Abogados Penalistas en Phishing y Estafas

Si acaba de descubrir cargos o transferencias que no ha autorizado, los primeros pasos condicionan tanto la investigación penal como la reclamación frente a su banco. Esta es la pauta que recomendamos seguir, por este orden:

1. Contacte de inmediato con su banco. Solicite el bloqueo de tarjetas y banca electrónica, comunique formalmente que se trata de operaciones de pago no autorizadas y pida que se intente la retrocesión de las transferencias. La normativa de servicios de pago (Real Decreto-ley 19/2018, que incorpora la Directiva PSD2) exige comunicar la operación no autorizada sin demora injustificada en cuanto se tenga conocimiento de ella: deje siempre constancia escrita y conserve el justificante de esa comunicación.
2. Conserve todas las evidencias. No borre nada: el SMS o correo recibido (a ser posible con sus cabeceras completas), la dirección de la web falsa, capturas de pantalla, justificantes de las operaciones, los números desde los que le llamaron y sus extractos bancarios. Si el dispositivo pudo quedar comprometido —instaló una aplicación o introdujo sus claves tras pulsar un enlace—, no lo restaure de fábrica sin valorar antes un peritaje informático.
3. Denuncie los hechos ante la Policía Nacional, la Guardia Civil o el juzgado de guardia, aportando toda la documentación anterior. La denuncia abre la vía penal contra los autores y contra los titulares de las cuentas de destino y, en la práctica, sustenta también la reclamación bancaria y, en su caso, la del seguro.
4. Reclame por escrito al banco la devolución. Conforme a la normativa de servicios de pago, la entidad debe devolver el importe de la operación no autorizada salvo que pruebe que el usuario actuó fraudulentamente o incumplió con negligencia grave sus deberes de custodia de las credenciales. Si rechaza la reclamación, quedan la vía del servicio de atención al cliente, la reclamación ante el supervisor bancario y, en último término, la demanda civil.
5. Valore personarse como acusación particular. Si la investigación identifica las cuentas receptoras y a sus titulares, la personación permite instar embargos y otras medidas cautelares y reclamar la responsabilidad civil dentro del propio proceso penal.

Seamos claros: ninguna de estas actuaciones asegura, por sí sola, la recuperación del dinero. El resultado depende de la rapidez de la reacción, del recorrido de los fondos (cuentas nacionales, extranjeras o conversión a criptoactivos) y de cómo se custodiaron las claves. Lo que sí está en su mano es preservar la prueba y activar a tiempo las tres vías —bancaria, penal y civil—; en eso trabajamos desde la primera llamada.

La estafa informática del art. 249.1.a) CP castiga a quienes, con ánimo de lucro, valiéndose de cualquier manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro. La pena depende, sobre todo, de la cuantía defraudada y de las circunstancias del art. 250 CP:

Dos precisiones relevantes en las campañas masivas. Primera: aunque cada cargo individual sea pequeño, si la estafa afecta a un elevado número de personas se aplica el art. 250.1.5.º CP, y la continuidad delictiva permite además acumular las cuantías. Segunda: en el fraude del CEO es habitual plantear el abuso de credibilidad empresarial o profesional (art. 250.1.6.º CP). A ello pueden sumarse, en concurso, el blanqueo de capitales del art. 301 CP por el movimiento posterior de los fondos y, según el caso, los delitos de falsedad o de acceso ilícito a sistemas informáticos.

El "mulero bancario" es quien recibe en su propia cuenta el dinero procedente del phishing y lo reenvía —a otras cuentas, al extranjero o convertido en criptoactivos—, habitualmente tras ser captado mediante una falsa oferta de teletrabajo. Su calificación penal es uno de los debates clásicos en esta materia, y la diferencia de pena según el título de imputación es enorme:

• Cooperación en la estafa (arts. 248 y 249.1.a CP). Si se prueba que conocía el plan defraudatorio y aportó su cuenta como eslabón imprescindible para consumar la transferencia, responde como cooperador necesario de la estafa: prisión de 6 meses a 3 años, o las penas superiores del art. 250 CP si concurre alguna agravante.
• Receptación (art. 298 CP). Si, sin haber intervenido en la estafa como autor ni cómplice, ayudó con ánimo de lucro a los responsables a aprovecharse de sus efectos conociendo la comisión del delito patrimonial previo: prisión de 6 meses a 2 años, con el límite de que la pena privativa de libertad nunca puede exceder de la señalada al delito encubierto (art. 298.3 CP).
• Blanqueo de capitales (art. 301 CP). Adquirir, poseer, utilizar o transmitir bienes sabiendo que proceden de una actividad delictiva se castiga con prisión de 6 meses a 6 años y multa del tanto al triplo del valor. Y, clave en la práctica, el blanqueo por imprudencia grave (art. 301.3 CP) —prisión de 6 meses a 2 años y multa— es la vía por la que se condena a muchos muleros cuando no se acredita que conocieran el origen ilícito, pero las circunstancias hacían exigible sospecharlo.

La jurisprudencia consolidada del Tribunal Supremo ha transitado por las tres calificaciones en función del grado de conocimiento probado en cada caso. Para la defensa, ello abre dos líneas principales: el error de tipo del art. 14 CP, cuando el cliente fue captado con una oferta de empleo aparentemente legítima y creía realizar un trabajo lícito, y la frontera entre imprudencia grave e imprudencia leve en el blanqueo, porque la imprudencia leve es atípica y conduce a la absolución.

En los procedimientos por phishing conviene vigilar tres relojes distintos:

• Prescripción del delito (art. 131 CP). La estafa informática básica prescribe a los 5 años, porque su pena máxima es de 3 años de prisión; la estafa agravada del art. 250 CP, a los 10 años; la estafa leve, al año. El blanqueo doloso prescribe a los 10 años y el imprudente, igual que la receptación básica, a los 5. En infracciones conexas o en concurso rige el plazo del delito más grave (art. 131.4 CP).
• Plazo de instrucción (art. 324 LECrim). La investigación judicial tiene un máximo de 12 meses desde la incoación, prorrogables mediante auto motivado por períodos sucesivos iguales o inferiores a 6 meses. Las diligencias acordadas dentro de plazo son válidas aunque se reciban después; las acordadas tras el vencimiento sin prórroga, no. En los phishing con cuentas en el extranjero o rastreo de criptoactivos las prórrogas son habituales, y tanto la defensa como la acusación particular deben controlar el calendario: la víctima, para instar a tiempo las diligencias que necesite; el investigado, para detectar diligencias extemporáneas.
• Comunicación al banco. La operación de pago no autorizada debe comunicarse sin demora injustificada desde que se conoce; la pasividad prolongada debilita la reclamación de devolución frente a la entidad.