Los ciberdelitos se investigan hacia atrás, siguiendo el dinero y las conexiones, y en ese camino acaban investigadas personas que no montaron nada: quien prestó una cuenta, quien compartió una contraseña, quien reenvió un archivo. Como abogado de delitos informáticos en Murcia y Alicante, defiendo a quien es investigado y también a quien ha sido víctima y quiere denunciar.
Estafa informática: manipulación para lograr una transferencia no consentida
Prisión por estafa informática, daños informáticos o suplantación
Prisión por blanqueo si se recibe el dinero de la estafa (art. 301)
Prisión por sabotaje informático agravado (art. 264 bis.2)
En casi todo fraude por internet hay una cuenta intermedia por la que pasa el dinero, y a su titular se le suele llamar mulero. Mucha gente presta esa cuenta creyendo que hace un favor o que ha encontrado un trabajo de intermediario, sin saber de dónde viene el dinero. El problema es el marco penal: la estafa informática del artículo 249 se castiga con prisión de seis meses a tres años, pero al receptor se le acusa de blanqueo de capitales, que el artículo 301 castiga con prisión de seis meses a seis años y multa del tanto al triplo del valor de los bienes. El eslabón más visible y menos beneficiado es el que se enfrenta a la pena más alta.
Y ahí está justamente la defensa. El artículo 301 exige que el autor actúe sabiendo que los bienes proceden de una actividad delictiva. Ese conocimiento no se presume: se prueba, y se discute con las conversaciones, con la apariencia de la oferta recibida y con lo que la persona hizo en cuanto supo lo que estaba pasando.
Cuatro familias que concentran la mayoría de estos procedimientos. La intimidad y los datos personales tienen página propia: los trato en el delito de revelación de secretos.
Desde la reforma de 2022, el artículo 249 castiga con prisión de seis meses a tres años a quien, con ánimo de lucro, obstaculiza o interfiere en el funcionamiento de un sistema de información, o introduce, altera, borra o suprime datos, o se vale de cualquier manipulación informática, y consigue una transferencia no consentida de un activo patrimonial. La misma pena se aplica al uso fraudulento de tarjetas y otros medios de pago distintos del efectivo, y a quien fabrica o facilita a terceros los programas, dispositivos o datos diseñados para cometer estas estafas.
Acceder a un sistema de información vulnerando las medidas de seguridad, facilitar ese acceso a otro o mantenerse dentro contra la voluntad de quien puede excluirte se castiga con prisión de seis meses a dos años. Interceptar transmisiones no públicas de datos, incluidas las emisiones electromagnéticas, con prisión de tres meses a dos años o multa. Y el artículo 197 ter castiga producir o facilitar programas informáticos o contraseñas concebidos para cometer estos delitos.
Borrar, dañar, alterar o hacer inaccesibles datos, programas o documentos electrónicos ajenos de manera grave: prisión de seis meses a tres años, que sube de dos a cinco años y multa del tanto al décuplo si hay organización criminal, daños de especial gravedad o un número elevado de sistemas afectados. Obstaculizar o interrumpir el funcionamiento de un sistema ajeno se castiga igual, en su mitad superior cuando perjudica de forma relevante la actividad de una empresa o de una Administración, y de tres a ocho años en los supuestos agravados.
Usurpar el estado civil de otra persona se castiga con prisión de seis meses a tres años, y exige algo más que abrir un perfil falso: implica arrogarse la identidad ajena de forma sostenida para actuar como esa persona. Cuando la conducta se queda en usar el nombre o la foto de alguien, suele encajar en otros tipos. Lo desarrollo en la suplantación de identidad, y si hay imágenes íntimas de por medio, en la sextorsión.
En los ciberdelitos la prueba es técnica, y eso juega a favor de la defensa más de lo que parece: lo que el atestado presenta como certeza suele ser una inferencia.
La investigación llega a un titular de línea, a un dispositivo o a una cuenta, no a unas manos concretas sobre un teclado. Redes wifi compartidas, equipos de uso familiar, direcciones dinámicas, servicios que enmascaran el origen y credenciales robadas rompen esa cadena a diario. Atribuir la autoría exige algo más que la titularidad del acceso, y ese salto es donde con más frecuencia falla la acusación.
Cuando se acusa de blanqueo a quien recibió una transferencia, el artículo 301 exige que supiera que los bienes procedían de una actividad delictiva. Las conversaciones con quien le contactó, la apariencia de la oferta, la existencia de un contrato aparente y la reacción al descubrir el fraude son la prueba real de ese conocimiento, y con frecuencia apuntan a una persona engañada más que a un partícipe.
Volcados de dispositivos, capturas, registros de conexión y datos de tráfico deben incorporarse con las garantías debidas y ser íntegros y verificables. Se revisan las autorizaciones judiciales que amparan cada obtención, la integridad de los volcados y si lo aportado es la conversación completa o un recorte. Una prueba obtenida sin cobertura o sin garantía de integridad puede quedar fuera del procedimiento, y con ella el resto de lo que dependa de esa fuente.
De la conducta más leve a la más grave. Conviene mirar dónde queda el receptor del dinero, que casi nunca es quien más gana y sí a quien más pena se le pide.
| Artículo | Conducta | Pena |
|---|---|---|
| Art. 197 bis.2 | Interceptar transmisiones no públicas de datos | Prisión de 3 meses a 2 años o multa de 3 a 12 meses |
| Art. 197 bis.1 | Acceder o mantenerse en un sistema vulnerando sus medidas de seguridad | Prisión de 6 meses a 2 años |
| Art. 197 ter | Facilitar programas o contraseñas para cometer esos delitos | Prisión de 6 meses a 2 años o multa de 3 a 18 meses |
| Art. 264 ter | Facilitar programas o contraseñas para dañar datos o sistemas | Prisión de 6 meses a 2 años o multa de 3 a 18 meses |
| Art. 249 | Estafa informática, phishing y uso fraudulento de medios de pago | Prisión de 6 meses a 3 años |
| Art. 264.1 | Borrar, dañar o hacer inaccesibles datos o programas ajenos, de forma grave | Prisión de 6 meses a 3 años |
| Art. 264 bis.1 | Obstaculizar o interrumpir el funcionamiento de un sistema ajeno | Prisión de 6 meses a 3 años, en su mitad superior si perjudica a una empresa o Administración |
| Art. 401 | Usurpar el estado civil de otra persona | Prisión de 6 meses a 3 años |
| Art. 264.2 | Daños con organización criminal, especial gravedad o muchos sistemas | Prisión de 2 a 5 años y multa del tanto al décuplo |
| Art. 301.1 | Recibir o mover bienes sabiendo que proceden de un delito | Prisión de 6 meses a 6 años y multa del tanto al triplo |
| Art. 264 bis.2 | Sabotaje informático en los supuestos agravados | Prisión de 3 a 8 años y multa del triplo al décuplo |
La intimidad y los datos personales se castigan por el artículo 197, con sus propias horquillas, y los trato en la página de revelación de secretos. El material de menores y los delitos contra la libertad sexual cometidos por internet tienen su propio régimen y los trato en la página de delitos sexuales.
En estos procedimientos lo habitual no es la detención, sino una citación cuando la investigación ya lleva meses siguiendo el rastro del dinero. Se comparece preparado, sabiendo qué consta en el atestado. Más sobre la asistencia al investigado.
Movimientos bancarios, registros de conexión, titularidad de cuentas y dispositivos, y las conversaciones íntegras con quien contactó a la persona investigada. En los fraudes en cadena, situar a cada uno en su eslabón es la mitad del trabajo.
Se comprueba con qué autorización se obtuvo cada dato, si los volcados son íntegros y verificables y si la atribución a una persona concreta se sostiene o se apoya solo en la titularidad de una línea. Cuando la cifra o la autoría dependen de una pericial, se pide contrapericial.
La devolución de lo recibido antes del juicio oral opera como atenuante de reparación del daño y en estos casos pesa mucho, sobre todo cuando el investigado es el último eslabón. Y si vamos a juicio, defensa ante los juzgados de lo penal y la Audiencia Provincial de Murcia y de Alicante.
Lo primero es saber en qué eslabón te sitúan y qué prueba técnica lo sostiene. Cuéntame qué consta y con cuánto margen contamos.
De seis meses a tres años en la estafa informática, los daños informáticos y la suplantación; de dos a cinco años en los daños agravados; y de tres a ocho años en el sabotaje informático más grave.
De seis meses a seis años y multa del tanto al triplo del valor de los bienes para quien recibe o mueve el dinero sabiendo que procede de un delito. Es la acusación que suele recaer sobre el titular de la cuenta intermedia, y la de marco más alto de toda esta página.
Devolución de lo defraudado e indemnización del perjuicio, incluido el coste de restaurar los sistemas dañados. Se resuelve en la misma sentencia penal, se ejecuta contra el patrimonio y su pago condiciona la suspensión de la condena.
Antes de que llegue el juicio suelen acordarse el bloqueo de las cuentas implicadas y la intervención de ordenadores y teléfonos, que quedan retenidos durante meses. Para un autónomo o una empresa, esa medida cautelar puede pesar más en el día a día que la propia pena.
El artículo 249 castiga la estafa informática con prisión de seis meses a tres años. La misma pena se aplica al uso fraudulento de tarjetas y otros medios de pago, y a quien fabrica o facilita los programas o los datos diseñados para cometer estos fraudes.
Sí, y con una pena más alta que la del propio fraude: el artículo 301 castiga con prisión de seis meses a seis años a quien recibe o mueve bienes sabiendo que proceden de una actividad delictiva. La clave está precisamente en ese conocimiento, que la acusación tiene que probar y que en muchos casos no concurre porque la persona también fue engañada.
El artículo 197 bis castiga con prisión de seis meses a dos años acceder a un sistema de información vulnerando las medidas de seguridad, facilitar ese acceso a otro o mantenerse dentro contra la voluntad de quien tiene derecho a excluirte. Si además se accede a datos personales o se difunden, entran en juego los tipos del artículo 197, que trato en revelación de secretos.
No debería. La IP identifica una línea o un dispositivo, no a una persona, y entre una cosa y otra hay redes compartidas, equipos de uso familiar, direcciones dinámicas y credenciales robadas. La acusación necesita elementos adicionales que sitúen a una persona concreta al otro lado, y ese es uno de los puntos más discutibles de estos procedimientos.
Denunciar cuanto antes y conservar la prueba: capturas completas con fecha y remitente visibles, correos con sus cabeceras, justificantes de las transferencias y cualquier comunicación con quien te contactó. La rapidez importa porque el bloqueo de las cuentas de destino solo funciona en las primeras horas, y porque los datos de conexión no se conservan indefinidamente.
Es obstaculizar o interrumpir de manera grave el funcionamiento de un sistema informático ajeno, que el artículo 264 bis castiga con prisión de seis meses a tres años. La pena se impone en su mitad superior, pudiendo llegar a la superior en grado, cuando se perjudica de forma relevante la actividad de una empresa, un negocio o una Administración, y alcanza de tres a ocho años en los supuestos agravados.
En los delitos informáticos lo primero es situarte en el mapa: si te sitúan como autor del fraude, como eslabón que recibió el dinero o como víctima que quiere denunciar. De eso dependen la calificación, la pena y la estrategia. Reviso el atestado, los movimientos y la prueba técnica antes de plantear nada.
