Cibercrimen y desprotección jurídica del ciudadano | Usurpación de identidad, fraude bancario digital, parálisis institucional y crimen organizado en red: diagnóstico y propuestas de reforma

Luis Soto Tejedor

Abogado (ICAB nº 47165)

SG Ciber Abogados · SG Legal Consulting · HumanJuris

El presente artículo analiza la fenomenología del cibercrimen financiero organizado desde la perspectiva de la práctica jurídica cotidiana. A través de la experiencia acumulada en SG Ciber Abogados, se constata un patrón sistemático de desprotección del ciudadano víctima de fraudes digitales: aplicaciones bancarias falsas, phishing sofisticado, usurpación de identidad y uso fraudulento de cuentas de terceros instrumentalizadas por redes de mulas financieras. La problemática no es únicamente delictiva, sino fundamentalmente institucional: la lentitud en la tramitación de medidas cautelares urgentes, la falta de especialización de los operadores jurídicos, la ausencia de protocolos de respuesta inmediata, la pasividad de las entidades bancarias, la tendencia de los juzgados ordinarios a retener causas conexas sin coordinación entre sí, y la fragmentación de investigaciones paralelas sobre la misma organización criminal en distintos órganos judiciales, configuran un sistema en el que el delincuente actúa con ventaja estructural sobre la víctima y sobre el Estado. El artículo documenta además la amenaza emergente del fraude potenciado por inteligencia artificial y la dimensión de protección de datos en el marco del RGPD y la LOPDGDD. Se propone la creación de una Fiscalía Especializada en Cibercrimen, la implementación de protocolos judiciales de respuesta urgente, la reforma del marco de responsabilidad bancaria con referencia al modelo británico, y un marco de responsabilidad patrimonial del Estado ante la inacción institucional.

I. Introducción: la nueva industria del crimen organizado digital

La digitalización de las relaciones económicas y financieras ha generado un ecosistema propicio para una nueva forma de criminalidad organizada transnacional. El cibercrimen financiero ha dejado de ser un fenómeno marginal protagonizado por individuos aislados para convertirse en una industria delictiva estructurada, con división del trabajo, jerarquías operativas, infraestructuras técnicas propias y circuitos internacionales de blanqueo de capitales perfectamente articulados.

Los datos del Informe sobre la Cibercriminalidad en España 2024, elaborado por la Oficina de Coordinación de Ciberseguridad del Ministerio del Interior, certifican la magnitud del fenómeno: 464.801 ciberdelitos conocidos durante el ejercicio, de los cuales el 88,8% corresponde a fraudes informáticos —estafas—, con 350.795 víctimas registradas y una tasa de 9,6 delitos por cada mil habitantes. Pese a registrar el primer descenso de la serie histórica (–1,6% respecto a 2023), la cifra sigue siendo estructuralmente elevada y refleja únicamente los hechos denunciados, siendo la cifra negra de este tipo de delincuencia notoriamente alta.

Desde la práctica profesional en SG Ciber Abogados, somos testigos cotidianos de una realidad que las estadísticas apenas reflejan en su dimensión real: ciudadanos que pierden sus ahorros en minutos, empresas que ven vaciadas sus cuentas corrientes, personas mayores engañadas mediante aplicaciones fraudulentas, y jóvenes captados como mulas financieras sin comprender las consecuencias penales de su actuación. Lo más grave no es únicamente la sofisticación del delito. Lo más grave es la constatación de que el sistema jurídico no está preparado para combatirlo con la celeridad y la especialización que requiere.

El presente artículo pretende ser, al mismo tiempo, un análisis técnico-jurídico riguroso y una llamada a la reflexión para legisladores, operadores jurídicos, entidades bancarias y reguladores. Su estructura abarca el diagnóstico del fenómeno delictivo, el análisis de las disfunciones institucionales —incluida la poco estudiada fragmentación jurisdiccional—, el marco jurídico aplicable, la dimensión de protección de datos, las amenazas emergentes de la inteligencia artificial y las propuestas de reforma, con atención al derecho comparado.

II. La dimensión real del problema: datos estadísticos

Para comprender la magnitud del cibercrimen financiero en España es necesario partir de los datos oficiales más recientes, conscientes de que toda estadística en esta materia subestima la realidad por la elevada tasa de infradenuncias.

 

CIBERDELINCUENCIA EN ESPAÑA — PRINCIPALES INDICADORES 2024

Fuente: Informe sobre la Cibercriminalidad en España 2024 · Ministerio del Interior / OCC

Indicador	Dato (2024)
Total ciberdelitos conocidos	464.801 (–1,6 % respecto a 2023)
Fraudes informáticos (estafas)	412.850 — 88,8 % del total
Víctimas registradas	350.795 (–1 % respecto a 2023)
Víctimas fraude bancario / tarjeta	148.292
Tasa de cibercriminalidad	9,6 delitos por 1.000 habitantes
Detenidos / investigados	19.322 (+14 % respecto a 2023)
Hechos esclarecidos	~14 % del total conocido
Barcelona (provincia)	55.965 ciberdelitos — 2.ª provincia nacional

 

De los datos expuestos merecen destacarse dos elementos que configuran el núcleo del problema jurídico. En primer lugar, la tasa de esclarecimiento del 14% revela que ocho de cada diez ciberdelitos quedan sin resolución judicial efectiva. En segundo lugar, la concentración de 148.292 víctimas de fraude bancario y de tarjeta en un solo año ilustra la magnitud de un fenómeno que afecta de manera directa al patrimonio de ciudadanos ordinarios.

A nivel europeo, el IOCTA Report 2024 de Europol constata que el fraude online y el compromiso del correo electrónico empresarial (BEC) se mantienen como las principales amenazas del cibercrimen económico, con una creciente integración de herramientas de inteligencia artificial en la cadena delictiva.

III. Tipología del fraude digital financiero

La experiencia acumulada en la defensa de víctimas de cibercrimen permite identificar patrones delictivos recurrentes que, pese a su diversidad técnica, comparten una estructura común: el engaño al ciudadano como vector de entrada, la rapidez en la sustracción de fondos y la opacidad en su destino final.

3.1. Aplicaciones bancarias falsas (Rogue Banking Apps)

Constituyen hoy uno de los instrumentos más eficaces del fraude digital. El delincuente diseña o adquiere en el mercado negro digital una aplicación que replica con exactitud visual la interfaz de una entidad bancaria legítima. Esta aplicación se distribuye mediante enlaces en mensajes SMS, correos electrónicos o publicaciones en redes sociales, induciendo al usuario a descargarla fuera de los canales oficiales.

El usuario, confiado en la apariencia fidedigna de la aplicación, introduce sus credenciales de acceso —usuario, contraseña y, en ocasiones, el código de verificación de doble factor—. En ese momento, las credenciales quedan en poder del atacante, quien las utiliza para ejecutar transferencias fraudulentas en cuestión de minutos.

3.2. Phishing, vishing, smishing y SIM swapping

El phishing clásico —mediante correo electrónico— ha evolucionado hacia formas más sofisticadas. El vishing consiste en llamadas telefónicas en las que el delincuente suplanta la identidad de un empleado bancario, un agente de la Agencia Tributaria o un funcionario policial, induciendo a la víctima a revelar sus claves o a autorizar transferencias. El smishing opera mediante SMS con enlaces maliciosos que dirigen a páginas de captura de credenciales.

El SIM swapping merece mención específica: el atacante obtiene fraudulentamente un duplicado de la tarjeta SIM de la víctima ante el operador de telecomunicaciones, lo que le permite recibir los códigos OTP de autenticación en dos pasos y tomar control total de la banca digital.

En todos estos casos, el elemento definitorio es la suplantación de identidad institucional o personal, conducta que concurre con la estafa informática del artículo 248.2 CP y, en su caso, con el acceso ilícito a sistemas informáticos del artículo 197 bis CP.

3.3. El sistema de mulas financieras

Una vez obtenido el acceso a la cuenta bancaria de la víctima, el ciberdelincuente —habitualmente ubicado fuera del territorio nacional o de la Unión Europea— no puede recibir directamente los fondos sustraídos sin dejar un rastro identificable. Para ello, utiliza una red de mulas financieras: personas que, a cambio de una comisión, reciben en sus cuentas las transferencias fraudulentas y las reenvían posteriormente a cuentas situadas en jurisdicciones de difícil cooperación judicial.

Las mulas pueden actuar de forma consciente —en cuyo caso son coautoras o cómplices del delito de blanqueo de capitales (art. 301 CP)— o de forma involuntaria, habiendo sido captadas mediante falsas ofertas de empleo. Esta segunda categoría genera complejas cuestiones de imputación subjetiva que los tribunales resuelven de manera dispar.

3.4. Circuitos internacionales de blanqueo

Los fondos sustraídos transitan por un circuito estructurado que incluye entidades bancarias en jurisdicciones con supervisión laxa sobre la identificación de clientes, cuentas en plataformas de criptomonedas y, finalmente, sistemas de transferencia informal de fondos que los sitúan fuera del alcance de la cooperación judicial internacional ordinaria. Europol e Interpol han alertado reiteradamente sobre el uso sistemático de estos circuitos por organizaciones criminales transnacionales.

3.5. Fraude potenciado por inteligencia artificial

3.5.1. Clonación de voz y deepfakes

La tecnología de síntesis de voz permite clonar la voz de una persona a partir de muestras de audio de corta duración obtenidas de fuentes públicas. En el ámbito empresarial se han documentado casos en los que directivos han sido suplantados mediante audio o vídeo sintético para ordenar transferencias fraudulentas de elevada cuantía. En España, el INCIBE ha alertado del crecimiento significativo de llamadas de vishing con voces clonadas dirigidas a empresas y particulares.

Estas modalidades presentan un desafío jurídico específico: la prueba pericial tradicional resulta insuficiente para detectar manipulaciones de alta calidad sin herramientas forenses especializadas, lo que eleva la complejidad de la instrucción penal y la carga probatoria de la víctima.

3.5.2. Phishing personalizado mediante modelos de lenguaje

Los modelos de lenguaje de gran tamaño permiten generar comunicaciones de phishing personalizadas a escala masiva, adaptadas al perfil de cada víctima a partir de datos obtenidos en redes sociales y fuentes abiertas. Los mensajes así generados presentan un nivel de personalización que los hace difícilmente distinguibles de comunicaciones legítimas, incluso para usuarios con formación media en ciberseguridad.

IV. La parálisis institucional: diagnóstico de los fallos del sistema

El verdadero problema no es únicamente la sofisticación del delito, sino la inadecuación estructural de la respuesta institucional. Los fallos del sistema se articulan en cuatro dimensiones cuya combinación produce un resultado invariable para la víctima: la pérdida definitiva de su patrimonio sin reparación efectiva.

4.1. La inoperancia de las medidas cautelares urgentes

El instrumento más eficaz para proteger a la víctima de fraude bancario digital es el bloqueo urgente de la cuenta receptora de los fondos sustraídos. Si se logra retener el dinero antes de que sea retirado o reexpedido, la recuperación es posible. La ventana de oportunidad dura, en la práctica, entre treinta minutos y pocas horas.

El proceso judicial ordinario no puede operar en ese margen temporal. Las diligencias urgentes del artículo 13 de la Ley de Enjuiciamiento Criminal y las medidas cautelares de los artículos 589 y siguientes LECrim exigen en la práctica la presentación de escritos, su calificación por el Juzgado de Guardia, la resolución motivada y la comunicación a la entidad bancaria. Este proceso, aun en condiciones óptimas, consume tiempo del que la víctima no dispone.

4.2. La fragmentación jurisdiccional: el problema de la coordinación entre juzgados

Existe un problema estructural de primera magnitud que la doctrina académica apenas ha abordado y que la práctica cotidiana evidencia con crudeza: la tendencia de los juzgados de instrucción ordinarios a retener cada uno su propia causa cuando investigan hechos que pertenecen a la misma organización criminal digital, sin activar los mecanismos de acumulación que el ordenamiento prevé.

El artículo 17 LECrim regula la conexidad de delitos y habilita la acumulación de causas en un único órgano cuando los hechos están vinculados entre sí. Sin embargo, cuando la policía judicial detecta que una pluralidad de fraudes informáticos responden al mismo modus operandi y a la misma organización criminal, la realidad que nos trasladan fuentes policiales es que cada juez instructor tiende a retener la causa que le ha correspondido por reparto, aunque tenga conocimiento de que otros juzgados investigan hechos conexos.

Esta situación —que no debe calificarse como mala fe judicial, sino como una combinación de carga de trabajo, defensa de la competencia atribuida y falta de mecanismos de coordinación efectivos— genera consecuencias graves: la policía judicial debe dividir sus equipos para atender requerimientos en distintos juzgados sobre los mismos hechos; las líneas de investigación no se comparten entre órganos; y la identificación del núcleo organizativo de la banda se demora o frustra por la fragmentación de la instrucción.

La solución no pasa por cuestionar la independencia judicial ni la competencia atribuida por la ley a cada juzgado. Pasa por articular mecanismos legales y protocolarios que hagan operativa la comunicación entre juzgados cuando la policía judicial certifica la conexión objetiva entre causas, y por reforzar la aplicación efectiva del artículo 17 LECrim en el contexto del cibercrimen organizado.

4.3. La falta de especialización policial y judicial efectiva

Las Fuerzas y Cuerpos de Seguridad del Estado disponen de unidades especializadas en cibercrimen —la Brigada Central de Investigación Tecnológica del Cuerpo Nacional de Policía, el Grupo de Delitos Telemáticos de la Guardia Civil y la Unitat Central de Delictes Informàtics dels Mossos d'Esquadra—. Sin embargo, la experiencia práctica revela que la denuncia ciudadana por fraude bancario digital rara vez activa estas unidades de forma inmediata y eficaz.

En la mayoría de los casos atendidos en SG Ciber Abogados, la víctima interpone denuncia y recibe como respuesta la apertura de diligencias que tardan meses en producir cualquier resultado investigador. Las razones son diversas: sobrecarga de trabajo, falta de medios técnicos homogéneos, ausencia de protocolos de respuesta inmediata estandarizados y, en ocasiones, incertidumbre sobre la competencia territorial —que a su vez alimenta la fragmentación jurisdiccional descrita en el epígrafe anterior—.

4.4. La posición de las entidades bancarias

Las entidades bancarias ocupan una posición central: ejecutan las transferencias, conservan los registros digitales y tienen acceso inmediato a los datos de las cuentas receptoras. La normativa vigente —en particular el Real Decreto-ley 19/2018, de servicios de pago— establece obligaciones de diligencia debida y mecanismos de reembolso ante operaciones de pago no autorizadas. Sin embargo, las entidades tienden a oponer la negligencia grave del usuario como causa de exoneración.

La jurisprudencia del Tribunal Supremo ha consolidado en los últimos ejercicios una doctrina de responsabilidad cuasi-objetiva de las entidades bancarias: el banco responde ante operaciones no autorizadas salvo que acredite fraude o negligencia grave imputable al usuario, correspondiendo a la entidad la carga de la prueba. La autenticación de la operación con los códigos del usuario es condición necesaria pero no suficiente para la exoneración. La Memoria de Reclamaciones del Banco de España de 2025 refleja que el 73% de sus informes en materia de operaciones no autorizadas fueron favorables al usuario en 2024, dato que ilustra la sistemática resistencia de las entidades a aplicar voluntariamente esta doctrina.

4.5. El resultado inevitable: la víctima sin reparación

La combinación de los factores descritos produce un resultado que se repite con regularidad alarmante: el ciberdelincuente ejecuta el fraude, los fondos transitan por la red de mulas hacia jurisdicciones de difícil acceso, cada juzgado instruye de forma aislada su propio expediente, y cuando el sistema judicial comienza a moverse, el rastro del dinero se ha enfriado irreversiblemente. La víctima queda desprotegida, sin posibilidad real de recuperar su patrimonio y con la fundada percepción de que el Estado no la ha protegido.

V. Marco jurídico aplicable

5.1. Tipos penales

• Estafa informática (art. 248.2 CP): elemento central de la mayoría de supuestos, con penas de seis meses a tres años, agravadas cuando la cuantía supera los 50.000 euros o afecta a colectivos especialmente vulnerables (art. 250 CP).
• Acceso ilícito a sistemas informáticos (art. 197 bis CP): intrusión en sistemas de banca electrónica. Introducido por LO 1/2015 en transposición de la Directiva 2013/40/UE.
• Daños informáticos (art. 264 CP): cuando el malware instalado mediante la aplicación falsa causa daños en el dispositivo de la víctima.
• Blanqueo de capitales (art. 301 CP): aplicable a mulas conscientes de la procedencia ilícita de los fondos que gestionan.
• Organización y grupo criminal (arts. 570 bis y ter CP): cuando existe estructura organizativa estable, lo que activa las penas en su mitad superior y puede habilitar mecanismos de investigación reforzados.

 

5.2. Normativa de servicios de pago y responsabilidad bancaria

El Real Decreto-ley 19/2018, de 23 de noviembre, transpone la Directiva (UE) 2015/2366 (PSD2) y establece el régimen de responsabilidad de los proveedores de servicios de pago. Su artículo 45 impone al banco la obligación de reembolso inmediato ante operaciones no autorizadas, salvo fraude o negligencia grave del usuario (art. 46), correspondiendo al banco la carga de la prueba (art. 44).

La nueva regulación europea de servicios de pago (PSD3), aprobada en 2024 y pendiente de transposición, prevé según los textos legislativos en tramitación ampliar la responsabilidad de los bancos a supuestos de fraude por ingeniería social en los que el usuario fue engañado para autorizar la operación, mejorar los mecanismos de devolución de fondos entre entidades y exigir sistemas de monitorización del fraude en tiempo real. Su transposición al ordenamiento español constituye una oportunidad normativa que no debe desaprovecharse.

5.3. Conexidad y competencia jurisdiccional

La determinación del órgano competente en supuestos de cibercrimen de alcance territorial múltiple plantea problemas procesales de considerable complejidad. El artículo 17 LECrim regula la conexidad de delitos y permite la acumulación de causas, siendo este el mecanismo procesal ordinario que debería aplicarse cuando la misma organización criminal es investigada en distintos juzgados. Su aplicación efectiva en materia de cibercrimen organizado es, sin embargo, escasa y debe reforzarse mediante reforma legislativa o instrucción de la Fiscalía General del Estado.

Cuando el fraude se ejecuta en una provincia, la mula recibe los fondos en otra y el operador de la organización actúa desde el extranjero, pueden generarse conflictos negativos de competencia que paralizan la instrucción y benefician directamente a los autores del delito.

5.4. Instrumentos de cooperación internacional

La investigación de los circuitos internacionales de blanqueo requiere la activación de las Órdenes Europeas de Investigación (Directiva 2014/41/UE), los equipos conjuntos de investigación con Europol y Eurojust, y los canales de cooperación con la Interpol. Estos instrumentos operan con una lentitud estructuralmente incompatible con las necesidades de la instrucción penal en materia de cibercrimen, siendo el embargo cautelar urgente de cuentas bancarias en el extranjero la diligencia más urgente y la de mayor complejidad procesal internacional.

VI. La dimensión de protección de datos: RGPD, LOPDGDD y AEPD

La usurpación de identidad digital no es únicamente un delito penal: es también, en la mayoría de los supuestos, una brecha de datos personales con consecuencias jurídicas autónomas en el ámbito de la protección de datos.

El Reglamento (UE) 2016/679 (RGPD) define en su artículo 4.12 la violación de seguridad de los datos personales como toda violación que ocasione el acceso no autorizado a datos personales transmitidos o conservados. El Considerando 75 del RGPD incluye expresamente entre los daños derivados de una brecha la usurpación de identidad y el fraude económico.

Cuando un ataque de phishing, una aplicación bancaria falsa o un SIM swapping compromete las credenciales bancarias de un cliente, concurren simultáneamente: (i) el delito penal de estafa informática; (ii) una brecha de datos personales que el banco —como responsable del tratamiento— está obligado a notificar a la AEPD en el plazo de 72 horas desde que tenga constancia de ella (art. 33 RGPD), y a comunicar al afectado cuando el riesgo sea alto (art. 34 RGPD); y (iii) una posible infracción del artículo 32 RGPD por insuficiencia de las medidas de seguridad, sancionable con multas de hasta 10 millones de euros o el 2% de la facturación global.

La práctica demuestra que las entidades bancarias notifican las brechas con retraso o de forma incompleta. La reclamación ante la AEPD constituye un instrumento adicional de tutela del ciudadano víctima de fraude digital, complementario a la vía penal y a la reclamación bancaria, que el letrado especializado debe valorar activar de forma sistemática. La AEPD ha demostrado una creciente disposición sancionadora en este ámbito en los últimos ejercicios.

El letrado que asesora a una víctima de fraude bancario digital debe articular una estrategia de reclamación trifronte: penal (denuncia y acusación particular), civil (reclamación bancaria al SAC, Servicio de Reclamaciones del Banco de España y, en su caso, demanda judicial) y administrativa (reclamación ante la AEPD exigiendo al banco que cumpla sus obligaciones de notificación de brecha y adoptando las medidas correctoras necesarias). Solo la articulación coordinada de estas tres vías maximiza las posibilidades de reparación integral del perjuicio sufrido.

VII. La responsabilidad patrimonial del Estado

Ante la imposibilidad práctica de recuperar los fondos por la vía penal o civil directa contra los autores del fraude, se abre una vía jurídica de notable interés: la responsabilidad patrimonial de la Administración por funcionamiento anormal de la Administración de Justicia, al amparo del artículo 121 de la Constitución y de los artículos 292 y siguientes de la Ley Orgánica del Poder Judicial.

Si puede acreditarse que la inacción del Juzgado de Guardia ante una solicitud de medida cautelar urgente —que de haberse adoptado hubiera impedido la consolidación del perjuicio— constituyó un funcionamiento anormal del servicio público de justicia, el Estado estaría obligado a indemnizar a la víctima. De igual forma, cuando la fragmentación jurisdiccional descrita en el epígrafe IV.2 impide el esclarecimiento de una trama criminal que habría podido desmantelarse con una instrucción coordinada, puede plantearse si la falta de mecanismos efectivos de coordinación entre juzgados configura en sí misma un funcionamiento anormal del sistema.

Los requisitos clásicos —daño efectivo, relación de causalidad y funcionamiento anormal— pueden concurrir en estos supuestos, aunque la jurisprudencia contencioso-administrativa es todavía prudente al respecto. El letrado que represente a una víctima de fraude digital debe, desde el primer momento, documentar con precisión la fecha y hora de cada solicitud judicial y la respuesta obtenida, a efectos de construir el expediente necesario para una eventual reclamación patrimonial.

VIII. Derecho comparado: lecciones para el ordenamiento español

8.1. El modelo británico: reembolso obligatorio inmediato

El Reino Unido ha dado el paso más avanzado a nivel mundial en la protección de víctimas de fraude de pago autorizado. El 7 de octubre de 2024 entró en vigor el mandatory reimbursement scheme del Payment Systems Regulator (PSR), que obliga a todos los proveedores de servicios de pago a reembolsar a las víctimas de fraude de pago autorizado hasta un máximo de 85.000 libras en el plazo de cinco días hábiles. El coste se distribuye al 50% entre el banco emisor y el banco receptor, creando un incentivo económico directo para que las entidades receptoras refuercen sus mecanismos de detección.

Los datos publicados por el PSR sobre los primeros quince meses de vigencia (octubre 2024 – diciembre 2025) muestran que el 89% del dinero perdido en estos fraudes fue reembolsado a las víctimas, lo que equivale a 243 millones de libras devueltas. La preocupación inicial por el riesgo moral no se ha materializado: solo el 3% de las reclamaciones fueron rechazadas por falta de diligencia del usuario. El modelo británico demuestra que la protección efectiva de las víctimas es posible con voluntad regulatoria. La transposición de la PSD3 ofrece a España y a la Unión Europea la oportunidad de avanzar en una dirección análoga.

8.2. Los modelos francés y alemán

Francia ha implementado herramientas de verificación en tiempo real que permiten al usuario comprobar si un número de teléfono o una URL están asociados a fraudes conocidos, reforzando además las obligaciones de las plataformas digitales de eliminar contenido fraudulento. Alemania ha creado juzgados especializados en cibercrimen en varios Länder, con jueces con formación técnica específica y acceso a peritos forenses digitales adscritos al órgano judicial. Estas experiencias ilustran que la especialización judicial no requiere reformas constitucionales: es una opción de política judicial ordinaria perfectamente realizable en el marco del ordenamiento español vigente.

IX. El papel del letrado en las primeras horas: protocolo de actuación

La efectividad de la respuesta jurídica al fraude bancario digital depende en gran medida de lo que el abogado haga en las primeras horas tras recibir el mandato de la víctima. Este margen de actuación es el que, en la práctica, determina si existe o no posibilidad de recuperación de los fondos.

El protocolo de actuación recomendado desde SG Ciber Abogados comprende las siguientes actuaciones urgentes, en el orden indicado:

• Contacto inmediato con el SAC del banco: solicitud de bloqueo cautelar de la cuenta receptora. Toda comunicación debe quedar documentada por escrito con acuse de recibo y registro horario.
• Presentación urgente de denuncia ante el Juzgado de Guardia con solicitud expresa de medida cautelar de bloqueo de la cuenta receptora al amparo del artículo 13 y del artículo 589 LECrim, aportando la mayor documentación posible sobre la transferencia fraudulenta.
• Comunicación a la unidad de cibercrimen competente (BCIT/CNP, GDT/GC o equivalente autonómico) para activar el trazado de la transferencia y la solicitud de información a la entidad receptora.
• Documentación exhaustiva del expediente: capturas de pantalla de la aplicación o web fraudulenta, correos y SMS recibidos, registro de llamadas, extracto de movimientos de la cuenta. Esta documentación es la base de la causa penal, la reclamación bancaria y la eventual reclamación ante la AEPD.
• Valoración de la reclamación ante la AEPD: el letrado debe exigir al banco el cumplimiento de sus obligaciones de notificación de brecha de datos (art. 33 RGPD) y, en caso de incumplimiento, activar la reclamación ante la Agencia.
• Documentación del retardo judicial: registro preciso de cada solicitud cautelar, su fecha y hora, y la respuesta obtenida, a efectos de la eventual reclamación de responsabilidad patrimonial del Estado.

Este protocolo no garantiza la recuperación de los fondos —la ventana de oportunidad puede haberse cerrado antes de que la víctima contacte al letrado—, pero maximiza las posibilidades de éxito y construye desde el primer momento el expediente necesario para todas las vías de reclamación disponibles.

X. Propuestas de reforma

10.1. Creación de una Fiscalía Especializada en Cibercrimen

La propuesta más urgente y de mayor calado estructural es la creación de una Fiscalía Especializada en Cibercrimen, con competencia nacional, personal formado específicamente en delincuencia digital y capacidad de coordinación inmediata con Europol, Eurojust e Interpol. Este órgano debería estar dotado de:

• Competencia para intervenir en procedimientos en cualquier fase procesal, incluyendo la coordinación de causas conexas en distintos juzgados mediante la activación efectiva del artículo 17 LECrim.
• Protocolo de respuesta inmediata para solicitudes de bloqueo de cuentas, con tramitación en plazo máximo de dos horas desde la denuncia.
• Equipos forenses digitales propios o en convenio con la Asociación de Peritos Forenses Digitales (APFD) y otros organismos especializados, con disponibilidad permanente.
• Capacidad de petición directa de cooperación judicial internacional en materia de embargo cautelar de cuentas bancarias en el extranjero.

10.2. Protocolo de coordinación judicial obligatoria en causas conexas

La fragmentación jurisdiccional exige una solución normativa específica. Se propone la reforma del artículo 17 LECrim para introducir un mecanismo de comunicación obligatoria entre juzgados en materia de cibercrimen organizado, de forma que cuando la Fiscalía o la policía judicial certifiquen por escrito la conexión objetiva entre causas pendientes en distintos juzgados, el órgano que conozca de la causa de mayor complejidad deba recabar la acumulación de las restantes en plazo determinado. Complementariamente, se propone que el CGPJ emita instrucciones específicas sobre la aplicación de los criterios de conexidad en materia de delincuencia informática organizada.

10.3. Protocolo de guardia digital: respuesta judicial en tiempo real

La habilitación de un protocolo de guardia digital —activable las 24 horas del día, los 365 días del año— permitiría que las solicitudes urgentes de bloqueo de cuentas fueran resueltas por el Juzgado de Guardia en un plazo máximo de una hora desde su presentación telemática. Este protocolo puede implementarse mediante la ampliación de las funciones del juzgado de guardia existente y la habilitación de sistemas de presentación y resolución telemática, sin necesidad de crear nuevos órganos judiciales.

10.4. Obligaciones bancarias reforzadas y reforma del marco PSD3

La transposición de la PSD3 debe incorporar: la presunción de responsabilidad bancaria en supuestos de fraude por ingeniería social, con inversión efectiva de la carga de la prueba; la obligación de reembolso provisional mientras se sustancia la controversia; sistemas de detección de transferencias anómalas con capacidad de bloqueo preventivo; y protocolos de respuesta inmediata ante solicitudes policiales o judiciales de información sobre cuentas receptoras. El modelo de reembolso obligatorio del PSR británico debe servir de referencia directa para el legislador español y europeo.

10.5. Formación especializada de operadores jurídicos

El Consejo General del Poder Judicial, la Fiscalía General del Estado y el Consejo General de la Abogacía deben incorporar en sus planes de formación continua módulos obligatorios de derecho penal informático, análisis forense digital básico y cooperación judicial internacional en materia de cibercrimen. La Asociación de Peritos Forenses Digitales (APFD) y HumanJuris han desarrollado iniciativas de formación y sensibilización que pueden servir de modelo para una respuesta institucional más ambiciosa.

10.6. Marco normativo para el fraude potenciado por inteligencia artificial

El Reglamento (UE) 2024/1689, de Inteligencia Artificial, prohíbe en su artículo 5 determinadas prácticas de manipulación mediante sistemas de IA. Sin embargo, la aplicación de este marco al fraude con voz clonada y vídeo sintético requiere el desarrollo de protocolos de detección forense específicos, la formación de peritos especializados y la clarificación de la tipificación penal de estas modalidades en el Código Penal, más allá de la subsunción en los tipos generales de estafa informática.

XI. Conclusiones

El cibercrimen financiero representa uno de los mayores desafíos del Estado de Derecho contemporáneo. Su naturaleza transnacional, su velocidad de ejecución y su capacidad para explotar las lagunas entre jurisdicciones lo convierten en un adversario extraordinariamente difícil para un sistema jurídico concebido en el siglo XIX y parcialmente adaptado al siglo XX.

La experiencia cotidiana en la defensa de víctimas de fraude digital permite afirmar con convicción que el problema no reside en la ausencia de normas penales aplicables —que existen y son suficientes en su formulación abstracta— sino en la incapacidad del sistema de responder con la velocidad y la especialización que el fenómeno exige. A este déficit se añade el problema de coordinación jurisdiccional que hemos documentado: juzgados que instruyen en paralelo sobre la misma banda criminal sin comunicarse entre sí, mientras la policía divide sus equipos y el dinero desaparece.

El modelo británico de reembolso obligatorio demuestra que la protección efectiva de las víctimas es posible con voluntad regulatoria. El modelo alemán de juzgados especializados demuestra que la especialización judicial no exige reformas constitucionales. La creación de una Fiscalía Especializada en Cibercrimen, la implementación de protocolos de coordinación judicial obligatoria, el refuerzo de las obligaciones bancarias y la mejora de la formación de los operadores jurídicos son medidas que requieren fundamentalmente voluntad política y recursos. La alternativa —seguir como hasta ahora— es asumir que el crimen organizado digital tiene garantizada la impunidad. Y eso es algo que el Estado de Derecho no puede permitirse.

 

 

 

Referencias normativas, jurisprudenciales y bibliográficas

Normativa española

¹ Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal, arts. 248.2, 250, 264, 301, 570 bis y 570 ter, en la redacción dada por LO 5/2010 y LO 1/2015.

² Ley de Enjuiciamiento Criminal, arts. 13, 17 (conexidad de delitos), 589 y ss. (medidas cautelares reales).

³ Ley Orgánica 6/1985, de 1 de julio, del Poder Judicial, arts. 292-297 (responsabilidad patrimonial por funcionamiento anormal de la Administración de Justicia).

⁴ Constitución Española, art. 121 (derecho a indemnización por daños causados por error judicial y por el funcionamiento anormal de la Administración de Justicia).

⁵ Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, arts. 44, 45 y 46.

⁶ Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

 

Normativa europea

⁷ Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD), arts. 4.12, 32, 33 y 34; Considerando 75.

⁸ Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015 (PSD2).

⁹ Nueva regulación europea de servicios de pago (PSD3), aprobada en 2024, pendiente de publicación oficial en el DOUE con número definitivo y de transposición en los Estados miembros. Se recomienda verificar el estado exacto de tramitación en el momento de publicación del presente artículo.

¹⁰ Directiva 2014/41/UE del Parlamento Europeo y del Consejo, de 3 de abril de 2014, relativa a la Orden Europea de Investigación en materia penal.

¹¹ Directiva 2013/40/UE del Parlamento Europeo y del Consejo, de 12 de agosto de 2013, relativa a los ataques contra los sistemas de información.

¹² Reglamento (UE) 2016/794 del Parlamento Europeo y del Consejo, de 11 de mayo de 2016, relativo a la Agencia de la Unión Europea para la Cooperación Policial (Europol).

¹³ Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial (AI Act), art. 5.

 

Jurisprudencia

¹⁴ Tribunal Supremo, Sala Primera (Civil): doctrina consolidada sobre responsabilidad cuasi-objetiva de las entidades bancarias en supuestos de operaciones no autorizadas. El banco debe responder salvo que acredite fraude o negligencia grave del usuario; la carga de la prueba corresponde a la entidad. Criterio recogido en diversas sentencias de los últimos ejercicios y reflejado en la Memoria de Reclamaciones del Banco de España 2024.

¹⁵ SAP Pontevedra, Sección 1ª, Sentencia 539/2023: la negligencia grave no puede presumirse del mero hecho de que la operación fuera autenticada con los códigos del usuario.

¹⁶ SAP Asturias, Sección 5ª, de 22 de junio de 2023 (ROJ: SAP O 2047/2023): la confianza del usuario en un SMS aparentemente remitido por su entidad bancaria no puede calificarse como negligencia grave.

¹⁷ SAP A Coruña, Sección 3ª, Sentencia 364/2023, de 5 de octubre de 2023: la autenticación de la operación no acredita la identidad del ordenante cuando el usuario ha sido víctima de phishing; la carga de probar la autenticación recae sobre el banco conforme al art. 44 LSP.

 

Fuentes estadísticas e institucionales

¹⁸ Ministerio del Interior (Oficina de Coordinación de Ciberseguridad): Informe sobre la Cibercriminalidad en España 2024. Madrid: Secretaría de Estado de Seguridad, 2025.

¹⁹ Banco de España: Memoria de Reclamaciones 2024. Madrid: Banco de España, 2025.

²⁰ Europol: Internet Organised Crime Threat Assessment (IOCTA) 2024. La Haya: Europol/EC3, 2024.

²¹ Payment Systems Regulator (PSR): APP Scams Reimbursement Dashboard Q4 2025. Londres: PSR, 2026.

²² UK Finance: Annual Fraud Report 2025. Londres: UK Finance, 2025.

²³ INCIBE: alertas y comunicados sobre incidentes de ciberseguridad 2024-2025. León: Instituto Nacional de Ciberseguridad, disponibles en incibe.es.

²⁴ AEPD: Guía para la notificación de brechas de datos personales. Madrid: Agencia Española de Protección de Datos, 2021 (revisada 2024).

 

Bibliografía académica

²⁵ ESTANCONA PÉREZ, A.A.: «Responsabilidad de las entidades financieras ante el hackeo de cuentas bancarias. En particular, casos de phishing», Actualidad Jurídica Iberoamericana, nº 18, 2023, págs. 1590-1617.

²⁶ ALVARADO HERRERA, L.: «Autenticación reforzada de cliente y responsabilidad en la segunda directiva de servicios de pago», Revista de Derecho del Sistema Financiero, nº 5, 2023, págs. 69-112.

²⁷ MIRÓ LLINARES, F.: El cibercrimen. Fenomenología y criminología de la delincuencia en el ciberespacio. Madrid: Marcial Pons, 2012.

²⁸ ROMEO CASABONA, C.M. (dir.): El cibercrimen: nuevos retos jurídico-penales, nuevas respuestas político-criminales. Granada: Comares, 2016.