Si recibes un SMS, correo electrónico o llamada que aparenta proceder de tu banco y, después de facilitar unas claves o entrar en un enlace, desaparece dinero de tu cuenta, puede existir una estafa informática. Sin embargo, la calificación penal no es exactamente la misma en todos los supuestos.
Debe distinguirse principalmente entre: la víctima que realiza personalmente una transferencia porque ha sido engañada y la transferencia que ejecuta el delincuente después de obtener ilícitamente sus credenciales bancarias.
Esta diferencia puede determinar si nos encontramos ante la estafa tradicional del artículo 248 CP o ante alguna de las modalidades de estafa informática del artículo 249 CP. La regulación vigente castiga, entre otros supuestos, la manipulación informática mediante la que se consigue una transferencia patrimonial no consentida.
¿Qué es el phishing?
El phishing consiste habitualmente en suplantar a una empresa, banco, organismo público o servicio conocido para conseguir que la víctima facilite información confidencial.
Puede hacerse mediante un correo aparentemente remitido por: un banco; Hacienda; Correos; una plataforma comercial; una empresa de mensajería; o cualquier otra entidad.
El mensaje suele incorporar un enlace a una página visualmente similar a la auténtica.
La víctima introduce allí: usuario; contraseña; datos de tarjeta; o códigos de seguridad.
Pero la página pertenece realmente a los autores del fraude.
¿Qué es el smishing?
El smishing utiliza esencialmente el mismo mecanismo mediante SMS o mensajería móvil.
Son frecuentes mensajes como: “Su cuenta ha sido bloqueada.” “Debe verificar urgentemente sus datos.” “Tiene un paquete pendiente.” “Se ha detectado un acceso no autorizado.”
El objetivo es provocar una reacción rápida antes de que la víctima compruebe la autenticidad del mensaje.
¿Qué es el vishing?
El vishing se realiza mediante llamadas telefónicas.
El interlocutor puede presentarse como: empleado del banco; departamento de fraude; servicio técnico; Policía; empresa de telefonía; o cualquier otra entidad.
En ocasiones el estafador dispone previamente de datos personales de la víctima, lo que aumenta la credibilidad de la llamada.
El número que aparece en pantalla no demuestra quién llama
En determinados fraudes pueden utilizarse técnicas que hacen aparecer en el teléfono un número aparentemente legítimo.
Por eso: que la llamada parezca proceder del banco no demuestra que realmente sea el banco.
Desde el punto de vista probatorio interesa conservar: registro de llamadas; SMS; capturas; correos; enlaces; y cualquier comunicación recibida.
¿Qué delito puede existir?
Debemos diferenciar distintas situaciones.
-La víctima realiza voluntariamente la transferencia engañada
Por ejemplo: el supuesto empleado del banco convence a la víctima de que debe transferir 8.000 euros a una “cuenta segura”.
La víctima autoriza materialmente la operación, pero lo hace porque ha sido engañada.
Aquí puede existir la estructura clásica de la estafa del art. 248 CP: engaño bastante; error; acto de disposición; perjuicio; y ánimo de lucro.
-El delincuente obtiene las claves y hace él mismo la transferencia
La situación es distinta cuando la víctima facilita accidentalmente sus credenciales y después el autor accede a la banca electrónica y ejecuta las transferencias.
El art. 249.1.a CP castiga a quien, con ánimo de lucro y mediante manipulación informática o artificio semejante, consigue una transferencia no consentida de un activo patrimonial.
Phishing no es jurídicamente una única clase de delito
Éste es un punto importante.
“Phishing” describe un método fraudulento.
Pero jurídicamente puede aparecer relacionado con: estafa; estafa informática; uso fraudulento de instrumentos de pago; acceso ilícito a datos; falsedad; suplantación; o blanqueo de capitales.
La calificación depende de lo que realmente haya ocurrido.
Uso fraudulento de tarjetas
El art. 249.1.b CP contempla también las operaciones realizadas utilizando fraudulentamente: tarjetas de crédito; tarjetas de débito; u otros instrumentos de pago distintos del efectivo, en perjuicio de su titular o de un tercero.
Por eso resulta esencial saber: qué información obtuvo el autor y cómo utilizó después esos datos.
¿Qué debes hacer inmediatamente?
El tiempo tiene especial importancia.
Debe contactarse inmediatamente con la entidad bancaria para: bloquear tarjetas; bloquear accesos; modificar credenciales; comunicar las operaciones; y solicitar la trazabilidad o paralización de las transferencias cuando todavía resulte posible.
Desde el punto de vista penal, interesa además conservar la prueba antes de borrar nada.
No borres el SMS fraudulento
Aunque ya conozcas que se trata de una estafa, conviene conservar: mensaje completo; remitente; número; fecha; hora; enlace; capturas; y dispositivo original.
Una simple captura parcial aporta menos información que conservar el mensaje completo.
Guarda la dirección de la página falsa
El dominio puede permitir posteriormente investigar: servidor; registro; proveedores; infraestructura; o conexiones con otras denuncias.
Aunque la página desaparezca poco después, disponer de la URL puede ser importante.
Guarda los justificantes bancarios
Conviene conservar: transferencias; IBAN receptor; beneficiario; conceptos; horas; cargos de tarjeta; Bizum; y movimientos inmediatamente posteriores.
El rastro económico suele ser uno de los primeros puntos de investigación.
La cuenta receptora puede pertenecer a una “mula bancaria”
Es frecuente que el dinero no llegue directamente a la cuenta del autor principal.
Puede pasar por cuentas de terceras personas utilizadas para recibir y redistribuir fondos.
Son las denominadas mulas bancarias.
Por eso identificar al titular de la primera cuenta receptora no significa necesariamente haber identificado al autor intelectual del phishing.
Hemos desarrollado esta cuestión específicamente en nuestro artículo sobre mulas bancarias y responsabilidad penal.
¿Hay que denunciar?
Cuando existe una pérdida patrimonial relevante, la denuncia permite iniciar las diligencias de investigación penal.
Es conveniente aportar desde el principio: cronología; extractos; capturas; teléfonos; correos; IBAN; URLs; y comunicaciones con el banco.
Una denuncia genérica sin documentación obliga posteriormente a completar información que podría haberse aportado inicialmente.
Denuncia y reclamación bancaria no son exactamente lo mismo
La existencia de una investigación penal no resuelve automáticamente la eventual responsabilidad de la entidad bancaria.
Del mismo modo, una reclamación frente al banco no sustituye necesariamente la persecución penal de los autores.
Son vías diferentes.
Desde el despacho centramos nuestra intervención en la vertiente penal, tanto para localizar responsables como para ejercer la acción penal y civil dentro del procedimiento cuando resulte procedente.
¿Puede recuperarse el dinero?
Depende de múltiples factores.
Puede resultar relevante: rapidez; bloqueo de la cuenta receptora; identificación del beneficiario; existencia todavía de fondos; posteriores transferencias; bienes de los responsables; y eventual responsabilidad civil derivada del delito.
No debe prometerse recuperación automática.
Pero actuar inmediatamente mejora las posibilidades de seguir el dinero.
¿Qué ocurre si el banco o la Policía bloquean el dinero?
Si el dinero permanece en una cuenta identificada y puede ser judicialmente intervenido, puede solicitarse posteriormente su restitución dentro del procedimiento.
Por eso es particularmente importante actuar antes de que los fondos pasen por varias cuentas o sean convertidos en otros activos.
¿Qué pasa si fui yo quien dio las claves?
Haber caído en el engaño no elimina por sí mismo la existencia del delito.
Una cosa es analizar penalmente la conducta del estafador.
Otra distinta es estudiar, en su caso, qué consecuencias tiene la conducta de la víctima respecto de otras reclamaciones.
Desde el punto de vista penal, el engaño se valora atendiendo a las circunstancias concretas.
Defensa penal en procedimientos de phishing
También puede ocurrir lo contrario:
una persona recibe una citación porque una cuenta de su titularidad recibió fondos procedentes de phishing.
La existencia de la cuenta constituye un indicio importante.
Pero no demuestra automáticamente que esa persona: creara la web; obtuviera las claves; accediera a la cuenta; o conociera el origen fraudulento del dinero.
Debe investigarse: IP; dispositivos; movimientos; comisiones; comunicaciones; retirada del dinero; y conocimiento.
Estafas bancarias en Alicante
Desde Moreno Bernal Abogados Penalistas, despacho dedicado exclusivamente al Derecho Penal en Alicante, intervenimos tanto en representación de víctimas de estafas online mediante acusación particular como en la defensa de personas investigadas por participación en fraudes informáticos.
Puede consultar también nuestra guía general sobre qué hacer si has sido víctima de una estafa online.
¿Te han vaciado la cuenta después de un SMS, correo o llamada?
Es importante reconstruir exactamente: cómo comenzó el engaño; qué información facilitaste; quién ejecutó la transferencia; dónde llegó el dinero; y qué datos pueden conservarse.
Puede solicitar una consulta penal con el despacho para valorar la denuncia y las posibilidades de actuación como perjudicado.
Preguntas frecuentes
¿Phishing y estafa informática son lo mismo?
No necesariamente. Phishing describe el mecanismo utilizado. La calificación penal dependerá de cómo se produzca finalmente el desplazamiento patrimonial.
¿Si yo hice la transferencia sigue existiendo estafa?
Puede existir, si la realizaste como consecuencia de un engaño bastante.
¿Y si el delincuente entró en mi banca y transfirió el dinero?
Puede resultar aplicable la modalidad de estafa informática del art. 249 CP.
¿Debo borrar el mensaje fraudulento?
No. Conviene conservarlo como posible prueba.
¿La cuenta que recibe el dinero pertenece siempre al estafador?
No. Con frecuencia se utilizan cuentas de terceros o mulas bancarias.
¿Cuanto antes denuncie, mejor?
Sí, especialmente porque el dinero puede moverse rápidamente entre distintas cuentas.
Normativa principal: arts. 248 y 249 CP.
