Abogado de Suplantación de Identidad Online: Penas y Defensa

La denuncia suele presentarse en comisaría o ante una unidad especializada en delincuencia tecnológica y da lugar a diligencias previas en un Juzgado de Instrucción. Antes de que a usted se le cite, la instrucción avanza sin que lo sepa: se oficia a la plataforma para identificar la cuenta, se pide a la operadora la titularidad de la dirección IP con autorización judicial y se reclaman los contratos o registros de las empresas afectadas. Cuando llega la cédula de citación como investigado ya existe, por tanto, un cuerpo documental formado. Desde ese momento el art. 118 LECrim le reconoce el derecho de defensa y a conocer los hechos que se le atribuyen, y la comparecencia se rige por el art. 775 LECrim. No es un supuesto de juicio rápido: la prueba es documental y pericial, y la instrucción se alarga. La detención es excepcional; sí puede acordarse la retirada cautelar de perfiles o el bloqueo de cuentas.

Lo decisivo es cómo se califiquen los hechos, porque bajo la etiqueta de suplantación conviven tipos muy distintos. El art. 401 CP castiga con prisión de seis meses a tres años la usurpación del estado civil ajeno, que la jurisprudencia entiende como asumir de forma global la personalidad de una persona real para ejercer sus derechos: un perfil con nombre inventado, o incluso uno claramente paródico, no encaja sin más en ese tipo. Si la identidad ajena se usó para obtener dinero, el terreno es el de la estafa del art. 248 CP, con prisión de seis meses a tres años, o el de la estafa informática del art. 249.1.a CP, con la misma pena, cuando se logra una transferencia no consentida mediante manipulación informática. El acceso a cuentas ajenas vulnerando sus medidas de seguridad es el art. 197 bis.1 CP, con prisión de seis meses a dos años, y el apoderamiento o la difusión de datos reservados puede llevar al art. 197 CP, con penas superiores. El enjuiciamiento corresponde al Juzgado de lo Penal en todos estos marcos.

• No declare sin abogado de su confianza. El art. 520 LECrim le reconoce el derecho a guardar silencio, a no declarar contra sí mismo y a no confesarse culpable, y a entrevistarse reservadamente con su letrado antes de declarar. No entregue contraseñas ni desbloquee dispositivos sin asesoramiento previo.
• No contacte con la persona denunciante ni con los testigos, ni le escriba para pedirle que retire la denuncia. Tampoco borre el perfil ni le pida a un tercero que lo haga: además de destruir prueba, esa gestión se lee como reconocimiento de la autoría.
• Reúna la documentación propia de este delito: el contrato y las facturas de su operadora, con la dirección IP asignada en las fechas relevantes; el listado de personas que usaban su red inalámbrica y sus dispositivos; los registros de inicio de sesión y de dispositivos vinculados que las propias plataformas permiten descargar; los correos de verificación y avisos de acceso; y, si se le atribuye una contratación, el contrato, el número de cuenta de destino y cualquier justificante de que en ese momento usted estaba en otro lugar o con otro terminal.
• No borre cuentas, mensajes ni historiales de navegación. El borrado se interpreta como indicio, es normalmente recuperable desde los servidores del propio servicio y elimina justo aquello que puede probar el carácter ficticio o satírico del perfil, o que la cuenta la manejaba otra persona.
• Separe el perfil falso del uso lucrativo de la identidad. Son dos escenarios con salidas jurídicas distintas: un perfil que no asume de forma global la identidad de una persona real y del que no deriva perjuicio difícilmente integra el art. 401 CP, mientras que usar los datos de alguien para contratar servicios o mover dinero traslada el caso a la estafa. Reconstruya con fechas qué se publicó, qué se contrató y desde dónde.

La suplantación de identidad online es una categoría delictiva en rápida expansión que se reconduce a varios tipos del Código Penal según la conducta concreta: usurpación de estado civil (Art. 401 CP), estafa informática (Arts. 248-250 CP), acceso ilícito a sistemas (Art. 197 bis CP), descubrimiento y revelación de secretos (Art. 197 CP), falsedad documental (Arts. 390-399 CP) y, en su caso, delitos contra el honor (Arts. 205-216 CP). La jurisprudencia consolidada del Tribunal Supremo ha precisado los contornos del Art. 401 CP: exige usurpación efectiva del estado civil ajeno con intención y aptitud para producir un perjuicio o beneficio espurio, no la mera utilización ocasional de un nombre. Como abogados penalistas especialistas en ciberdelitos, ofrecemos defensa del acusado y acusación particular de la víctima con peritaje forense informático especializado.

Modalidades Típicas

Las modalidades típicas son diversas y se sofistican constantemente. La creación de perfiles falsos en redes sociales usando nombre, fotografías y datos de la víctima real para hacerse pasar por ella en Instagram, Facebook, LinkedIn, X o TikTok. El catfishing en aplicaciones de citas (Tinder, Bumble, Grindr) mediante identidades inventadas o robadas. El fraude de identidad financiero: solicitud de préstamos rápidos, microcréditos, cuentas bancarias, líneas de crédito o tarjetas con documentación robada de la víctima. La contratación de servicios (telefonía, energía, alquileres, vehículos) a nombre de terceros. El SIM swapping para tomar el control del número telefónico y vulnerar mecanismos 2FA. La suplantación corporativa mediante typosquatting de dominios, webs clonadas, emails spoofed y deepfakes de directivos. Y el doxing con suplantación: publicación de datos personales de la víctima junto con cuentas falsas para acosarla.

Penas según la Calificación

Las penas dependen del tipo aplicable. La usurpación de estado civil del Art. 401 CP conlleva prisión de 6 meses a 3 años. Si la suplantación se utiliza para cometer estafa informática (Arts. 248-250 CP), las penas se elevan a 1-6 años de prisión y multa; cuando concurre organización o grupo criminal, hasta 8 años. La falsedad documental (Arts. 392 CP en documento oficial/mercantil) conlleva prisión de 6 meses a 3 años y multa. El acceso ilícito a cuentas (Art. 197 bis CP) sanciona con 6 meses a 2 años. En concurso real, las penas se acumulan, alcanzando frecuentemente cifras superiores a los 6 años de prisión efectiva. A las penas privativas se añaden responsabilidad civil por daño moral y patrimonial (incluyendo retirada de contenido, pago de servicios contratados fraudulentamente, reparación reputacional) y, en supuestos corporativos, responsabilidad penal de la persona jurídica instrumental (Art. 31 bis CP).

¿Cuándo Prescribe la Suplantación de Identidad? (Art. 401 CP)

La usurpación de estado civil del Art. 401 CP (prisión de 6 meses a 3 años, ya citada más arriba) es delito menos grave y prescribe a los 5 años, por la regla general del Art. 131 CP. Si el hecho concurre en concurso con estafa informática (Arts. 248-250 CP, pena de 1 a 6 años ya expuesta en el apartado de penas), el plazo de prescripción también sube a 10 años, al superar los 5 años de pena máxima.

Defensa y Acusación Particular

La defensa técnica y la estrategia de acusación particular articulan varios ejes. Cuando representamos a la víctima de suplantación, ejecutamos medidas cautelares urgentes: requerimiento judicial de retirada de contenido a la plataforma —que el juzgado puede dictar en 24-48h en casos flagrantes— al amparo del Art. 13.2 LSSI y RGPD UE 2016/679; identificación del suplantador mediante requerimiento a Meta, Google, X, ByteDance, Microsoft o ISPs; congelación cautelar de cuentas bancarias fraudulentas; bloqueo de líneas de crédito abiertas a nombre del cliente; y articulación de querella criminal con acusación particular. Cuando defendemos al investigado, articulamos la atipicidad del perfil ficticio que no usurpa identidad real, la parodia o sátira con cobertura del derecho a la libertad de expresión (Art. 20 CE), el error de tipo sobre la titularidad de las credenciales o documentos utilizados, y la impugnación pericial de la atribución forense de IP, dispositivo y autoría material.

Práctica Forense Actual

En la práctica forense actual observamos un crecimiento exponencial de procedimientos por suplantación de identidad online, especialmente vinculados a fraudes financieros con suplantación documental, SIM swapping para vaciar wallets de criptomonedas, deepfakes corporativos en operaciones de CEO-fraud, catfishing romántico con derivación a estafa de inversión cripto, y suplantación de directivos en redes sociales profesionales. El Reglamento UE eIDAS2 (2024/1183) sobre identidad digital europea, el RGPD UE 2016/679, la Ley Orgánica 3/2018 de Protección de Datos, el Reglamento DSA UE 2022/2065 sobre Servicios Digitales y la Ley Orgánica 1/2025 de Eficiencia del Servicio Público de Justicia han transformado el marco regulatorio. En Alonso Sala, abordamos cada expediente con peritos forenses informáticos certificados, gestión coordinada con plataformas y autoridades, y articulación procesal urgente.