Cuidado con la llamada del «banco» que te pide el código del SMS: el ‘phishing’ sigue sumando condenas y advertencias

Un SMS que parece del banco, una llamada de un supuesto empleado y una petición que suena razonable: que la clienta le lea el código que acaba de recibir. Así empezó el engaño que la Audiencia Provincial de Asturias ha confirmado con una condena de dos años de prisión, en una sentencia (disponible en el botón ‘descargar resolución’) que rechaza culpar a la víctima por haber caído.

Los hechos se remontan al 2 de diciembre de 2022. Una clienta de Unicaja recibió uno o varios SMS que simulaban proceder de su banco y, poco después, otro que anunciaba una transferencia de 1.000 euros y daba un código para autorizarla. No les hizo caso. Momentos más tarde sonó el teléfono: alguien que decía llamar del banco le explicó que habían detectado un acceso no consentido a su cuenta y que necesitaba el código del último mensaje para anular la operación.

Dudó. Cedió cuando le dijeron que, de lo contrario, no se podría anular el movimiento. Con ese código se ordenó la transferencia, con un cargo de 5 euros en concepto de comisión. Ese mismo día, con un procedimiento similar, se transfirieron 700 euros desde la cuenta de otro cliente de la entidad, sin su consentimiento.

El dinero fue a una cuenta puente, abierta con una identidad usurpada en una entidad irlandesa. De ahí pasó a una cuenta de una entidad de dinero electrónico cuyo titular era el condenado, y se dispuso de él en cajeros automáticos.

(Imagen: E&J)

La víctima no tiene la culpa

El condenado recurrió en apelación y alegó, entre otros motivos, que los denunciantes habían descuidado su deber de autoprotección y que, por tanto, no había estafa. La Sección Segunda lo rechaza con apoyo en la sentencia del Tribunal Supremo 44/2024, de 17 de enero: el delito no tutela solo a «personas especialmente perspicaces o desconfiadas», y desplazar la responsabilidad a la víctima por haber confiado contribuye a su «victimización secundaria».

La Sala subraya además que la clienta mostró recelo tanto ante los mensajes como ante la llamada, y que fueron las maniobras de su interlocutor las que vencieron esa desconfianza.

Una cuenta abierta con DNI y selfie

La defensa sostuvo que el acusado había sido engañado al facilitar sus datos para un supuesto sorteo. Ni él mismo la defendió en el juicio, al que no compareció, y no consta que denunciara. La Audiencia considera patente la mendacidad de esa versión: la cuenta se abrió por internet con DNI y selfies, estaba vinculada al teléfono de su madre y a su correo electrónico, y se creó el 16 de noviembre de 2022, apenas dieciséis días antes de los fraudes. Las salidas de dinero llegaron inmediatamente después de recibirse las transferencias ilícitas y nadie más figuraba como titular o autorizado.

Carece de sentido, añade la Sala, pensar que quien urdió el engaño facilitara una cuenta que luego no pudiera manejar.

(Imagen: E&J)

Prisión, indemnización y cuestiones procesales

La sentencia confirma íntegramente la condena de la Sección de lo Penal del Tribunal de Instancia de Oviedo: dos años de prisión por un delito de estafa continuada, inhabilitación para el derecho de sufragio pasivo y costas, también las del recurso. Deberá indemnizar con 1.005 euros a la primera perjudicada y con 700 a la segunda, más los intereses del artículo 576 de la Ley de Enjuiciamiento Civil. El recurso sostenía que solo debía devolver lo que hubiera dispuesto, pero la Sala recuerda que la indemnización se mide por el perjuicio de las víctimas, no por lo que el condenado llegó a disponer.

Para el lector jurídico hay otras dos cuestiones. La Audiencia descarta la nulidad pedida por habérsele negado dos preguntas a un guardia civil al que la juzgadora no consideró perito, porque la indefensión que justifica anular un juicio ha de ser insubsanable, y el recurrente podía haber pedido esa prueba en segunda instancia (artículo 790.3 de la Ley de Enjuiciamiento Criminal). Un testigo declara sobre hechos que ha percibido, no sobre hipótesis. Tampoco prospera la atenuante de toxicomanía: el informe forense concluía que no tenía mermadas sus facultades.

Contra la sentencia cabe recurso de casación en cinco días, en los supuestos del artículo 849.1.

(Imagen: E&J)

Qué hacer si te llaman

Un mes después de esta resolución, el Tribunal de Justicia de la UE dictó su sentencia en el asunto C-70/25 (Tukowiecka, 15 de octubre) sobre el reembolso inmediato por el banco ante operaciones no autorizadas en casos de phishing, sin que la negligencia del cliente permita negarlo. Una cosa es quién responde penalmente y otra quién devuelve el dinero, y su aplicación a casos en los que el cliente facilita el código es otra cuestión.

La Agencia Tributaria mantiene en su sede electrónica un aviso sobre suplantaciones por correo y SMS: recomienda no abrir mensajes de desconocidos ni contestarlos, extremar la precaución con enlaces y archivos adjuntos aunque procedan de contactos conocidos, y recuerda que nunca solicita por esas vías información confidencial, económica o personal, ni números de cuenta o de tarjeta. Como pauta general, si alguien te llama y te pide un código, cuelga y llama tú al número oficial de tu entidad.