El phishing es un delito de estafa cometido mediante engaño digital, tipificado en el Código Penal, principalmente en su artículo 248. Se denuncia ante la Policía Nacional, los Mossos d'Esquadra o la Guardia Civil, y si hay transferencia bancaria no autorizada, también puede reclamarse al banco la devolución del dinero. A continuación se explica cómo actuar paso a paso.
Qué es exactamente un delito de phishing
El phishing consiste en hacerse pasar por una entidad de confianza (un banco, una empresa de paquetería, la Agencia Tributaria o un servicio online) para conseguir que la víctima facilite contraseñas, datos bancarios o códigos de verificación, o para inducirla directamente a autorizar una transferencia. No es una figura con nombre propio en la ley penal española: se castiga a través del delito de estafa y, según el caso, de otros delitos relacionados con el acceso a sistemas informáticos.
Qué artículos del Código Penal se aplican
La estafa informática
El artículo 248 del Código Penal castiga como estafa tanto el engaño clásico como, en su apartado 2, la manipulación informática destinada a lograr una transferencia patrimonial no consentida. Esto encaja directamente con el phishing bancario: el estafador no engaña a un empleado del banco, sino que usa los datos obtenidos para mover el dinero sin consentimiento real de la víctima.
El artículo 249 establece la pena general de prisión de seis meses a tres años cuando la cantidad defraudada supera los 400 euros; por debajo de esa cuantía se considera delito leve, con pena de multa. El artículo 250 recoge tipos agravados, con penas de uno a seis años, que se aplican, entre otros supuestos, cuando la defraudación reviste especial gravedad por su cuantía o por el perjuicio causado a la víctima.
Acceso ilícito a sistemas y datos personales
Cuando el delincuente no se limita a engañar, sino que accede sin autorización a una cuenta, correo o sistema informático, puede entrar en juego el artículo 197 bis del Código Penal, que castiga el acceso ilícito a sistemas de información. Si además se difunden o utilizan datos personales obtenidos de forma fraudulenta, puede aplicarse el artículo 197, relativo al descubrimiento y revelación de secretos.
Cómo reconocer un intento de phishing
Los indicios más habituales son mensajes que generan urgencia o alarma (bloqueo de cuenta, pago pendiente, paquete retenido), enlaces que llevan a páginas con un dominio parecido pero no idéntico al oficial, faltas de ortografía o de formato, y peticiones de datos que una entidad legítima nunca pide por correo o SMS, como el PIN completo de la tarjeta o la clave de acceso a la banca online.
Qué hacer nada más detectarlo
- No facilitar ningún dato adicional ni pulsar enlaces del mensaje sospechoso.
- Si ya se han introducido datos o se ha autorizado una operación, contactar de inmediato con el banco para bloquear tarjetas, cuentas o accesos.
- Cambiar las contraseñas afectadas y activar, si no estaba activa, la verificación en dos pasos.
- Guardar capturas de pantalla del mensaje, la web falsa y cualquier comunicación posterior, sin borrar nada.
- Solicitar al banco un extracto de los movimientos relacionados con el fraude.
Cómo denunciar un delito de phishing paso a paso
Dónde presentar la denuncia en Barcelona
La denuncia puede presentarse ante los Mossos d'Esquadra, la Policía Nacional o la Guardia Civil, en cualquiera de sus comisarías o, en algunos casos, a través de la sede electrónica de la Policía Nacional. También puede presentarse directamente por escrito ante el Juzgado de Instrucción de guardia de Barcelona, situado en la Ciutat de la Justícia. No es necesario abogado para denunciar, aunque sí es recomendable contar con asesoramiento si la cuantía es relevante o el banco se niega a devolver el dinero.
Qué documentos conviene aportar
- Capturas del correo, SMS o web fraudulenta, incluyendo cabeceras del correo si es posible.
- Justificantes bancarios de las operaciones no autorizadas.
- Comunicaciones mantenidas con el banco tras detectar el fraude.
- Cualquier dato del remitente, número o cuenta destinataria que se tenga disponible.
El Instituto Nacional de Ciberseguridad (INCIBE) ofrece orientación gratuita a víctimas de fraudes online a través de su línea de ayuda, aunque esta vía es informativa y no sustituye a la denuncia ante la policía o el juzgado.
Recuperar el dinero: la responsabilidad del banco
Cuando el phishing se traduce en una transferencia o un pago no autorizado, el Real Decreto-ley 19/2018, de servicios de pago, reconoce al usuario el derecho a que la entidad le devuelva el importe de la operación no consentida, salvo que haya actuado con negligencia grave, por ejemplo facilitando voluntariamente claves o códigos completos a un tercero. La valoración de si hubo o no negligencia grave suele ser el punto de discusión real con el banco, y en caso de desacuerdo cabe acudir al Banco de España o a la vía judicial civil, además de la penal.
Plazos para denunciar
No existe un plazo para presentar la denuncia inicial: cuanto antes se haga, más fácil resulta recabar pruebas y bloquear operaciones. Lo que sí tiene plazo es la posibilidad de perseguir el delito: según el artículo 131 del Código Penal, la estafa básica prescribe a los cinco años, y los tipos agravados del artículo 250, al llevar aparejada una pena superior, pueden prescribir a los diez años. Estos plazos son orientativos y dependen de la calificación jurídica concreta de cada caso.
Preguntas frecuentes
¿Tengo que pagar tasas para denunciar un phishing?
No. La denuncia penal, ya sea ante la policía o ante el juzgado, no tiene coste alguno para la víctima.
¿El banco está obligado a devolverme el dinero siempre?
No en todos los casos. Debe hacerlo salvo que se acredite negligencia grave por parte del usuario, algo que se valora según las circunstancias de cada operación.
¿Puedo denunciar si no sé quién me ha engañado?
Sí. La denuncia se presenta contra persona o personas desconocidas y son las fuerzas de seguridad y el juzgado quienes investigan la identidad del autor.
¿Sirve de algo denunciar si el dinero ya ha salido del país?
Puede ser más complicado recuperarlo, pero la denuncia sigue siendo útil para la investigación penal y para reclamar al banco si procede.
¿Necesito un abogado para denunciar un phishing?
No es obligatorio para la denuncia inicial, pero conviene contar con asesoramiento si hay que reclamar al banco, personarse como acusación particular o la cuantía defraudada es elevada.