Saber si está siendo estafado depende de comprobar a la vez quién le contacta, qué le pide y por qué canal lo hace. Esta guía le permite reconocer las señales de alerta, verificar mensajes, webs y pagos y actuar con rapidez si ya entregó datos o dinero. También explica cómo denunciar en España y en qué casos conviene el asesoramiento de un abogado penalista.
Ninguna señal aislada demuestra por sí sola un fraude. Los estafadores combinan presión, promesas y una apariencia de seriedad, y la sospecha se confirma cuando varios de esos elementos aparecen juntos en la misma petición.
La sensación de urgencia es la primera palanca: amenazas de bloqueo o sanción y la exigencia de actuar sin consultar a nadie. Esa presión resulta especialmente sospechosa si viene acompañada de una petición de dinero, datos o códigos. Frente a ella aparece el gancho contrario, como un premio no solicitado o una rentabilidad elevada sin riesgo. En las falsas inversiones alertan, además, las trabas para retirar fondos y los nuevos cobros por comisiones o desbloqueos.
A esa presión se suma el aspecto del mensaje. Los errores gramaticales pueden delatar un fraude, pero su ausencia no acredita nada: los estafadores falsifican logotipos, documentos, reseñas y webs de aspecto profesional. Un diseño cuidado, por tanto, no sustituye la comprobación.
Entre las estafas figura el phishing: alguien suplanta a una entidad o persona para obtener contraseñas o datos bancarios. Si llega por SMS se denomina smishing y, al igual que los correos electrónicos de phishing, puede alegar un bloqueo, una deuda o un problema de entrega. Entre los timos también figuran los sitios web falsos y los fraudes en compraventas: al comprar por internet, un precio anormalmente bajo, un anticipo antes de ver el bien o un pago desviado fuera de la plataforma son señales que deben comprobarse. Requieren igual cautela las emergencias de un supuesto familiar, las peticiones de dinero en relaciones sentimentales y los falsos técnicos que piden instalar aplicaciones o acceder al dispositivo.
Detectar un engaño no basta para calificarlo jurídicamente. Conforme al artículo 248 del Código Penal, la estafa exige un engaño bastante que produzca error y lleve a la víctima, con ánimo de lucro del autor, a un acto de disposición patrimonial perjudicial. Las estafas por internet siguen ese mismo criterio: el medio digital no lo altera.
Una vez establecido el concepto básico, conviene distinguir los tipos de estafas. La transferencia no consentida de activos mediante manipulación informática se castiga como estafa informática en el artículo 249.1.a del Código Penal. En cambio, el pago que usted confirma bajo engaño encaja en otro supuesto, y la diferencia repercute en la reclamación al banco.
A partir de ahí, la calificación exige precisión. Las defraudaciones abarcan figuras distintas, como la estafa o la apropiación indebida, y el artículo 250 del Código Penal agrava la estafa cuando afecta a muchas personas o reviste especial gravedad por el perjuicio causado. En términos de defensa penal, identificar la figura correcta y sus elementos es el punto de partida del servicio de defensa en delitos de fraude que presta Antonio Rodas Abogado.
Las señales descritas obligan a pasar a la comprobación. Para evitar estafas, lo decisivo es verificar cada elemento por un canal que usted controle, nunca a través del que le facilita el propio interlocutor.
Un número conocido en la pantalla o un SMS dentro del hilo habitual de su banco no acreditan quién lo envía. Los delincuentes, haciéndose pasar por empresas legítimas, reproducen esos detalles con facilidad. Ante cualquier petición de información personal o financiera, no siga el enlace ni llame al número recibido: compruébelo de una de estas formas.
El mismo principio rige para las peticiones urgentes de un familiar. Llámele a su número habitual o use otro canal independiente, porque la foto y el nombre de un perfil no prueban quién lo controla. Incluso la voz puede clonarse a partir de vídeos publicados en redes sociales.
Los sitios web falsos imitan a entidades reales con letras cambiadas o palabras añadidas en el dominio. En «banco.ejemplo-falso.es», que el nombre del banco aparezca al principio no convierte esa dirección en bancaria. Por su parte, el candado y el HTTPS solo indican una conexión cifrada, no la honradez del titular. En una tienda, la falta de datos identificativos o de contacto y los textos incoherentes deben valorarse en conjunto.
Frente a esas dudas, un comprobador de URL en línea contrasta la reputación, la antigüedad del dominio y los informes de amenazas. Aun así, un resultado sin alertas no descarta una estafa nueva. Además, la URL introducida puede compartirse con terceros: no aporte nunca contraseñas, códigos, datos personales ni documentos.
Antes de firmar una operación, revise el importe, el destinatario y el tipo de movimiento que realmente autoriza, sobre todo en transferencias o pagos con tarjeta. Si un proveedor le comunica un nuevo IBAN, confírmelo con su contacto habitual y con una segunda comprobación. Según el Centro Europeo del Consumidor en España, en el «Bizum inverso» un supuesto comprador envía una solicitud de dinero a quien cree que va a cobrar; distinga siempre entre recibir y enviar.
La clave está en que una autenticación correcta no prueba por sí sola la ausencia de engaño. El informe conjunto de la Autoridad Bancaria Europea y el Banco Central Europeo advierte de que los defraudadores se adaptan a la autenticación reforzada. Para invertir, la CNMV recomienda comprobar que la entidad está autorizada para el servicio concreto y consultar sus advertencias.
Si la verificación llega tarde y usted ya ha sido víctima de una estafa, el tiempo pasa a ser el factor principal. Las medidas se ordenan según lo entregado: dinero, credenciales o documentos de identidad.
Si envió dinero o facilitó acceso bancario, contacte de inmediato con su banco por un canal oficial. Pida el bloqueo y pregunte qué opciones existen para detener o recuperar la operación, sin esperar a reunir todas las pruebas.
En el caso de los criptoactivos, no envíe más activos. Tampoco pague a quien prometa recuperar lo perdido: esa oferta puede ser un segundo engaño.
Si llegó a compartir información personal como sus contraseñas, cámbielas desde un dispositivo fiable en el servicio afectado y en los que la reutilizara, empezando por el correo electrónico. Después, cierre las sesiones desconocidas, revoque accesos y active la autenticación en dos pasos. Cuando un supuesto técnico instaló una aplicación, posible malware, y hay indicios de control activo, puede desconectar el dispositivo de la red y llamar al banco desde otro equipo fiable.
Saber si han usado su DNI exige vigilar contratos, cuentas, compras y préstamos que no reconozca tras haber entregado el DNI o el NIE. Saber si han usado su identidad en internet pasa también por observar los perfiles falsos o los mensajes enviados en su nombre. Ante esa suplantación, la AEPD recomienda documentar el perfil, comunicarlo a la plataforma y denunciarlo.
Una operación no autorizada debe comunicarse sin demora injustificada y, con carácter general, en un máximo de 13 meses desde el adeudo, según el artículo 43 del Real Decreto-ley 19/2018. El artículo 45 de esa norma prevé la devolución inmediata y, como máximo, al final del día hábil siguiente, salvo excepciones legales. En cambio, un pago que usted confirmó bajo engaño no recibe automáticamente ese trato.
La reclamación formal empieza por escrito ante el Servicio de Atención al Cliente del banco. Según el Banco de España, la entidad dispone de 15 días hábiles en servicios de pago y de un mes para otras reclamaciones de consumidores. Para no consumidores, el plazo es de dos meses. Después puede acudir al supervisor en el plazo de un año, y el plazo general publicado para resolver expedientes completos de consumidores es de 90 días.
| Trámite | Plazo | Fuente |
| Comunicar operación no autorizada | Máximo general de 13 meses desde el adeudo | Art. 43 RDL 19/2018 |
| Devolución de operación no autorizada | Final del día hábil siguiente, como máximo | Art. 45 RDL 19/2018 |
| Respuesta del banco (servicios de pago) | 15 días hábiles | Banco de España |
| Respuesta del banco (otros, consumidores) | Un mes | Banco de España |
| Respuesta del banco (no consumidores) | Dos meses | Banco de España |
| Reclamar ante el Banco de España | Un año | Banco de España |
| Resolución de expedientes completos de consumidores | 90 días | Banco de España |
La reclamación bancaria y la denuncia penal se tramitan por separado y pueden avanzar en paralelo. Las dos se apoyan en lo mismo: un relato ordenado y unas pruebas bien conservadas.
Guarde las conversaciones y los correos electrónicos de phishing originales, junto con capturas que muestren fechas, nombres, números y contexto. No borre perfiles ni mensajes antes de documentarlos, aunque le resulte incómodo mantenerlos.
A esos mensajes se añade el rastro económico, que reconstruye el engaño y el recorrido del dinero. Estos documentos forman la base de la prueba:
Conserve todo en un soporte seguro y no publique datos privados en redes. En la práctica procesal, los informes de análisis forense digital pueden identificar direcciones IP y dispositivos, y las declaraciones de otros afectados por el mismo fraude aportan información sobre la maniobra.
Puede denunciar ante la Policía Nacional, la Guardia Civil o el órgano judicial competente. La denuncia debe narrar en orden cronológico el primer contacto, el engaño, los pagos o datos facilitados y lo ocurrido después.
Según los artículos 264 a 266 de la Ley de Enjuiciamiento Criminal, no necesita probar los hechos ni identificar al presunto autor si lo desconoce. Basta con aportar los indicios disponibles. Además, una denuncia policial ordinaria no requiere abogado ni tiene una tasa general.
Tras recibirla, la autoridad puede pedir aclaraciones, practicar diligencias y remitir los hechos al juzgado. Si el asunto se archiva, solicite información, aporte nuevas pruebas y compruebe si cabe recurrir en el plazo indicado. Denunciar, en todo caso, no garantiza recuperar el dinero.
Un abogado penalista analiza la calificación de los hechos, la prueba digital y la trazabilidad de los pagos. Con ese análisis puede preparar una denuncia o una querella y valorar diligencias, recursos o una reclamación de perjuicios. Su intervención resulta especialmente útil si hay varias víctimas, operaciones internacionales o con criptomonedas, un conflicto con el banco o un archivo. Antonio Rodas Abogado estudia desde Badajoz casos de estafa online en Badajoz y delitos de defraudaciones, tanto para víctimas como para personas acusadas.
Si sus recursos son limitados, la asistencia jurídica gratuita puede cubrir abogado, procurador y otras prestaciones. Para ello debe cumplir requisitos legales vinculados, entre otros factores, al IPREM vigente. Conforme al artículo 17 del Real Decreto 141/2021, la Comisión de Asistencia Jurídica Gratuita dispone de un máximo de 30 días hábiles para resolver desde que recibe el expediente completo.
Corte el contacto con el presunto estafador y no haga nuevos pagos para desbloquear fondos ni contrate supuestas recuperaciones, que pueden ser un segundo engaño. Si hay peligro inmediato o amenazas, llame al 112. El 017 de INCIBE orienta sobre incidentes de ciberseguridad, aunque no sustituye la denuncia ni la reclamación bancaria.
No necesariamente. El riesgo aumenta si, tras abrirlo, descargó un archivo, concedió permisos, instaló una aplicación o introdujo sus credenciales.
Puede pedir una respuesta motivada que aclare si el banco considera la operación autorizada y en qué elementos se basa. El informe del Banco de España no es vinculante ni sustituye a una sentencia. Recuerde, además, que reclamar, denunciar y recuperar el dinero son gestiones distintas que pueden tramitarse en paralelo.
