Estafas Informáticas en Marbella

El phishing como estafa informática (art. 248.2.a CP): sin engaño ni error

El phishing —el envío de comunicaciones que suplantan a una entidad de confianza para obtener las claves de acceso bancario de la víctima— no encaja en la estafa tradicional del artículo 248.1 CP, que exige un engaño que provoque directamente en la víctima un error determinante de su propio acto de disposición patrimonial. La jurisprudencia ha precisado la naturaleza específica de esta figura:

"...cuando la conducta que desapodera a otro de forma no consentida de su patrimonio se realiza mediante manipulaciones del sistema informático... se incurre en la tipicidad del art. 248.2."

En el phishing bancario, la víctima no dispone conscientemente de su patrimonio: son los propios delincuentes quienes, una vez obtenidas las claves mediante el engaño inicial, acceden directamente a la cuenta y ordenan la transferencia no consentida. Esta distinción técnica —ausencia de acto de disposición voluntario por parte de la víctima— tiene consecuencias prácticas relevantes, entre ellas el régimen de responsabilidad cuasiobjetiva que la normativa europea de servicios de pago impone a las entidades bancarias, obligadas a reembolsar de inmediato las cantidades sustraídas salvo que acrediten negligencia grave del titular.

La figura del "mulero bancario": estafa, blanqueo o receptación

Una de las cuestiones más litigiosas en esta materia es la calificación jurídica de quien, captado mediante falsas ofertas de teletrabajo, facilita su cuenta bancaria para recibir el dinero sustraído y lo reenvía al extranjero a cambio de una comisión —el llamado "mulero" o "cibermulero"—. La jurisprudencia ha oscilado entre calificar esta conducta como cooperación necesaria en el delito de estafa informática, como receptación o como blanqueo de capitales, decantándose mayoritariamente por esta última figura, en su modalidad imprudente, cuando no se acredita el conocimiento cierto del origen delictivo del dinero pero sí una sospecha razonable derivada de las circunstancias:

"...al aceptar en su cuenta una cantidad que procedía de una actividad delictiva, y contribuir a ocultarla, transfiriéndola a una persona... incurre en un blanqueo por imprudencia grave."

Esta calificación conlleva una pena sensiblemente inferior a la de la estafa informática, extremo que trabajamos de forma sistemática en la defensa de quienes intervienen en el último eslabón de estas tramas sin conocimiento real del entramado delictivo completo. La ausencia total de indicio de sospecha —cuando la oferta de colaboración presentaba una apariencia razonablemente lícita— puede además excluir por completo la responsabilidad penal.

Clonación y uso fraudulento de tarjetas (art. 248.2.c CP)

El artículo 248.2.c) CP sanciona de forma autónoma a quienes, utilizando tarjetas de crédito o débito, cheques de viaje o los datos obrantes en cualquiera de ellos, realicen operaciones de cualquier clase en perjuicio de su titular o de un tercero. Esta figura resulta de aplicación tanto a la clonación física de la banda magnética o del chip de la tarjeta mediante dispositivos de skimming, como al uso de los datos obtenidos por otros medios —incluido el propio phishing— para realizar compras o disposiciones de efectivo sin consentimiento del titular. El Acuerdo del Pleno no jurisdiccional de la Sala Segunda del Tribunal Supremo de 28 de junio de 2002 confirmó la aplicación de esta figura con independencia de que el uso se produzca en cajeros automáticos, terminales de punto de venta o plataformas de comercio electrónico, siempre que concurra el conocimiento de la falta de autorización sobre los datos empleados.

Ransomware: entre el sabotaje informático y la ciberextorsión

El ransomware —el cifrado malicioso de los sistemas o archivos de una víctima con exigencia de un rescate para su liberación— no encuentra en el Código Penal un tipo específico, lo que obliga a una calificación jurídica compleja sobre la base de figuras ya existentes. El ataque en sí mismo —el cifrado o bloqueo de los datos— constituye un delito de daños informáticos del artículo 264 CP, agravado cuando cause daños de especial gravedad, afecte a un número elevado de sistemas o se ejecute mediante un programa específicamente diseñado al efecto conforme al artículo 264 ter CP; cuando el ataque se dirige a obstaculizar el funcionamiento del sistema en su conjunto, resulta de aplicación el artículo 264 bis CP. A ello se añade, en la medida en que el ataque se acompaña de la exigencia de un rescate económico bajo amenaza de no restituir el acceso a los datos —o, en su modalidad de "doble extorsión", de difundirlos públicamente si no se paga—, la posible concurrencia de un delito de extorsión del artículo 243 CP, en concurso medial con el delito de daños informáticos. La calificación de estos hechos como sabotaje informático, como estafa o como extorsión —cada una con su propio régimen penológico y procesal— depende del análisis técnico detallado de la mecánica exacta del ataque, extremo que abordamos con el apoyo de nuestros peritos informáticos forenses desde la primera diligencia.