Abogado de Estafa Bancaria
Defensa penal en estafa bancaria online: phishing, pharming, SIM swapping, fraude con tarjetas y banca electrónica.
Última actualización:
La estafa bancaria por phishing (Art. 249 CP) es la modalidad de estafa informática que obtiene fraudulentamente las credenciales bancarias de la víctima para realizar transferencias, pagos o disposiciones no autorizadas. Con la digitalización de la banca, las variantes se han multiplicado: phishing (emails falsos), smishing (SMS falsos), vishing (llamadas telefónicas), pharming (web falsa que suplanta al banco), y SIM swapping (duplicado fraudulento de tarjeta SIM para interceptar códigos). Las penas oscilan entre 6 meses y 3 años de prisión (básica) y 1 a 6 años (agravada por cuantía superior a 50.000€).
Modalidades de Phishing Bancario
Las técnicas más utilizadas incluyen: phishing por email (comunicación que suplanta la identidad visual del banco con enlace a web clonada), smishing (SMS de alerta falsa: "Su cuenta ha sido bloqueada, verifique aquí"), vishing (llamada del supuesto departamento de fraude del banco solicitando claves), pharming (manipulación DNS para redirigir al usuario a una web falsa), man-in-the-middle (interceptación de la comunicación entre el usuario y el banco), y keyloggers/spyware instalados en el dispositivo de la víctima para capturar credenciales.
SIM Swapping
El SIM swapping consiste en obtener un duplicado de la tarjeta SIM de la víctima para interceptar los códigos de verificación SMS que los bancos envían como segundo factor de autenticación. El atacante contacte con la operadora de telefonía haciéndose pasar por el titular y solicita un duplicado. Una vez controla la SIM, puede recibir los códigos OTP y autorizar transferencias. El SIM swapping implica usurpación de identidad (Art. 401 CP) además de estafa informática.
Prueba Digital y Cadena de Custodia
La investigación del phishing requiere: análisis forense de dispositivos (emails, SMS y URLs visitadas), registros de conexión (logs) del banco y de los servidores del atacante, trazabilidad de las transferencias (beneficiarios, cuenta puente, extracciones en cajero), identificación de las mulas bancarias (personas que prestan sus cuenta para recibir fondos ilícitos a cambio de comisión), y análisis de la infraestructura técnica (servidores, dominios clonados, servicios VPN).
El Encaje Penal Exacto: la Estafa Informática del Art. 249.1.a CP
Cuando el dinero se sustrae manipulando un sistema informático —credenciales capturadas, una transferencia ordenada en banca online con datos robados, una sesión secuestrada— no estamos ante una estafa común por engaño a una persona, sino ante la modalidad específica de estafa informática. Tras la reforma operada por la Ley Orgánica 14/2022, esta conducta se ubica en el artículo 249.1.a del Código Penal: realizar, con ánimo de lucro y valiéndose de una manipulación informática o artificio semejante, una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro. Es un error citar el antiguo 248.2, hoy desplazado por la renumeración.
La distinción no es académica. En la estafa informática no se exige el engaño bastante a una persona física que caracteriza a la estafa clásica: basta la manipulación de la máquina o del proceso de datos. Esto tiene consecuencias prácticas en la defensa, porque la línea argumental sobre el engaño, la autopuesta en peligro de la víctima o su deber de autoprotección no opera igual. Identificar correctamente el tipo aplicable condiciona la pena, las posibles agravaciones por cuantía y la propia estrategia probatoria desde la primera declaración.
Concurso con Descubrimiento de Secretos y Blanqueo de Capitales
El phishing rara vez se agota en la transferencia patrimonial. Para capturar las credenciales el autor suele acceder de forma ilícita a datos reservados, lo que puede integrar un delito de descubrimiento y revelación de secretos del artículo 197 del Código Penal, en concurso con la estafa informática. La interceptación de mensajes, la suplantación de la identidad digital o el acceso no autorizado a cuentas pueden valorarse de forma autónoma según los hechos, y esa calificación adicional incide tanto en la pena como en la prescripción.
El segundo bloque de concurso es el blanqueo de capitales del artículo 301. El dinero defraudado se mueve a través de cuentas puente para borrar su rastro, y quien presta su cuenta para recibir y reenviar esos fondos —la llamada mula bancaria— puede responder por blanqueo. La defensa debe deslindar con rigor el papel de cada interviniente: no es lo mismo quien diseña y ejecuta el fraude que quien, sin conocimiento del origen delictivo, cede una cuenta. La calificación correcta del título de imputación y del grado de participación es decisiva.
La Posición de la Mula Bancaria: Dolo Eventual y Blanqueo Imprudente
La figura de la mula concentra muchas defensas en esta materia. La persona que cede su cuenta para recibir fondos y reenviarlos, a menudo captada con una falsa oferta de empleo o de teletrabajo, puede encontrarse imputada por blanqueo de capitales sin haber tenido contacto alguno con el fraude principal. La clave está en el elemento subjetivo: hay que examinar si conocía o, al menos, se representó como probable el origen ilícito del dinero y aun así actuó, lo que abriría la vía del dolo eventual.
El artículo 301 del Código Penal contempla además la modalidad imprudente de blanqueo, lo que obliga a analizar si concurrió una grave dejación de los deberes de cuidado exigibles o si, por el contrario, la persona fue genuinamente víctima de un engaño. La defensa explora indicios como la inmediatez del reenvío, la comisión percibida, la ausencia de relación previa con los remitentes o las advertencias razonablemente apreciables. Acreditar el desconocimiento del origen delictivo, o la ausencia de la negligencia grave que reclama el tipo imprudente, puede conducir a la exclusión de la responsabilidad penal.
Responsabilidad de la Entidad Bancaria y Devolución de Operaciones No Autorizadas
Junto a la vía penal existe una línea de reclamación frente a la entidad bancaria que conviene activar en paralelo. La normativa de servicios de pago —la Directiva PSD2, transpuesta en España por el Real Decreto-ley 19/2018— establece que, ante una operación de pago no autorizada por el usuario, la entidad debe, como regla general, devolver el importe y reponer la cuenta al estado anterior al cargo. La carga de probar que la operación fue autenticada y que no hubo fallo técnico recae sobre el proveedor del servicio de pago.
El banco solo queda exonerado si acredita que el cliente actuó de forma fraudulenta o con negligencia grave en la custodia de sus credenciales, valoración que debe hacerse caso por caso y no presumirse. Frente a técnicas sofisticadas de suplantación, la diligencia reforzada y los sistemas de autenticación reforzada de cliente exigibles a la entidad cobran especial relevancia. Documentar de inmediato la operación no reconocida, conservar las comunicaciones fraudulentas y formular la reclamación en plazo son pasos que sostienen tanto la devolución como la eventual acción civil derivada del proceso penal.
Fases del Proceso Penal y Prescripción del Delito
El procedimiento suele iniciarse con la denuncia y la fase de instrucción, en la que se recaban los datos de tráfico, los movimientos bancarios, la identificación de las cuentas de destino y la trazabilidad de los fondos. A esta fase sigue, en su caso, la apertura de juicio oral y el enjuiciamiento. La actuación temprana de la defensa —proponiendo diligencias, cuestionando la cadena de la prueba digital y delimitando la participación de cada persona— condiciona de forma determinante el resultado.
La prescripción se rige por el artículo 131 del Código Penal y depende de la calificación. Conviene recordar que, tras la Ley Orgánica 5/2010, ya no existe el antiguo tramo de tres años. La estafa informática del artículo 249.1.a, castigada con prisión de seis meses a tres años, es delito menos grave y prescribe a los cinco años. La estafa agravada del artículo 250.1, con prisión de uno a seis años, supera los cinco años de pena máxima y prescribe a los diez años; lo mismo ocurre con la hiperagravada del artículo 250.2, castigada con prisión de cuatro a ocho años. La estafa leve del artículo 248.3, reservada a cuantías iguales o inferiores a 400 euros y castigada con multa de uno a tres meses, es delito leve y prescribe al año.
Penas y Consecuencias: Estafa Bancaria
| Tipo / Supuesto | Consecuencia Penal |
|---|---|
| Estafa informática (Art. 249 CP) | Prisión 6 meses a 3 años (cuantía ≠50.000€). |
| Estafa agravada (Art. 250 CP) | Prisión 1 a 6 años si supera 50.000€ o afecta a muchas víctimas. |
| Usurpación de identidad | Pena adicional de prisión 6 meses a 3 años (Art. 401 CP) si hay SIM swapping. |
* Las penas indicadas son orientativas. La pena concreta depende de las circunstancias del caso, atenuantes y agravantes aplicables.
Estrategia de Defensa: Estafa Bancaria
Mula Involuntaria
Demostrar que el acusado fue utilizado como mula bancaria sin conocimiento del origen ilícito de los fondos.
Error de Tipo
Acreditar que el acusado desconocía que estaba participando en una operación de phishing.
Prueba Técnica
Cuestionar la identificación del acusado cuando la evidencia digital es insuficiente o la cadena de custodia es defectuosa.
Guía de Defensa en Delitos contra el Patrimonio: Estrategia y Penas
Los delitos contra el patrimonio y el orden socioeconómico se regulan en el Título XIII del Código Penal (Arts. 234-304 CP). Son los delitos más frecuentes en los juzgados españoles y abarcan desde el hurto leve hasta la estafa millonaria. La diferencia entre una absolución y años de prisión depende, con frecuencia, de un solo elemento típico: la cuantía, el método empleado o la existencia de antecedentes penales.
Cuadro Comparativo de Penas: Hurto, Robo y Estafa
| Delito | Artículo CP | Elemento Clave | Pena Base |
|---|---|---|---|
| Hurto leve | Art. 234.2 | <400€, sin fuerza | Multa 1-3 meses |
| Hurto | Art. 234.1 | >400€, sin fuerza | 6 meses – 18 meses |
| Hurto agravado (235 CP) | Art. 235 | Objeto especial / multi-reincidencia | 1 – 3 años |
| Robo con fuerza | Art. 240 | Palanca, ganzúa, puerta forzada | 1 – 3 años |
| Robo con violencia | Art. 242 | Intimidación o violencia directa | 2 – 5 años |
| Estafa | Art. 249 | Engaño + perjuicio económico | 6 meses – 3 años |
| Receptación | Art. 298 | Conocimiento del origen ilícito | 6 meses – 2 años |
Claves de la Defensa Penal en Delitos Patrimoniales
Impugnar el animus lucrandi
Acreditar que no existía intención de lucro — clave en imputaciones de hurto entre conocidos o disputas de propiedad.
Cuestionar la valoración del objeto
La diferencia entre 399€ y 400€ supone pasar de delito leve (multa) a delito menos grave (hasta 18 meses). La pericial de tasación es estratégica.
Acreditar consentimiento previo
En hurtos entre personas relacionadas, demostrar que el acusado creía tener derecho sobre el objeto es una defensa eficaz.
Análisis de antecedentes (multirreincidencia)
El Art. 235.7 CP agrava el hurto cuando hay más de dos condenas previas. Impugnar el cómputo correcto de antecedentes es esencial.
Cadena de custodia (receptación)
Si el fiscal no prueba que el acusado sabía el origen ilícito del bien, no hay delito de receptación. Exigir la prueba del 'conocimiento'.
Error de tipo en estafa (Art. 14 CP)
En fraudes comerciales, demostrar que el acusado creía sinceramente en la veracidad de sus representaciones elimina el dolo y por tanto el delito.
⚡ Tiempo Crítico: Conservación de Pruebas
En delitos patrimoniales, las evidencias digitales — cámaras de seguridad, geolocalización del móvil, logs de cajero — se sobreescriben habitualmente en 30 días. Contacte con abogado especialista inmediatamente tras la detención o la citación para preservar pruebas de descargo.
¿Por Qué Elegirnos?
¿Necesita un abogado penalista para este tipo de delito? Así trabajamos:
¿Necesita Asistencia Legal Especializada?
El sistema judicial es complejo. Contamos con la especialización penal y los recursos técnicos necesarios para asumir la defensa.