En el lenguaje cotidiano, cualquier fraude por internet es una «estafa online». Pero el Código Penal distingue entre la estafa clásica, en la que se engaña a una persona para que entregue su dinero, y la estafa informática, en la que el dinero sale de tu cuenta mediante una manipulación técnica o el uso de tus datos sin tu consentimiento. La diferencia no es solo teórica: puede influir en cómo se investiga el caso y, sobre todo, en lo que puedes reclamar a tu banco.
La estafa clásica: alguien te engaña y tú pagas
En la estafa del artículo 248 del Código Penal, el autor engaña a una persona y es esa persona la que, por error, realiza el pago. Es el esquema típico de las falsas plataformas de inversión: te convencen de que tu dinero está generando beneficios y tú mismo haces las transferencias. Lo explicamos con detalle en el delito de estafa en el Código Penal.
La estafa informática: nadie es engañado, se manipula el sistema
Tras la reforma introducida por la Ley Orgánica 14/2022, el artículo 249 del Código Penal agrupa, entre otros, estos supuestos que se castigan como estafa:
- Obtener una transferencia no consentida mediante manipulación informática o un artificio semejante.
- Utilizar de forma fraudulenta tarjetas, cheques u otros instrumentos de pago, o los datos que figuran en ellos, para realizar operaciones en perjuicio del titular o de un tercero.
- Fabricar, poseer o facilitar programas informáticos destinados específicamente a cometer estas estafas.
Aquí la clave es que no hay una persona que, engañada, decida pagar: el sistema ejecuta una operación que el titular no ha autorizado.
Comparativa práctica
| Estafa clásica | Estafa informática | |
|---|---|---|
| Quién realiza la operación | La propia víctima, engañada | El autor, usando tus datos o manipulando un sistema |
| Ejemplo típico | Transferencias a una falsa plataforma de inversión | Cargos con tu tarjeta tras robar sus datos; transferencias desde tu banca online por un tercero |
| Consentimiento a la operación | Lo diste, aunque viciado por el engaño | No lo diste |
| Encaje habitual en servicios de pago | Operación autorizada | Operación no autorizada |
Los casos intermedios: phishing, vishing y acceso remoto
Muchas estafas reales mezclan ambos elementos. Por ejemplo:
- Recibes un SMS falso de tu banco, introduces tus claves en una web clonada y el estafador hace la transferencia: hay engaño para obtener los datos, pero la operación la hace un tercero sin tu consentimiento.
- Un falso empleado del banco te llama y te convence para que tú mismo transfieras a una «cuenta segura»: la operación la haces tú.
- Instalas un programa de acceso remoto y el estafador opera desde tu dispositivo.
La calificación de estos supuestos depende de los detalles y los tribunales los analizan caso por caso. Lo importante para ti es describir con precisión quién hizo cada operación, desde qué dispositivo y qué códigos se introdujeron.
Un mismo caso puede incluir operaciones de los dos tipos. Por ejemplo, alguien que primero transfirió por su cuenta a una falsa plataforma y, días después, sufrió cargos en su tarjeta que no reconoce porque facilitó sus datos en un formulario. Conviene separar cada operación en una tabla con su fecha, importe, método y quién la ejecutó, porque el tratamiento de cada una puede ser distinto.
Por qué importa ante tu banco
La normativa de servicios de pago (Real Decreto-ley 19/2018) distingue entre operaciones autorizadas y no autorizadas. En las no autorizadas, el banco debe, con carácter general, devolver el importe salvo que demuestre fraude del cliente o negligencia grave, y tienes un plazo máximo de 13 meses para comunicarlo. En las autorizadas, aunque fueran fruto de un engaño, la protección es más limitada. Explicamos este marco en la guía sobre la ley de servicios de pago.
Consejo: no te adelantes a calificar la operación como «autorizada» al hablar con tu banco. Explica los hechos tal y como ocurrieron.
Qué hacer según el tipo de operación
- Bloquea tarjetas y cambia las claves de banca online si sospechas que alguien tiene tus datos.
- Comunica cada operación a tu banco cuanto antes, identificando las que no hiciste tú.
- Pide por escrito los registros de las operaciones: fecha, hora, dispositivo y método de autenticación.
- Presenta denuncia detallando quién realizó cada operación.
- Si tienes dudas sobre seguridad del dispositivo, llama al 017 de INCIBE.
Si necesitas ayuda para clasificar tus operaciones, el servicio de análisis de operaciones puede orientarte.
