Estafa informática

La estafa informática está recogida en el art. 249 CP, dentro del capítulo dedicado a las defraudaciones, que considera también reos de estafa a quienes, con ánimo de lucro, obstaculizan o interfieren indebidamente en el funcionamiento de un sistema de información, manipulan datos informáticos o se valen de cualquier otra manipulación informática o artificio semejante para conseguir una transferencia no consentida de un activo patrimonial en perjuicio de otro.

En términos prácticos, la estafa informática engloba conductas muy heterogéneas: desde el phishing bancario (suplantación de identidad de entidades financieras para capturar credenciales), hasta el fraude del CEO (suplantación de un directivo para ordenar transferencias), pasando por el vishing (fraude por llamada telefónica simulando ser el banco), el smishing (mensajes SMS fraudulentos), las compraventas fraudulentas en plataformas digitales, y el fraude mediante aplicaciones o malware que redirigen pagos.

La peculiaridad de esta modalidad no está únicamente en el medio técnico empleado: el art. 249 CP describe la conducta como la obtención de una transferencia no consentida de cualquier activo patrimonial mediante manipulación informática o artificio semejante, sin exigir expresamente el engaño bastante a una persona que sí describe el art. 248 CP. En muchas modalidades reales coexisten el engaño humano y la manipulación informática, lo que plantea cuestiones de calificación que se resuelven caso a caso.

El art. 249 CP contempla varias vías comisivas. La primera es la manipulación informática: obstaculizar o interferir indebidamente en el funcionamiento de un sistema de información, o introducir, alterar, borrar, transmitir o suprimir indebidamente datos informáticos. La segunda es la utilización de artificios semejantes, expresión deliberadamente amplia. El mismo artículo castiga además el uso fraudulento de tarjetas de crédito o débito, cheques de viaje u otros instrumentos de pago distintos del efectivo, o de los datos obrantes en ellos.

Los elementos estructurales del delito son:

• Acción de manipulación o artificio: intervención sobre el sistema de información, los datos informáticos o el proceso de tratamiento, o cualquier otra manipulación informática o artificio semejante (art. 249 CP).
• Resultado de transferencia patrimonial: debe conseguirse una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro.
• Ánimo de lucro: el autor actúa buscando un beneficio patrimonial, elemento que el art. 249 CP exige expresamente.
• Perjuicio ajeno: la transferencia se produce en perjuicio de otra persona.
• Nexo causal: la manipulación o el artificio deben ser la causa de la transferencia no consentida.

A diferencia de la estafa del art. 248 CP, que exige un engaño bastante para producir error en otro induciéndolo a realizar un acto de disposición, el art. 249 CP se construye sobre la transferencia no consentida obtenida por manipulación informática o artificio semejante, aunque en muchas conductas reales el engaño a la víctima también concurre (como en el phishing, donde la víctima introduce sus credenciales creyendo estar en un portal legítimo).

La estafa informática del art. 249 CP se castiga con prisión de seis meses a tres años. La misma pena se impone a quienes fabriquen, importen, posean, comercien o faciliten a terceros dispositivos, instrumentos, datos o programas informáticos diseñados o adaptados específicamente para cometer estas estafas, así como a quienes sustraigan, se apropien o adquieran ilícitamente tarjetas u otros instrumentos de pago para su utilización fraudulenta; se impone la pena en su mitad inferior a quienes poseen, adquieren, transfieren o distribuyen tales instrumentos sabiendo que fueron obtenidos ilícitamente.

También se consideran reos de estafa y serán castigados con la pena de prisión de seis meses a tres años: a) Los que, con ánimo de lucro, obstaculizando o interfiriendo indebidamente en el funcionamiento de un sistema de información o introduciendo, alterando, borrando, transmitiendo o suprimiendo indebidamente datos informáticos o valiéndose de cualquier otra manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro.

Art. 249 CP · Ley Orgánica 10/1995 · texto en el BOE

Tipos agravados: el art. 250 CP castiga la estafa con prisión de uno a seis años y multa de seis a doce meses cuando, entre otras circunstancias, el valor de la defraudación supere los 50.000 euros o afecte a un elevado número de personas, cuando revista especial gravedad atendiendo a la entidad del perjuicio y a la situación económica en que deje a la víctima o a su familia, cuando se perpetre abusando de firma de otro, cuando recaiga sobre cosas de primera necesidad o viviendas, o cuando se cometa con abuso de las relaciones personales entre víctima y defraudador o aprovechando su credibilidad empresarial o profesional.

Además de la responsabilidad penal, la ejecución del hecho obliga a reparar los daños y perjuicios causados, responsabilidad que comprende la restitución, la reparación del daño y la indemnización de perjuicios materiales y morales (arts. 109 y 110 CP), y de la que responden solidariamente autores y cómplices dentro de su respectiva clase (art. 116 CP). Es frecuente que en una misma causa se acumulen hechos de múltiples víctimas cometidos con el mismo modus operandi, lo que puede elevar la cuantía total y desencadenar las agravaciones del art. 250 CP.

La casuística de la estafa informática es especialmente rica y evoluciona con rapidez al compás de la tecnología. Las modalidades más frecuentes ante los tribunales españoles son:

Phishing: envío masivo de correos electrónicos que suplantan a entidades bancarias o servicios de pago, dirigiendo a la víctima a páginas web falsas donde introduce sus credenciales. El autor las emplea para realizar transferencias no autorizadas.

Vishing y smishing: variantes del phishing por voz telefónica y por SMS, respectivamente. En el vishing es habitual que un supuesto empleado de banco llame a la víctima alertándole de un cargo fraudulento y le solicite datos de seguridad o le induzca a autorizar una transferencia.

Fraude del CEO (Business Email Compromise, BEC): suplantación de un directivo de una empresa mediante correo electrónico manipulado para ordenar a empleados de administración transferencias urgentes a cuentas controladas por el defraudador.

Fraude en plataformas de compraventa: publicación de anuncios de bienes inexistentes en marketplaces, cobro del precio y no entrega, o al contrario, recepción de bienes y reversión fraudulenta del pago.

Malware y troyanos bancarios: software malicioso instalado en el dispositivo de la víctima que intercepta o redirige operaciones bancarias en tiempo real.

SIM swapping: duplicado fraudulento de la tarjeta SIM de la víctima para interceptar los SMS de autenticación y acceder a sus cuentas bancarias.

Criptofraudes: captación de inversiones en criptoactivos mediante plataformas falsas, modalidad con perfil propio y que tiene entrada específica en esta enciclopedia bajo la voz «estafa de inversión en criptomonedas».

El proceso penal por estafa informática sigue las reglas generales de la Ley de Enjuiciamiento Criminal, aunque presenta particularidades propias de la prueba digital.

Inicio: habitualmente mediante denuncia de la víctima ante la Policía Nacional, la Guardia Civil o directamente ante el órgano competente para la instrucción, que es la Sección de Instrucción del Tribunal de Instancia del partido en que el delito se hubiere cometido (Juzgado de Instrucción, art. 14 LECrim). Algunas víctimas optan por la querella para constituirse desde el inicio como acusación particular. Muchos casos se acumulan por unidad de investigación cuando se detecta un modus operandi común.

Instrucción: el órgano instructor dirige las diligencias de investigación, que suelen incluir solicitudes de información a entidades bancarias sobre los titulares de las cuentas de destino, petición a proveedores de servicios de internet de los datos de identificación vinculados a las IP utilizadas, registro de dispositivos electrónicos, intervención de comunicaciones en los casos y con los requisitos que la ley procesal establece, y peritajes forenses sobre los equipos incautados. Es frecuente la cooperación judicial internacional mediante comisiones rogatorias cuando los servidores o los autores se encuentran fuera de España.

Acusación y juicio oral: concluida la instrucción, si se abre juicio oral las partes formulan sus escritos de calificación. El procedimiento abreviado se aplica al enjuiciamiento de delitos castigados con pena privativa de libertad no superior a nueve años (art. 757 LECrim). El conocimiento y fallo corresponde a la Sección de lo Penal del Tribunal de Instancia cuando la ley señale pena privativa de libertad no superior a cinco años, y a la Audiencia Provincial en los demás casos (art. 14 LECrim). El procedimiento para el enjuiciamiento rápido se reserva a los supuestos del art. 795 LECrim, y el acusado puede prestar conformidad ante el juzgado de guardia en los términos del art. 801 LECrim, con reducción de un tercio de la pena solicitada.

La defensa en un caso de estafa informática puede estructurarse en varios planos, y la estrategia concreta depende de la posición procesal del cliente (investigado, acusado o víctima que ejerce acusación particular).

Desde la perspectiva del investigado/acusado, las líneas de defensa más habituales son:

• Falta de autoría: el mero titular de una cuenta bancaria receptora de fondos fraudulentos no es necesariamente el autor del fraude. Las denominadas «mulas de dinero» —personas que prestan o venden su cuenta sin conocer su uso ilícito— pueden verse investigadas como coautoras o cómplices. La defensa debe acreditar la ausencia de dolo o, en su caso, la concurrencia de un error invencible sobre un hecho constitutivo de la infracción, que excluye la responsabilidad criminal (art. 14 CP).
• Atipicidad de la conducta: verificar si la conducta concreta encaja en el tipo del art. 249 CP o si debe reconducirse a otro ámbito (un incumplimiento contractual civil, por ejemplo, cuando no hay manipulación informática ni artificio semejante sino mero incumplimiento de una obligación de entrega).
• Nulidad de la prueba digital: impugnar la cadena de custodia de los dispositivos electrónicos y la autenticidad de las capturas de pantalla aportadas como prueba.
• Dilaciones indebidas: la dilación extraordinaria e indebida en la tramitación del procedimiento, siempre que no sea atribuible al propio inculpado y no guarde proporción con la complejidad de la causa, es circunstancia atenuante (art. 21 CP).
• Reparación del daño: reparar el daño ocasionado a la víctima o disminuir sus efectos, en cualquier momento del procedimiento y con anterioridad a la celebración del juicio oral, es circunstancia atenuante (art. 21 CP); cuando concurre una sola atenuante, la pena se aplica en la mitad inferior de la que fije la ley (art. 66 CP).

Desde la perspectiva de la víctima, la acusación particular suele orientar la estrategia hacia la identificación completa de los partícipes (incluidas mulas y organizadores) y la traza completa del dinero para fundar la responsabilidad civil (arts. 109, 110 y 116 CP), así como el decomiso de los efectos y de las ganancias provenientes del delito (art. 127 CP).

Para víctimas:

• Tardanza en denunciar: cuanto antes se comunique la operación fraudulenta a la entidad bancaria y se presente denuncia, mayores son las posibilidades de rastrear el destino de los fondos antes de que sean retirados o retransferidos.
• Aportar capturas de pantalla sin verificar su valor probatorio: las imágenes de pantalla sin peritaje informático que acredite su autenticidad pueden ser impugnadas. Es aconsejable documentarlas de forma notarial o pericial desde el inicio.
• Creer que la denuncia garantiza la recuperación del dinero: el proceso penal persigue la condena del responsable; la recuperación económica depende de que exista patrimonio con el que hacer frente a la responsabilidad civil (art. 116 CP).

Para investigados:

• Declarar sin abogado o sin preparar la declaración: el derecho a no declarar, el derecho a no declarar contra sí mismo y el derecho a designar libremente abogado están expresamente reconocidos desde la atribución del hecho punible (arts. 118 y 520 LECrim).
• Consentir el acceso a los dispositivos sin asesoramiento previo: antes de tomar esa decisión conviene entrevistarse reservadamente con el abogado, posibilidad que la ley reconoce incluso antes de que se reciba declaración por la policía, el fiscal o la autoridad judicial (art. 520 LECrim).
• Asumir que ser mula de dinero es un hecho menor: la condición de mula no excluye automáticamente la responsabilidad penal; según el conocimiento y la participación puede apreciarse complicidad o coautoría.

Un abogado especialista colegiado que recibe un caso de estafa informática realiza en primer lugar una valoración de la posición procesal del cliente: si es víctima que busca reparación, si es investigado en una causa ya en marcha, o si es un empresario que ha sufrido un fraude corporativo y necesita articular simultáneamente la respuesta penal y la gestión del daño reputacional.

En los casos en que el cliente es víctima, el letrado prepara la denuncia o querella con el mayor detalle técnico posible (correos, capturas validadas, extractos bancarios y cualquier dato identificativo del defraudador) y orienta la reclamación de la responsabilidad civil derivada del delito, que comprende la restitución, la reparación del daño y la indemnización de perjuicios materiales y morales (arts. 109 y 110 CP).

Cuando el cliente es investigado, el penalista analiza la solidez de la prueba en su contra, identifica si existe riesgo real de condena y en qué margen penal, y diseña la estrategia de defensa: desde la impugnación de prueba digital obtenida irregularmente, hasta la negociación de una conformidad si los hechos están acreditados (art. 801 LECrim). La atenuación por reparación del daño (art. 21 CP) y la posible suspensión de la ejecución de la pena (art. 80 CP) son aspectos que se valoran de forma temprana para orientar al cliente sobre sus opciones reales.

En ambos casos, la pericia técnica en materia de evidencia digital es determinante: el abogado penalista debe conocer los fundamentos del peritaje informático forense para interrogar eficazmente a los peritos, tanto en instrucción como en el juicio oral, y para detectar deficiencias en la cadena de custodia que puedan afectar a la validez de la prueba. JBH coordina con letrados abogados especialistas colegiados con experiencia en delincuencia informática para que el cliente tenga la dirección técnica adecuada desde el primer momento.

La interpretación de «estafa informática» evoluciona con la doctrina de los tribunales. No reproducimos números de sentencia ni identificadores ECLI sin verificar: la jurisprudencia aplicable a un caso concreto debe localizarla y contrastarla un abogado colegiado en la fuente oficial. Puedes preparar tu estrategia de búsqueda en el CENDOJ con nuestro buscador de jurisprudencia asistido y validar cualquier referencia con el verificador de citas legales.

Sigue explorando

Información orientativa elaborada con fines divulgativos; no constituye asesoramiento jurídico ni crea relación profesional. Las referencias legales deben contrastarse con la normativa vigente (BOE) y la jurisprudencia con el CENDOJ. JBH es una plataforma de intermediación jurídica que coordina con abogados especialistas colegiados independientes; la dirección del caso corresponde siempre a un colegiado habilitado.