El marco legal
El artículo 248 del Código Penal define la estafa como el engaño bastante para producir error y un acto de disposición patrimonial en perjuicio propio o ajeno, incluida la manipulación informática, con pena de 6 meses a 3 años (multa si no supera 400 euros, artículo 249, reformado por la Ley Orgánica 14/2022); el artículo 250 agrava a 1 a 6 años cuando el valor supera 50 000 euros, afecta a un elevado número de personas, abusa de las relaciones personales o de la vulnerabilidad de la víctima, o se comete con abuso de firma o suplantación, y a 4 a 8 años por encima de 250 000 euros. La denuncia se presenta en cualquier comisaría de la Policía Nacional (Brigada Central de Investigación Tecnológica) o puesto de la Guardia Civil (Grupo de Delitos Telemáticos), en el juzgado de guardia o en la fiscalía; el 017 de INCIBE (Instituto Nacional de Ciberseguridad) orienta gratuitamente y la Oficina de Seguridad del Internauta publica alertas. Los bancos deben reembolsar en un día hábil las operaciones no autorizadas (Real Decreto-ley 19/2018, transposición de la PSD2) salvo negligencia grave del cliente, y la jurisprudencia (Tribunal Supremo 2024 y audiencias provinciales) obliga cada vez más a reembolsar los fraudes de suplantación del banco (phishing, SMS) cuando la seguridad del banco falló, pero no las transferencias hechas a sabiendas a un «novio» virtual; la reclamación pasa por el servicio de atención al cliente del banco y el Banco de España. España registró más de 470 000 ciberdelitos en 2024, el 90 % estafas, y la Policía estima en varias decenas de millones anuales las pérdidas por estafas románticas, con víctimas mayoritariamente mayores de 50 años.
Los puntos clave
| Delito | Estafa: 6 meses a 3 años (artículo 248); 1 a 6 años si supera 50 000 euros, muchas víctimas o vulnerabilidad (artículo 250); 4 a 8 años por encima de 250 000 |
|---|---|
| Denuncia | Comisaría, Guardia Civil, juzgado de guardia o fiscalía; orientación en el 017 (INCIBE); algunas denuncias en línea con certificado digital |
| Reembolso bancario | Operaciones no autorizadas reembolsadas en un día (RDL 19/2018); suplantación del banco cada vez más reembolsada por los tribunales; transferencias voluntarias no |
| Plataformas | Obligación de retirar perfiles señalados (DSA); las aplicaciones de citas no responden del daño salvo negligencia |
| Prescripción | 5 años para la estafa básica, 10 para la agravada |
| Cifras | Más de 470 000 ciberdelitos en 2024, el 90 % estafas (Ministerio del Interior); estafas románticas: decenas de millones de pérdidas, víctimas mayores de 50 años en su mayoría |
En la práctica
- Denunciar cuanto antes con todas las pruebas (conversaciones, perfiles, justificantes de transferencia, direcciones de criptomonedas): la Policía puede pedir el bloqueo de cuentas receptoras en España en horas.
- Llamar al banco inmediatamente para intentar el retroceso de la transferencia (recall); si la cuenta receptora es española y aún tiene fondos, a veces se recupera.
- Reclamar por escrito al servicio de atención al cliente del banco y, sin respuesta en 15 días o con negativa, al Banco de España; para los fraudes de suplantación, la vía civil ha dado la razón a muchas víctimas.
- Señalar el perfil a la plataforma y a la Oficina de Seguridad del Internauta; no responder a las «agencias de recuperación» ni a los supuestos abogados o policías que contactan después: son la misma red.
- La víctima de estafa romántica sufre a menudo vergüenza y aislamiento: las asociaciones (Asociación de Afectados por Estafas Amorosas, Stop Violencia Digital) y los servicios sociales acompañan; el 017 orienta también sobre el apoyo psicológico.
Coste y cobertura
Denuncia y 017 gratuitos; reclamación al Banco de España gratuita; la vía civil requiere abogado y procurador por encima de 2 000 euros (justicia gratuita según ingresos).
Cambios recientes
La Ley Orgánica 14/2022 reordenó las penas de la estafa; el Tribunal Supremo reforzó en 2024 la responsabilidad de los bancos en los fraudes de suplantación; la verificación del nombre del beneficiario en las transferencias entró en vigor en octubre de 2025; la Policía desmanteló en 2024 y 2025 redes de estafa romántica con base en España que operaban desde centros de llamadas.
A quién dirigirse
- 017 — INCIBE: orientación gratuita en ciberseguridad y estafas (9 a 21 horas).
- Policía Nacional — Brigada Central de Investigación Tecnológica; Guardia Civil — Grupo de Delitos Telemáticos.
- Banco de España — reclamaciones contra entidades.
- Oficina de Seguridad del Internauta (osi.es): alertas y guías.
Conviene saber
La ley castiga bien la estafa, pero el dinero enviado voluntariamente a un desconocido no lo devuelve el banco y rara vez lo recupera la Policía si ha salido de España: la única defensa es no enviar nunca dinero a quien no se ha visto en persona. Y la segunda estafa — la «recuperación» del dinero contra un pago — llega casi siempre después de la primera.
Fuentes y enlaces oficiales
- Código Penal — artículos 248 a 251 bis (estafas) — texto consolidado
- Real Decreto-ley 19/2018 de servicios de pago — artículos 44 a 46 (operaciones no autorizadas) — Boletín Oficial del Estado
- INCIBE — 017 y guías sobre estafas — Instituto Nacional de Ciberseguridad
Enlaces verificados a fuentes oficiales o de referencia. Se abren en una pestaña nueva.