Abogado Phishing en Madrid

Asuntos tramitados

Lexway Abogados

Muchos afectados desconocen que las entidades bancarias tienen el deber de implementar medidas de seguridad suficientes para proteger las cuentas de sus clientes.

¿Qué responsabilidad tiene el banco?

Cuando se acredita que el ataque se ha producido por falta de medidas de seguridad suficientes, negligencia o errores en la verificación de identidad, el banco puede ser legalmente responsable de devolver el dinero robado.

¿Qué necesitas para reclamar?

• Haber informado al banco de la operación fraudulenta en un plazo razonable.
  
• Reunir todas las pruebas del ataque y suplantación.
  
• Demostrar que no has cometido una negligencia grave.
  

En Lexway te guiamos paso a paso y gestionamos la reclamación sin que tengas que adelantar costes.

En función de las circunstancias, podemos abrir vía civil, penal o ambas para maximizar tus posibilidades de éxito.

¿Cuándo acudir a la vía judicial?

Cuando el banco rechaza la reclamación o el importe es elevado, es posible iniciar una demanda judicial para reclamar la cantidad sustraída más intereses.

¿Cuánto tiempo tengo para reclamar?

El plazo general es de 13 meses desde la operación fraudulenta, aunque puede variar según el caso. Cuanto antes contactes con nosotros, más margen legal tendremos.

Lexway Abogados cuenta con un equipo multidisciplinar de abogados penalistas, civilistas y expertos en derecho bancario.

• Amplia experiencia en delitos informáticos y fraudes bancarios. .
• Reclamaciones en toda España.

Aspectos clave del fraude por phishing en Madrid

Marco penal: artículos 248 y 249 del Código Penal (estafa informática)

El phishing (también escrito phising) y sus variantes (smishing por SMS, vishing por voz, pharming por redirección de DNS) se tipifican en el artículo 248.2.a del Código Penal como estafa informática: «la manipulación informática o artificio semejante para conseguir la transferencia no consentida de cualquier activo patrimonial en perjuicio de otro». Las penas se gradúan en el artículo 249 CP: prisión de 6 meses a 3 años en el tipo básico y de 1 a 6 años en el agravado (cuantía superior a 50.000 €, abuso de relaciones personales, especial gravedad del medio empleado).

Cuando concurren múltiples víctimas o una organización criminal, aplican los tipos agravados del artículo 250 CP (estafa agravada) y, en su caso, el artículo 570 bis CP (pertenencia a organización criminal). Si se han usado datos personales obtenidos ilícitamente, concurre adicionalmente el delito de descubrimiento y revelación de secretos del artículo 197 CP y la sanción administrativa del Reglamento General de Protección de Datos (RGPD) y la LOPDGDD.

Reclamación al banco: doctrina TJUE y Banco de España

La Ley 16/2009 de servicios de pago (sustituida por el Real Decreto-Ley 19/2018 de servicios de pago, transposición de la Directiva PSD2 2015/2366) regula la responsabilidad de las entidades bancarias en operaciones no autorizadas. Como regla general, el banco debe reintegrar al cliente el importe defraudado, salvo que pruebe negligencia grave del usuario.

La jurisprudencia del Tribunal Supremo (entre otras, STS 426/2020 y resoluciones recientes 2023-2024) ha consolidado que el simple hecho de que el cliente facilitara claves NO basta para imputar negligencia grave: hay que probar dolo o culpa lata. El Banco de España, a través del Servicio de Reclamaciones, ha emitido criterios reiterados favorables al usuario en escenarios de SIM swapping, suplantación de webs y URLs idénticas a las oficiales.

Pasos a seguir tras ser víctima de phishing

• 1. Bloqueo inmediato: contactar con el banco para bloquear cuentas, tarjetas y operaciones pendientes. Solicitar certificado escrito del bloqueo y los movimientos no autorizados.
• 2. Denuncia policial: ante Policía Nacional o Guardia Civil (Grupo de Delitos Telemáticos). La denuncia es imprescindible para acreditar el fraude frente al banco y para activar la investigación penal.
• 3. Reclamación formal al Servicio de Atención al Cliente del banco con todas las pruebas: capturas de la web fraudulenta, correos suplantadores, certificado policial, fecha y hora exactas. El banco tiene 15 días para resolver (Ley 44/2002).
• 4. Reclamación al Banco de España si el banco deniega el reintegro. Tramitación electrónica gratuita. Plazo de respuesta: 90 días.
• 5. Demanda civil ante el Juzgado de Primera Instancia si la vía bancaria se agota sin éxito, ejercitando acción de reintegro con base en el RDL 19/2018 y la Directiva PSD2.
• 6. Personación como acusación particular en el procedimiento penal contra los autores, lo que permite reclamar la responsabilidad civil derivada del delito (artículo 109 CP) en el mismo procedimiento.

Preguntas frecuentes sobre phishing y estafas online

¿Tengo derecho a que el banco me devuelva el dinero del phishing?

Sí, salvo que el banco pruebe negligencia grave. El Real Decreto-Ley 19/2018 de servicios de pago (que transpone la Directiva PSD2) establece la responsabilidad cuasi-objetiva de la entidad bancaria en operaciones no autorizadas. La franquicia máxima a cargo del cliente es de 50 € salvo dolo o negligencia grave probada. La carga de la prueba recae sobre el banco, no sobre el usuario.

¿Qué se considera negligencia grave a efectos de phishing?

Conforme a la jurisprudencia consolidada del Tribunal Supremo y los criterios del Banco de España, NO es negligencia grave introducir claves en una web suplantadora razonablemente similar a la oficial, recibir un SMS con apariencia bancaria o autorizar una operación bajo presión. SÍ puede ser negligencia grave compartir claves voluntariamente con terceros, ignorar avisos directos del banco o realizar varias confirmaciones tras ya haber sido advertido del fraude.

¿Cómo demuestro que sufrí un phishing?

Con un conjunto de pruebas: capturas de pantalla de la web fraudulenta y de los correos o SMS suplantadores, certificado de la denuncia policial ante Policía Nacional o Guardia Civil (Grupo de Delitos Telemáticos), extracto bancario con las operaciones no autorizadas, certificado del bloqueo emitido por el banco y, si es posible, informe pericial informático que acredite el origen fraudulento de la operación.

¿En cuánto tiempo tengo que reclamar al banco tras el fraude?

Inmediatamente. El artículo 41 del RDL 19/2018 establece que el usuario debe comunicar al banco las operaciones no autorizadas «sin demora indebida» y, en todo caso, dentro de los 13 meses siguientes a la fecha del adeudo. Pasado ese plazo, decae el derecho al reintegro. Recomendamos comunicar el fraude en las primeras 24 horas para maximizar las opciones de bloqueo de la operación bancaria.

¿Cuál es la diferencia entre phishing, smishing, vishing y pharming?

Phishing es el envío de correos electrónicos suplantando entidades de confianza. Smishing es la misma técnica pero vía SMS o WhatsApp. Vishing es el fraude por llamada telefónica suplantando al banco o a la policía. Pharming es la manipulación técnica del DNS para redirigir a la víctima a una web falsa cuando teclea la URL legítima. Todos son penalmente reconducibles al artículo 248.2.a CP (estafa informática).

¿Puedo personarme como acusación particular contra los autores?

Sí. La personación como acusación particular en el procedimiento penal permite reclamar simultáneamente la responsabilidad civil derivada del delito (artículo 109 CP) y participar activamente en la investigación. La acusación particular puede proponer diligencias, recurrir resoluciones y solicitar medidas cautelares contra el patrimonio del autor. La estrategia óptima suele combinar la vía civil contra el banco y la penal contra los autores en paralelo.