Estafa online: cómo actuar si le acusan (o si le han estafado)

Las estafas digitales han crecido de forma constante en los últimos años: phishing, falsas inversiones, suplantación de identidad, fraudes con tarjetas, ventas fantasma en marketplaces, fraude del CEO en empresas. La ley las trata con la misma severidad que una estafa tradicional — y, en ciertos supuestos, con penas más altas, además de la posible responsabilidad de la propia empresa cuando el fraude se organiza a través de una persona jurídica.

Qué es exactamente la estafa según el Código Penal

El artículo 248.1 CP define la estafa como el engaño bastante para producir error en otra persona, induciéndola a realizar un acto de disposición patrimonial en perjuicio propio o ajeno, con ánimo de lucro. Tres elementos deben concurrir para que exista delito: (1) un engaño idóneo para inducir a error, (2) un error que provoca en la víctima un acto de disposición patrimonial, y (3) un perjuicio económico causado por ese acto. La estafa informática (art. 248.1, letra a) amplía expresamente esta figura a la manipulación de sistemas informáticos para conseguir una transferencia no consentida, y el art. 248.1 letra b castiga el uso fraudulento de tarjetas de crédito o débito, cheques de viaje o los datos de estos instrumentos.

Estafa clásica, estafa informática y delitos de "hacking": dónde está la frontera

No toda estafa online implica un delito informático en sentido estricto. La estafa "clásica" —también en su versión digital, como el phishing o el falso comprador— exige un engaño dirigido a una persona: alguien es inducido a error y, por ese error, realiza voluntariamente un acto de disposición patrimonial. El art. 248.1 CP cubre este supuesto general. La estafa informática (art. 248.1, letra a, CP) es distinta en su estructura: no hay un ser humano engañado, sino una manipulación informática o artificio semejante que consigue una transferencia no consentida de activos patrimoniales en perjuicio de un tercero — por ejemplo, quien accede sin autorización a una cuenta y ordena directamente una transferencia, sin que la víctima haya sido inducida a hacer nada. Distinto de ambas es el conjunto de delitos informáticos "puros" que protegen la integridad de los sistemas o el secreto de las comunicaciones: el acceso ilícito a sistemas de información (art. 197 bis CP) y los daños informáticos (art. 264 CP y siguientes), que sancionan borrar, dañar, deteriorar, alterar, suprimir o hacer inaccesibles datos, programas o sistemas informáticos ajenos sin autorización. Cuando un mismo hecho combina un acceso no autorizado a un sistema con la posterior sustracción patrimonial mediante manipulación informática, es habitual que ambos delitos concurran, debiendo valorarse en cada caso si se trata de un concurso de delitos o si un tipo absorbe al otro.

Esta distinción no es solo teórica: tiene consecuencias prácticas relevantes tanto para la acusación como para la defensa. En primer lugar, condiciona qué debe probarse — en la estafa "clásica" el foco de la investigación está en el mensaje engañoso y en cómo indujo a la víctima a actuar, mientras que en la estafa informática el foco está en el sistema, el registro de accesos y la trazabilidad técnica de la operación. En segundo lugar, cuando participan varias personas —por ejemplo, quien diseña el fraude y quien recluta "mulas bancarias" para recibir y reenviar el dinero—, la calificación jurídica exacta de la conducta de cada interviniente (autor, cooperador necesario, cómplice) puede variar en función de si se le imputa haber engañado directamente a la víctima o haber facilitado la manipulación informática o el blanqueo posterior de los fondos, lo que hace especialmente recomendable un análisis individualizado de cada caso.

Las penas previstas por la ley

Datos contrastados con el texto vigente del Código Penal (BOE). Para fijar la pena dentro de cada horquilla se atiende al importe defraudado, el quebranto causado a la víctima, la relación entre autor y víctima y los medios empleados.

Cómo se organizan hoy las estafas digitales más habituales

• Phishing / smishing: mensajes o correos que suplantan a un banco, empresa de paquetería u organismo público para obtener credenciales o datos de pago.
• Falsas inversiones (criptomonedas, forex, "trading"): plataformas que simulan rendimientos y bloquean después la retirada del capital.
• Fraude del CEO / "business email compromise": suplantación del correo de un directivo para ordenar una transferencia urgente a un empleado con acceso a las cuentas.
• Estafas en marketplaces: venta de productos que nunca se envían, o cobro anticipado por servicios que no se prestan.
• Suplantación de identidad: apertura de cuentas, líneas de crédito o contratos a nombre de la víctima usando datos robados.

Nuevas modalidades de estafa online

Además de las ya descritas (phishing/smishing, falsas plataformas de inversión, fraude del CEO, marketplaces, suplantación de identidad), conviene conocer otras variantes cada vez más frecuentes:

• Vishing: variante telefónica del phishing, en la que el estafador llama simulando ser el banco, la Policía o el servicio técnico de un operador, y usa la conversación en tiempo real para obtener claves, códigos de verificación por SMS o inducir a instalar una aplicación de control remoto.
• Estafa romántica o "romance scam": el autor construye durante semanas o meses una relación sentimental a través de redes sociales o apps de citas con un perfil falso, y una vez generada la confianza, solicita el envío de dinero por una supuesta emergencia o inversión conjunta.
• Falso soporte técnico: avisos emergentes o llamadas de un supuesto técnico que consigue acceso remoto al equipo y roba datos bancarios o cobra por un "servicio" inexistente.
• Criptoestafas del tipo "rug pull": los propios creadores de un token retiran de golpe toda la liquidez del mercado una vez captado el capital de los inversores, dejando el activo sin valor.
• SIM swapping: el estafador, tras obtener datos personales previamente mediante phishing, consigue que el operador emita un duplicado de la tarjeta SIM de la víctima, interceptando así los SMS de verificación bancaria.
• Falso comprador en marketplaces de segunda mano: el supuesto comprador envía un enlace de pago falso que captura los datos de la tarjeta del vendedor.

Todas estas modalidades, en la medida en que exista un engaño idóneo dirigido a una persona que provoca un acto de disposición patrimonial, se subsumen en el tipo básico de estafa ya explicado; cuando el fraude consiste en la manipulación directa de un sistema informático sin intervención engañosa sobre una persona, puede entrar en juego la estafa informática, en concurso, según el caso, con los delitos de descubrimiento y revelación de secretos o daños informáticos.

Lo que comparten casi todas estas variantes es un mismo patrón: el estafador necesita generar confianza o urgencia suficiente para que la víctima baje la guardia en un momento muy concreto — al recibir una llamada inesperada, al conocer a alguien en una aplicación de citas, al ver una notificación de "solo quedan unidades" o de "actividad sospechosa detectada". Identificar ese patrón (petición de datos o dinero fuera de los canales habituales, presión temporal, resistencia a una videollamada o a un encuentro presencial) suele ser más útil, en la práctica, que memorizar el nombre técnico de cada modalidad, precisamente porque estas técnicas evolucionan constantemente y conviven variantes nuevas con adaptaciones de fraudes ya conocidos.

Desde el punto de vista jurídico, además, la calificación penal de estas nuevas modalidades no depende de su nombre coloquial ni de la tecnología concreta empleada, sino de si concurren los elementos ya descritos del tipo de estafa (o, en su caso, de la estafa informática): un vishing que induce a la víctima a facilitar un código de verificación se analiza, a efectos penales, de forma muy similar a un phishing por correo electrónico; una "romance scam" se examina bajo los mismos parámetros que cualquier otro engaño sentimental o afectivo dirigido a obtener un desplazamiento patrimonial. Esto tiene una consecuencia práctica importante: no es necesario que exista jurisprudencia específica sobre cada nueva variante de fraude para que los hechos puedan y deban denunciarse — basta con que, analizados los hechos concretos, se aprecien el engaño, el error y el acto de disposición patrimonial (o, en su caso, la manipulación informática) que la ley exige.

Si le investigan por una posible estafa

• Conserve todos los mensajes, contratos y comprobantes de las transacciones cuestionadas — también los que le parezcan poco relevantes.
• No devuelva dinero ni acepte condiciones bajo presión sin consultarlo antes con su abogado — un pago o acuerdo precipitado puede interpretarse como reconocimiento de los hechos.
• Explique el contexto completo a su abogado, incluidas las comunicaciones previas con la otra parte — la intención (el "engaño bastante") es el elemento clave que decide si hay delito o, simplemente, un incumplimiento contractual civil que no debería ni haber llegado a la vía penal.
• Recuerde que no todo impago o negocio fallido es estafa: la frontera entre un incumplimiento civil y un delito está precisamente en si hubo o no engaño desde el principio.

Si ha sido víctima de una estafa online

• Guarde capturas de pantalla, cabeceras de correo completas, números de cuenta, IBAN y cualquier rastro digital antes de que desaparezca o se elimine.
• Presente denuncia lo antes posible — cuanto antes se actúe, más margen hay para que el banco bloquee la transferencia o para identificar al responsable a través de las diligencias de investigación.
• Contacte con su entidad bancaria de forma inmediata para solicitar la retención o devolución de los fondos si la operación fue no consentida o fraudulenta.
• No borre la aplicación, el perfil o la conversación con el presunto estafador: es la prueba principal del caso, aunque le resulte incómodo conservarla.
• Valore la personación como acusación particular en el procedimiento penal, que le permite intervenir activamente y reclamar la responsabilidad civil derivada del delito (devolución de lo defraudado).

Procedimiento práctico: cómo denunciar y qué pruebas conservar

La denuncia por estafa online puede presentarse de forma presencial en cualquier comisaría de Policía Nacional o cuartel de la Guardia Civil (no es necesario acudir a la comisaría "de la zona" del hecho, dado lo expuesto sobre competencia territorial), a través de los canales electrónicos disponibles para determinados hechos sin autor conocido, o directamente ante el Juzgado de Guardia. En estafas de cierta complejidad —criptoestafas, fraude del CEO, esquemas con múltiples intermediarios— suele ser recomendable acompañar la denuncia de una relación cronológica y documentada de los hechos preparada con ayuda de un abogado.

Entre las pruebas que conviene preservar desde el primer momento:

• Los metadatos de los correos electrónicos (cabeceras completas, no solo el texto visible, que permiten rastrear la IP y el servidor de origen).
• El histórico completo de movimientos bancarios relacionados con la operación (no solo el justificante de la transferencia).
• Los números de cuenta o IBAN de destino.
• Capturas del perfil o anuncio del presunto estafador antes de que pueda eliminarlo.
• Cualquier comunicación por WhatsApp, SMS o redes sociales exportada en su formato original (no solo fotografiada) para preservar su valor probatorio.

Un error frecuente es esperar a "tener todas las pruebas ordenadas" antes de denunciar. En la práctica es preferible presentar la denuncia cuanto antes —aunque sea con la documentación incompleta— e ir aportando después, mediante escritos complementarios, el resto del material probatorio a medida que se recopila. La razón es que muchas actuaciones urgentes (como solicitar a la entidad bancaria la retención de fondos o pedir a una plataforma la conservación de sus registros internos) dependen de que exista ya un procedimiento abierto al que dirigirse, y ese tipo de gestiones pierden eficacia con el paso de los días. Contar con asistencia letrada desde el primer momento ayuda a decidir qué diligencias de investigación solicitar (oficios a entidades bancarias, a operadoras de telecomunicaciones, a plataformas de mensajería) y en qué orden, evitando que se pierda información que, pasado cierto tiempo, las propias empresas dejan de conservar.

Conviene además distinguir la denuncia penal de otras gestiones que, aunque útiles, no la sustituyen: comunicar el fraude a la entidad bancaria, reportar el perfil o el anuncio a la plataforma correspondiente, o presentar una reclamación ante el servicio de atención al cliente son pasos que pueden ayudar a contener el daño o a recabar información, pero solo la denuncia ante la Policía, la Guardia Civil o el propio juzgado abre un procedimiento penal capaz de investigar al autor, solicitar medidas cautelares y, en su caso, dar lugar a una condena y a una indemnización.

Competencia territorial: dónde denunciar cuando el estafador está en otra ciudad o país

Una duda muy frecuente: qué juzgado es competente cuando la víctima está en una ciudad y el presunto autor —o la infraestructura usada— está en otra, o en otro país. El art. 14 LECrim atribuye la instrucción al juzgado del partido judicial donde se hayan cometido los hechos, repartiendo la competencia de enjuiciamiento entre el Juzgado de lo Penal y la Audiencia Provincial (o la Audiencia Nacional en los supuestos de su competencia) según la pena.

Cuando —como ocurre a menudo en una estafa cometida por internet— no se sabe con precisión dónde se cometió el delito, entra en juego el art. 15 LECrim, que establece un orden de prelación de fueros subsidiarios: primero, el juez del término municipal donde se hayan descubierto pruebas materiales del delito; en su defecto, el del lugar donde el presunto reo haya sido detenido; en su defecto, el de su residencia; y, en último término, cualquier juez que hubiese tenido noticia del delito. Si posteriormente se determina el verdadero lugar de comisión, el juzgado que venía instruyendo debe inhibirse a favor del competente. En la práctica, la víctima de una estafa online puede —y en general debe— presentar la denuncia en su propio domicilio o donde tuvo noticia del fraude, sin que la incertidumbre sobre la ubicación del estafador sea un obstáculo para iniciar el procedimiento.

Esta regla tiene especial importancia cuando el fraude se ha cometido a través de internet, porque la propia naturaleza del delito dificulta saber, en el momento de denunciar, desde qué localidad o incluso desde qué país ha actuado realmente el autor: una página web puede estar alojada en un servidor situado en cualquier parte del mundo, una llamada puede enmascararse con un número aparentemente nacional, y las cuentas bancarias utilizadas para recibir el dinero —las llamadas cuentas "mula"— suelen pertenecer a personas ajenas al fraude que han cedido sus datos, muchas veces sin ser plenamente conscientes de su papel en la operación. Nada de esto debe disuadir a la víctima de denunciar de inmediato: son precisamente las diligencias de investigación posteriores —no la víctima— las que deben esclarecer dónde y por quién se cometió realmente el delito, y el juzgado que reciba la denuncia inicial es quien decide, conforme a las reglas de competencia expuestas, si debe seguir instruyendo o remitir las actuaciones al juzgado que corresponda.

Recuperar el dinero: responsabilidad civil y embargo cautelar

Más allá de la vía penal, la víctima de una estafa online tiene a su disposición la responsabilidad civil derivada del delito, que le permite reclamar dentro del propio procedimiento penal —sin necesidad de un pleito civil aparte— la restitución de lo defraudado, la reparación del daño y la indemnización de los perjuicios causados. Esta reclamación puede ir acompañada de la solicitud de medidas cautelares reales, como el embargo preventivo de los bienes o cuentas del investigado, precisamente para evitar que, cuando llegue la sentencia, no quede patrimonio contra el que ejecutarla.

Conviene tener expectativas realistas sobre esta vía: el embargo cautelar no es automático ni se concede solo por el hecho de haber presentado la denuncia, sino que debe solicitarse de forma motivada, acreditando indicios suficientes y, normalmente, identificando o al menos aproximando qué bienes o cuentas se pretende asegurar — de ahí la importancia de que la investigación avance con rapidez y de que la víctima aporte cuanta información tenga sobre el destino del dinero (números de cuenta, entidades bancarias, plataformas de criptomonedas utilizadas). La responsabilidad civil derivada del delito, por su parte, se fija en la sentencia y puede dirigirse no solo contra el autor material, sino también contra otras personas que hayan participado en el fraude o se hayan beneficiado de él, en los términos que en cada caso determine el tribunal; y su ejecución, una vez firme la sentencia, sigue las reglas generales de ejecución de resoluciones judiciales, de manera que haber asegurado bienes con carácter cautelar durante la instrucción resulta determinante para que esa condena a devolver el dinero no se quede en un simple papel.

Preguntas frecuentes

¿Es lo mismo un impago que una estafa?

No. Si alguien contrata un servicio o compra un producto de buena fe y después no puede pagar, es un incumplimiento contractual que se resuelve en la vía civil. Solo hay estafa penal si desde el principio existió engaño con intención de no cumplir.

¿Puedo recuperar el dinero aunque no se identifique al autor?

La recuperación depende en gran medida de la rapidez de la denuncia y de la colaboración de la entidad bancaria — cuanto antes se actúe, mayor es la probabilidad de bloquear la transferencia antes de que el dinero salga del sistema financiero.

¿La estafa online se persigue igual si el autor está en otro país?

La investigación se complica cuando el autor opera desde el extranjero, pero eso no impide la denuncia ni la investigación — existen mecanismos de cooperación judicial internacional, y en muchos casos parte de la infraestructura (cuentas "mula", intermediarios) se encuentra en España.

¿En qué comisaría o juzgado debo denunciar si el estafador vive en otra ciudad o no sé dónde está?

Puede denunciar en su propio domicilio o en el lugar donde tuvo conocimiento del fraude. La Ley de Enjuiciamiento Criminal (art. 15) prevé reglas de competencia subsidiaria para cuando se desconoce el lugar de comisión del delito, empezando por el lugar donde se descubran pruebas materiales del hecho.

¿Es lo mismo la estafa informática que un delito de hacking?

No. La estafa informática (art. 248.1.a CP) protege el patrimonio y exige una manipulación de un sistema para lograr una transferencia no consentida; los delitos de acceso ilícito o daños informáticos protegen la integridad de los sistemas y pueden concurrir con la estafa cuando ambos hechos se dan conjuntamente.

¿Puedo pedir que se embarguen los bienes del estafador antes de que haya sentencia?

Sí, dentro del procedimiento penal es posible solicitar medidas cautelares reales, como el embargo preventivo de bienes o cuentas del investigado, para asegurar que exista patrimonio suficiente si finalmente se le condena a devolver lo defraudado.

¿Qué es el vishing y en qué se diferencia del phishing?

El vishing es la variante telefónica del phishing: el estafador llama simulando ser el banco, la Policía o un servicio técnico, y aprovecha la conversación en tiempo real para obtener claves o códigos de verificación, en vez de hacerlo por correo electrónico o SMS.

¿Qué pruebas debo conservar si he sido víctima de una estafa online?

Los metadatos completos de correos electrónicos, el histórico de movimientos bancarios de la operación, los números de cuenta o IBAN de destino, capturas del perfil o anuncio del presunto estafador, y las comunicaciones por WhatsApp o redes sociales exportadas en su formato original, no solo fotografiadas.

Tanto si está en el lado de la acusación como en el de la defensa, la clave de un caso de estafa está casi siempre en la prueba documental y en reconstruir con precisión la secuencia de hechos. Es un terreno donde la rapidez y el rigor técnico marcan la diferencia.