Suplantación de identidad: delitos aplicables, denuncia y cómo recuperar el control

La suplantación de identidad es uno de los fraudes que más ha crecido en España en los últimos años, sobre todo en su versión digital. No existe un único delito llamado así en el Código Penal, pero las conductas que la integran están castigadas por varios tipos penales, principalmente la usurpación del estado civil (artículo 401), la estafa informática (artículo 249) y el acceso indebido a datos personales (artículo 197). Aquí se explica qué hacer si te han suplantado, cómo denunciar, cómo recuperar el control de cuentas y qué penas tiene quien comete el delito.

¿Qué se entiende por suplantación de identidad?

La suplantación de identidad consiste en asumir o usar la identidad de otra persona sin su consentimiento para realizar actos jurídicos, económicos o sociales en su nombre. Las modalidades más frecuentes son:

• Suplantación financiera: contratar préstamos, abrir cuentas, solicitar tarjetas o realizar transferencias usando los datos de otra persona.
• Suplantación digital: crear cuentas falsas en redes sociales, plataformas de mensajería o sitios de citas haciéndose pasar por la víctima.
• Suplantación de email: enviar correos como si fueran del titular legítimo (fraude del CEO, phishing dirigido).
• SIM swapping: duplicar el número de móvil de la víctima para interceptar SMS de verificación.
• Suplantación documental: usar DNI, NIE, pasaporte o permisos ajenos para identificarse ante terceros.
• Suplantación procesal: actuar en un procedimiento administrativo o judicial fingiendo ser otra persona.

Cada modalidad activa tipos penales distintos. La estrategia procesal correcta exige identificar todos los delitos cometidos y denunciarlos en concurso, no como uno solo.

¿Qué tipos penales castigan la suplantación de identidad?

No hay un artículo único, pero sí varios que se aplican según los hechos:

Usurpación del estado civil (art. 401 CP)

Es el tipo más antiguo y específico. El artículo 401 del Código Penal castiga con prisión de seis meses a tres años al que usurpare el estado civil de otro.

El Tribunal Supremo ha precisado que no basta con usar puntualmente datos de otro; se exige asumir una identidad completa de forma persistente: presentarse ante terceros con el nombre, DNI y atributos personales de la víctima, suscribiendo actos jurídicos en su nombre y arrogándose su personalidad social. Cuando hay sustitución estable de la identidad, encaja el 401. Cuando es uso puntual de datos, encajan otros tipos.

Estafa informática (art. 249 CP)

Tras la reforma de la LO 14/2022, el artículo 249 CP castiga con prisión de seis meses a tres años a quien, manipulando sistemas o usando indebidamente instrumentos de pago, consigue una transferencia patrimonial no consentida. Encaja en este tipo la mayoría de la suplantación con efecto económico: phishing bancario, SIM swapping para vaciar cuentas, uso de tarjetas duplicadas o robo de credenciales online.

La modalidad leve fue suprimida por la reforma de 2022 para esta vía, así que incluso operaciones de pequeña cuantía se enjuician como delito menos grave.

Descubrimiento y revelación de secretos (art. 197 CP)

Aplica cuando la suplantación se hace mediante acceso no autorizado a datos personales reservados: cuentas de email, redes sociales privadas, sistemas informáticos. Pena base de 1 a 4 años de prisión y multa de 12 a 24 meses. La pena se eleva si los datos son sensibles (salud, ideología, orientación sexual) o si se difunden a terceros.

Falsedad documental (arts. 392 y 395 CP)

Cuando la suplantación implica falsificar o usar DNI, NIE, pasaporte u otros documentos ajenos, concurre además falsedad documental. La pena puede llegar a 3 años de prisión más multa.

Daños informáticos (art. 264 CP)

Si el suplantador altera, borra o inutiliza datos en sistemas informáticos ajenos (vaciar perfiles, modificar contraseñas, eliminar contenidos), encaja también el delito de daños informáticos del 264 CP, con pena de 6 meses a 3 años de prisión.

¿Qué pasa con las cuentas falsas en redes sociales?

Es uno de los supuestos más frecuentes en la actualidad. Crear un perfil en Instagram, TikTok, Facebook o X haciéndose pasar por otra persona puede dar lugar a varios delitos en concurso:

• Usurpación del estado civil del 401 CP si la suplantación es continuada y persistente, simulando ser la víctima en todos los aspectos públicos.
• Calumnias o injurias (arts. 205-216 CP) si la cuenta falsa publica contenidos que dañan el honor de la víctima.
• Acoso del 172 ter CP si la conducta es reiterada y altera gravemente la vida cotidiana.
• Estafa si la cuenta falsa engaña a terceros para obtener dinero, ventajas o información.
• Delito de odio (art. 510 CP) si las publicaciones tienen ese carácter.
• Vulneración del derecho al honor, intimidad y propia imagen (Ley Orgánica 1/1982) por vía civil, con indemnización autónoma.

Cuando la suplantación incluye imágenes íntimas alteradas con técnicas como deepfake o sexting no consentido, se aplican además los tipos específicos introducidos por la Ley Orgánica 10/2022 de garantía integral de la libertad sexual.

¿Qué hacer inmediatamente si te suplantan la identidad?

1. Asegurar las cuentas comprometidas

Las primeras horas son críticas. Acciones urgentes:

• Cambiar contraseñas de email principal, banca online y redes sociales (empezando por el email, que es el «llavero» del resto).
• Activar la doble autenticación (2FA) en todas las cuentas posibles, preferentemente con aplicación de autenticación, no por SMS.
• Comprobar y revocar accesos por aplicaciones de terceros conectadas.
• Cerrar sesiones activas remotas en cada plataforma.
• Avisar a la entidad bancaria para bloquear tarjetas y operaciones pendientes.
• Si has perdido cobertura móvil súbitamente, sospechar SIM swapping y contactar inmediatamente con la operadora para anular la portabilidad.

2. Recopilar pruebas

Antes de denunciar, conviene reunir todo el material disponible:

• Capturas de pantalla del perfil falso, mensajes recibidos, transacciones desconocidas.
• URLs completas (con la dirección visible) de las cuentas o sitios suplantadores.
• Identificadores: número de orden de transferencia, IBAN receptor, IPs si la plataforma las facilita.
• Conservación notarial o pericial informática del contenido, antes de que el autor lo borre.
• Comunicaciones con la entidad bancaria, operadora o plataforma donde se reportó el incidente.

3. Denunciar ante la Policía o Guardia Civil

Las vías habituales:

• Comisaría de Policía Nacional: la Unidad de Investigación Tecnológica investiga delitos cibernéticos.
• Guardia Civil: el Grupo de Delitos Telemáticos (GDT) tramita estos casos.
• Sede electrónica policial: para algunas modalidades online se admite ciberdenuncia previa con confirmación posterior.
• Juzgado de Guardia: si se solicita medida cautelar urgente.

Es importante denunciar incluso cuando no se haya producido perjuicio económico, porque la denuncia abre el procedimiento de identificación del autor y previene daños futuros.

4. Solicitar a las plataformas la retirada de las cuentas falsas

En paralelo a la denuncia, conviene reportar las cuentas falsas a través de los formularios oficiales de cada red social. Adjuntar el justificante de denuncia acelera la retirada. Algunas plataformas eliminan las cuentas en horas; otras requieren resolución judicial.

5. Comunicación a la AEPD

Si la suplantación ha implicado uso no consentido de datos personales, se puede presentar reclamación ante la Agencia Española de Protección de Datos, conforme a la LOPDGDD y al RGPD. La AEPD puede imponer sanciones administrativas a las empresas que no protegieron adecuadamente los datos (operadora telefónica en SIM swapping, banco en phishing, plataforma en cuentas falsas).

¿Cómo recuperar el dinero perdido en una suplantación bancaria?

La normativa de servicios de pago (Real Decreto-ley 19/2018 y Directiva PSD2) establece un principio clave: el banco debe responder de las operaciones no autorizadas, salvo que pueda acreditar negligencia grave del cliente.

Pasos para la reclamación:

1. Notificar a la entidad en cuanto se detecta la operación no consentida (idealmente dentro de las 24-48 horas).
2. Solicitar la devolución conforme al artículo 45 RDL 19/2018. El banco está obligado a reintegrar el importe en el plazo máximo del día hábil siguiente, salvo que demuestre fraude del cliente.
3. Si el banco se niega, presentar reclamación ante el Servicio de Atención al Cliente con copia al Defensor del Cliente.
4. Agotada la vía interna, reclamar ante el Banco de España (Servicio de Reclamaciones).
5. Si persiste la negativa, demanda civil en el juzgado de primera instancia del domicilio del consumidor.

La jurisprudencia de los últimos años ha sido muy favorable al consumidor: salvo prueba acreditada de negligencia grave (compartir contraseñas, ignorar avisos claros), el banco asume el coste de la operación fraudulenta. En casos como el SIM swapping, los tribunales han condenado tanto al banco (por no detectar operaciones anómalas) como a la operadora (por permitir la portabilidad fraudulenta).

¿Cuál es el plazo para denunciar una suplantación de identidad?

Como la suplantación activa varios tipos penales, los plazos de prescripción dependen del delito de mayor pena que concurra:

• Usurpación de estado civil (401 CP, hasta 3 años de prisión): 5 años.
• Estafa informática (249 CP, hasta 3 años): 5 años.
• Revelación de secretos básica (197.1 CP, hasta 4 años): 5 años.
• Revelación agravada (197.5 CP, hasta 7 años): 10 años.
• Falsedad documental por particular (392 CP, hasta 3 años): 5 años.

El plazo cuenta desde la comisión del delito. En suplantaciones continuadas, desde el último acto del plan. La regla práctica es denunciar lo antes posible para preservar pruebas y bloquear daños futuros.

¿Tengo derecho a indemnización?

Sí, por varias vías compatibles:

• Responsabilidad civil derivada del delito (art. 116 CP): el condenado debe reparar el daño económico causado.
• Indemnización por daño moral: el ataque a la identidad, el honor o la imagen genera daño moral autónomo. Los tribunales conceden indemnizaciones que suelen oscilar entre 2.000 y 30.000 euros en casos de cuentas falsas con publicaciones lesivas.
• Acción civil por intromisión ilegítima (Ley Orgánica 1/1982, derecho al honor, intimidad y propia imagen): se puede ejercer aunque no haya delito penal, en plazo de 4 años desde el conocimiento de la intromisión.
• Reembolso por la entidad bancaria conforme a la normativa de servicios de pago en suplantaciones financieras.
• Sanción administrativa de la AEPD a la empresa responsable de la fuga de datos, aunque la multa no la cobra el afectado sino el Estado.

¿Cómo se prueba quién es el autor en una suplantación digital?

Es una de las dificultades habituales en estos delitos. Las vías de prueba más efectivas:

• Requerimiento judicial a la plataforma (operadora telefónica, red social, banco) para que aporte IPs, datos de registro, logs de acceso y cualquier identificador asociado a la cuenta falsa.
• Trazabilidad bancaria: cuando hay desvío de fondos, seguir el rastro de cuentas receptoras (que casi siempre llevan a «mulas» — personas que prestan su cuenta a cambio de comisión).
• Pericial informática: análisis técnico de dispositivos, metadatos, correlación de patrones de uso.
• Cooperación internacional: cuando los servidores están en el extranjero, comisión rogatoria o cooperación policial Europol/Interpol.
• Investigación patrimonial: seguir el dinero defraudado hasta su destinatario final.

La complejidad técnica hace recomendable contar desde el inicio con un abogado penalista con experiencia en delitos informáticos, que pueda dirigir la estrategia probatoria y coordinar con peritos especializados.

¿Qué medidas de prevención son más efectivas?

La mejor defensa es minimizar la exposición. Recomendaciones básicas:

• Contraseñas únicas y robustas en cada servicio, gestionadas con un password manager.
• Doble autenticación en todas las cuentas relevantes, preferentemente con app autenticadora (no SMS).
• No reutilizar el número de móvil como único factor de autenticación: el SIM swapping convierte el teléfono en el punto débil.
• Revisar regularmente los movimientos bancarios y las sesiones activas en redes y email.
• Configurar alertas de operación bancaria por mínimas cantidades.
• No compartir datos personales innecesarios en redes sociales públicas.
• Verificar la legitimidad de correos y SMS que pidan credenciales: ningún banco legítimo solicita contraseñas por esos canales.

Preguntas frecuentes sobre suplantación de identidad

¿Es delito que alguien se haga pasar por mí en una red social aunque no me cause daño económico?

Sí. La usurpación de estado civil del artículo 401 CP no requiere perjuicio económico; basta con asumir de forma persistente la identidad de otro sin su consentimiento. Si además hay publicaciones que dañan el honor, calumnias o injurias se suman al concurso.

Si me suplantaron y pidieron un préstamo en mi nombre, ¿tengo que pagarlo?

No. El préstamo otorgado a un tercero suplantador no genera obligación de pago para la víctima. La entidad financiera, que no verificó adecuadamente la identidad, debe asumir el quebranto. Si aparece reflejado en ASNEF u otro fichero de morosidad, hay que requerir la cancelación inmediata y reclamar la indemnización por inclusión indebida.

¿Qué hago si descubro un perfil falso con mi foto en internet?

Lo primero, reúne pruebas (captura de pantalla con URL y fecha visible). Después, reporta el perfil a la plataforma para su retirada inmediata y, en paralelo, presenta denuncia policial. Si el perfil tiene publicaciones que afectan a tu honor, también activa la acción civil por intromisión ilegítima (LO 1/1982) para reclamar indemnización.

¿Pueden denunciarme por suplantación si solo creé un perfil paródico de un personaje público?

Depende. Las parodias claramente identificables como tales y con finalidad humorística o crítica están amparadas por la libertad de expresión, especialmente cuando recaen sobre personajes públicos. Si la cuenta es ambigua, no se identifica como parodia y puede confundir al lector medio, sí puede dar lugar a usurpación o injurias. La línea jurisprudencial reciente exige claridad inequívoca para que opere la protección de la libertad de expresión.

¿La AEPD puede multar al banco si me suplantaron con sus datos?

Sí, si se acredita que la entidad incumplió las obligaciones de seguridad del RGPD y la LOPDGDD. Las multas pueden alcanzar el 4 % de la facturación anual global del grupo (artículo 83 RGPD). El procedimiento es independiente del penal y puede tramitarse en paralelo. La multa no se cobra por el afectado, pero refuerza la posición negociadora frente al banco.

¿Cuánto tiempo lleva resolver un caso de suplantación digital?

Varía mucho. Las investigaciones técnicas suelen prolongarse entre 1 y 3 años, sobre todo si los servidores están en el extranjero o el autor utilizó técnicas de anonimización. La recuperación del dinero por vía bancaria es más rápida (semanas a pocos meses si el banco actúa correctamente). La retirada de cuentas falsas suele ser cuestión de días tras la denuncia y el reporte a la plataforma.