Tipus d'estafes bancàries per internet i com les castiga el Codi penal

Les estafes bancàries per mitjans electrònics s'han convertit en una de les formes de delinqüència més esteses. Tot i que les tècniques canvien constantment, gairebé totes persegueixen el mateix: obtenir les claus o les dades bancàries de la víctima, o convèncer-la perquè sigui ella qui faci una transferència. A continuació expliquem les modalitats més habituals i com es tracten des del punt de vista penal.

Què és una estafa segons el Codi penal?

El Codi penal (CP) defineix l'estafa com la conducta de qui, amb ànim de lucre, utilitza un engany suficient per produir error en un altre, induint-lo a fer un acte de disposició en perjudici propi o d'altri (article 248 CP).

Al costat d'aquesta estafa clàssica, el Codi penal considera també estafa aconseguir, amb ànim de lucre, una transferència no consentida de qualsevol actiu patrimonial mitjançant la interferència en un sistema d'informació, l'alteració de dades informàtiques o qualsevol altra manipulació informàtica o artifici semblant (article 249.1.a CP), així com utilitzar de forma fraudulenta targetes o altres instruments de pagament diferents de l'efectiu, o les dades que contenen, per fer operacions en perjudici del seu titular o d'un tercer (article 249.1.b CP).

Aquesta distinció és rellevant en les estafes bancàries:

• Si la víctima, enganyada, fa ella mateixa la transferència, els fets solen encaixar en l'estafa de l'article 248 CP.
• Si els autors obtenen les claus o les dades i operen directament amb el compte o la targeta de la víctima, els fets solen encaixar en l'article 249.1 CP.

Phishing

Consisteix en l'enviament massiu de correus electrònics que imiten la imatge d'una entitat bancària coneguda. El missatge adverteix d'un problema fictici al compte, com un bloqueig, un càrrec pendent o una actualització de seguretat, i inclou un enllaç a una pàgina web falsa dissenyada perquè la víctima hi introdueixi les seves claus.

Amb les claus obtingudes, els autors accedeixen a la banca digital i ordenen transferències o pagaments, cosa que normalment es qualifica com una transferència no consentida de l'article 249.1.a CP.

Smishing

És la mateixa tècnica, però a través de missatges de text (SMS). El missatge sembla que prové del banc i alerta, per exemple, d'un càrrec sospitós o de la necessitat d'actualitzar l'aplicació o una eina de signatura digital, amb un enllaç maliciós. De vegades, l'SMS fals apareix a la mateixa conversa que els missatges autèntics de l'entitat, perquè els autors suplanten el remitent.

El seu tractament penal és el mateix que el del phishing.

Vishing

Es tracta de trucades telefòniques en què l'autor es fa passar per un empleat del departament de seguretat del banc, de vegades des d'un número que aparenta ser l'oficial. Amb excuses d'urgència, com un suposat accés fraudulent al compte, convenç la víctima perquè li dicti les contrasenyes o els codis d'un sol ús que rep per SMS, o perquè traslladi els seus diners a un suposat «compte segur».

Des del punt de vista penal, la qualificació depèn de com es produeixi la disposició dels diners: si els autors operen amb els codis obtinguts, els fets solen encaixar en l'article 249.1.a CP; si és la mateixa víctima qui, enganyada, ordena la transferència, en l'estafa de l'article 248 CP.

SIM swapping o duplicat de la targeta SIM

L'autor enganya la companyia telefònica, fent-se passar pel titular de la línia, per obtenir un duplicat de la seva targeta SIM. A partir d'aquell moment controla la línia i rep els SMS que el banc envia per autoritzar operacions, cosa que li permet fer transferències des del compte de la víctima, les claus de la qual normalment ha obtingut abans mitjançant una altra tècnica.

Les transferències fetes així solen qualificar-se com a estafa de l'article 249.1.a CP. Segons com s'hagi obtingut el duplicat, hi poden concórrer a més altres delictes.

Pàgines mirall i pharming

Consisteix en la creació de llocs web pràcticament idèntics als d'un banc real. Els autors dirigeixen la víctima a aquestes pàgines mitjançant enllaços, anuncis patrocinats en cercadors o, en el cas del pharming en sentit estricte, manipulant la redirecció de la navegació, de manera que fins i tot escrivint l'adreça correcta s'accedeix a la web falsa. Al introduir l'usuari i la contrasenya, les dades queden capturades a l'instant.

Com en el phishing, les operacions posteriors amb aquestes claus solen encaixar en l'article 249.1.a CP.

Deepfakes de veu o de vídeo

És una de les modalitats més recents. Mitjançant intel·ligència artificial, els autors imiten la veu o la imatge d'un familiar o d'un directiu d'una empresa per demanar una transferència urgent o autoritzar un pagament, o per superar els processos de verificació d'identitat.

Quan la víctima, creient que parla amb aquella persona, fa la transferència, els fets poden constituir l'estafa de l'article 248 CP. Quan la falsificació s'utilitza per superar els sistemes de verificació i operar directament, poden encaixar en l'article 249.1.a CP.

Quines penes tenen aquestes estafes?

• Pena general: presó de sis mesos a tres anys. Per fixar-la es tenen en compte, entre altres factors, l'import defraudat, el perjudici econòmic causat i els mitjans emprats (articles 248 i 249.1 CP).
• Quanties de fins a 400 euros: en l'estafa de l'article 248 CP, si el que s'ha defraudat no supera aquesta xifra, la pena és de multa d'un a tres mesos, llevat que concorrin les circumstàncies previstes a la llei.
• Estafes agreujades: presó d'un a sis anys i multa de sis a dotze mesos quan, entre altres supòsits, la defraudació supera els 50.000 euros o afecta un nombre elevat de persones (article 250.1.5è CP); i presó de quatre a vuit anys quan supera els 250.000 euros (article 250.2 CP).

Qui pot respondre penalment?

No només qui enganya la víctima. El Codi penal castiga també els qui fabriquen, obtenen, posseeixen o faciliten a tercers programes, dispositius, dades o altres mitjans dissenyats o adaptats específicament per cometre aquestes estafes (article 249.2.a CP).

A més, aquestes estafes solen requerir comptes bancaris de tercers per rebre els diners i reenviar-los. Qui presta el seu compte per a això, sovint captat amb ofertes de treball o de diners fàcils, pot veure's investigat per estafa o per blanqueig de capitals, que es castiga fins i tot quan es comet per imprudència greu (article 301.3 CP). Si es troba en aquesta situació i el citen a declarar, és recomanable assessorar-se prèviament amb un advocat. Pot llegir més al nostre article sobre què significa ser citat com a investigat.