Tipos de estafas bancarias por internet y cómo las castiga el Código Penal

Las estafas bancarias por medios electrónicos se han convertido en una de las formas de delincuencia más extendidas. Aunque las técnicas cambian constantemente, casi todas persiguen lo mismo: obtener las claves o los datos bancarios de la víctima, o convencerla para que realice ella misma una transferencia. A continuación explicamos las modalidades más habituales y cómo se tratan desde el punto de vista penal.

¿Qué es una estafa según el Código Penal?

El Código Penal (CP) define la estafa como la conducta de quien, con ánimo de lucro, utiliza un engaño bastante para producir error en otro, induciéndolo a realizar un acto de disposición en perjuicio propio o ajeno (artículo 248 CP).

Junto a esta estafa clásica, el Código Penal considera también estafa conseguir, con ánimo de lucro, una transferencia no consentida de cualquier activo patrimonial mediante la interferencia en un sistema de información, la alteración de datos informáticos o cualquier otra manipulación informática o artificio semejante (artículo 249.1.a CP), así como utilizar de forma fraudulenta tarjetas u otros instrumentos de pago distintos del efectivo, o los datos que contienen, para realizar operaciones en perjuicio de su titular o de un tercero (artículo 249.1.b CP).

Esta distinción es relevante en las estafas bancarias:

• Si la víctima, engañada, realiza ella misma la transferencia, los hechos suelen encajar en la estafa del artículo 248 CP.
• Si los autores obtienen las claves o los datos y operan directamente con la cuenta o la tarjeta de la víctima, los hechos suelen encajar en el artículo 249.1 CP.

Phishing

Consiste en el envío masivo de correos electrónicos que imitan la imagen de una entidad bancaria conocida. El mensaje advierte de un problema ficticio en la cuenta, como un bloqueo, un cargo pendiente o una actualización de seguridad, e incluye un enlace a una página web falsa diseñada para que la víctima introduzca sus claves.

Con las claves obtenidas, los autores acceden a la banca digital y ordenan transferencias o pagos, lo que normalmente se califica como una transferencia no consentida del artículo 249.1.a CP.

Smishing

Es la misma técnica, pero a través de mensajes de texto (SMS). El mensaje parece proceder del banco y alerta, por ejemplo, de un cargo sospechoso o de la necesidad de actualizar la aplicación o una herramienta de firma digital, con un enlace malicioso. En ocasiones, el SMS falso aparece en la misma conversación que los mensajes auténticos de la entidad, porque los autores suplantan el remitente.

Su tratamiento penal es el mismo que el del phishing.

Vishing

Se trata de llamadas telefónicas en las que el autor se hace pasar por un empleado del departamento de seguridad del banco, a veces desde un número que aparenta ser el oficial. Con excusas de urgencia, como un supuesto acceso fraudulento a la cuenta, convence a la víctima para que le dicte sus contraseñas o los códigos de un solo uso que recibe por SMS, o para que traslade su dinero a una supuesta «cuenta segura».

Desde el punto de vista penal, la calificación depende de cómo se produzca la disposición del dinero: si los autores operan con los códigos obtenidos, los hechos suelen encajar en el artículo 249.1.a CP; si es la propia víctima quien, engañada, ordena la transferencia, en la estafa del artículo 248 CP.

SIM swapping o duplicado de la tarjeta SIM

El autor engaña a la compañía telefónica, haciéndose pasar por el titular de la línea, para obtener un duplicado de su tarjeta SIM. A partir de ese momento controla la línea y recibe los SMS que el banco envía para autorizar operaciones, lo que le permite realizar transferencias desde la cuenta de la víctima, cuyas claves normalmente ha obtenido antes mediante otra técnica.

Las transferencias realizadas así suelen calificarse como estafa del artículo 249.1.a CP. Según cómo se haya obtenido el duplicado, pueden concurrir además otros delitos.

Páginas espejo y pharming

Consiste en la creación de sitios web prácticamente idénticos a los de un banco real. Los autores dirigen a la víctima a esas páginas mediante enlaces, anuncios patrocinados en buscadores o, en el caso del pharming en sentido estricto, manipulando la redirección de la navegación, de modo que incluso escribiendo la dirección correcta se accede a la web falsa. Al introducir el usuario y la contraseña, los datos quedan capturados al instante.

Como en el phishing, las operaciones posteriores con esas claves suelen encajar en el artículo 249.1.a CP.

Deepfakes de voz o de vídeo

Es una de las modalidades más recientes. Mediante inteligencia artificial, los autores imitan la voz o la imagen de un familiar o de un directivo de una empresa para pedir una transferencia urgente o autorizar un pago, o para superar los procesos de verificación de identidad.

Cuando la víctima, creyendo hablar con esa persona, realiza la transferencia, los hechos pueden constituir la estafa del artículo 248 CP. Cuando la falsificación se utiliza para superar los sistemas de verificación y operar directamente, pueden encajar en el artículo 249.1.a CP.

¿Qué penas tienen estas estafas?

• Pena general: prisión de seis meses a tres años. Para fijarla se tienen en cuenta, entre otros factores, el importe defraudado, el perjuicio económico causado y los medios empleados (artículos 248 y 249.1 CP).
• Cuantías de hasta 400 euros: en la estafa del artículo 248 CP, si lo defraudado no supera esa cifra, la pena es de multa de uno a tres meses, salvo que concurran las circunstancias previstas en la ley.
• Estafas agravadas: prisión de uno a seis años y multa de seis a doce meses cuando, entre otros supuestos, la defraudación supera los 50.000 euros o afecta a un elevado número de personas (artículo 250.1.5.º CP); y prisión de cuatro a ocho años cuando supera los 250.000 euros (artículo 250.2 CP).

¿Quién puede responder penalmente?

No solo quien engaña a la víctima. El Código Penal castiga también a quienes fabrican, obtienen, poseen o facilitan a terceros programas, dispositivos, datos u otros medios diseñados o adaptados específicamente para cometer estas estafas (artículo 249.2.a CP).

Además, estas estafas suelen requerir cuentas bancarias de terceros para recibir el dinero y reenviarlo. Quien presta su cuenta para ello, a menudo captado con ofertas de trabajo o de dinero fácil, puede verse investigado por estafa o por blanqueo de capitales, que se castiga incluso cuando se comete por imprudencia grave (artículo 301.3 CP). Si se encuentra en esta situación y le citan a declarar, resulta recomendable asesorarse previamente con un abogado. Puede leer más en nuestro artículo sobre qué significa ser citado como investigado.