Ciberdelitos: defensa y acusación particular

Qué son los ciberdelitos y qué hacemos en cada lado

Llamamos ciberdelitos a los delitos de siempre cometidos a través de internet, del teléfono o de un sistema informático, como la estafa, la amenaza o la difusión de imágenes íntimas, y a los que solo pueden cometerse contra la informática, como dañar datos ajenos o interrumpir el funcionamiento de un sistema.

Según la Memoria de la Fiscalía General del Estado de 2025, más de ocho de cada diez procedimientos judiciales por ciberdelitos incoados en 2024 fueron estafas, y les siguieron, a gran distancia, las amenazas y coacciones, la pornografía infantil, el descubrimiento de secretos, los demás delitos sexuales y el acoso. Esta página sigue ese orden: explica lo propio de internet en cada uno y remite, para lo demás, a la página de ese delito.

El fiscal acusa por el delito y pide, en el mismo proceso, que se devuelva el dinero y se indemnice a la víctima, salvo que ella renuncie a esa petición o la deje para un juicio civil posterior (arts. 105, 108 y 112 de la Ley de Enjuiciamiento Criminal, LECrim). Entre las primeras diligencias está la de consignar, es decir, hacer constar y asegurar, las pruebas del delito que puedan desaparecer (art. 13), y el fiscal o la policía pueden ordenar a una empresa que conserve datos concretos de sus sistemas mientras se pide al juez que autorice su entrega (art. 588 octies).

Si es usted la víctima, examinamos qué delito es y ante quién se denuncia, interponemos la denuncia o la querella y, desde el primer escrito, instamos que se aseguren los fondos del delito allí donde hayan llegado y que se retiren o se bloqueen los contenidos ilícitos, como la web fraudulenta, el perfil falso o las imágenes difundidas, y proponemos al juez las diligencias de investigación tecnológica, que acuerda de oficio o a petición del fiscal o de la policía. Ejercemos la acusación particular en el juicio y en los recursos.

Si le investigan, la defensa empieza antes de que haya un procedimiento, porque la ley incluye en el derecho de defensa el asesoramiento previo a su posible inicio (art. 3.1 de la Ley Orgánica 5/2024, del Derecho de Defensa). Examinamos cómo se obtuvo la prueba digital y si le atribuye a usted la conducta, y pedimos el archivo cuando falta el conocimiento o la gravedad que el delito exige.

Si es usted la empresa, puede estar en cualquiera de las dos posiciones: perjudicada por el pago a quien se hacía pasar por su director o por un proveedor, o por el secuestro de sus datos, o investigada como persona jurídica por un delito cometido en su beneficio.

La mayoría de estos delitos prescribe a los cinco años; las estafas agravadas, como las de más de 50.000 euros, la pornografía infantil agravada y el blanqueo doloso, a los diez. Qué plazo tiene cada uno se explica en Si ha pasado tiempo: cuándo prescribe.

Puede ir directamente a la parte que le afecta:

Si le han estafado por internet: el anuncio falso, la inversión, el mensaje del banco y la tarjeta

La Memoria de la Fiscalía General del Estado de 2025 describe así las formas de la estafa por internet. Siguen siendo habituales las ofertas falsas en webs y aplicaciones de anuncios, como el alquiler de una vivienda, las entradas para un concierto o el viaje que no existen, y han proliferado las falsas inversiones, a menudo en criptomonedas, en plataformas que muestran ganancias inexistentes para obtener ingresos cada vez mayores.

Es creciente, según la misma Memoria, el uso de mensajes y llamadas que simulan venir del banco, de una empresa o de un organismo público para obtener los datos de la víctima, lo que se conoce como phishing si llega por correo, smishing si es un SMS y vishing si es una llamada. Describe también el uso de la identidad de otro en la banca en línea, los fraudes con tarjetas y con aplicaciones de pago móvil, como el llamado bizum inverso, y los engaños en que la inteligencia artificial imita a una persona próxima o conocida, como en la estafa «del hijo en apuros».

Dónde encaja cada una depende de quién hizo la operación. Si fue usted quien pagó o transfirió, engañado, como en el anuncio o la inversión falsos, es estafa, que consiste en emplear un engaño bastante para que otro disponga de su patrimonio en su perjuicio (art. 248 del Código Penal). Si la transferencia la ordenó el autor sin su consentimiento, con las contraseñas que obtuvo del mensaje o de la llamada o con cualquier manipulación informática, es estafa informática (art. 249.1.a), y si usó su tarjeta o los datos de ella, fraude con instrumentos de pago (art. 249.1.b).

Si acaba de ocurrir, avise a su banco en cuanto lo sepa, porque desde ese aviso, salvo actuación fraudulenta, no soporta usted las consecuencias económicas del uso posterior del instrumento de pago sustraído (arts. 41.b y 46.3 del Real Decreto-ley 19/2018). Después denuncie y conserve los mensajes en el teléfono, como se explica en Si hay que probarlo.

Las dos se castigan con prisión de seis meses a tres años, y las agravaciones de la estafa alcanzan a ambas, de modo que la pena es de uno a seis años y multa si lo defraudado supera 50.000 euros o el fraude afecta a un elevado número de personas, y de cuatro a ocho años y multa si supera 250.000 euros (art. 250). Si fueron varios cargos dentro de un mismo plan, se castigan como un solo delito continuado y la pena se fija teniendo en cuenta el perjuicio total (art. 74).

La estafa del art. 248 de 400 euros o menos, sin agravación, se castiga con multa como delito leve; la estafa informática y el fraude con tarjetas no tienen esa rebaja, como explicamos en la pregunta «Me han vaciado la cuenta tras un mensaje que parecía de mi banco: ¿es delito aunque sea poco dinero?».

Cuándo el engaño es bastante y cuándo un incumplimiento es solo civil se explica en Si pagó y no recibió lo pactado: incumplimiento o engaño, y cada modalidad, en la guía, en Anuncios falsos, falsas inversiones, phishing, fraude del CEO y falso proveedor: dónde encaja cada uno.

Si le han estafado: qué puede pedir y cómo se recupera el dinero

Aunque no se persone en la causa, el fiscal pide para usted la devolución y la indemnización, y no intervenir en el proceso no supone renunciar a ellas (arts. 108 y 110 LECrim). Lo que depende de usted es personarse, es decir, ser parte en el proceso, con abogado y con procurador, que le representa ante el juzgado, para proponer diligencias, recurrir y sostener la acusación.

Puede personarse antes del trámite de calificación, en el que las acusaciones presentan sus escritos, y, pasado ese plazo, sumarse hasta el inicio del juicio oral al escrito de acusación del fiscal o de otra acusación (art. 110 LECrim). En una estafa por internet, la cuenta a la que llegó su dinero es por donde se identifica a quien lo recibió y donde puede embargarse lo que quede.

La denuncia puede presentarse ante la policía, el fiscal o el juzgado (art. 264 LECrim); la querella le hace parte desde el primer día y permite pedir en ella el embargo de los bienes del responsable (art. 277). Cómo se elige entre una y otra lo explicamos en Antes de denunciar y en Denuncia y querella: dos formas distintas de poner en marcha el proceso.

Cuando resultan indicios contra el investigado, el juez le exige fianza para asegurar las responsabilidades económicas y, si no la presta, le embarga bienes (arts. 589 y 764 LECrim), y puede acordar, de oficio o a petición de parte, la retirada provisional de la web o del anuncio falsos, o su bloqueo si están alojados en el extranjero (art. 13 LECrim).

Personado, puede pedir esas medidas desde el primer escrito, señalar las cuentas a las que llegó el dinero y pedir que se aprehendan o embarguen las ganancias del delito para asegurar su decomiso, y lo decomisado que deba destinarse a indemnizarle no se adjudica al Estado (art. 127 octies.1 y 3 del Código Penal).

Si hay condena, el condenado ha de restituir lo obtenido, reparar el daño e indemnizar los perjuicios (art. 110 del Código Penal), y la restitución procede aunque el bien esté en poder de un tercero que lo adquirió de buena fe, salvo que lo adquiriera en la forma que la ley declara irreivindicable, es decir, protegida frente al dueño (art. 111). Quien participó de él por título lucrativo, es decir, sin dar nada a cambio y sin haber intervenido en el delito, está obligado a restituirlo o a resarcir el daño hasta la cuantía de su participación (art. 122).

Si una tienda en línea cobró y no envió y sigue anunciándose, la retirada provisional de la web evita nuevas víctimas mientras se investiga. Ninguna de estas medidas asegura que el dinero vuelva, porque lo que se recupera depende de que se localicen los fondos o los bienes del responsable. Cómo se fijan la fianza y el embargo se explica en Asegurar el dinero durante el proceso: fianza y embargo.

Frente a su banco hay una vía distinta, civil, cuando la operación la hizo otro sin su autorización; sus plazos y lo que ha de probar cada parte se explican en la pregunta «¿Me tiene que devolver el banco lo que me quitaron?». Según la Memoria de la Fiscalía General del Estado de 2025, la Fiscalía de Almería observa que los tribunales civiles condenan mayoritariamente al banco a devolver el dinero, por su deber de proporcionar a sus clientes un entorno digital seguro.

Esa misma Fiscalía advierte de que, cuando no se identifica al autor, puede resultarle más conveniente al cliente dirigirse de inmediato contra el banco en la vía civil, y de que en el proceso penal apenas se pide la responsabilidad civil subsidiaria del banco, que el art. 120.3 del Código Penal prevé para los delitos cometidos en sus establecimientos cuando sus dirigentes o empleados infringieron disposiciones relacionadas con el hecho, de modo que sin esa infracción no se habría producido.

La Memoria cita, como una de las pocas que lo aplican, la STS 188/2024, de 29 de febrero, que confirmó la condena del banco como responsable civil por ese precepto.

También puede proponer al juez diligencias de investigación tecnológica, como la identificación de quien usaba una dirección IP o el registro de un dispositivo. La ley reserva la iniciativa al fiscal y a la policía y permite al juez acordarlas de oficio (art. 588 bis b LECrim), y por eso la Fiscalía entiende que la propuesta de la acusación particular prospera cuando el juez la asume (Circular 1/2019, conclusión 6.ª). De la personación nos ocupamos en Acusación particular y asistencia a la víctima.

Si el juzgado archiva la causa, puede recurrir, como explicamos en ¿Y si el fiscal no acusa o archivan la causa?.

Si le amenazan o le acosan por mensajes o por redes sociales

Las amenazas, las coacciones y el acoso son los mismos delitos se cometan en persona o por internet, y los explicamos en Amenazas, coacciones y acoso: defensa y acusación particular. Cuándo el anuncio de un mal es delito, también el de difundir imágenes íntimas, se explica en Si le han anunciado un mal: cuándo la amenaza es delito, y cuándo lo es la insistencia, en Si le siguen, le vigilan o no dejan de escribirle: el acoso.

Lo propio de internet es la prueba de quién escribe. Según la Memoria de la Fiscalía General del Estado de 2025, los requerimientos judiciales a plataformas como Instagram, Facebook, Google o Telegram tardan mucho en contestarse y, en muchas ocasiones, no dan resultado, de modo que, fuera de los casos más graves, la prueba se construye con las capturas, con la presentación del teléfono en el juzgado para que el Letrado de la Administración de Justicia coteje los mensajes y con la declaración de la víctima y de otros testigos.

La misma Memoria aconseja que ese cotejo se haga en el servicio de guardia o al inicio de la instrucción, porque más adelante es frecuente que los mensajes ya no se conserven o que el teléfono se haya roto, y recoge que el rastro de «mensaje eliminado» que deja quien borra lo que envió, después de que la víctima lo leyera, ha servido para corroborar su relato. Si es usted la víctima, conserve el teléfono sin borrar las conversaciones y anote cada número o perfil nuevo desde el que le escriban; el cotejo lo instamos desde la denuncia o el primer escrito.

Si se le atribuyen a usted los mensajes, lo primero que se examina es qué prueba que los escribió usted. La Memoria recoge que, cuando la plataforma no contesta, a veces la única vía de identificación es que la víctima reconozca la foto del perfil, y su defensa examina si consta algún dato de la operadora o de la plataforma que vincule ese número o esa cuenta con usted. Cómo se valoran las capturas y los mensajes se explica en Si hay que probarlo: mensajes, audios y testigos.

Si se trata de pornografía infantil o de contacto sexual con un menor por internet

Contactar por internet con un menor de dieciséis años para proponerle un encuentro con fines sexuales, o para embaucarle a que envíe imágenes pornográficas, es delito (art. 183 del Código Penal), como lo es producir, distribuir u ofrecer pornografía infantil o poseerla para esos fines, y también adquirirla o poseerla para uso propio o acceder a ella a sabiendas por internet (art. 189.1 y 189.5).

La ley considera pornografía infantil también las imágenes realistas de un menor en una conducta sexualmente explícita (art. 189.1), y la Memoria de la Fiscalía General del Estado de 2025 advierte del material de este tipo elaborado con inteligencia artificial. Las penas y el criterio del Tribunal Supremo se explican en la guía, en El contacto con menores por internet y la pornografía infantil.

Si la víctima es menor de edad, lo que puede hacerse en las primeras horas se explica en Urgencias: niño, niña o adolescente víctima de un delito, y su protección en el proceso y la acusación particular, en Si la víctima es menor de dieciséis años o persona con discapacidad. Quien encuentra este material en internet puede denunciarlo a la policía o en la línea de denuncia del Instituto Nacional de Ciberseguridad (INCIBE), que, según la Memoria, traslada esos avisos a la Fiscalía para su persecución y la retirada de los contenidos.

Si le investigan a usted, la Memoria explica cómo suelen desarrollarse estas causas. No es infrecuente que, a partir de una denuncia, se registren los dispositivos del investigado y se incaute y analice todo el material que tenga a su disposición, en sus terminales o en la nube, y es frecuente que lo hallado en una sola actuación se investigue y se juzgue en un único procedimiento, por hechos distintos y a veces con varias víctimas. Muchas llegan, añade, por denuncias de usuarios de la red o por avisos de organismos o policías de otros países que detectan direcciones IP situadas en España.

La ley exige que la resolución del juez justifique de forma individualizada el acceso al contenido de los dispositivos y de los repositorios de datos en internet, como la nube, y la sola incautación del teléfono o del ordenador no autoriza a examinarlo (art. 588 sexies a LECrim). Si durante el registro se cree que los datos están en otro sistema accesible desde el dispositivo, ampliar el registro requiere autorización del juez, salvo urgencia, en la que la policía o el fiscal han de comunicarlo en veinticuatro horas y el juez lo confirma o lo revoca en setenta y dos (art. 588 sexies c.3).

Que todo se juzgue en una causa no dispensa de probar cada hecho. Los delitos conexos se investigan y juzgan juntos cuando investigarlos y probarlos en conjunto sirve para su esclarecimiento, salvo excesiva complejidad o dilación, y los que no son conexos pero los cometió la misma persona solo pueden juzgarse juntos, a instancia del fiscal, si guardan analogía o relación entre sí y corresponden al mismo juzgado (art. 17 LECrim).

Su defensa examina qué archivo se atribuye a cada dispositivo, si consta que usted sabía que estaba allí y si la dirección IP le identifica a usted o solo identifica una conexión, como explicamos en Si le investigan: la prueba digital y la cuenta a su nombre. Cómo ejercemos la defensa en estos delitos se explica en Si le han denunciado: sus derechos y lo que puede obtener su defensa.

Si han entrado en su móvil, su correo o sus cuentas, o han difundido sus imágenes íntimas

Leer los mensajes de otro, entrar en su teléfono o en su correo sin su consentimiento, instalarle una aplicación espía o difundir las fotos o los vídeos íntimos que la víctima le envió son delitos contra la intimidad, y los explicamos en Si alguien ha leído sus mensajes, su correo o sus papeles, o ha entrado en su teléfono o su ordenador, Si le han grabado o le han instalado una cámara o una aplicación espía y Si han difundido sus fotos o vídeos íntimos.

Según la Memoria de la Fiscalía General del Estado de 2025, estos accesos responden a dos dinámicas: la de quien conoce a la víctima y entra en su teléfono, en su correo o en registros que guardan sus datos, como los de un centro médico, y la de los grupos organizados que acceden de forma masiva a las bases de datos de empresas y organismos para usar después esa información, muchas veces en fraudes.

Si sus datos aparecieron en una de esas filtraciones masivas, el acceso se persigue sin necesidad de su denuncia cuando afecta a una pluralidad de personas (art. 201.2 del Código Penal), y el uso que después se haga de ellos en su contra, como un cargo o una cuenta a su nombre, se denuncia como el delito que sea, según explicamos en Si han usado su identidad.

Si han usado su identidad: cuentas o préstamos a su nombre, perfiles falsos y montajes

Abrir una cuenta, pedir un préstamo o contratar en línea con el nombre y los datos de otra persona suele ser el medio de una estafa, contra el banco o contra quien termina pagando (arts. 248 y 249 del Código Penal). El Código castiga además a quien «usurpare el estado civil de otro», con prisión de seis meses a tres años (art. 401).

Según la Memoria de la Fiscalía General del Estado de 2025, solo una pequeña parte de los procedimientos registrados por ese delito termina en acusación, lo que, a juicio de la Fiscalía, sugiere que se registran así conductas que finalmente no encajan en él.

La Memoria advierte de que la extensión de la banca en línea, en la que no se comprueba en persona quién abre una cuenta, pide un préstamo u ordena una transferencia, ha incrementado seriamente el riesgo de que se usurpe la identidad ajena, y entiende que los bancos que animan a sus clientes a operar así deben adoptar las medidas de seguridad necesarias y asumir, si no lo hacen, las consecuencias para los afectados.

Si ha recibido la reclamación de un préstamo que no pidió o le comunican movimientos de una cuenta que no abrió, denúncielo cuanto antes: la denuncia es la primera constancia de que usted no reconoce esas operaciones, y si esa cuenta recibió el dinero de otras víctimas, la investigación puede llegar a usted como titular, como explicamos en Si le investigan.

Usar sin su consentimiento la imagen de una persona para abrir perfiles falsos o publicar anuncios en redes sociales o páginas de contacto, causándole acoso, hostigamiento o humillación, es el delito del art. 172 ter.5, que explicamos en Si le siguen, le vigilan o no dejan de escribirle: el acoso. El juez puede acordar, desde las primeras diligencias, la retirada provisional del perfil o del contenido, o su bloqueo si está alojado en el extranjero (art. 13 LECrim).

Los montajes de contenido íntimo o sexual elaborados con inteligencia artificial en los que aparece una persona adulta reconocible no estaban tipificados de forma expresa, según la Memoria. La Fiscalía entiende que encajan en el trato degradante del art. 173.1 del Código Penal, castigado con prisión de seis meses a dos años cuando menoscaba gravemente la integridad moral, y ha formulado acusaciones por ese delito; el proyecto de ley orgánica de protección de los menores en los entornos digitales preveía castigarlos en un nuevo art. 173 bis.

Si han atacado sus sistemas o le acusan de haberlo hecho: secuestro de datos, caída del servicio y acceso

Según la Memoria de la Fiscalía General del Estado de 2025, las formas más frecuentes de sabotaje informático son la denegación de servicio, que satura una web o un servidor hasta dejarlo inservible, y el ransomware, el programa que cifra los datos o bloquea el sistema y exige un rescate, a veces después de copiar la información para amenazar con publicarla si no se paga de nuevo, lo que se conoce como doble extorsión.

Hacer inaccesibles de manera grave datos o programas ajenos, con un resultado grave, es un delito de daños informáticos, castigado con prisión de seis meses a tres años (art. 264.1 del Código Penal), y la misma pena tiene obstaculizar o interrumpir de manera grave un sistema ajeno, en su mitad superior si perjudica de forma relevante la actividad de una empresa, un negocio o una Administración (art. 264 bis.1).

Entrar vulnerando las medidas de seguridad es un acceso ilícito (art. 197 bis), que, a diferencia de los daños, solo se persigue con denuncia del afectado, salvo que afecte a los intereses generales o a una pluralidad de personas (art. 201.2).

Si se le atribuye a usted, el delito exige actuar sin autorización del titular del sistema, de manera grave y con un resultado grave. Quien trabaja en el sistema, como el administrador o el técnico externo, actúa con la autorización de su encargo, y lo que ha de probarse es que lo hecho excedía de ella. Las agravaciones y la valoración del daño se explican en la guía, en Los daños informáticos y la interrupción de sistemas (arts. 264 a 264 ter).

Si le investigan: la prueba digital y la cuenta a su nombre

Le defendemos en todas las fases del proceso, como explicamos en Defensa penal del investigado o acusado, y sus derechos desde la citación se explican uno a uno en Los derechos que le asisten desde ese momento. En un ciberdelito, buena parte de la defensa consiste en examinar la prueba digital.

Las reglas generales sobre el acceso de la policía a su teléfono o a su ordenador se explican en Si registraron su casa o su teléfono. En un ciberdelito pesan otras dos. El Tribunal Supremo no admite que el auto que autoriza un registro permita de forma implícita o sobreentendida entrar en el contenido de los dispositivos (STS 254/2026, de 26 de marzo). La orden de proporcionar las contraseñas o las medidas de protección del sistema, bajo apercibimiento de desobediencia, no puede dirigirse a usted como investigado (art. 588 sexies c.5 LECrim).

Su defensa comprueba si cada medida tecnológica tuvo autorización judicial y respetó los principios que la ley exige, entre ellos la proporcionalidad entre el sacrificio del derecho y la gravedad del hecho (art. 588 bis a); si la copia de los datos se hizo en condiciones que aseguren su integridad (art. 588 sexies c.1), y si los datos le atribuyen a usted la conducta.

Una dirección IP, el número que identifica una conexión a internet, no identifica por sí sola a una persona; permite identificarla cuando se relaciona con los datos de la operadora, cuya cesión ha de ordenar el juez (Circular 2/2019 de la Fiscalía General del Estado; art. 588 ter k LECrim). Quién usaba esa conexión cuando ocurrieron los hechos es algo que la acusación ha de probar.

Si la investigación llega a usted porque el dinero de una estafa pasó por una cuenta a su nombre, hay dos situaciones distintas: la de quien prestó su cuenta a cambio de una comisión o de una supuesta oferta de trabajo, al que se llama mula o mulero, y la de quien ni sabía que la cuenta existía, porque otro la abrió en línea con su identidad. Según la Memoria de la Fiscalía General del Estado de 2025, aumentan los casos de suplantación de identidad en la apertura de cuentas, especialmente en línea.

La Fiscalía de Bizkaia, recoge la misma Memoria, constata el aumento de cuentas bancarias abiertas en línea con la identidad de personas que no conocían el hecho, se esfuerza por evitar «condenas injustas contra estas nuevas víctimas» y advierte del recelo de los juzgados a condenar por estafa por meros movimientos bancarios. Si es su caso, su defensa pide al juez que se requiera al banco cómo se identificó a quien abrió la cuenta y desde qué dispositivos se operó, y examina si algún dato le vincula a usted (art. 311 LECrim).

Si prestó su cuenta, lo que puede atribuírsele depende de lo que sabía y de cuándo lo supo. Si sabía que el dinero procedía de un fraude y aun así puso su cuenta, puede acusársele de cooperar en la estafa (arts. 28 y 29 del Código Penal) o de blanqueo (art. 301.1). Si solo lo supo cuando el dinero ya estaba en su cuenta y aun así lo transfirió, de receptación, castigada con prisión de seis meses a dos años (art. 298.1). Si no lo sabía, no hay estafa, que no se castiga por imprudencia, y el blanqueo imprudente exige una infracción grave del deber de cuidado (art. 301.3).

Frente a esa acusación, su defensa sostiene que recibir el dinero y reenviarlo, sin actos dirigidos a ocultar su origen, no es blanqueo, como ha razonado la Audiencia Provincial de Las Palmas (SAP 87/2026, de 5 de marzo). Las penas se explican en la pregunta «Me ofrecieron una comisión por recibir transferencias en mi cuenta y reenviarlas. ¿Me pueden condenar?».

Su defensa reconstruye qué le ofrecieron y qué le explicaron, qué recibió y qué le quedó, quién le daba las instrucciones y por qué tenía motivos para creer que la operación era lícita, y exige que la acusación pruebe que conocía el origen del dinero. Cuando la acusación sostiene que prefirió no saber, lo que se llama ignorancia deliberada, su defensa exige que se pruebe qué conocía en realidad, porque el dolo, que es actuar sabiendo lo que se hace, no se presume.

Conserve el anuncio, los mensajes y las conversaciones con quien le ofreció el trabajo, porque son la prueba de lo que le contaron. Reparar el daño o disminuir sus efectos antes del juicio oral, por ejemplo devolviendo lo que conserve, atenúa la pena si llega a haber condena (art. 21.5.ª del Código Penal); cuándo y cómo hacerlo se decide con su defensa.

La calificación que hacen los tribunales se explica en la guía, en La cuenta prestada para mover dinero ajeno: cooperación en la estafa, receptación, blanqueo o solo devolver. Si los hechos no son delito o no está justificado que se cometieran, su defensa pide el sobreseimiento, que es el archivo de la causa (arts. 637, 641 y 779.1.1.ª LECrim). Qué arriesga si se prueban se explica en la pregunta «¿Qué pena tienen estos delitos? ¿Tendré que entrar en prisión?».

Si es usted la empresa: el falso directivo o proveedor, y la empresa investigada

La Memoria de la Fiscalía General del Estado de 2025 destaca, por los perjuicios que causa a las empresas y por el volumen de procedimientos, el fraude conocido como del CEO (siglas inglesas del consejero delegado): alguien se hace pasar por un directivo, un proveedor o un cliente habitual y lleva al empleado que gestiona los pagos a ordenar una transferencia, a veces con una factura que cambia el número de cuenta.

Para preparar el engaño, el autor entra muchas veces antes en el correo de una de las empresas para conocer cómo funciona, y si para ello vulneró sus medidas de seguridad, ese acceso es otro delito (art. 197 bis del Código Penal).

Como es el empleado engañado quien ordena el pago, el hecho es estafa (art. 248), y si lo pagado supera 50.000 euros la pena es de prisión de uno a seis años y multa (art. 250.1.5.º). Lo primero que se pide es que se aseguren los saldos que queden en la cuenta de destino y que se identifique a su titular, que puede ser una mula o una persona cuya identidad se usó, como explicamos en Si le investigan.

Con la querella, la empresa es parte desde el primer escrito y pide en él las diligencias que deben practicarse y el embargo de los bienes del querellado (art. 277 LECrim). Si denuncia, puede personarse después como acusación particular y pedir lo mismo (art. 110), y el juez acuerda la fianza y el embargo cuando resultan indicios contra una persona (art. 589). La estafa y los daños informáticos se persiguen aunque la empresa no los denuncie.

Si un empleado se ha llevado información, como la cartera de clientes, puede tratarse de un delito contra el secreto de empresa, que solo se persigue con la denuncia de la empresa salvo que afecte a los intereses generales o a una pluralidad de personas (arts. 278 a 280 y 287 del Código Penal), y que explicamos en Si se ha copiado una obra o una marca, se ha revelado un secreto de empresa o se ha engañado al consumidor. Antes de revisar su ordenador o su correo corporativo, lea lo que explicamos en la guía, en La prueba digital en el juicio: integridad, cadena de custodia y licitud.

Si la investigada es su empresa, solo puede responder penalmente en los delitos en que el Código lo prevé, como la estafa, también la informática (art. 251 bis), los daños informáticos y la interrupción de sistemas (art. 264 quater), el acceso ilícito y el descubrimiento de datos (art. 197 quinquies), el secreto de empresa (art. 288) y el blanqueo (art. 302.2), y solo si el delito se cometió en su nombre o por su cuenta y en su beneficio, por sus directivos o por empleados que pudieron cometerlo porque se incumplieron gravemente los deberes de supervisión (art. 31 bis).

Su defensa exige que se pruebe ese incumplimiento grave de la supervisión, y no solo el delito del empleado, y hace valer el modelo de prevención que tuviera implantado (art. 31 bis.4). Lo general se explica en Defensa penal de empresas y compliance y en No cualquier delito: el catálogo cerrado.

Si hay que probarlo: cómo se conserva y se obtiene la prueba digital

Si es usted la víctima, conserve los originales y no solo las capturas: el correo en el buzón donde llegó, los SMS y los mensajes en el teléfono, el número o el perfil desde el que le escribieron o le llamaron, los avisos y extractos del banco y la página o el anuncio con su dirección. Si la otra parte discute que sean auténticos, se comprueban normalmente sobre el dispositivo o la cuenta en que se recibieron, no sobre la captura. Cómo se valoran las capturas y los mensajes lo explicamos en Si hay que probarlo: mensajes, audios y testigos.

El fiscal y la policía pueden ordenar a cualquier persona o empresa, también a una plataforma, que conserve datos concretos durante un máximo de noventa días, prorrogables una vez hasta ciento ochenta, mientras se pide al juez su entrega (art. 588 octies LECrim), y dirigirse directamente a la operadora o al prestador del servicio para conocer quién es el titular de un número o de otro medio de comunicación (art. 588 ter m).

Para saber quién usaba una dirección IP, en cambio, la policía ha de pedir al juez que ordene a la operadora ceder los datos que identifican el equipo y a su usuario (art. 588 ter k). Lo que su defensa examina de esa prueba, si le investigan, está en Si le investigan, y la investigación tecnológica y la cadena de custodia, en la guía, en La investigación tecnológica: dirección IP, datos de las operadoras, registro de dispositivos y conservación de datos.

Si la atacada es su empresa, denunciar pronto permite que se dicte esa orden antes de que los datos se pierdan. Conserve los equipos y los registros afectados antes de restaurarlos, porque sobre ellos se valora la gravedad del daño, que la Fiscalía mide, entre otros datos, por el coste de restablecer los datos o el sistema y el lucro cesante, y que en muchos casos exige informes técnicos (Circular 3/2017).

Si va a denunciar: dónde se denuncia y qué ocurre si no se identifica al autor

Puede denunciar donde se encuentre, ante la policía, el fiscal o el juzgado (art. 264 LECrim); qué juzgado investiga se decide después, y lo explicamos en la guía, en Qué juzgado instruye y cuál juzga una estafa cometida a distancia.

Si denuncia en comisaría y no se identifica al autor, la policía conserva el atestado sin enviarlo al juzgado, salvo en los delitos contra la libertad sexual y en los demás que la ley enumera, si una diligencia practicada pasadas setenta y dos horas da resultado o si el fiscal o el juez lo piden. Ha de comunicarle que, si el autor no se identifica en ese plazo, las actuaciones no se remitirán, y usted conserva su derecho a reiterar la denuncia ante la fiscalía o el juzgado de instrucción (art. 284.2 LECrim).

Por eso, según la Memoria de la Fiscalía General del Estado de 2025, los procedimientos judiciales por ciberdelitos son solo una parte reducida de las denuncias e investigaciones policiales, porque únicamente se remiten al juzgado aquellas en que se ha identificado, o puede identificarse, al posible responsable. Aporte con la denuncia la cuenta a la que hizo el pago, el número o el perfil desde el que le contactaron y los justificantes, porque son los datos por los que puede llegar a identificarse al autor.

Si ha pasado tiempo: cuándo prescribe

Cada delito prescribe en un plazo que se mide por su pena máxima: a los diez años cuando la prisión que la ley le señala pasa de cinco años y no excede de diez, a los cinco cuando no pasa de cinco años y al año en los leves (art. 131.1 del Código Penal). Delito a delito:

• Estafa y estafa informática: cinco años; diez si concurre una agravación del art. 250, como superar 50.000 euros o afectar a un elevado número de personas. La estafa del art. 248 de 400 euros o menos sin agravación es delito leve y prescribe al año, salvo que el autor tenga las condenas anteriores que ese artículo señala; la estafa informática y el fraude con tarjetas, por pequeña que sea la cuantía, a los cinco.
• Amenazas, coacciones y acoso, y delitos contra la intimidad: se explica en Si ha pasado tiempo: cuándo prescribe, de Amenazas, coacciones y acoso, y en Si ha pasado tiempo: cuándo prescribe, de Delitos contra la intimidad.
• Contacto con menores por internet (art. 183) y pornografía infantil (art. 189.1 y 189.5): cinco años; con las agravaciones del art. 189.2, castigadas con prisión de hasta nueve años, diez. Si la víctima es menor de edad, el plazo de los delitos contra la libertad sexual se cuenta desde que cumple treinta y cinco años (art. 132.1).
• Usurpación del estado civil (art. 401), perfiles falsos con la imagen de otro (art. 172 ter.5) y trato degradante (art. 173.1): cinco años.
• Daños informáticos: cinco años, también con las agravaciones del art. 264.2, castigadas con prisión de hasta cinco años; diez si los hechos son de extrema gravedad, porque la ley permite entonces imponer la pena superior en grado. Interrupción de sistemas: cinco años; diez si concurre una de las agravaciones del art. 264.2 (art. 264 bis.2).
• Acceso ilícito a un sistema (art. 197 bis), programas o contraseñas preparados para estos delitos (arts. 197 ter y 264 ter) y secreto de empresa (arts. 278 a 280): cinco años.
• Blanqueo de capitales: diez años; el imprudente, cinco (art. 301).

Si los hechos forman varios delitos conexos, como el acceso a un correo para cometer una estafa, rige el plazo del más grave (art. 131.4), y si fueron varios cargos dentro de un mismo plan, el plazo se cuenta desde el último (art. 132.1). La querella o la denuncia presentada en el juzgado contra una persona determinada suspende el cómputo hasta seis meses (art. 132.2).

Qué interrumpe o suspende el plazo se explica en Cuándo prescribe el delito y qué interrumpe o suspende el plazo. Para una primera estimación a partir de la pena, sin contar la interrupción, está nuestra Calculadora del plazo de prescripción del delito.

Guía prácticaCuándo es delito lo que ocurre en internet: estafas, amenazas y acoso, menores, intimidad, suplantación de identidad y ataques informáticos

Sentencias comentadas

Sobre el blanqueo y sobre la responsabilidad penal de la empresa, que también se plantean en estos delitos, hemos comentado estas sentencias del Tribunal Supremo.

Comentario de jurisprudenciaBlanqueo de capitales: prueba indiciaria, autoblanqueo e ignorancia deliberada Comentario de jurisprudenciaPara condenar a una empresa no basta el delito de su administrador (SSTS 768/2025 y 836/2025)

Preguntas frecuentes