En breve. Defensa penal y reclamación al banco por phishing y fraude bancario online: bloqueo de fondos, prueba digital y responsabilidad de la entidad.
Aquí no se defienden causas: se controlan consecuencias.
Defensa penal y reclamación a la entidad bancaria en casos de phishing, smishing, vishing y suplantación del número del banco: estafa informática del artículo 248.2 del Código Penal y devolución del importe no autorizado conforme al Real Decreto-ley 19/2018 de servicios de pago.
El fraude bancario online ya no se parece al correo mal traducido de hace diez años. Hoy el mensaje llega dentro del mismo hilo de mensajes cortos que utiliza la entidad, la llamada muestra en la pantalla el número real del banco gracias a la suplantación del identificador de llamada, y quien habla al otro lado conoce los últimos movimientos de la cuenta. La víctima no entrega su dinero: entrega una clave de un solo uso o valida una confirmación en la aplicación creyendo que está bloqueando un cargo. Esa conducta es, en el plano penal, el delito de estafa informática del artículo 248.2 del Código Penal, penado conforme al artículo 249, porque el patrimonio se desplaza mediante manipulación informática o artificio semejante y sin consentimiento válido del titular. Y en el plano contractual y administrativo abre una vía distinta y con frecuencia más rápida: la reclamación a la entidad por operación de pago no autorizada, en la que la carga de la prueba de la autenticación corresponde al proveedor de servicios de pago y la devolución solo se excluye si acredita fraude del usuario o negligencia grave. Ambas vías son compatibles y conviene abrirlas en paralelo, porque persiguen objetivos distintos: la penal identifica a los autores, bloquea los fondos y sostiene la responsabilidad civil derivada del delito; la de servicios de pago obliga a la entidad a devolver el importe salvo que demuestre lo contrario. Perder cualquiera de las dos por inactividad o por una notificación mal redactada es el error más caro que comete la víctima de un phishing.
Detrás de un cargo no reconocido suele haber una cadena de conductas punibles: la captación de credenciales, el acceso a la banca electrónica, el uso de datos de tarjeta, la suplantación de la identidad de la entidad y el reparto del dinero a través de cuentas puente. Cada eslabón tiene su propio precepto y su propia estrategia probatoria.
Castiga la transferencia no consentida de cualquier activo patrimonial conseguida mediante manipulación informática o artificio semejante. Es el tipo natural del phishing bancario, del fraude por suplantación en la aplicación y de las órdenes de pago introducidas con credenciales captadas.
Alcanza las operaciones realizadas en perjuicio del titular utilizando tarjetas de crédito o débito, cheques de viaje o cualquier otro instrumento de pago material o inmaterial obtenido de forma ilícita, incluidas las compras en comercio electrónico y las suscripciones recurrentes.
Impone prisión de seis meses a tres años cuando lo defraudado excede de cuatrocientos euros y multa de uno a tres meses cuando no lo supera. En las campañas con múltiples cargos sucesivos suele apreciarse continuidad delictiva sobre el importe total.
Eleva el marco punitivo cuando la defraudación supera los cincuenta mil euros, cuando afecta a un elevado número de personas, cuando recae sobre bienes de primera necesidad o cuando el autor se aprovecha de su credibilidad empresarial o profesional.
Sanciona de forma autónoma el acceso al conjunto o a una parte de un sistema informático vulnerando las medidas de seguridad, y también la interceptación de transmisiones no públicas de datos, conductas previas y necesarias en la mayoría de los fraudes de banca electrónica.
Cubre el apoderamiento de credenciales, mensajes y datos personales, así como su cesión o difusión a terceros. Las bases de datos de clientes que alimentan las campañas de phishing dirigido encajan de lleno en este precepto.
Reprime la falsificación de tarjetas de crédito o débito y de cheques de viaje, su tenencia destinada a la distribución y el uso en perjuicio de otro con conocimiento de la falsedad, incluida la clonación de bandas y la creación de tarjetas virtuales con datos captados.
Equipara al uso de documento falso el empleo de documentos auténticos por quien no está legitimado para utilizarlos, regla que resulta decisiva cuando el autor opera con documentación real de la víctima obtenida en la fase de captación de datos.
La usurpación del estado civil exige arrogarse la identidad completa de otra persona en el tráfico jurídico. En paralelo, quien recibe y reenvía el dinero defraudado responde por blanqueo de capitales, incluso en su modalidad imprudente por omisión grave de comprobación.
En el fraude bancario online la pena depende de la cuantía global, del número de perjudicados, del rol acreditado en la cadena y de la reparación del daño. Este cuadro reúne los preceptos que ordenan la respuesta penal y los elementos que el tribunal pondera en cada uno.
| Delito | Precepto | Marco de pena | Factor agravante clave |
|---|---|---|---|
| Estafa informáticaTransferencia no consentida por manipulación | Artículos 248.2 a) y 249.1 CP | Prisión de 6 meses a 3 años | Importe global y continuidad delictiva de los cargos |
| Estafa informática agravadaMás de 50.000 euros o multitud de perjudicados | Artículo 250.1 CP | Prisión de 1 a 6 años y multa de 6 a 12 meses | Alcance de la campaña y perjuicio acreditado |
| Acceso ilícito a sistemasEntrada en la banca electrónica ajena | Artículo 197 bis.1 CP | Prisión de 6 meses a 2 años | Vulneración efectiva de medidas de seguridad |
| Interceptación de datosCaptura de claves de un solo uso | Artículo 197 bis.2 CP | Prisión de 3 meses a 2 años o multa | Medio técnico empleado y carácter no público de la transmisión |
| Apoderamiento y cesión de datosBases de datos usadas en campañas dirigidas | Artículos 197.1 y 197.3 CP | Prisión de 1 a 4 años; difusión, de 2 a 5 años | Número de afectados y difusión posterior |
| Falsificación de tarjetasClonación y creación de tarjetas virtuales | Artículo 399 bis CP | Falsificación, de 4 a 8 años; uso, de 2 a 5 años | Fabricación frente a mero uso con conocimiento |
| Blanqueo dolosoCuenta receptora que reenvía los fondos | Artículo 301.1 CP | Prisión de 6 meses a 6 años y multa del tanto al triplo | Indicios de conocimiento del origen delictivo |
| Blanqueo imprudenteFalta grave del deber de comprobación | Artículo 301.3 CP | Prisión de 6 meses a 2 años y multa del tanto al triplo | Perfil del captado y advertencias recibidas de la entidad |
Marcos punitivos orientativos según el Código Penal vigente. No constituyen asesoramiento jurídico; la calificación y la pena exigen análisis individualizado de la causa.
Un caso de phishing se defiende en dos frentes simultáneos y con lenguajes distintos. En el penal hay que identificar la infraestructura del fraude, el destino del dinero y a quien lo recibió; en el de servicios de pago hay que desmontar la afirmación de que el cliente autorizó la operación. Las dos vías se apoyan en el mismo material probatorio: volcado pericial del terminal con cadena de custodia, análisis de las cabeceras del mensaje y del identificador de llamada suplantado, conservación de los registros mediante la orden judicial del artículo 588 octies de la Ley de Enjuiciamiento Criminal, requerimiento a los prestadores conforme al artículo 588 ter j, trazabilidad de las cuentas receptoras y solicitud de bloqueo y embargo por la vía de los artículos 589 y 764 de la misma ley. Ese material es también el que obliga a la entidad a exhibir sus registros de autenticación reforzada y el que convierte la reclamación en una posición defendible ante el Banco de España y, si es necesario, ante el juzgado civil.LIWARD Legal Intelligence Warfare for Defense—, nuestra metodología propia que integra inteligencia jurídica, analítica jurisprudencial, análisis financiero-contable y e-forensic en una sola estrategia procesal. Es lo que nos distingue de la defensa penal convencional.
Mapeo del procedimiento, análisis jurisprudencial y detección temprana de vulnerabilidades probatorias.
Reconstrucción de flujos económicos y peritaje de la documentación que sostiene —o desmonta— la acusación.
Cadena de custodia, validez de la prueba electrónica y trazabilidad de criptoactivos con rigor pericial.
Decisión precisa en cada fase, del primer interrogatorio a la casación, sostenida en el análisis del riesgo.
En el fraude bancario online el expediente se gana o se pierde en las primeras horas, y casi siempre por decisiones que la víctima toma sola, mientras todavía está en shock y hablando por teléfono con quien la está estafando.
Ninguna entidad pide validar un pago, introducir una clave de un solo uso ni instalar una aplicación de asistencia remota para bloquear un cargo. Cuelgue, llame usted al número que figura en el reverso de la tarjeta y no confirme absolutamente nada mientras dure el contacto entrante.
La reclamación por operación no autorizada exige una notificación sin demora indebida a la entidad. Hágala por escrito y con acuse de recibo, identificando cada operación, y consérvela: es el documento que fija la fecha y activa la obligación de devolución del importe.
El mensaje suplantado, la cabecera del correo, la dirección del sitio falso y el registro de la llamada son la prueba del artificio. Elimínelos y la entidad sostendrá que la operación fue autenticada correctamente. Conserve el terminal, no restaure el dispositivo y solicite un volcado pericial.
La entidad debe acreditar que la operación fue autenticada, registrada con exactitud y contabilizada, y no le basta con afirmar que se usaron las credenciales correctas. Exija los registros de autenticación, el detalle del segundo factor y la trazabilidad del dispositivo antes de dar por cerrado el asunto.
Asistencia inmediata 24/7, preparación de la declaración y control de las medidas cautelares desde el primer acto.
Estudio del expediente, peritaje financiero y digital, e identificación de la teoría del caso.
Diseño de la defensa o acusación, proposición probatoria y articulación de la prueba pericial.
Defensa en plenario y, en su caso, recursos de apelación, casación y amparo.
Particulares y autónomos con cargos, transferencias o préstamos no reconocidos tras recibir un mensaje o una llamada que suplantaba a su entidad bancaria.
Empresas afectadas por fraude del consejero delegado o por la alteración fraudulenta de las cuentas de pago en facturas remitidas por correo electrónico.
Personas investigadas por blanqueo de capitales tras haber recibido y reenviado desde su cuenta fondos procedentes de un fraude bancario.
Clientes cuya entidad ha rechazado la devolución alegando negligencia grave sin aportar los registros de autenticación de la operación.
Una conversación temprana puede cambiar el curso de todo el asunto. Hablemos antes de que el procedimiento decida por usted.
Société de Conseil Juridique et Expert es un despacho de abogados con sedes en Madrid, Alicante, Londres y París, especializado en defensa y acusación penal, delitos económicos y corporativos y derecho tecnológico. Trabajamos con orientación estratégica en procedimientos penales complejos, propiedad intelectual y análisis forense avanzado, y prestamos consultoría jurídica, compliance y escudos de protección a particulares y empresas. Atendemos desde Alicante y Madrid, con consulta online en toda España y asistencia al detenido 24 horas. Resuelva sus dudas en las preguntas frecuentes o solicite una primera consulta.
Copyright © 2026 Société de Conseil Juridique et Expert S.L.
