Cuándo es delito lo que ocurre en internet: estafas, amenazas y acoso, menores, intimidad, suplantación de identidad y ataques informáticos

Qué son los ciberdelitos: los delitos de siempre por un medio nuevo y los tipos propios

Bajo el nombre de ciberdelitos se agrupan delitos de siempre cometidos con un ordenador o un teléfono, como la estafa o la revelación de un secreto de empresa, y delitos que solo existen en el entorno informático, como la estafa informática (art. 249 CP), los daños en datos, programas y sistemas (arts. 264 a 264 ter) y el acceso ilícito a un sistema de información (art. 197 bis). El Código Penal los reparte entre los capítulos que protegen cada bien, el patrimonio, la intimidad o el mercado.

Según la Memoria de la Fiscalía General del Estado de 2025, más de ocho de cada diez procedimientos judiciales por ciberdelitos incoados en 2024 fueron estafas, y les siguieron, a gran distancia, las amenazas y coacciones, la pornografía infantil, el descubrimiento de secretos, los demás delitos sexuales y el acoso. Los ataques a sistemas, como el ransomware, que cifra los archivos y exige un rescate, y la denegación de servicio, que satura una web hasta dejarla inservible, generan muchas menos causas, aunque la Memoria advierte de que sus efectos son cada vez más preocupantes.

Esta guía explica con detalle la estafa, los daños informáticos y la prueba digital, y en apartados breves lo propio de internet en los demás delitos, que tienen su guía: las amenazas y el acoso, los delitos sexuales contra menores, la intimidad y la suplantación de identidad.

La estafa por internet: el engaño que lleva a pagar (art. 248)

Comete estafa quien, con ánimo de lucro, utiliza un engaño bastante para producir error en otro y le induce a realizar un acto de disposición en perjuicio propio o ajeno, como una transferencia, un pago o una entrega. Se castiga con prisión de seis meses a tres años, y con multa de uno a tres meses si lo defraudado no excede de 400 euros y no concurre ninguna agravación del art. 250, salvo que el autor haya sido condenado en firme por tres delitos de la misma naturaleza, uno de ellos leve (art. 248 CP).

En el fraude por internet hay estafa cuando es la víctima quien paga porque cree algo que no es cierto: la compra en una tienda en línea o en un anuncio que no existen, la transferencia a la «cuenta segura» que le indica por teléfono un falso empleado del banco o el ingreso en una plataforma de inversión en criptomonedas montada para captar dinero. El error lo ha causado el autor, y la víctima dispone de su propio patrimonio.

Obtener con un ardid que la víctima teclee su número secreto y usar después la tarjeta es también estafa del art. 248, porque hay engaño. El Supremo confirmó la condena por estafa de quien distraía a sus víctimas en el cajero, les hacía creer que la tarjeta se había quedado dentro y lograba que introdujeran el número para «desbloquear» la máquina, y con ella la sentencia del Tribunal Superior de Justicia, que había recordado que la estafa clásica y la informática son delitos homogéneos (STS 304/2025, de 2 de abril).

Qué significa esa homogeneidad para la acusación y la defensa se explica en Acertar con el delito: homogeneidad y calificación alternativa, y cuándo el engaño es bastante y cuándo la falta de cuidado de la víctima excluye la estafa, en Estafa o incumplimiento de contrato.

La estafa informática y el fraude con tarjetas y medios de pago (art. 249)

El Código considera también «reos de estafa», es decir, responsables de ese delito, con la misma pena de prisión de seis meses a tres años, a quienes con ánimo de lucro consiguen una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro interfiriendo indebidamente en un sistema de información, introduciendo, alterando o borrando datos o valiéndose de otra manipulación informática o artificio semejante (art. 249.1.a).

Lo son también quienes usan de forma fraudulenta una tarjeta u otro instrumento de pago distinto del efectivo, o sus datos, para realizar operaciones en perjuicio de su titular o de un tercero (art. 249.1.b).

Con la misma pena se castiga a quien fabrica, obtiene, posee, comercia o proporciona a terceros programas, datos o cualquier otro medio diseñado o adaptado específicamente para cometer estas estafas, y a quien sustrae, se apropia o adquiere ilícitamente tarjetas u otros instrumentos de pago para usarlos de forma fraudulenta (art. 249.2). A quien, sabiendo su origen ilícito, los posee, adquiere, transfiere, distribuye o pone a disposición de terceros para ese uso se le impone la pena en su mitad inferior, la mitad más baja de esa horquilla (art. 249.3).

El art. 250 agrava «el delito de estafa», y el art. 249 considera reos de estafa a quienes cometen estas modalidades, de modo que sus agravaciones, como la de superar 50.000 euros, alcanzan también a la estafa informática y al fraude con instrumentos de pago.

Estas conductas estaban antes en el art. 248.2 CP, y por eso las sentencias sobre hechos anteriores a la reforma citan ese apartado. La Ley Orgánica 14/2022, de 22 de diciembre, las llevó a un precepto propio, el art. 249, y la Sala Segunda las considera modalidades con autonomía frente a la estafa del art. 248 que no tienen el engaño como elemento: el autor no necesita convencer a nadie, porque es él quien mueve el dinero (STS 296/2026, de 22 de abril).

De esa autonomía se sigue que el art. 249 no admite la rebaja a delito leve cuando lo defraudado no pasa de 400 euros, que el art. 248 reserva a la estafa clásica. El Supremo lo resolvió a instancia del fiscal frente a una Audiencia que había castigado como delito leve el pago de tres consumiciones de 10,50 euros con una tarjeta ajena, y restableció la condena a seis meses de prisión (STS 565/2026, de 25 de septiembre).

Quien sustrae una tarjeta y la usa responde por el uso fraudulento consumado del art. 249.1.b), que absorbe el delito de sustracción o adquisición ilícita para ese uso del art. 249.2.b), castigado por el Código para adelantar la protección (STS 296/2026).

La víctima puede ser también una empresa. Manipular las líneas telefónicas de una operadora para generar llamadas a números de tarificación adicional, de los que el autor obtenía ingresos, se castigó como estafa informática continuada y no como defraudación en las telecomunicaciones del art. 255, porque el autor no buscaba usar el servicio sin pagarlo, sino obtener un lucro con una maquinación que alcanzó 72.538 euros (STS 787/2022, de 26 de septiembre, que aplicaba aún el antiguo art. 248.2).

Anuncios falsos, falsas inversiones, phishing, fraude del CEO y falso proveedor: dónde encaja cada uno

El criterio que separa los dos preceptos es quién realiza la operación. En el anuncio falso de un alquiler, de unas entradas o de un viaje, que según la Memoria de la Fiscalía siguen siendo habituales, es la víctima quien paga por algo que no existe, y el hecho es estafa del art. 248.

En la falsa inversión en criptomonedas, la víctima ingresa su dinero en una plataforma que muestra rendimientos inexistentes y le pide nuevos ingresos para retirarlos. Es la víctima quien dispone, engañada, y el encaje es el art. 248.

Si el correo o el SMS falso consigue que la víctima entregue sus contraseñas y es el autor quien, con ellas, ordena las transferencias, no hay un acto de disposición de la víctima, sino una transferencia que ella no ha consentido o una operación con los datos de su instrumento de pago, que castiga el art. 249.1. La Audiencia Provincial de Las Palmas encuadra el phishing en la estafa informática (SAP 87/2026, de 5 de marzo).

En la llamada del falso empleado del banco que convence al cliente para mover su dinero, la respuesta depende de lo que ocurra en ella: si es el cliente quien ordena la transferencia, engañado, el hecho se rige por el art. 248; si en la llamada se obtienen sus contraseñas y la operación la hace el autor, por el art. 249.1.

En el fraude del CEO, un empleado recibe un correo que aparenta venir del consejero delegado y ordena una transferencia urgente y confidencial; en el del falso proveedor, la empresa recibe una factura con el número de cuenta cambiado o el aviso de una «nueva cuenta». En los dos es la empresa, por medio de su empleado, quien paga engañada, de modo que el hecho es estafa del art. 248. Si para suplantar el correo se entró en el buzón de la empresa o del proveedor vulnerando sus medidas de seguridad, ese acceso es un delito distinto (art. 197 bis.1).

La pena sube a prisión de uno a seis años y multa de seis a doce meses cuando lo defraudado supera 50.000 euros o el fraude afecta a un elevado número de personas, y a prisión de cuatro a ocho años y multa de doce a veinticuatro meses cuando supera 250.000 euros (art. 250.1.5.º y 250.2 CP).

Afecta a un elevado número de personas el fraude que alcanzó a veintidós víctimas identificadas. Para el Supremo es un concepto de umbral más bajo que el perjuicio a una generalidad de personas, que en el delito continuado contra el patrimonio de notoria gravedad obliga al juez a imponer, motivadamente, la pena superior en uno o dos grados, y exige que las víctimas estén identificadas (art. 74.2 CP; STS 304/2025, de 2 de abril).

La cuenta prestada para mover dinero ajeno: cooperación en la estafa, receptación, blanqueo o solo devolver

La «mula» o «mulero» es quien pone su cuenta bancaria a disposición de otros para recibir transferencias y reenviarlas, retirarlas en efectivo o convertirlas, normalmente a cambio de una comisión y con la apariencia de un trabajo desde casa o de un favor. Como el dinero llega a su nombre, la investigación llega a él por la titularidad de la cuenta.

Lo que se le atribuya depende de lo que sabía y de cuándo intervino, porque el Código no castiga esta conducta en un delito propio. La Audiencia Provincial de Las Palmas ha ordenado las calificaciones posibles con cita de la jurisprudencia de la Sala Segunda, con un fin que ella misma llama ilustrativo, porque la razón de su fallo fue otra, y advierte de que la conducta del llamado mulero bancario ha planteado debates sobre su calificación y sobre el conocimiento que se le exige (SAP 87/2026, de 5 de marzo, de su Sección 1.ª).

Si puso la cuenta antes de la transferencia sabiendo que el dinero procedía de un fraude, o representándose que era muy probable, que es lo que se llama dolo eventual, responde normalmente como cooperador necesario de la estafa informática, el que coopera con un acto sin el cual el delito no se habría cometido y al que la ley considera autor (art. 28.b CP), porque su aportación es anterior al desplazamiento del dinero. Lo que haga después con el dinero pertenece al agotamiento del delito, la fase posterior a su consumación.

Si intervino después de consumada la estafa, o solo tuvo noticia del fraude cuando el dinero ya estaba en su cuenta, y lo transfirió a terceros sabiendo o representándose su origen ilícito, el hecho puede ser receptación, que no admite la forma imprudente y se castiga con prisión de seis meses a dos años (art. 298.1 CP). La figura se explica en La receptación: aprovecharse de lo sustraído por otro.

El blanqueo admite la imprudencia grave (art. 301.3), pero según la misma Audiencia requiere una actividad distinta de recibir el dinero y transferirlo a un tercero: actos aptos para ocultar su origen o para incorporarlo al tráfico económico con apariencia lícita. La Sala Segunda reserva el blanqueo imprudente a supuestos verdaderamente excepcionales y exige, entre otros requisitos, que el autor no conociera el origen ilícito y que infringiera gravemente el deber de cuidado (STS 340/2026, de 13 de mayo).

La defensa se centra en lo que sabía. La ignorancia deliberada, la de quien abriga una sospecha y omite a propósito toda averiguación para mantenerse en la ignorancia, se castiga como dolo eventual o, según los casos, como imprudencia, pero esa fórmula no permite presumir el dolo ni dispensa a la acusación de probar que el acusado conocía, o se representaba, el origen del dinero (SAP de Las Palmas 459/2025, de 15 de diciembre, de su Sección 1.ª, con cita de la jurisprudencia de la Sala Segunda).

En ese asunto la Audiencia confirmó la condena como cooperador necesario de quien abrió una cuenta para que unos desconocidos cobraran supuestas ganancias de apuestas deportivas, a cambio de 300 o 400 euros por operación y con prisa por retirar el dinero: la explicación era inverosímil y la ganancia, desproporcionada. En el de la SAP 87/2026, en cambio, mantuvo la absolución de la titular de una cuenta que solo figuraba como titular formal, sin manejo ni uso de ella.

Quien no responde penalmente puede quedar obligado a devolver. El que por título lucrativo, es decir, sin dar nada a cambio, ha participado de los efectos de un delito está obligado a restituir la cosa o a resarcir el daño hasta la cuantía de su participación (art. 122 CP).

Para la Sala Segunda, esa obligación exige que no haya intervenido en el delito como autor ni como cómplice, porque entonces responde del daño causado por el art. 116, y es solidaria con el autor, de modo que la víctima puede exigir el total a cualquiera de los dos, con el límite de lo que el partícipe se aprovechó. En ese asunto confirmó la condena de quien había participado de los efectos desde que cada euro entró en la cuenta común, saliera después o no de ella (STS 367/2026, de 27 de mayo).

Así se condenó a devolver 50.000 euros a la sociedad que había recibido una transferencia de la víctima de una estafa sin estar concertada con la autora y sin acreditar una causa lícita para ese cobro (STS 217/2025, de 6 de marzo).

Comentario relacionadoBlanqueo de capitales: prueba indiciaria, autoblanqueo e ignorancia deliberada

Asegurar y recuperar el dinero: embargo, decomiso, terceros y la vía del banco

La condena obliga a restituir el mismo bien siempre que sea posible, aunque esté en poder de un tercero que lo adquirió legalmente y de buena fe, salvo que lo adquiriera en la forma que las leyes establecen para hacerlo irreivindicable (art. 111 CP), y obliga también a quien participó de lo obtenido por título lucrativo, como se acaba de ver (art. 122). El fiscal ejercita la acción civil junto con la penal, haya o no acusación particular, salvo que el perjudicado renuncie expresamente a ella (art. 108 LECrim).

Durante el proceso, el juez exige fianza al investigado contra quien resulten indicios y le embarga bienes si no la presta (art. 589 LECrim), y en el procedimiento abreviado puede acordar medidas cautelares para asegurar las responsabilidades pecuniarias (art. 764). Para asegurar el decomiso, los bienes, instrumentos y ganancias del delito pueden aprehenderse o embargarse desde las primeras diligencias, y lo decomisado que deba destinarse a indemnizar a las víctimas no se adjudica al Estado (art. 127 octies CP).

Esas medidas solo alcanzan lo que se localiza, y el dinero puede salir de la cuenta de destino poco después de llegar. Por eso conviene pedir el embargo de los saldos desde el primer escrito, identificando la cuenta a la que llegó cada transferencia. Cómo se fijan y se reducen la fianza y el embargo se explica en Asegurar el dinero durante el proceso: fianza y embargo.

Al margen del proceso penal, la operación de pago que el titular no autorizó se rige por la normativa de servicios de pago, que es una vía civil y distinta. El usuario ha de comunicarla a su banco sin demora injustificada en cuanto la conozca y, en todo caso, dentro de los trece meses siguientes a la fecha del adeudo (art. 43.1 del Real Decreto-ley 19/2018, de 23 de noviembre). Si niega haberla autorizado, corresponde al banco probar que se autenticó, se registró con exactitud y se contabilizó sin fallo técnico (art. 44.1).

El registro del uso del instrumento por el banco no basta, por sí solo, para probar que el titular autorizó la operación ni que actuó con fraude o negligencia grave (art. 44.2). El banco ha de devolver el importe de inmediato y, a más tardar, al final del día hábil siguiente, salvo que tenga motivos razonables para sospechar fraude y los comunique por escrito al Banco de España (art. 45.1).

El titular puede soportar hasta 50 euros de pérdidas por el uso de un instrumento extraviado, sustraído o apropiado por un tercero, y todas si actuó de forma fraudulenta o incumplió deliberadamente o por negligencia grave sus obligaciones de proteger el instrumento y sus credenciales; probar ese fraude o esa negligencia corresponde al banco (arts. 41, 44.3 y 46.1). Queda exento de toda responsabilidad cuando las operaciones se hicieron a distancia con solo los datos impresos en la tarjeta, si notificó sin demora y no hubo fraude ni negligencia grave por su parte (art. 46.1).

Si el banco no exigió la autenticación reforzada, la basada en al menos dos elementos independientes, como algo que solo el titular conoce y algo que solo él posee, el titular solo soporta las consecuencias económicas si actuó de forma fraudulenta (arts. 3.5 y 46.2), y por el uso del instrumento sustraído posterior a su aviso no responde, salvo actuación fraudulenta (art. 46.3). Cuando el titular no es consumidor ni microempresa, el contrato puede haber excluido estas reglas de prueba y de responsabilidad y fijado otro plazo de aviso (art. 34.1).

Las amenazas y el acoso por mensajes o por redes sociales

Amenazar, coaccionar o acosar por mensajes o por redes sociales son los mismos delitos que fuera de internet, y se explican en la guía Cuándo una amenaza, una coacción o un acoso son delito, cómo se protege a la víctima y cómo se prueba, en especial en El acoso: insistir hasta alterar la vida de otro y en La prueba: mensajes, capturas y la declaración de la víctima.

Lo que cambia es la identificación de quien escribe. La Memoria de la Fiscalía General del Estado de 2025 recoge que las plataformas tardan en contestar a los requerimientos judiciales, a menudo sin resultado, que por eso se recomienda cotejar los mensajes ante el Letrado de la Administración de Justicia en la guardia o al empezar la instrucción, y que el rastro de «mensaje eliminado» ha servido para corroborar a la víctima. Cómo actuamos en cada lado se explica en el servicio, en Si le amenazan o le acosan por mensajes o por redes sociales.

Los delitos sexuales contra menores por internet: lo que trata la guía de delitos sexuales

Contactar por internet con un menor de dieciséis años con fines sexuales (art. 183 CP) y producir, difundir, poseer o consultar pornografía infantil (art. 189) se explican en El contacto con menores por internet y la pornografía infantil, y los derechos del menor víctima, en la guía Niños, niñas, adolescentes y personas con discapacidad víctimas de un delito: sus derechos y su protección en el proceso penal.

Según la Memoria de la Fiscalía General del Estado de 2025, muchas de estas causas llegan por denuncias de usuarios de la red o por avisos de policías u organismos de otros países que detectan direcciones IP situadas en España; no es infrecuente que se registren los dispositivos del investigado, también en la nube, y con bastante frecuencia todo lo hallado se investiga en un solo procedimiento. La Memoria advierte también del material elaborado con inteligencia artificial, y la ley incluye en la pornografía infantil las imágenes realistas de un menor (art. 189.1 CP).

Lo que la ley exige para registrar los dispositivos y la nube se explica en La investigación tecnológica: dirección IP, datos de las operadoras, registro de dispositivos y conservación de datos.

El acceso al móvil, al correo o a un sistema, y las imágenes íntimas: lo que trata la guía de intimidad

Entrar en el teléfono o en el correo de otro, instalarle una aplicación espía o difundir sus imágenes íntimas son delitos contra la intimidad, que se explican en la guía Cuándo es delito invadir la intimidad de otro o entrar en su casa, cómo se prueba y cuándo prescribe; la difusión de imágenes, en Intimidad: imágenes íntimas obtenidas con consentimiento (art. 197.7).

El acceso ilícito a un sistema de información (art. 197 bis.1), la interceptación de transmisiones no públicas de datos (art. 197 bis.2) y la producción o cesión de programas y contraseñas para cometerlos (art. 197 ter) se explican en Intimidad: datos reservados y acceso a dispositivos (arts. 197.2, 197 bis y 197 ter).

Estos delitos solo se persiguen si los denuncia la persona agraviada o su representante legal, salvo que se trate de los hechos del art. 198, cometidos por autoridad o funcionario, que el hecho afecte a los intereses generales o a una pluralidad de personas o que la víctima sea menor de edad o una persona con discapacidad necesitada de especial protección (art. 201 CP). Para la Fiscalía, la excepción de la pluralidad de personas cubre, por ejemplo, la obtención masiva de credenciales bancarias planificada para afectar a muchas personas (Circular 3/2017, conclusión 16.ª).

La exigencia de denuncia deja en manos del afectado, según la misma Circular, la persecución del llamado hacking ético, el de quien entra en un sistema para descubrir sus fallos de seguridad y avisar a su titular.

La Memoria de la Fiscalía General del Estado de 2025 distingue el acceso de quien conoce a la víctima y entra en su teléfono, en su correo o en registros con sus datos de los ataques de grupos organizados que acceden de forma masiva a las bases de datos de empresas y organismos para usar después esa información, muchas veces en fraudes.

La suplantación de identidad: cuentas y préstamos a nombre de otro, perfiles falsos y montajes

Valerse del nombre y los datos de otra persona para abrir una cuenta, pedir un préstamo o contratar en línea es, por lo general, el medio de una estafa (arts. 248 y 249 CP). El art. 401 CP castiga con prisión de seis meses a tres años a quien «usurpare el estado civil de otro», y la Memoria de la Fiscalía General del Estado de 2025 observa que muy pocos de los procedimientos abiertos por ese delito llegan a acusación, lo que, a su juicio, sugiere que se registran así conductas que finalmente no encajan en él.

Abrir perfiles falsos o publicar anuncios con la imagen de otra persona, sin su consentimiento y causándole acoso, hostigamiento o humillación, es el delito del art. 172 ter.5 CP, que se explica en El acoso: insistir hasta alterar la vida de otro. Para los montajes íntimos o sexuales hechos con inteligencia artificial sobre adultos reconocibles, que según la Memoria no estaban tipificados de forma expresa, la Fiscalía sostiene que su difusión es un trato degradante del art. 173.1 CP, castigado con prisión de seis meses a dos años, y ha acusado por ese delito.

Quien descubre que una cuenta abierta con su identidad recibió el dinero de otras víctimas puede verse investigado como titular. La Fiscalía de Bizkaia, según la misma Memoria, advierte del aumento de estos casos y trabaja para evitar «condenas injustas contra estas nuevas víctimas»; lo que hace su defensa en ese caso se explica en el servicio, en Si le investigan: la prueba digital y la cuenta a su nombre.

Los daños informáticos y la interrupción de sistemas (arts. 264 a 264 ter)

Comete daños informáticos quien, por cualquier medio, sin autorización y de manera grave, borra, daña, deteriora, altera, suprime o hace inaccesibles datos informáticos, programas o documentos electrónicos ajenos, cuando el resultado producido es grave. Se castiga con prisión de seis meses a tres años (art. 264.1 CP). La gravedad se exige dos veces, en la conducta y en el resultado, y las dos han de probarse.

La pena es de prisión de dos a cinco años y multa del tanto al décuplo del perjuicio, es decir, de una a diez veces su importe, si el delito se comete en el marco de una organización criminal, causa daños de especial gravedad o afecta a un número elevado de sistemas, perjudica gravemente servicios públicos esenciales o la provisión de bienes de primera necesidad, afecta a una infraestructura crítica o se comete con los programas o contraseñas del art. 264 ter; si los hechos son de extrema gravedad, puede imponerse la pena superior en grado (art. 264.2).

Las penas se imponen en su mitad superior, la mitad más alta de su horquilla, cuando el autor utiliza ilícitamente los datos personales de otra persona para entrar en el sistema o para ganarse la confianza de un tercero (art. 264.3), como quien se sirve de las credenciales de un empleado para acceder a los servidores de la empresa.

Para medir el daño, la Fiscalía atiende al coste de restablecer los datos o el sistema, al tiempo durante el que quedaron inutilizados, al lucro cesante y a la reputación de la empresa atacada, y descarta trasladar a estos delitos el umbral de 400 euros de los daños materiales del art. 263, porque recaen sobre elementos inmateriales (Circular 3/2017). En muchos casos esa valoración exige un informe pericial.

Obstaculizar o interrumpir de manera grave, y sin estar autorizado, el funcionamiento de un sistema informático ajeno se castiga con prisión de seis meses a tres años, en su mitad superior si perjudica de forma relevante la actividad normal de una empresa, un negocio o una Administración, pudiendo alcanzar la pena superior en grado, la que la ley forma por encima del máximo de la señalada; con las circunstancias del art. 264.2, la pena es de tres a ocho años y multa del triplo al décuplo del perjuicio (art. 264 bis). El ejemplo característico es la denegación de servicio (Circular 3/2017).

La Fiscalía exige que la interrupción afecte «realmente y de forma significativa a la funcionalidad del sistema atacado», lo que en muchos casos requiere informes técnicos (Circular 3/2017, conclusión 22.ª). En el asunto de la STS 806/2025, de 2 de octubre, el Juzgado de lo Penal absolvió del delito de daños informáticos en grado de tentativa, y los hechos probados recogen que los correos borrados pudieron recuperarse sin que el sistema, los equipos ni los archivos sufrieran menoscabo.

El art. 264 ter adelanta la protección: castiga con prisión de seis meses a dos años o multa de tres a dieciocho meses la producción, la adquisición para el propio uso, la importación o la cesión a terceros, sin la debida autorización, de programas concebidos o adaptados principalmente para cometer estos daños, o de contraseñas o códigos que permitan entrar en un sistema, cuando se hace con la intención de que esos daños se cometan. Sin esa intención no hay delito.

Para la Fiscalía, el carácter ajeno del sistema se integra con la falta de autorización: es típico actuar sobre datos o sistemas sin estar habilitado para ello, y solo queda fuera la actuación sobre sistemas de los que el titular tiene pleno control y disposición (Circular 3/2017, conclusión 23.ª). Cuando se acusa a un técnico o a un administrador de sistemas, la defensa examina qué permisos tenía y si lo que hizo cabía en ellos.

El Código no exige denuncia del perjudicado para perseguir los daños informáticos, a diferencia de lo que ocurre con el acceso ilícito (art. 201 CP) y con el secreto de empresa (art. 287).

El secuestro de datos (ransomware) y la copia previa de la información

El ransomware cifra los archivos de un equipo o de la red de una empresa y deja a su titular sin acceso a ellos hasta que pague. La Fiscalía lo pone como ejemplo de la conducta de hacer inaccesibles datos ajenos del art. 264.1: los datos siguen existiendo, pero no pueden consultarse ni utilizarse, y el atacante suele presentar el pago del rescate como única forma de recuperarlos (Circular 3/2017).

Si el ataque afecta al funcionamiento del sistema en su conjunto y no solo a unos archivos, el hecho puede integrar la obstaculización o interrupción del art. 264 bis, con la pena en su mitad superior cuando perjudica de forma relevante la actividad de la empresa. La Fiscalía distingue los dos preceptos por la capacidad de la acción para afectar a la operatividad del sistema en su conjunto (Circular 3/2017, conclusión 24.ª). Un ataque que alcanza muchos equipos puede llevar a la agravación por afectar a un número elevado de sistemas (art. 264.2.2.ª).

Cuando, antes de cifrar, el atacante copia los datos para amenazar con publicarlos, esa copia es un hecho distinto del cifrado. Entrar vulnerando las medidas de seguridad es acceso ilícito (art. 197 bis.1); apoderarse de datos reservados de personas, como los de clientes o trabajadores, puede ser un delito contra la intimidad (art. 197.2), y si lo copiado es un secreto de empresa, el delito es el del art. 278, castigado con más pena si se difunde.

La Fiscalía aprecia, como regla general, concurso medial, es decir, castigar los dos delitos con la regla del art. 77 CP en lugar de entender que uno absorbe al otro, entre el acceso ilícito y el descubrimiento de secretos de empresa, porque protegen bienes distintos y el acceso no es un medio necesario para descubrir el secreto (Circular 3/2017). La empresa atacada que denuncia pronto permite que se ordene conservar los registros de conexión antes de que se pierdan, como se explica en el apartado sobre la investigación tecnológica.

El empleado que se lleva la información: el secreto de empresa (arts. 278 a 280)

El Código protege el secreto de empresa frente a tres conductas: apoderarse de datos, documentos o soportes para descubrirlo (art. 278 CP), revelarlo o cederlo quien tenía obligación legal o contractual de guardar reserva (art. 279) y realizar cualquiera de esas conductas quien conoce su origen ilícito sin haber tomado parte en su descubrimiento (art. 280). El empleado que revela lo que conoce por su trabajo comete el del art. 279, castigado con prisión de dos a cuatro años y multa de doce a veinticuatro meses, en su mitad inferior si lo utiliza en provecho propio.

Para la Sala Segunda, secreto de empresa es todo dato propio de la actividad empresarial que, conocido contra la voluntad de la empresa, puede afectar a su capacidad competitiva, y sus notas son la confidencialidad, la exclusividad, el valor económico y la licitud; lo son los listados de clientes, las tarifas y los datos de facturación (STS 806/2025, de 2 de octubre).

En ese asunto, una comercial envió a la empresa competidora que después la contrató, el mismo día en que anunció su marcha, veinte correos con logotipos y diseños de clientes, y se llevó la información de artículos y tarifas. El Supremo confirmó su condena por el art. 279 y que la indemnización se fijara en ejecución de sentencia sobre las bases establecidas en la condena (STS 806/2025).

Estos delitos solo se persiguen mediante denuncia de la empresa agraviada o de sus representantes legales, salvo que afecten a los intereses generales o a una pluralidad de personas (art. 287 CP).

Si la información acaba en una empresa competidora, esta puede responder penalmente cuando se reúnen los requisitos del art. 31 bis (art. 288), y la sentencia se publica en los periódicos oficiales y, si lo pide el perjudicado, puede reproducirse en cualquier otro medio informativo a costa del condenado (art. 288). Las penas de los demás delitos relativos al mercado se exponen en Propiedad intelectual e industrial, mercado y consumidores.

Cuándo responde la empresa por un ciberdelito

Una sociedad responde penalmente solo de los delitos para los que el Código lo prevé, y solo de los cometidos en su nombre o por su cuenta y en su beneficio directo o indirecto por sus representantes o directivos, o por empleados sometidos a su autoridad que han podido cometerlos porque se incumplieron gravemente los deberes de supervisión, vigilancia y control (art. 31 bis.1 CP).

Entre los delitos de esta guía, lo prevé para la estafa, incluida la informática, con multa del doble al cuádruple de lo defraudado, o del triple al quíntuple si la pena de la persona física supera cinco años de prisión (art. 251 bis), y para el acceso ilícito y el descubrimiento de datos, con multa de seis meses a dos años (art. 197 quinquies). También para el secreto de empresa (art. 288) y para el blanqueo (art. 302.2).

En los daños informáticos y la interrupción de sistemas, la multa es de dos a cinco años, o del quíntuplo a doce veces el valor del perjuicio causado si resulta una cantidad superior, cuando el delito de la persona física se castiga con más de tres años de prisión, y de uno a tres años, o del triple a ocho veces el perjuicio, en los demás casos (art. 264 quater). En todos estos supuestos el juez puede imponer también, atendidas las reglas del art. 66 bis, las penas de las letras b) a g) del art. 33.7.

Quién tiene que probar qué, qué penas arriesga la empresa y el catálogo completo se explican en la guía ¿Puede ser condenada penalmente mi empresa?, y la defensa de la sociedad, en el servicio Defensa penal de empresas y compliance.

La investigación tecnológica: dirección IP, datos de las operadoras, registro de dispositivos y conservación de datos

Las medidas de investigación tecnológica requieren autorización judicial dictada con sujeción a los principios de especialidad, idoneidad, excepcionalidad, necesidad y proporcionalidad: han de referirse a un delito concreto, no pueden servir para descubrir delitos o despejar sospechas sin base objetiva y solo se acuerdan si no hay otra medida menos gravosa e igualmente útil o si, sin ella, el descubrimiento del hecho o de su autor se vería gravemente dificultado (art. 588 bis a.4 LECrim).

La proporcionalidad se mide, entre otros datos, por la gravedad del hecho, su trascendencia social y el ámbito tecnológico en que se produjo (art. 588 bis a.5).

El juez las acuerda de oficio o a instancia del fiscal o de la Policía Judicial (art. 588 bis b.1). La interceptación de comunicaciones telefónicas y telemáticas cabe, además de en los delitos dolosos castigados con un máximo de al menos tres años de prisión y en los de grupo u organización criminal y terrorismo, en los cometidos a través de instrumentos informáticos o de cualquier otra tecnología de la información o la comunicación (arts. 579.1 y 588 ter a).

Una dirección IP identifica a una persona solo cuando se relaciona con los datos que conservan los operadores (Circular 2/2019), y esa identificación la autoriza el juez (art. 588 ter k LECrim), mientras que la titularidad de un número o de otro medio de comunicación la obtienen el fiscal y la policía del operador sin autorización judicial (art. 588 ter m). Las dos vías se explican en la guía de amenazas, en La prueba: mensajes, capturas y la declaración de la víctima.

Los datos que los operadores conservan vinculados a las comunicaciones solo se ceden al proceso con autorización judicial (art. 588 ter j), y la obligación legal de conservarlos cesa a los doce meses de la comunicación, salvo que el reglamento amplíe o reduzca ese plazo (art. 5.1 de la Ley 25/2007, de 18 de octubre). La Sala Segunda limita la cesión de los datos conservados por esa obligación a la investigación de delitos graves, que identifica con los del art. 579.1 LECrim (STS 42/2026, de 27 de enero).

Mientras se pide la autorización, el fiscal o la Policía Judicial pueden ordenar a cualquier persona física o jurídica que conserve datos concretos almacenados en un sistema informático, durante noventa días prorrogables una sola vez hasta ciento ochenta (art. 588 octies). Esa orden no necesita autorización judicial, que se exige para la cesión posterior (STS 324/2025, de 7 de abril), y puede dictarse en la investigación de cualquier delito en la que se busquen evidencias digitales (Circular 1/2019).

Las reglas generales sobre el acceso al teléfono o al ordenador intervenidos en un registro se explican en Entrada y registro y acceso al teléfono. Para los ciberdelitos pesa que la resolución que autoriza el acceso al contenido ha de justificarlo de forma individualizada, en el auto que autoriza el registro del domicilio o en otro posterior, y que la Sala Segunda excluye la autorización implícita o sobreentendida (arts. 588 sexies a y b LECrim; STS 254/2026, de 26 de marzo).

El examen directo por la policía sin esperar al juez exige urgencia y un interés constitucional legítimo que lo haga imprescindible, y el juez lo confirma o lo revoca después (art. 588 sexies c.4). Si durante el registro hay razones para creer que los datos están en otro sistema accesible desde el dispositivo, como una cuenta en la nube, ampliar el registro requiere autorización del juez, salvo urgencia, que la policía o el fiscal le comunican en veinticuatro horas para que la confirme o la revoque en setenta y dos (art. 588 sexies c.3).

Puede ordenarse a quien conozca el sistema que proporcione la información necesaria para acceder a los datos, pero no al investigado, a los parientes dispensados de declarar ni a quienes no pueden hacerlo por secreto profesional (art. 588 sexies c.5).

No hace falta autorización judicial si el titular consiente el registro de su dispositivo de forma libre e inequívoca, como la víctima o la empresa que entregan sus propios equipos para que se examinen; si el titular está detenido, su consentimiento solo vale prestado con asistencia letrada (Circular 5/2019, conclusión 3.ª).

El registro remoto, la instalación de un programa que permite examinar a distancia y sin conocimiento de su titular el contenido de un ordenador o un teléfono, solo cabe para los delitos que la ley enumera, entre ellos los cometidos a través de instrumentos informáticos, y dura como máximo un mes, prorrogable por periodos iguales hasta tres (arts. 588 septies a y c LECrim).

La acusación particular no está legitimada, según la Fiscalía, para instar estas medidas, pero puede proponerlas al juez, que solo las acuerda de oficio si asume la propuesta (Circular 1/2019, conclusión 6.ª).

La prueba digital en el juicio: integridad, cadena de custodia y licitud

La resolución que autoriza el acceso fija los términos y el alcance del registro, puede autorizar copias de los datos y ha de establecer las condiciones que aseguren su integridad y su preservación para una eventual pericial (art. 588 sexies c.1 LECrim). Se evita incautar el soporte si causa un grave perjuicio a su titular y puede obtenerse una copia que asegure la autenticidad e integridad de los datos, salvo que sea el objeto o el instrumento del delito (art. 588 sexies c.2).

La Fiscalía distingue el clonado, una copia exacta bit a bit firmada con una función hash, una huella digital del contenido que permite comprobar que la copia coincide con el original, y la copia lógica de carpetas o ficheros concretos, que recomienda hacer ante el Letrado de la Administración de Justicia (Circular 5/2019).

Para la Sala Segunda, la cadena de custodia es una garantía instrumental de la autenticidad del soporte o de su copia digital. Sus defectos anulan la prueba cuando generan una duda razonable y fundada sobre la identidad, la integridad o la autenticidad de lo analizado; los defectos menores se tienen en cuenta al valorar su credibilidad, y la falta del código hash no expulsa por sí sola la prueba del proceso (STS 419/2026, de 19 de junio).

Para descartar el contenido de un teléfono hace falta algún dato que haga verosímil la sospecha de que fue manipulado, y no basta la mera posibilidad de que lo fuera. Así lo resolvió el Supremo con un teléfono que no se aisló de la red antes de extraer su contenido (STS 1077/2025, de 16 de enero de 2026). Quien cuestiona la cadena de custodia ha de precisar en qué momento, por qué actuación y en qué medida se rompió, y hacerlo cuando las acusaciones puedan contradecirlo (Circular 5/2019, con cita de la jurisprudencia de la Sala Segunda).

A la prueba que aporta un particular, como la víctima o la empresa que entrega a la policía un soporte, la regla de exclusión se aplica cuando la actuación privada ha sido instigada, dirigida o aprovechada por los poderes públicos para eludir las garantías, y no de forma automática por cualquier irregularidad en su obtención (STS 419/2026).

La empresa que revisa el ordenador o el correo corporativo de un empleado ha de contar con un título que lo legitime. En el asunto de la STS 436/2023, de 7 de junio, la Audiencia Nacional declaró ilegítimo, sin que nadie lo recurriera, el acceso de unos auditores a los ordenadores y correos de unos directivos, hecho sin su consentimiento, sin autorización judicial y sin cláusula contractual que lo previera; el Supremo mantuvo la condena porque se apoyaba en pruebas independientes de esos correos.

Para la víctima, conservar el dispositivo, el correo en su buzón y los extractos originales permite que la pericial trabaje sobre ellos si la otra parte impugna una captura. El valor de las capturas de pantalla y de los mensajes se explica en La prueba: mensajes, capturas y la declaración de la víctima.

Qué juzgado instruye y cuál juzga una estafa cometida a distancia

Instruye la causa la Sección de Instrucción del Tribunal de Instancia del partido en que se cometió el delito (art. 14.2 LECrim). Para los delitos cometidos por internet, la Sala Segunda aplica el criterio de ubicuidad de su Acuerdo de Pleno no jurisdiccional de 3 de febrero de 2005: el delito se comete en todas las jurisdicciones en que se haya realizado algún elemento del tipo, y es competente en principio el juez de cualquiera de ellas que primero haya iniciado las actuaciones (STS 871/2022, de 7 de noviembre).

En la estafa, ese criterio comprende el lugar del engaño, el del desplazamiento del dinero, el del perjuicio y el domicilio del perjudicado. Si la investigación es sencilla, la competencia corresponde al juzgado del lugar de la maniobra engañosa y del apoderamiento del dinero y, si no coinciden, al primero que conoció de los hechos, que normalmente es el del domicilio del perjudicado, donde recibió el engaño e hizo la transferencia (ATS 20827/2026, de 14 de mayo).

En las estafas informáticas complejas, con varias víctimas en distintos lugares o una misma organización que actúa en varios territorios, la ubicuidad se completa con la eficacia de la investigación, que puede llevarla al lugar donde se intervinieron los equipos o al domicilio del investigado. Ese criterio se interpreta de forma restrictiva, y la complejidad, que no se presume, ha de resultar de una investigación previa (ATS 20827/2026).

Así, la compra de un artículo en una aplicación de segunda mano que el comprador no llegó a recibir se atribuyó al juzgado del lugar de la víctima, que había sido el primero en conocer (ATS 20819/2026, de 14 de mayo).

Cuando la estafa es conexa con un delito castigado con pena mayor, decide el lugar donde se cometió este (arts. 17.2 y 18.1.1.º LECrim): la venta por internet de teléfonos falsificados se atribuyó al juzgado del domicilio de los investigados, donde se presumía publicado el anuncio, porque el delito contra la propiedad industrial tiene mayor pena que la estafa (ATS 20833/2026, de 14 de mayo).

Los órganos centrales con sede en Madrid conocen de las defraudaciones que producen o pueden producir grave repercusión en la seguridad del tráfico mercantil o en la economía nacional, o perjuicio patrimonial a una generalidad de personas en el territorio de más de una Audiencia, y de la fabricación de tarjetas u otros instrumentos de pago falsos por organizaciones o grupos criminales (art. 65.1.º b y c de la Ley Orgánica del Poder Judicial).

Esas causas las instruye la Sección de Instrucción del Tribunal Central de Instancia y las juzga la Sala de lo Penal de la Audiencia Nacional, salvo que corresponda, en los casos que establecen las leyes procesales, a la Sección de lo Penal de ese Tribunal Central (arts. 65.1.º y 95 LOPJ).

La Sala Segunda interpreta también restrictivamente esa competencia: en la investigación de estafas por llamadas que suplantaban a bancos, con decenas de investigados y más de tres millones de euros de perjuicio, la mantuvo en el juzgado de instrucción por no estar acreditada la complejidad (ATS 20827/2026).

Cerrada la instrucción, el enjuiciamiento corresponde a la Sección de lo Penal del Tribunal de Instancia si la pena de prisión señalada no supera cinco años, y a la Audiencia Provincial en los demás casos (art. 14.3 y 4 LECrim). Por eso la estafa y la estafa informática con las agravaciones del art. 250, la interrupción de sistemas agravada del art. 264 bis.2 y el blanqueo doloso los juzga la Audiencia, y la estafa y la estafa informática sin agravación, los daños informáticos del art. 264.1 y el secreto de empresa, la Sección de lo Penal.

Cuándo prescribe cada delito

Cada delito prescribe según la pena máxima que la ley le señala (art. 131.1 CP), y en los de esta guía el resultado es este:

• Estafa del art. 248: cinco años; diez con las agravaciones del art. 250, castigadas con hasta seis u ocho años de prisión, y un año si lo defraudado no excede de 400 euros y no concurre agravación ni la reiteración que el propio artículo prevé, porque entonces es delito leve.
• Estafa informática y fraude con medios de pago (art. 249): cinco años por pequeña que sea la cuantía, porque no admite el delito leve (STS 296/2026), y diez con las agravaciones del art. 250.
• Daños informáticos, también con las agravaciones del art. 264.2, y obstaculización de sistemas (arts. 264.1 y 2 y 264 bis.1): cinco años; daños de extrema gravedad, que admiten la pena superior en grado (art. 264.2, último párrafo), e interrupción de sistemas agravada, castigada con hasta ocho años de prisión (art. 264 bis.2): diez.
• Programas y contraseñas para cometer daños (art. 264 ter), acceso ilícito (art. 197 bis) y secreto de empresa (arts. 278 a 280): cinco años.
• Contacto con menores por internet (art. 183) y pornografía infantil (art. 189.1 y 189.5): cinco años; con las agravaciones del art. 189.2, castigadas con hasta nueve años de prisión, diez. Si la víctima es menor de edad, el plazo de los delitos contra la libertad sexual se cuenta desde que cumple treinta y cinco años (art. 132.1 CP).
• Usurpación del estado civil (art. 401), perfiles falsos con la imagen de otro (art. 172 ter.5) y trato degradante (art. 173.1): cinco años. Las amenazas, el acoso y los delitos contra la intimidad, en sus guías.
• Blanqueo de capitales doloso, castigado con hasta seis años de prisión: diez años; por imprudencia grave, cinco (art. 301 CP).

Cuando los delitos están en concurso o son conexos, todos prescriben en el plazo del más grave (art. 131.4 CP). Lo que interrumpe o suspende el cómputo se trata en Cuándo prescribe el delito y qué interrumpe o suspende el plazo, y la Calculadora del plazo de prescripción del delito permite hacer una estimación.

Servicio relacionadoCiberdelitos: defensa y acusación particular Servicio relacionadoDefensa penal del investigado o acusado Servicio relacionadoAcusación particular y asistencia a la víctima

Preguntas frecuentes