Estafa y estafa informática: el marco penal frente al fraude a las empresas

La imagen clásica del «timo de la estampita» ha quedado anticuada. El mundo digital ha abierto el camino a la delincuencia económica organizada y hoy su objetivo preferente son las empresas: tienen tesorería, ordenan pagos a diario, trabajan con decenas de proveedores y dependen de empleados que, con un simple correo electrónico, pueden mover cientos de miles de euros.

Los tribunales españoles han conocido ya fraudes de casi 5 millones de euros a una filial automovilística (SAP Madrid, Secc. 18ª, 28/2022, de 27 de enero) o de casi 22 millones de euros a una planta farmacéutica (STSJ Cataluña 4477/2023, de 10 de julio). No se trata, por tanto, de un riesgo menor, sino de una amenaza que afecta directamente a la continuidad del negocio.

Antes de entrar en lo práctico —cómo atacan a las empresas, cómo protegerse y qué ocurre con el banco; lo cual trataremos en la próxima publicación—, debemos detenernos en la teoría. Como veremos, algunas de estas cuestiones teóricas pueden acabar decidiendo si la empresa es considerada víctima o si se le reprocha no haberse protegido. Esta es, por tanto, la primera de una serie de publicaciones en la que sentaremos las bases a las que volveremos en las siguientes.

1. La estafa clásica del artículo 248 CP

El artículo 248 del Código Penal dispone que cometen estafa «los que, con ánimo de lucro, utilizaren engaño bastante para producir error en otro, induciéndolo a realizar un acto de disposición en perjuicio propio o ajeno«, con una pena de seis meses a tres años de prisión. Para fijar la pena se atiende al importe defraudado, al quebranto económico causado, a las relaciones entre víctima y defraudador y a los medios empleados.

La jurisprudencia descompone el delito en una secuencia de elementos que deben concurrir encadenados:

• Un engaño, entendido en sentido amplio, dada la ilimitada variedad de supuestos ofrecidos por la vida real, que puede consistir en la «maquinación, falacia, mendacidad, argucia, treta, anzuelo, cimbel o reclamo» del infractor (STS de 20 de marzo de 1985). El engaño debe ser:
  • Antecedente[1]: debe existir antes del acto de disposición. Si no, no hay estafa, sino un simple incumplimiento contractual.
  • Bastante: debe ser idóneo para producir el error, lo que exige un juicio de adecuación, relevancia e idoneidad.
  • Causante: el perjuicio debe poder explicarse precisamente como la realización del riesgo ilícito que creó el engaño.
• Un error en la víctima, consecuencia de ese engaño.
• Un acto de disposición patrimonial realizado por el engañado, que causa el perjuicio[2].
• Ánimo de lucro en el autor.

Además, el autor debe actuar con dolo, es decir, con conocimiento y voluntad de engañar y de causar el perjuicio.

La estructura de la estafa es la de un delito de autolesión: es la propia víctima, engañada, quien realiza el acto de disposición que la perjudica (STS 1036/2003, de 2 de septiembre). En la estafa, el autor no ataca el patrimonio ajeno con sus propias manos: se vale del engaño para manipular la voluntad de otra persona y la utiliza como un instrumento para causar el daño.

En el ámbito empresarial, esta lógica explica una modalidad especialmente relevante: el negocio jurídico criminalizado, en el que el autor simula un propósito serio de contratar cuando en realidad solo pretende aprovecharse de las prestaciones de la otra parte. La STS 265/2014, de 8 de abril, lo ilustra con el clásico «timo del nazareno«: el defraudador se gana la confianza de la empresa con pequeños pedidos que paga puntualmente, utilizando una fachada solvente, para después realizar un pedido de mucho mayor valor que nunca abona.

El engaño bastante: cuando la víctima es una empresa

El engaño bastante es, en la práctica, el campo de batalla habitual, y aquí que la víctima sea una empresa cobra relevancia. La jurisprudencia es más exigente con los profesionales que con los consumidores: la condición de empresario «incrementa el nivel de exigencia del principio de autorresponsabilidad» (STS 449/2004, de 2 de abril). Engaños que bastarían frente a un consumidor pueden no bastar frente a una empresa, como ocurre con el banco que concede un crédito sin hacer las sencillas comprobaciones de solvencia que tenía a su alcance.

Ahora bien, no cualquier descuido deja impune al estafador. Lo decisivo es si el engaño era idóneo para sortear las cautelas que cabe esperar de una empresa diligente, y el Tribunal Supremo considera que el engaño «no bastante» es excepcional (ATS de 21 de septiembre de 2023): si logró que la víctima dispusiera de su patrimonio, normalmente será porque era idóneo. Dicho de otra manera, no existirá engaño bastante si este es tan burdo que cualquiera pueda detectarlo (como Victor Lustig vendiendo la Torre Eiffel).

La consecuencia práctica es clara. Un fraude del CEO bien elaborado, con suplantaciones verosímiles y documentación aparente, difícilmente será un engaño «no bastante». Pero la empresa que prescinde de los controles más elementales se expone a que la defensa lo discuta, y esa es una razón más para cuidar los protocolos internos.

Engañado y perjudicado: no tienen por qué ser la misma persona

Una precisión clave para entender los fraudes empresariales: el engañado y el perjudicado no tienen por qué coincidir. La estafa se produce también cuando el autor induce a un empleado, un gestor, etc., a disponer en perjuicio de su mandante. Y el engaño ni siquiera tiene que ser directo: el defraudador puede valerse de otras personas para transmitir el mensaje engañoso. Es exactamente la estructura del fraude del CEO: se engaña al empleado de tesorería, pero quien sufre la pérdida es la empresa.

La estafa por omisión

No hace falta mentir expresamente. Existe una extensa jurisprudencia sobre estafas en las que el autor engaña a la víctima omitiendo datos relevantes para el negocio que estaba obligado a comunicar. Un ejemplo clásico es el mayorista que vende a un minorista una partida de carne a sabiendas de que está en mal estado. Eso sí, la omisión solo es estafa si induce al acto de disposición; no reparar después un daño causado sin dolo no entra en el tipo penal.

2. La estafa informática del artículo 249 CP

¿Qué ocurre cuando no hay nadie a quien engañar? La estafa informática nace de esa pregunta. La figura «tiene la finalidad de proteger el patrimonio contra acciones que no responden al esquema típico» de la estafa, «pues no se dirigen contra un sujeto que pueda ser inducido a error«: los aparatos electrónicos se comportan según su programa (STS 860/2008, de 17 de diciembre).

Tras la reforma operada por la LO 14/2022, de 22 de diciembre, la figura —antes en el artículo 248.2 CP— se ubica en el artículo 249 CP, que castiga con la misma pena de seis meses a tres años[3]:

• 249.1.a): a quienes, con ánimo de lucro, «obstaculizando o interfiriendo indebidamente en el funcionamiento de un sistema de información o introduciendo, alterando, borrando, transmitiendo o suprimiendo indebidamente datos informáticos o valiéndose de cualquier otra manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro«.
• 249.1.b): a quienes utilicen de forma fraudulenta tarjetas o «cualquier otro instrumento de pago material o inmaterial distinto del efectivo o los datos obrantes en cualquiera de ellos«.
• 249.2 y 3: a quienes fabriquen, posean o faciliten a terceros programas, dispositivos o datos diseñados para cometer estas estafas, o adquieran o trafiquen con instrumentos de pago obtenidos ilícitamente.

La diferencia con la estafa clásica es sustancial:

• «El engaño ya no es un elemento básico ni es de imprescindible presencia», sino que se ve sustituido por los artificios prohibidos (STS 137/2020, de 8 de mayo).
• Tampoco hay error ni relación entre personas: la acción «se ejerce directamente al programa informático que actúa, sin error, según la información que le es suministrada» (SAP Zaragoza, Secc. 6ª, 234/2024, de 4 de junio).
• Lo relevante es que la máquina «actúe a impulsos de una actuación ilegítima«, y da igual que el autor modifique el programa o que «lo utilice sin la debida autorización o en forma contraria al deber» (STS 860/2008, de 17 de diciembre).

Por ejemplo, entrar en la banca electrónica de la empresa con unas claves robadas es una manipulación informática que entra en el ámbito de este delito.

3. La pregunta clave: ¿quién ordena la transferencia?

Con todo lo anterior, la frontera práctica entre ambos delitos se resume en una pregunta: quién ordena la transferencia:

• Si es un empleado engañado quien la ejecuta, creyendo que obedece a su jefe o paga a un proveedor, estamos ante el esquema del artículo 248 CP: hay una persona inducida a error que dispone en perjuicio de la empresa.
• Si es el delincuente quien, con credenciales obtenidas ilícitamente, opera directamente en la banca electrónica, la conducta encaja en el artículo 249 CP: no hay nadie engañado en el momento de la disposición (aunque lo fuera para facilitar las claves), sino un sistema manipulado.

4. Consecuencias comunes

Una vez distinguidas ambas figuras, hay cuestiones que importan en la práctica a cualquier empresa víctima:

• Agravación por cuantía. Ambas comparten la agravante del artículo 250.1.5.º CP —prisión de uno a seis años y multa de seis a doce meses— cuando lo defraudado supera los 000 euros, umbral que en el entorno empresarial se rebasa con facilidad. También comparte la hiperagravación del art. 250.2 CP si la cuantía defraudada supera los 250.000 euros —prisión de cuatro a ocho años y multa de doce a veinticuatro meses—.
• Agravación por abuso de credibilidad empresarial. Asimismo, el artículo 250.1.6.º CP agrava ambos delitos cuando el autor aprovecha su «credibilidad empresarial o profesional«. Es el terreno de los fraudes que se presentan con la apariencia de una auditora, un despacho o un proveedor de confianza.
• La empresa también puede estar en el banquillo. Desde la LO 5/2010, el artículo 251 bis CP prevé la responsabilidad penal de la persona jurídica por estos delitos, con multas del doble al quíntuple de lo defraudado. Eso sí, solo cuando el delito se comete en su beneficio y en las condiciones del artículo 31 bis CP. Así, una sociedad cuyos administradores o empleados cometen fraudes en su beneficio puede verse al otro lado del proceso: de ahí la importancia del compliance.
• Las «mulas» también responden. Las organizaciones que cometen estos fraudes rara vez reciben el dinero directamente. Para eso utilizan a las llamadas «mulas»: titulares de las cuentas de destino, los cuales, una vez obtenidos los fondos, se encargan de colocarlos en un país que asegure la impunidad, transformarlos en efectivo, criptomonedas u otros medios tendentes al ocultamiento del destino del dinero. Su responsabilidad penal depende de lo que pueda probarse sobre su conocimiento y su relación con los autores:
  • Si se acredita que actuaron de acuerdo con quienes obtuvieron las claves o diseñaron el engaño, o que al menos asumieron que su cuenta iba a servir para un fraude, responderán como cooperadores necesarios o cómplices de la estafa (STS 815/2024, de 26 de septiembre). Que la cuenta se abriera expresamente para recibir el dinero es un indicio relevante de ese dolo, como declara la SAP Madrid, Secc. 4.ª, 121/2024, de 30 de abril.
  • Si no puede probarse esa colaboración previa con los estafadores —por ejemplo, porque la cuenta ya existía antes de los hechos y nada más la vincula al fraude inicial—, pero sí que después ocultaron o movieron unos fondos cuyo origen ilícito conocían o debieron sospechar, podrán responder por un delito de blanqueo de capitales, doloso o imprudente (STS 506/2015, de 27 de julio; STSJ Madrid 186/2025, de 29 de abril).

Lo relevante es que, como los autores principales suelen actuar desde otros países y es difícil identificarlos, las mulas son con frecuencia los únicos que llegan a juicio. Para la empresa víctima, localizarlas puede ser la vía más realista de obtener una condena y de reclamar la responsabilidad civil.

5. Conclusión

La estafa del artículo 248 CP y la estafa informática del artículo 249 CP responden a estructuras distintas. Sin embargo, el objetivo es el mismo: apoderarse ilegítimamente del patrimonio ajeno.

Asentadas las bases, en la próxima publicación pasaremos a lo práctico: cómo atacan los ciberdelincuentes a las empresas —fraude del CEO, BEC, phishing, vishing y smishing— y qué medidas concretas pueden adoptarse para protegerse.

En Ayuela Jiménez contamos con abogados especialistas en Derecho Penal Económico y Compliance Penal que asesoran a empresas tanto en la prevención del fraude como en la reacción frente a él. Ante cualquier duda o incidente, contar con un equipo experto marca la diferencia.

[1] El requisito del engaño antecedente tiene un matiz importante para las relaciones comerciales prolongadas, como un contrato de suministro con pagos periódicos: aunque el engaño no existiera al firmar, si surge en un momento intermedio e induce a la otra parte a seguir pagando, puede haber estafa.

[2] Cuando el perjuicio no supera los 400 euros, el hecho es un delito leve castigado con multa de uno a tres meses.

[3] En el art. 249 CP no existe el límite de los 400 € para la concurrencia de un delito leve. Sea cual sea la cuantía, no existe el delito leve de estafa informática (STS 565/2026, de 25 de septiembre).