil.

Cuando el autor, además de obtener las credenciales, manipula directamente los sistemas informáticos del banco (ataques man-in-the-browser, inyección de código malicioso), pueden concurrir también los daños informáticos del artículo 264 CP. Si se interceptan comunicaciones para capturar contraseñas, entra en juego el artículo 197 CP (descubrimiento y revelación de secretos). El posterior reciclaje del dinero obtenido activa, con frecuencia, el tipo de blanqueo de capitales.

Marco penal

El artículo 248.2 CP castiga la estafa informática con las mismas penas que la estafa ordinaria del artículo 249 CP. El tipo básico prevé pena de prisión de seis meses a tres años [VERIFICAR cuantía exacta vigente tras últimas reformas]. Sin embargo, en el phishing bancario raramente se aplica el tipo básico, porque casi siempre concurren una o varias circunstancias agravantes específicas del artículo 250 CP:

• Especial gravedad por la cuantía del perjuicio. Se aplica cuando el daño supera los 50.000 euros, lo que en fraudes organizados es habitual. La pena sube de forma relevante.
• Pluralidad de perjudicados. Las campañas de phishing masivas afectan simultáneamente a cientos o miles de víctimas, lo que activa esta agravación.
• Abuso de firma o credenciales ajenas. La suplantación de la identidad de una entidad bancaria o el uso fraudulento de datos de acceso de la víctima puede subsumirse aquí.
• Organización criminal. Cuando el phishing lo ejecuta una red estructurada con reparto de roles (diseñador de la web clon, captador de mulas, conductor de transferencias, cobrador en destino), se aplican las agravaciones del artículo 250.1 y, si la organización tiene carácter permanente, puede añadirse el tipo de pertenencia a organización criminal del artículo 570 bis CP.

La concurrencia de los subtipos agravados del artículo 250.1 y 250.2 CP puede llevar la pena a un marco de prisión de cuatro a ocho años [VERIFICAR]. Los muleros bancarios —personas que prestan sus cuentas para recibir y reenviar fondos— responden generalmente por blanqueo de capitales o por el mismo delito de estafa en grado de cooperación, con penas también de entidad.

Además de la pena privativa de libertad, el Código Penal prevé la responsabilidad civil derivada del delito (restitución del importe defraudado) y la posibilidad de comiso de los instrumentos, ganancias y efectos del delito.

Fases del procedimiento penal

Denuncia e inicio de la investigación. El procedimiento arranca habitualmente con una denuncia de la víctima ante la Policía Nacional (Unidad de Investigación Tecnológica, UIT) o la Guardia Civil (Grupo de Delitos Telemáticos, GDT), o directamente ante el juzgado de instrucción. Es aconsejable denunciar con la mayor urgencia posible para favorecer el rastreo de las transferencias antes de que se dispersen por cuentas extranjeras.

Instrucción judicial. El juzgado de instrucción competente abre diligencias previas o sumario ordinario según la gravedad. Durante esta fase se practican: solicitudes de identificación de titulares de cuentas destinatarias a entidades bancarias, peticiones de datos a proveedores de servicios de internet (geolocalización de IPs, logs de acceso), intervención de comunicaciones si resulta necesaria y proporcionada, y registros de dispositivos electrónicos que permitan reconstruir la cadena de actuaciones del autor. La cooperación judicial internacional es frecuente cuando los servidores o las cuentas receptoras están en el extranjero.

Fase intermedia y juicio oral. Concluida la instrucción, el Ministerio Fiscal y, en su caso, la acusación particular formulan sus escritos de acusación. El juicio se celebra ante el Juzgado de lo Penal (si la pena solicitada no supera cinco años de prisión) o ante la Sección Penal de la Audiencia Provincial (si supera ese umbral). En los supuestos de organización criminal, la Audiencia Nacional puede ser competente si el fraude tiene dimensión supranacional.

Ejecución. La sentencia condenatoria fija la pena, la responsabilidad civil y, en su caso, el comiso de las ganancias. Si el condenado se encuentra en situación de impago, la responsabilidad civil puede hacerse efectiva sobre sus bienes o, cuando existe responsabilidad civil subsidiaria de la entidad bancaria, frente a esta.

Defensas y estrategias habituales

La defensa penal en estos procesos es técnicamente exigente, tanto en la fase de instrucción como en el juicio oral. Un penalista colegiado con experiencia en ciberdelincuencia valorará, entre otras, las siguientes líneas:

Impugnación de la cadena de custodia digital. La obtención de evidencias informáticas —capturas de tráfico de red, logs de acceso, contenido de dispositivos incautados— debe respetar los protocolos de preservación establecidos en la LECrim. Cualquier deficiencia en la recogida, etiquetado o custodia de esas evidencias puede dar lugar a la nulidad de la prueba ilícita, que priva al tribunal de la base probatoria fundamental.

Cuestionamiento de la atribución. Una dirección IP o una cuenta bancaria no equivale automáticamente a una persona física. La defensa puede acreditar que el dispositivo fue utilizado por terceros, que la cuenta fue cedida bajo coerción o engaño (caso frecuente del mulero bancario que desconoce la ilicitud), o que los metadatos no permiten una atribución inequívoca.

Ausencia de dolo o error de prohibición. En el caso de los muleros bancarios, es habitual alegar que el acusado prestó su cuenta creyendo participar en un trabajo legítimo de gestión de pagos internacionales, sin conocer que los fondos procedían de un fraude. Si ese error es invencible, puede operar como eximente; si es vencible, como atenuante. La jurisprudencia ha endurecido este criterio en los últimos años, pero la alegación sigue siendo viable cuando se acredita la ausencia de señales objetivas de ilicitud.

Ruptura del nexo causal o atribución de responsabilidad a la entidad bancaria. En sede civil, y con repercusiones en la cuantía de la responsabilidad civil del acusado, puede discutirse si la entidad bancaria incumplió sus obligaciones de seguridad (ausencia de doble factor de autenticación robusto, falta de sistemas de detección de operaciones inusuales), transfiriendo parte de la responsabilidad hacia ella.

Atenuantes. La atenuante de reparación del daño (devolución de los fondos antes del juicio), la de confesión o colaboración con la justicia, y las dilaciones indebidas —frecuentes en instrucciones largas de ciberdelincuencia organizada— pueden reducir sensiblemente la pena.

Errores frecuentes

Error de la víctima: no denunciar o tardar en hacerlo. Cada hora que transcurre entre el fraude y la denuncia reduce las posibilidades de rastreo y recuperación de los fondos. Las transferencias internacionales se ordenan en minutos y el dinero puede pasar por varias jurisdicciones en pocas horas. La víctima debe denunciar simultáneamente a la Policía y notificar al banco para intentar el bloqueo inmediato.

Error de la víctima: asumir que el banco reintegrará automáticamente el dinero. La responsabilidad de la entidad bancaria en supuestos de phishing es una cuestión civil compleja que depende de si la víctima actuó con negligencia grave, de si el banco tenía medidas de seguridad adecuadas y de la normativa de servicios de pago [VERIFICAR aplicación concreta del Real Decreto-ley de servicios de pago]. No existe reintegro automático y, en ocasiones, es necesario acudir a la vía judicial.

Error del investigado: declarar sin asistencia letrada. Quien es citado como investigado por phishing —incluyendo quien haya prestado su cuenta sin comprender la ilicitud— debe ejercer su derecho a no declarar hasta contar con un abogado. Las explicaciones espontáneas ante la Policía pueden ser utilizadas en su contra y cerrar líneas de defensa que estarían disponibles con una estrategia bien diseñada.

Error del investigado: confundir la responsabilidad del mulero con la de quien diseñó el fraude. Los muleros bancarios tienden a pensar que, al no haber ideado el fraude, su responsabilidad es mínima. Sin embargo, la jurisprudencia los condena habitualmente por blanqueo de capitales o cooperación en la estafa, y las penas pueden ser significativas. Minimizar la situación y no buscar asesoramiento penal especializado desde el primer momento es un error de consecuencias graves.

Error procesal: no recabar prueba pericial privada. La pericial de parte aportada por la defensa —análisis forense independiente del dispositivo del acusado, informe de tráfico de red, dictamen sobre vulnerabilidades del sistema bancario— puede ser decisiva. Renunciar a ella por coste o desconocimiento debilita notablemente la posición defensiva.

Cómo lo aborda un penalista colegiado

Un abogado penalista colegiado con experiencia en ciberdelincuencia actúa en dos planos simultáneos: el penal propiamente dicho y la dimensión civil-reparatoria, que en estos delitos es tan relevante como la propia condena.

Desde el primer momento —denuncia, citación o detención— el letrado orienta a su cliente sobre qué información aportar, cómo presentar la denuncia de forma que sea admitida y orientada correctamente por el juzgado de instrucción, y qué medidas cautelares puede solicitar (anotación de embargo preventivo sobre cuentas identificadas, bloqueo de transferencias en curso). Si el cliente es investigado, le informa sobre el alcance del derecho a no declarar y diseña la estrategia procesal antes de cualquier manifestación ante la autoridad.

Durante la instrucción, el penalista colegiado controla la legalidad de las diligencias de investigación —especialmente el registro de dispositivos electrónicos y la intervención de comunicaciones—, solicita el acceso al atestado policial y a los informes técnicos de la Unidad de Investigación Tecnológica, propone diligencias de descargo y, cuando procede, encarga a peritos informáticos forenses de parte un análisis independiente de la evidencia digital.

En la fase de juicio oral, el letrado articula la prueba de descargo, impugna las periciales de la acusación con contrainterrogatorio técnico y, si la estrategia lo permite, negocia una conformidad que reduzca el marco punitivo o que garantice la suspensión de la pena de prisión. La experiencia práctica es determinante en este tipo de procedimientos, dados el alto componente técnico de la prueba y la frecuente intervención de peritos policiales cuyas conclusiones no siempre son incontestables.

Para buscar un abogado penalista colegiado con experiencia en delitos informáticos, JBH coordina con profesionales especializados en esta área que pueden hacerse cargo de la dirección jurídica del asunto con plenas garantías deontológicas.

Preguntas frecuentes

Jurisprudencia: cómo buscarla

La interpretación de «phishing y suplantación bancaria» evoluciona con la doctrina de los tribunales. No reproducimos números de sentencia ni identificadores ECLI sin verificar: la jurisprudencia aplicable a un caso concreto debe localizarla y contrastarla un abogado colegiado en la fuente oficial. Puedes preparar tu estrategia de búsqueda en el CENDOJ con nuestro buscador de jurisprudencia asistido y validar cualquier referencia con el verificador de citas legales.

Sigue explorando

¿Te afecta «Phishing y suplantación bancaria» en un caso real?

Evalúa tu situación con la IA penal de JBH y conéctate con un abogado penalista colegiado independiente. La decisión y la dirección del caso son siempre humanas.

¿Eres abogado penalista? Conoce la IA penal de JBH para tu despacho: primer caso gratis en jbhasesorialegal.com/para-abogados.

Información orientativa elaborada con fines divulgativos; no constituye asesoramiento jurídico ni crea relación profesional. Las referencias legales deben contrastarse con la normativa vigente (BOE) y la jurisprudencia con el CENDOJ. JBH es una plataforma de intermediación jurídica que coordina con abogados penalistas colegiados independientes; la dirección del caso corresponde siempre a un colegiado habilitado.

Te puede servir