Abogados Penalistas en Ciberestafas y Phishing

La estafa informática del Art. 249 CP es el tipo penal especialmente diseñado por el legislador para sancionar las defraudaciones cometidas mediante manipulación tecnológica o ingeniería social digital. Castiga a quien con ánimo de lucro y valiéndose de alguna manipulación informática o artificio semejante consiguiera una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro. El bien jurídico protegido es el patrimonio, pero la especificidad del medio comisivo (técnicas de phishing, smishing, vishing, spoofing, malware bancario, BEC) ha obligado a desarrollar un cuerpo jurisprudencial específico sobre la idoneidad del engaño en entornos digitales. La jurisprudencia del Tribunal Supremo ha consolidado que la manipulación informática incluye tanto la alteración técnica de sistemas como las técnicas de ingeniería social mediadas por TIC, dado que la víctima es engañada por canales digitales aprovechando vulnerabilidades cognitivas estandarizadas. Esta página se centra en las modalidades de ciberestafa y en la actuación de la víctima; para el análisis del tipo penal (Art. 249.1.a) y la estrategia de defensa del investigado, vea estafa informática.

Las modalidades comisivas en el ciberfraude se han diversificado extraordinariamente en los últimos años. El phishing y sus variantes (smishing por SMS, vishing por voz) consisten en el envío masivo o dirigido de comunicaciones suplantando entidades de confianza (bancos, AEAT, plataformas de pago) para inducir a la víctima a entregar credenciales o autorizar movimientos. El spear phishing es la versión dirigida y personalizada, fundamental en el fraude al CEO o BEC (Business Email Compromise), donde los atacantes suplantan al consejero delegado o a un proveedor habitual mediante correos electrónicos clonados para ordenar transferencias urgentes a cuentas fraudulentas. El SIM swapping consiste en el duplicado fraudulento de la tarjeta SIM para interceptar los SMS de doble factor de autenticación y vaciar las cuentas bancarias. El uso fraudulento de Bizum mediante solicitudes de cobro disfrazadas de pagos, las estafas en marketplaces (Wallapop, Vinted, segunda mano) y la estafa del hijo en apuros por WhatsApp completan el cuadro de modalidades más frecuentes.

Las penas previstas son las de la estafa: prisión de 6 meses a 3 años en el tipo básico, prisión de 1 a 6 años y multa de 6 a 12 meses cuando concurra el agravante del Art. 250 CP (cuantía superior a 50.000 €, abuso de credibilidad empresarial, multitud de víctimas en delito masa), y prisión de 4 a 8 años en el tipo híper-agravado del Art. 250.2 cuando se superen los 250.000 €. La cooperación necesaria de quien actúa como mulero bancario —recibiendo y reenviando los fondos defraudados— se castiga con las mismas penas y suele concurrir con blanqueo de capitales del Art. 301 CP (prisión de 6 meses a 6 años). Las personas jurídicas titulares de los servicios de pago pueden responder por negligencia en sus deberes de diligencia conforme a la Ley 4/2020 de Servicios de Pago, lo que abre la reclamación civil al banco por las cantidades defraudadas cuando no se acrediten medidas de seguridad robustas o se omitan alertas antifraude exigibles.

La defensa técnica en estafa informática se construye sobre cuatro ejes consolidados. Primero, para la defensa del muleros bancario o cooperador acusado: acreditación del engaño previo y ausencia de dolo; los autores intelectuales suelen captar a los muleros mediante ofertas de empleo falsas ("agente financiero", "procesador de pagos"), lo que permite degradar la conducta de dolo directo a imprudencia o, en su caso, articular la atipicidad por error sobre el origen ilícito de los fondos. Segundo, para la defensa del directivo en supuestos de BEC: diligencia debida del empleado y sofisticación técnica del engaño; la acreditación de protocolos internos seguidos y de medidas de verificación razonables exonera de responsabilidad por administración desleal. Tercero, para la víctima frente al banco: reclamación civil ex Ley 4/2020 de Servicios de Pago, que invierte la carga de la prueba e impone al banco demostrar la negligencia grave del usuario; la jurisprudencia ha consolidado que la mera entrega de credenciales bajo engaño sofisticado no constituye negligencia grave. Cuarto, la identificación del autor material mediante peritaje forense informático, trazado de direcciones IP, análisis de cabeceras de correo y rastreo de flujos en exchanges.

En la práctica forense actual, las estafas informáticas son el delito patrimonial de mayor incremento estadístico en España, según los informes anuales de la Fiscalía General del Estado y del INCIBE. La Ley Orgánica 1/2025 de Eficiencia del Servicio Público de Justicia, la Ley 4/2020 de Servicios de Pago que traspone PSD2, la NIS2 sobre ciberseguridad y la jurisprudencia consolidada del TS y de las Audiencias Provinciales han fortalecido tanto los mecanismos de persecución como las garantías de la víctima. En Alonso Sala, con +15 años de experiencia en delitos económicos y un equipo multidisciplinar de abogados penalistas y peritos en ciberseguridad forense, asumimos las tres líneas de actuación principales: defensa técnica de muleros bancarios y empleados acusados en supuestos de BEC, articulación de la acusación particular para identificar al estafador, embargar los fondos y solicitar la cooperación judicial internacional, y reclamación civil al banco por negligencia en sus deberes de diligencia conforme a la normativa vigente.