Glosario · Estafa informática y fraude online

Estafa informática

También buscado como: fraude informático, estafa online, me han estafado por internet, delito de estafa informática.

Es cuando alguien consigue que salga dinero de tu cuenta manipulando un sistema informático, sin necesidad de engañarte a ti directamente.

Qué dice la ley. Artículo 249.1.a) del Código Penal. Castiga a quien, para enriquecerse, interfiere en el funcionamiento de un sistema informático o introduce, altera, borra o suprime datos, y consigue así una transferencia de dinero que el titular no autorizó. La pena es de seis meses a tres años de prisión. Si lo defraudado supera los 50.000 euros o afecta a un número elevado de personas, sube a uno a seis años por la vía del artículo 250.

La diferencia que importa. En la estafa de siempre hay que engañar a una persona. Aquí no: basta con manipular la máquina. Por eso vaciar una cuenta con credenciales robadas es estafa informática aunque el titular nunca hablara con nadie.

No lo confundas con. la estafa común del artículo 248, donde sí hay engaño a una persona; ni con el uso fraudulento de una tarjeta ajena, que va por el artículo 249.1.b).

Relacionado: phishing · estafa común · uso fraudulento de tarjeta

Estafa (común)

También buscado como: delito de estafa, me han engañado y me han quitado el dinero, denuncia por estafa.

Engañar a alguien para que entregue voluntariamente su dinero, creyendo algo que no es cierto.

Qué dice la ley. Artículo 248 del Código Penal. Exige tres cosas: ánimo de lucro, un engaño lo bastante convincente como para provocar el error, y que la víctima entregue algo por culpa de ese error. La pena es de seis meses a tres años de prisión. Si lo defraudado no pasa de 400 euros, se queda en multa de uno a tres meses, salvo que concurra alguna agravante del artículo 250.

Lo que suele decidir el caso. La ley exige que el engaño sea «bastante». Si la víctima podía haberlo detectado con una diligencia mínima, la defensa tiene ahí un terreno importante. También pesa quién es cada parte y qué relación había entre ellas.

No lo confundas con. la estafa informática (art. 249.1.a), donde no se engaña a nadie sino que se manipula un sistema.

Relacionado: estafa informática · estafa de inversión · fraude del CEO

Phishing

También buscado como: correo falso del banco, me han robado las claves, phishing bancario, suplantación del banco.

Es el engaño por el que alguien se hace pasar por tu banco, por Correos o por Hacienda para que tú mismo le entregues tus claves.

Qué dice la ley. El phishing no es un delito con nombre propio en el Código Penal español: no lo busques, no está. Es la técnica. Lo que se persigue es el resultado. Si con tus claves te vacían la cuenta, estafa informática (art. 249.1.a). Si además entran en tu correo o en tu móvil, se suma acceso ilícito a sistemas (art. 197 bis). Si alguien fabricó o repartió las herramientas, artículo 249.2.a).

Cómo funciona. Llega un mensaje que imita a una entidad real y mete prisa: tu cuenta está bloqueada, tienes un paquete retenido, hay un cargo sospechoso. El enlace lleva a una web clonada. Lo que escribes ahí llega al estafador en tiempo real, incluido el código de confirmación que te envía el banco de verdad.

No lo confundas con. la mula financiera, que es quien recibe y reenvía el dinero robado, a menudo sin saberlo. Son dos eslabones distintos de la misma cadena y responden por delitos distintos.

Relacionado: smishing · vishing · estafa informática · mula financiera

Smishing

También buscado como: SMS falso, mensaje fraudulento del banco, estafa por SMS.

Phishing por mensaje de texto en lugar de por correo.

Qué dice la ley. Igual que el phishing: no es un delito propio, sino la vía por la que se comete. Según el resultado, estafa informática (art. 249.1.a) y, si hubo acceso a dispositivos o cuentas, artículo 197 bis.

Por qué funciona tan bien. El mensaje se cuela en el mismo hilo de conversación donde el banco te escribe de verdad, porque el remitente se puede falsificar. Ver el SMS junto a otros auténticos elimina la desconfianza inicial, que es la principal defensa de la víctima.

No lo confundas con. el vishing, que es lo mismo pero por llamada de voz.

Relacionado: phishing · vishing · spoofing

Vishing

También buscado como: llamada falsa del banco, me llamaron del banco y me robaron, estafa telefónica.

La misma estafa, pero por teléfono y con una persona hablando contigo.

Qué dice la ley. Tampoco es un delito con nombre propio. El resultado patrimonial se persigue como estafa —común o informática, según cómo se produzca la transferencia— y puede concurrir el acceso ilícito del artículo 197 bis.

Cómo funciona. Quien llama ya sabe cosas de ti: tu nombre, tu banco, a veces un movimiento reciente. Esos datos vienen de una filtración o de un phishing anterior. Esa información previa es lo que derriba la sospecha. El objetivo suele ser que confirmes un código o que muevas tú mismo el dinero a una «cuenta segura», que no existe.

Un detalle jurídico útil. Cuando es la víctima quien ordena la transferencia tras ser engañada, encaja mejor en la estafa común del artículo 248 que en la informática. La calificación cambia la defensa.

Relacionado: phishing · smishing · estafa común

Estafa de inversión

También buscado como: chiringuito financiero, me han estafado invirtiendo, falsa plataforma de inversión, estafa criptomonedas.

Te ofrecen una inversión con rentabilidades altísimas y sin riesgo; el dinero nunca se invierte en nada.

Qué dice la ley. Se persigue como estafa (art. 248) o estafa informática (art. 249.1.a), según cómo salga el dinero. Como las cantidades suelen ser altas, entran los subtipos agravados del artículo 250: uno a seis años de prisión si supera los 50.000 euros o afecta a muchas personas, y cuatro a ocho años si pasa de 250.000 euros.

Un agravante que casi nadie ve venir. El artículo 250.1.6.º agrava cuando el estafador se aprovechó de una relación personal previa o de su credibilidad profesional. En estos fraudes es habitual: el «asesor» que primero se gana la confianza durante semanas encaja de lleno.

Señal práctica. Las primeras retiradas pequeñas sí se pagan. Sirven para que la víctima confíe y aporte más. El problema aparece al intentar recuperar el grueso.

No lo confundas con. una inversión que sale mal, que no es delito. La clave es que no hubiera inversión real detrás.

Relacionado: estafa piramidal · criptoactivo · rastreo de fondos

Estafa piramidal

También buscado como: esquema Ponzi, negocio piramidal, me metieron en una pirámide.

No hay negocio: a los primeros se les paga con el dinero de los que entran después, hasta que dejan de entrar y todo cae.

Qué dice la ley. Se persigue como estafa, con los agravados del artículo 250 por cuantía y por afectar a un número elevado de personas. Cuando hay una estructura estable de varias personas repartiéndose funciones, puede sumarse el delito de organización o grupo criminal de los artículos 570 bis y 570 ter.

Por qué importa la fecha en que entraste. Quien entra pronto suele cobrar y, a veces, capta a otros. Esa doble condición —perjudicado y captador— es una de las situaciones más delicadas: la misma persona puede acabar investigada. Si es tu caso, no reconozcas por escrito el papel de captador antes de asesorarte.

No lo confundas con. el marketing multinivel, que puede ser legal si existe un producto real y los ingresos no dependen solo de reclutar.

Relacionado: estafa de inversión

Fraude del CEO

También buscado como: estafa al director financiero, correo falso del jefe, BEC, fraude de transferencia empresarial.

Alguien se hace pasar por el jefe o por un proveedor y consigue que la empresa pague una factura a una cuenta que no es.

Qué dice la ley. Estafa (art. 248) cuando quien ordena el pago es una persona engañada, que es lo habitual. Se agrava por el artículo 250.1.5.º si supera los 50.000 euros, y muy a menudo por el 250.1.6.º, por aprovechar la credibilidad empresarial o profesional.

Cómo se prepara. Rara vez es un correo suelto. Antes ha habido semanas de acceso al buzón, leyendo cómo escribe la dirección y cuándo se pagan las facturas. Por eso al fraude se le suele sumar un delito de acceso ilícito a sistemas (art. 197 bis) o de descubrimiento de secretos (art. 197).

Si la empresa es la investigada. Cuando el pago lo autoriza un empleado saltándose los controles internos, la discusión se desplaza al régimen de compliance. Tener implantados y documentados esos controles es lo que marca la diferencia.

Relacionado: spoofing · acceso ilícito a sistemas · compliance penal

Romance scam

También buscado como: estafa sentimental, estafa amorosa, me enamoré por internet y me estafó.

Alguien construye una relación afectiva durante meses con el único fin de pedir dinero.

Qué dice la ley. Es estafa del artículo 248: hay engaño y hay entrega voluntaria. El agravante del artículo 250.1.6.º —abuso de las relaciones personales— encaja aquí con especial claridad, porque la relación afectiva es justo el instrumento del engaño. Pena de uno a seis años cuando concurre con la cuantía.

Por qué se denuncia tan poco y tan tarde. La vergüenza. Muchas víctimas tardan meses en contarlo, y para entonces el rastro del dinero se ha enfriado. Si te ha pasado, la rapidez importa más que la explicación.

Una variante frecuente. A veces la petición no es de dinero sino de recibir y reenviar transferencias. Ahí la víctima sentimental se convierte además en mula financiera y puede pasar a ser investigada.

Relacionado: mula financiera · estafa común · estafa de inversión

Uso fraudulento de tarjeta

También buscado como: carding, me han clonado la tarjeta, compras que no he hecho, cargos desconocidos.

Comprar o sacar dinero con una tarjeta ajena, o con sus datos, sin permiso del titular.

Qué dice la ley. Artículo 249.1.b): quien utiliza de forma fraudulenta tarjetas de crédito o débito, cheques de viaje o cualquier otro instrumento de pago distinto del efectivo —o los datos que figuran en ellos— para hacer operaciones en perjuicio del titular. Pena de seis meses a tres años.

Tres conductas distintas que la gente mezcla. Falsificar la tarjeta es artículo 399 bis, con pena mucho más alta: cuatro a ocho años. Usarla a sabiendas sin haber participado en la falsificación son dos a cinco años (art. 399 bis.3). Y limitarse a poseer instrumentos obtenidos ilícitamente para usarlos se castiga en su mitad inferior (art. 249.3). La diferencia entre una y otra es de años de prisión.

Qué cuenta como instrumento de pago. Desde 2023 el Código lo define de forma amplia: incluye monederos y medios digitales, no solo el plástico.

Relacionado: estafa informática · phishing · falsificación de medios de pago

SIM swapping

También buscado como: duplicado de SIM fraudulento, me han duplicado la tarjeta SIM, robo de línea telefónica.

Alguien consigue un duplicado de tu tarjeta SIM y, con él, recibe los códigos de seguridad que te manda el banco.

Qué dice la ley. No tiene artículo propio. El vaciado posterior de la cuenta es estafa informática (art. 249.1.a). La obtención del duplicado suele exigir suplantar al titular ante la operadora, lo que se reconduce al artículo 197.2 y puede agravarse por el artículo 197.4.b), que castiga con tres a cinco años cuando el hecho se comete usando sin autorización datos personales de la víctima.

Por qué es tan grave. Rompe el segundo factor de autenticación, que es justo la barrera en la que confía todo el sistema bancario. Una vez tienen tu línea, tener una contraseña fuerte deja de servir de nada.

Señal de alarma. El móvil se queda sin cobertura de un momento a otro y sin motivo. Si ocurre, llama a la operadora desde otro teléfono de inmediato.

Relacionado: suplantación de identidad · estafa informática · robo de identidad

Estafa en compraventa online

También buscado como: me estafaron en Wallapop, estafa comprando por internet, pagué y no me lo enviaron.

Vender algo que no existe, o cobrar y no enviarlo, a través de una plataforma o red social.

Qué dice la ley. Estafa del artículo 248. Si el importe no supera los 400 euros, la respuesta es multa de uno a tres meses, salvo que concurra alguna agravante del artículo 250. La reforma en vigor desde abril de 2026 añadió una regla importante: quien ya haya sido condenado por al menos tres delitos de esta clase recibe la pena de prisión aunque el importe sea pequeño.

Por qué muchas denuncias no prosperan. Con importes bajos y un único perjudicado, cuesta acreditar que hubo intención de engañar desde el principio y no un incumplimiento. Cuando aparecen varios perjudicados con el mismo patrón, el panorama cambia por completo.

Si eres tú el denunciado. Un envío que se perdió o una devolución mal gestionada no son delito. La frontera está en si hubo propósito de no entregar desde el inicio.

Relacionado: estafa común