Phishing y suplantación bancaria

El término phishing —adaptación fonética del inglés fishing, pescar— describe el conjunto de técnicas por las que un autor se hace pasar por una entidad legítima (banco, Agencia Tributaria, correo electrónico corporativo, plataforma de pagos) para capturar datos personales, credenciales de acceso o fondos de sus víctimas. En la práctica judicial española, el phishing no es un tipo penal autónomo: se encuadra sistemáticamente dentro de la estafa o, con más precisión técnica, de la estafa informática del art. 249 CP, que castiga a quienes, con ánimo de lucro y valiéndose de cualquier manipulación informática o artificio semejante, consiguen una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro.

La suplantación bancaria es la modalidad más frecuente y socialmente dañina. El modus operandi clásico combina un correo electrónico, SMS (smishing) o llamada telefónica (vishing) que imita con fidelidad la imagen corporativa de la entidad financiera, redirigiendo a la víctima hacia una página web clon donde introduce sus claves de banca electrónica. Con esas credenciales, el autor —o una red organizada de intermediarios llamados _muleros bancarios_— vacía cuentas, contrata créditos o realiza transferencias al extranjero.

Desde la perspectiva de la víctima, la confusión es total: el dominio del sitio falso difiere del original en un solo carácter, el diseño es idéntico, y en ocasiones llegan incluso mensajes SMS que aparecen en el mismo hilo que los legítimos del banco. Esta sofisticación tiene relevancia jurídica, porque el art. 248 CP exige que el engaño sea «bastante» para producir error en otro e inducirlo a realizar un acto de disposición.

Para apreciar estafa informática por phishing deben concurrir los elementos propios de la estafa del art. 248 CP más la especificidad informática que describe el art. 249.1.a) CP:

1. Engaño bastante. El art. 248 CP exige un engaño «bastante» para producir error en otro. En el phishing, la calidad técnica de la suplantación es determinante para valorar si ese requisito concurre.

2. Error en la víctima. La víctima debe creer, a causa del engaño, que está introduciendo sus datos en el entorno legítimo de su banco. La confusión ha de ser consecuencia directa del artificio del autor.

3. Acto de disposición patrimonial. La víctima transfiere fondos, facilita claves que permiten transferirlos, o autoriza operaciones que no habría autorizado de conocer la realidad. En la modalidad del art. 249.1.a) CP, el resultado es una transferencia no consentida de un activo patrimonial obtenida mediante manipulación informática o artificio semejante.

4. Ánimo de lucro y perjuicio ajeno. El art. 248 CP exige que el autor actúe con ánimo de lucro y que el acto de disposición se produzca en perjuicio propio o ajeno.

5. Nexo causal. El error debe ser consecuencia del engaño y el acto de disposición consecuencia del error, tal y como exige la definición del art. 248 CP. La ruptura de esa cadena impide apreciar el tipo.

Cuando el autor, además de obtener las credenciales, borra, daña, altera o hace inaccesibles datos o programas informáticos ajenos, pueden concurrir los daños informáticos del art. 264 CP, cuya pena se impone en su mitad superior si los hechos se cometen mediante la utilización ilícita de datos personales de otra persona para ganarse la confianza de un tercero; la facilitación a terceros de programas o contraseñas concebidos para cometer esos delitos se castiga en el art. 264 ter CP. Si se interceptan telecomunicaciones o se accede sin autorización a datos reservados, entra en juego el art. 197 CP (descubrimiento y revelación de secretos).

El art. 249.1.a) CP castiga la estafa informática con pena de prisión de seis meses a tres años, la misma que el art. 248 CP prevé para la estafa. Con idéntica pena se castiga, conforme al art. 249.2 CP, a quienes fabriquen, obtengan o faciliten a terceros dispositivos, instrumentos, datos o programas informáticos diseñados o adaptados específicamente para cometer estas estafas. En el phishing bancario es frecuente, sin embargo, que concurran circunstancias del art. 250 CP:

1. También se consideran reos de estafa y serán castigados con la pena de prisión de seis meses a tres años: a) Los que, con ánimo de lucro, obstaculizando o interfiriendo indebidamente en el funcionamiento de un sistema de información o introduciendo, alterando, borrando, transmitiendo o suprimiendo indebidamente datos informáticos o valiéndose de cualquier otra manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro.

Art. 249 CP · Ley Orgánica 10/1995 · texto en el BOE

• Cuantía de la defraudación o pluralidad de perjudicados. El art. 250.1.5.º CP se aplica cuando el valor de la defraudación supere los 50.000 euros o afecte a un elevado número de personas, supuesto habitual en las campañas masivas de phishing.
• Especial gravedad. El art. 250.1.4.º CP atiende a la entidad del perjuicio y a la situación económica en que quede la víctima o su familia.
• Abuso de firma de otro. El art. 250.1.2.º CP contempla que la estafa se perpetre abusando de firma de otro. El uso fraudulento de tarjetas u otros instrumentos de pago, o de los datos obrantes en ellos, se castiga en el art. 249.1.b) CP.
• Organización criminal. No es una circunstancia del art. 250 CP. El art. 570 bis CP castiga con prisión de cuatro a ocho años a quienes promuevan, constituyan, organicen, coordinen o dirijan una organización criminal cuya finalidad sea la comisión de delitos graves, y con prisión de tres a seis años en los demás casos; quienes participen activamente en ella o cooperen de cualquier modo son castigados con prisión de dos a cinco años si su fin es la comisión de delitos graves y de uno a tres años en los demás casos.

Las circunstancias del art. 250.1 CP elevan la pena a prisión de uno a seis años y multa de seis a doce meses. Si concurren los numerales 4.º, 5.º, 6.º o 7.º con el numeral 1.º, o si el valor de la defraudación supera los 250.000 euros, el art. 250.2 CP impone prisión de cuatro a ocho años y multa de doce a veinticuatro meses.

2. Si concurrieran las circunstancias incluidas en los numerales 4.º, 5.º, 6.º o 7.º con la del numeral 1.º del apartado anterior, se impondrán las penas de prisión de cuatro a ocho años y multa de doce a veinticuatro meses. La misma pena se impondrá cuando el valor de la defraudación supere los 250.000 euros.

Art. 250 CP · Ley Orgánica 10/1995 · texto en el BOE

Los muleros bancarios —personas que prestan sus cuentas para recibir y reenviar fondos— pueden ser investigados por su intervención en los hechos; su responsabilidad dependerá, entre otros factores, de lo que conocieran sobre el origen de los fondos, con el alcance que el art. 14 CP da al error sobre el hecho y sobre la ilicitud.

Además de la pena privativa de libertad, la ejecución del hecho obliga a reparar los daños y perjuicios causados (art. 109 CP), responsabilidad que comprende la restitución, la reparación del daño y la indemnización de perjuicios materiales y morales (art. 110 CP) y que alcanza a toda persona criminalmente responsable (art. 116 CP). Toda pena impuesta por delito doloso lleva consigo la pérdida de los efectos, bienes, medios o instrumentos y de las ganancias provenientes del delito (art. 127 CP).

Denuncia e inicio de la investigación. El procedimiento arranca habitualmente con una denuncia de la víctima ante la Policía Nacional (Unidad de Investigación Tecnológica, UIT) o la Guardia Civil (Grupo de Delitos Telemáticos, GDT), o directamente ante el juzgado de instrucción. Es aconsejable denunciar con la mayor urgencia posible para favorecer el rastreo de las transferencias.

Instrucción judicial. La instrucción de la causa corresponde a la Sección de Instrucción del Tribunal de Instancia del partido en que el delito se hubiere cometido (art. 14 LECrim). Durante esta fase se practican diligencias dirigidas a identificar a los titulares de las cuentas destinatarias, a obtener datos de conexión y registros técnicos y, cuando el juez las autoriza, las medidas de investigación tecnológica que procedan, entre ellas la intervención de comunicaciones y el examen de dispositivos electrónicos. Desde que se le comunica la existencia del procedimiento, la persona investigada puede ejercer su derecho de defensa e intervenir en las actuaciones (art. 118 LECrim).

Fase intermedia y juicio oral. Concluida la instrucción, el Ministerio Fiscal y, en su caso, la acusación particular formulan sus escritos de acusación. El procedimiento abreviado se aplica al enjuiciamiento de los delitos castigados con pena privativa de libertad no superior a nueve años (art. 757 LECrim). El enjuiciamiento corresponde a la Sección de lo Penal del Tribunal de Instancia cuando la ley señale al delito pena privativa de libertad no superior a cinco años y, en los demás casos, a la Audiencia Provincial o a la Sala de lo Penal de la Audiencia Nacional (art. 14 LECrim).

Ejecución. La sentencia condenatoria fija la pena, la responsabilidad civil (arts. 109 y 110 CP) y, en su caso, el decomiso de los efectos, instrumentos y ganancias del delito (art. 127 CP).

La defensa penal en estos procesos es técnicamente exigente, tanto en la fase de instrucción como en el juicio oral. Un penalista colegiado con experiencia en ciberdelincuencia valorará, entre otras, las siguientes líneas:

Impugnación de la cadena de custodia digital. La defensa puede cuestionar la regularidad de la recogida, el etiquetado y la conservación de las evidencias informáticas —capturas de tráfico de red, registros de acceso, contenido de dispositivos incautados— y, cuando proceda, instar la nulidad de la prueba ilícita.

Cuestionamiento de la atribución. Una dirección IP o una cuenta bancaria no equivale automáticamente a una persona física. La defensa puede acreditar que el dispositivo fue utilizado por terceros, que la cuenta fue cedida bajo coerción o engaño (caso frecuente del mulero bancario que desconoce la ilicitud), o que los metadatos no permiten una atribución inequívoca.

Ausencia de dolo o error. En el caso de los muleros bancarios, es habitual alegar que el acusado prestó su cuenta creyendo participar en un trabajo legítimo de gestión de pagos internacionales, sin conocer que los fondos procedían de un fraude. Conforme al art. 14 CP, el error invencible sobre un hecho constitutivo de la infracción excluye la responsabilidad criminal y el error invencible sobre la ilicitud del hecho también la excluye; si este último es vencible, se aplica la pena inferior en uno o dos grados.

Atenuantes. El art. 21 CP prevé como atenuantes la confesión de la infracción a las autoridades antes de conocer que el procedimiento judicial se dirige contra el culpable, la reparación del daño ocasionado a la víctima o la disminución de sus efectos en cualquier momento del procedimiento y antes del juicio oral, y la dilación extraordinaria e indebida en la tramitación del procedimiento no atribuible al inculpado.

Error de la víctima: no denunciar o tardar en hacerlo. Cada hora que transcurre entre el fraude y la denuncia reduce las posibilidades de rastreo y recuperación de los fondos. La víctima debe denunciar cuanto antes y notificar la incidencia a su entidad.

Error del investigado: declarar sin asistencia letrada. Quien es citado como investigado por phishing —incluyendo quien haya prestado su cuenta— puede ejercer su derecho a no declarar: el art. 118 LECrim reconoce el derecho a guardar silencio, a no declarar contra sí mismo y a designar libremente abogado, y el art. 520 LECrim recoge esos mismos derechos para el detenido, que puede entrevistarse reservadamente con su abogado incluso antes de declarar.

Error del investigado: confundir la responsabilidad del mulero con la de quien diseñó el fraude. Quien presta su cuenta tiende a pensar que, al no haber ideado el fraude, su responsabilidad es mínima. La calificación de su conducta y el alcance del error que invoque se examinan conforme al art. 14 CP, por lo que minimizar la situación y no buscar asesoramiento penal desde el primer momento es un error de consecuencias graves.

Error procesal: no recabar prueba pericial privada. La pericial de parte aportada por la defensa —análisis forense independiente del dispositivo del acusado, informe de tráfico de red— puede ser decisiva. Renunciar a ella por coste o desconocimiento debilita notablemente la posición defensiva.

Un abogado especialista colegiado con experiencia en ciberdelincuencia actúa en dos planos simultáneos: el penal propiamente dicho y la dimensión reparatoria, que en estos delitos es tan relevante como la propia condena (arts. 109 y 110 CP).

Desde el primer momento —denuncia, citación o detención— el letrado orienta a su cliente sobre qué información aportar y cómo presentar la denuncia. Si el cliente es investigado, le informa sobre el alcance de los derechos del art. 118 LECrim, entre ellos el derecho a guardar silencio y a examinar las actuaciones antes de que se le tome declaración, y diseña la estrategia procesal antes de cualquier manifestación ante la autoridad.

Durante la instrucción, el penalista colegiado controla la legalidad de las diligencias de investigación —especialmente el registro de dispositivos electrónicos y la intervención de comunicaciones—, propone diligencias de descargo y, cuando procede, encarga a peritos informáticos forenses de parte un análisis independiente de la evidencia digital. También valora la procedencia de las medidas cautelares personales que se soliciten, cuyos requisitos y fines regula el art. 503 LECrim.

En la fase de juicio oral, el letrado articula la prueba de descargo, impugna las periciales de la acusación con contrainterrogatorio técnico y, si la estrategia lo permite, valora la conformidad: el art. 801 LECrim la admite ante el juzgado de guardia cuando los hechos se califiquen como delito castigado con pena de hasta tres años de prisión y la pena solicitada, reducida en un tercio, no supere los dos años de prisión, y permite resolver en el mismo acto sobre su suspensión, que el art. 80 CP contempla para penas privativas de libertad no superiores a dos años.

Para buscar un abogado especialista colegiado con experiencia en delitos informáticos, JBH coordina con profesionales especializados en esta área que pueden hacerse cargo de la dirección jurídica del asunto con plenas garantías deontológicas.

La interpretación de «phishing y suplantación bancaria» evoluciona con la doctrina de los tribunales. No reproducimos números de sentencia ni identificadores ECLI sin verificar: la jurisprudencia aplicable a un caso concreto debe localizarla y contrastarla un abogado colegiado en la fuente oficial. Puedes preparar tu estrategia de búsqueda en el CENDOJ con nuestro buscador de jurisprudencia asistido y validar cualquier referencia con el verificador de citas legales.

Sigue explorando

Información orientativa elaborada con fines divulgativos; no constituye asesoramiento jurídico ni crea relación profesional. Las referencias legales deben contrastarse con la normativa vigente (BOE) y la jurisprudencia con el CENDOJ. JBH es una plataforma de intermediación jurídica que coordina con abogados especialistas colegiados independientes; la dirección del caso corresponde siempre a un colegiado habilitado.