Phishing: estafa informática del artículo 249.1.b CP, mulas y responsabilidad penal

En 30 segundos
El phishing es la modalidad de estafa informática prevista en el art. 249.1.b CP: consiste en la manipulación informática o el uso de artificio similar para conseguir una transferencia no consentida de un activo patrimonial. Se castiga con prisión de 6 meses a 3 años (tipo básico) o con la pena agravada del art. 250 CP (1 a 6 años) si la cuantía supera 50.000 € o concurre alguna agravante. Las «mulas» que ceden cuenta bancaria pueden responder por estafa, blanqueo de capitales o receptación, según el grado de conocimiento del origen ilícito.

El phishing es la principal estafa digital en España. Engloba desde el correo fraudulento clásico hasta variantes sofisticadas como smishing (SMS), vishing (llamadas), spear phishing (dirigido) y business email compromise (BEC). La defensa penal se concentra hoy en el papel de las llamadas mulas y en la responsabilidad de quienes ceden cuentas bancarias para mover fondos.

¿Qué es el phishing en derecho penal?

El phishing es una estafa informática: el autor consigue datos bancarios, credenciales o transferencias mediante engaño tecnológico. Sus elementos son:

• Manipulación informática o artificio similar: web falsa, correo suplantando entidad, formulario fraudulento, llamada con suplantación de identidad.
• Transferencia no consentida de activo patrimonial: dinero, criptomonedas, tarjetas, credenciales monetizables.
• Perjuicio económico para la víctima.
• Ánimo de lucro del autor o de un tercero.

A diferencia de la estafa común del art. 248 CP, el phishing no exige engaño humano directo: basta con la manipulación tecnológica y el desplazamiento patrimonial.

¿Qué dice el artículo 249.1.b del Código Penal?

«Cometen estafa los que… valiéndose de alguna manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro.»

El precepto se actualizó con la LO 14/2022, que reordenó los tipos de estafa y reforzó la respuesta a las modalidades digitales. El art. 250 CP recoge los subtipos agravados aplicables: cuantía elevada, abuso de relaciones personales, especial gravedad por valor de la defraudación o número de perjudicados.

¿Qué penas se aplican al phishing?

Modalidad	Tipo aplicable	Pena
Tipo básico	Art. 249.1.b CP	Prisión 6 meses-3 años
Cuantía superior a 50.000 €	Art. 250.1.5 CP	Prisión 1-6 años + multa 6-12 meses
Cuantía superior a 250.000 €	Art. 250.2 CP	Prisión 4-8 años + multa 12-24 meses
Organización criminal	Art. 570 bis CP en concurso	Pena agravada del art. 570 bis

Cuando el dinero pasa por varias cuentas mula y termina en criptomonedas o cuentas extranjeras, suele añadirse imputación por blanqueo de capitales (art. 301 CP) e incluso por organización o grupo criminal.

Mulas: cesión de cuenta y responsabilidad penal

Las «mulas» son personas que ceden su cuenta bancaria a cambio de comisión para que terceros muevan fondos procedentes de phishing. Su responsabilidad depende del grado de conocimiento:

• Dolo directo o eventual: si conoce el origen ilícito o lo sospecha y se conforma, responde por estafa (cooperación necesaria) o blanqueo de capitales del art. 301 CP.
• Imprudencia grave: si actúa con descuido grave sobre el origen del dinero, puede responder por blanqueo imprudente del art. 301.3 CP.
• Receptación: cuando recibe el dinero conociendo su procedencia delictiva sin haber participado en la estafa previa (art. 298 CP).

La defensa de mulas se centra en acreditar la ausencia de conocimiento del origen ilícito y, cuando proceda, en negociar atenuantes (confesión, reparación parcial del daño).

¿Cómo se castiga el phishing de pequeña cuantía?

No todos los casos de phishing llegan a los umbrales agravados. Cuando el hecho es de escasa gravedad y lo defraudado no supera los 400 euros, la estafa se castiga como delito leve, con pena de multa de uno a tres meses. El asunto se tramita entonces por el cauce del juicio por delito leve, sin riesgo de prisión y sin que la condena genere antecedentes computables a efectos de reincidencia en delitos menos graves.

Ahora bien, en el phishing esta calificación benigna es menos frecuente de lo que parece, por dos mecanismos de acumulación:

• Delito continuado (art. 74 CP): cuando el autor ejecuta una pluralidad de cargos o transferencias contra la misma víctima o contra varias, aprovechando idéntica ocasión, las cuantías se suman para fijar el perjuicio total y la pena se impone agravada. Varios cargos de 100 euros pueden acabar calificados como estafa menos grave.
• Multiplicidad de perjudicados: las campañas masivas de phishing afectan a decenas o cientos de víctimas. La generalidad de perjudicados y el perjuicio conjunto permiten aplicar los subtipos agravados aunque cada defraudación individual sea pequeña.

Para la defensa, la batalla de la cuantía es central: acreditar qué cargos son efectivamente atribuibles al acusado, cuáles fueron devueltos por la entidad bancaria y si concurre o no la continuidad delictiva puede marcar la diferencia entre una multa por delito leve y una pena de prisión. La devolución temprana de lo obtenido, además, abre la vía de la atenuante de reparación del daño.

Preguntas frecuentes

¿Soy una mula si solo presté la cuenta?

Depende. Si conocía o sospechaba el origen ilícito, puede haber cooperación en la estafa o blanqueo doloso. Si actuó con descuido grave sobre el origen, blanqueo imprudente. La defensa exige acreditar lo que sabía y lo que se le dijo al pedir la cuenta.

¿Qué pasa si recupero el dinero rápidamente?

La devolución antes del juicio puede operar como atenuante de reparación del daño (art. 21.5 CP) y permitir la suspensión de la pena en muchos casos.

¿La denuncia debe ponerse contra el banco o contra el estafador?

Penal contra el autor desconocido (suele identificarse durante la instrucción). Civil contra la entidad bancaria si no aplicó medidas de seguridad razonables. Pueden seguir vías paralelas.

¿La pena es la misma en phishing y en estafa común?

La estructura es idéntica (art. 249.1.b CP remite a las penas de la estafa). Cambia el medio comisivo: manipulación informática frente a engaño humano directo.

¿Es delito el phishing si lo estafado no llega a 400 euros?

Sí, pero como delito leve: si el hecho es de escasa gravedad y la cuantía no supera los 400 euros, la pena es multa de uno a tres meses. Cuidado con la acumulación: si hay varios cargos o varias víctimas, las cuantías se suman como delito continuado y la calificación se agrava.

¿Cuándo prescribe el delito de phishing?

El tipo básico de estafa informática, con pena máxima de 3 años, prescribe a los 5 años. Si se aplica el subtipo agravado del art. 250 CP (por ejemplo, cuantía superior a 50.000 euros), la prescripción se amplía a 10 años. El plazo se computa desde la consumación de la última transferencia en el delito continuado.

Phishing: cuándo necesitas un abogado penalista en Madrid

Si has sido víctima de phishing, la respuesta inmediata combina denuncia penal, reclamación bancaria y bloqueo de transferencias en cadena. Si te imputan como mula, el margen depende de actuar antes de la primera declaración: lo que se diga sin asistencia letrada condiciona toda la defensa. El conocimiento sobre el origen del dinero es el elemento que decide entre delito doloso, imprudente o impunidad.

Si el fraude se cometió por medios digitales, revisa qué es el phishing como estafa informática y cómo se articula la defensa.

Contáctame