Phishing y fraude con tarjetas: cómo castiga el Código Penal la estafa informática

La estafa tradicional exige engañar a una persona para que, por error, disponga de su patrimonio en perjuicio propio. Pero cuando el fraude se comete manipulando directamente un sistema informático, sin necesidad de engañar a nadie en concreto, el Código Penal lo castiga igualmente, bajo la misma calificación de estafa.

La estafa mediante manipulación informática

El artículo 249.1.a) castiga con prisión de seis meses a tres años a quienes, con ánimo de lucro, obstaculizando o interfiriendo indebidamente en el funcionamiento de un sistema de información, o introduciendo, alterando, borrando, transmitiendo o suprimiendo indebidamente datos informáticos, o mediante cualquier otra manipulación informática o artificio semejante, consiguen una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro. A diferencia de la estafa clásica, aquí no hace falta engañar a una persona: basta con manipular el sistema para lograr esa transferencia patrimonial indebida.

El uso fraudulento de tarjetas y otros medios de pago

El artículo 249.1.b) castiga, con la misma pena, a quienes utilizan de forma fraudulenta tarjetas de crédito o débito, cheques de viaje, o cualquier otro instrumento de pago material o inmaterial distinto del efectivo —o los datos que figuran en ellos—, para realizar operaciones en perjuicio de su titular o de un tercero. Este supuesto cubre desde el uso de una tarjeta física robada hasta el uso fraudulento de datos de una tarjeta obtenidos, por ejemplo, mediante phishing.

Fabricar o distribuir herramientas para cometer estas estafas

El artículo 249.2.a) castiga, con la misma pena, a quienes fabrican, importan, obtienen, poseen, transportan, comercian o de cualquier otro modo facilitan a terceros dispositivos, instrumentos, datos o programas informáticos diseñados específicamente para cometer estas estafas. Esta previsión permite perseguir penalmente todo el eslabón previo de la cadena delictiva —quien crea o distribuye el software malicioso, o los dispositivos de clonación de tarjetas—, no solo a quien ejecuta la estafa final.

Sustraer o apropiarse de tarjetas para usarlas fraudulentamente

El artículo 249.2.b) castiga, igualmente, a quienes sustraen, se apropian o adquieren de forma ilícita tarjetas de crédito o débito, cheques de viaje u otros instrumentos de pago, con vistas a su utilización fraudulenta —aunque todavía no hayan llegado a usarlos—.

Poseer o distribuir tarjetas obtenidas ilícitamente por un tercero

El artículo 249.3 castiga, con la pena en su mitad inferior, a quienes, sabiendo que fueron obtenidos ilícitamente, poseen, adquieren, transfieren, distribuyen o ponen a disposición de terceros tarjetas u otros instrumentos de pago, para su utilización fraudulenta. Esta conducta se castiga con menor pena que la estafa consumada, precisamente porque supone un grado de participación más alejado del fraude final, similar en su lógica a la receptación.

Por qué esta figura es tan relevante hoy

La estafa informática ha ganado un peso creciente en la práctica penal con el auge de los fraudes bancarios online, el phishing, y la clonación de tarjetas: al no exigir un engaño directo sobre una persona concreta, esta figura permite perseguir eficazmente fraudes automatizados, a gran escala, en los que la víctima ni siquiera llega a interactuar conscientemente con el defraudador antes de sufrir la transferencia patrimonial indebida.

Esta guía es una explicación divulgativa de BOE Fácil, no asesoramiento jurídico. Para el texto oficial completo, consulta el artículo 249 del Código Penal.