Tipos de estafas online: de qué te acusan y cómo se defiende cada modalidad

¿Te han denunciado o te investigan por una estafa online?

En 2025, INCIBE gestionó 122.223 incidentes de ciberseguridad en España, un 26% más que el año anterior. Cuatro de cada diez fueron fraude online, con el phishing a la cabeza. Cuantas más estafas hay, más denuncias se interponen, y en muchas de ellas aparece señalada una persona que no engañó a nadie. Un vendedor que entregó lo que vendió, alguien cuya cuenta recibió un dinero cuyo origen desconocía, un intermediario al que se confunde con el autor. Este artículo recorre los tipos de estafas online más habituales y, sobre todo, cómo surge la acusación en cada uno y cómo se defiende quien es investigado. No todo el que figura en una denuncia por estafa es un estafador, y esa distinción es el punto de partida de toda defensa.

Qué es una estafa online y por qué acabas acusado

Una estafa online es un engaño ejecutado a través de internet, el teléfono o una aplicación de pago para que la víctima entregue dinero o datos creyendo que hace algo distinto. El soporte cambia, pero el núcleo jurídico es el mismo que en cualquier delito de estafa del Código Penal. El artículo 248 exige cuatro elementos: ánimo de lucro, engaño bastante, error de la víctima y un acto de disposición patrimonial con perjuicio. Si falta uno solo, no hay estafa. Y ahí está la clave de la defensa, porque la acusación tiene que probar los cuatro, no basta con que alguien haya perdido dinero.

La estafa común del artículo 248 se castiga con prisión de seis meses a tres años. Si la cantidad defraudada no supera los 400 euros, el hecho se degrada a delito leve penado con multa, salvo que concurra un agravante o multirreincidencia. Cuando el fraude manipula un sistema informático o la propia operación de pago, entra en juego la estafa informática del artículo 249, con la misma horquilla de seis meses a tres años pero sin delito leve por cuantía, porque la reforma de 2022 lo suprimió y por debajo de 400 euros la pena no se rebaja. Cuando concurren agravantes, como una cuantía superior a 50.000 euros o el abuso de relaciones personales, se aplica la estafa agravada del artículo 250, con prisión de uno a seis años.

Tres reglas se repiten en casi todos estos procedimientos. Cuando se atribuyen varias operaciones con un mismo plan, se aprecia continuidad delictiva y las cantidades se suman a efectos de pena, lo que agrava la exposición. Al perjuicio se añade la responsabilidad civil, esto es, la obligación de devolver lo defraudado. Y la prescripción es de cinco años en la estafa básica y de diez en las modalidades agravadas. Puedes consultar la redacción vigente en el Código Penal publicado en el BOE.

Tipos de estafas online según el método de engaño

El primer criterio para ordenar el fraude digital es la técnica con la que se engaña a la víctima. Interesa conocerla porque de cada método nace un tipo distinto de acusación, y con ella una línea de defensa propia.

Phishing: correos que suplantan a tu banco

El phishing es el envío de correos electrónicos fraudulentos que imitan a una entidad legítima, un banco, una plataforma de pago o un organismo, para que la víctima introduzca sus claves en una web falsa. Es el fraude online más frecuente en España, con 25.133 casos registrados por INCIBE en 2025, y encaja en la estafa informática. A un despacho penal no suele llegar quien envía los correos, sino la persona cuya cuenta recibió el dinero que la víctima transfirió tras picar. Aparecer como destinatario de esos fondos te sitúa en la investigación, pero no acredita que montaras el engaño. La defensa se centra en el desconocimiento del origen y en la trazabilidad del dinero.

Smishing y suplantación de organismos: el SMS de la Policía o de Correos

El smishing es el phishing ejecutado por SMS. Es la variante que más ha crecido, porque un mensaje de texto genera más confianza que un correo. La técnica del SMS spoofing permite que el mensaje aparezca dentro del mismo hilo que los avisos reales de tu banco. Aquí entran los fraudes que suplantan a organismos oficiales. El falso SMS de la Policía Nacional que avisa de una denuncia. La multa pendiente de la DGT. La devolución de la Agencia Tributaria. O la tasa de Correos para entregar un paquete. La suplantación de identidad no es un delito autónomo en España, sino la puerta de entrada al fraude que la acompaña, y se persigue por el delito que sirve para cometer. Puedes ampliarlo en el artículo sobre el delito de suplantación de identidad.

Vishing y spoofing: la llamada del falso empleado del banco

El vishing combina voz y phishing. El estafador llama haciéndose pasar por el departamento de seguridad de tu banco, alerta de un cargo sospechoso y guía a la víctima para que autorice ella misma una operación o facilite un código. La irrupción de la inteligencia artificial ha agravado el problema, porque hoy permite clonar la voz de una persona conocida a partir de unos segundos de audio. Se apoya en el spoofing, la falsificación del número llamante para que en la pantalla aparezca el nombre real de la entidad. Al igual que en el phishing, la acusación suele recaer sobre la cuenta que recibió el dinero, no sobre quien hizo la llamada.

Fraude del CEO y falso soporte técnico

El fraude del CEO va dirigido a empresas. El estafador suplanta a un directivo por correo y ordena a un empleado del departamento financiero una transferencia urgente y confidencial a una cuenta nueva. El falso soporte técnico funciona al revés: contactan a la víctima simulando ser el servicio informático de una gran compañía, alertan de un virus y piden acceso remoto al ordenador para, en realidad, entrar en su banca. Ambos combinan la estafa con la falsedad documental y mueven cantidades altas, lo que eleva la pena. En estos casos es habitual que se investigue al empleado que ordenó el pago o al titular de la cuenta receptora, personas que también fueron engañadas.

Ransomware y secuestro de datos

El ransomware es un programa malicioso que cifra los archivos de un dispositivo y exige un rescate para liberarlos. INCIBE contabilizó 392 ataques de este tipo en 2025. A diferencia de las estafas de engaño, aquí la conducta no encaja solo en la estafa. Suma los daños informáticos del artículo 264, el acceso ilícito a sistemas del artículo 197 bis y, por la exigencia del rescate, la extorsión. Es la modalidad más técnica, y una imputación por estos hechos exige una defensa en ciberdelincuencia que discuta la autoría y la prueba informática con rigor pericial.

Estafa de inversión y criptomonedas

La estafa de inversión promete rentabilidades altas y seguras en productos financieros o criptoactivos que no existen o que forman un esquema piramidal. Por su cuantía suele ir a la estafa agravada del artículo 250. Quien invirtió y luego captó a conocidos, o quien prestó su cuenta para recibir fondos, puede terminar investigado pese a ser también una víctima. El rastreo del dinero en la cadena de bloques abre una vía específica de defensa, como se explica en el artículo sobre la estafa con criptomonedas.

Fraude bancario y man in the middle

En el ataque conocido como man in the middle, el estafador se interpone en la comunicación entre dos partes, por ejemplo una empresa y su proveedor. Intercepta y altera los datos bancarios de una factura para desviar el pago a su cuenta. La víctima paga a quien cree su proveedor legítimo. Es un fraude silencioso que solo sale a la luz cuando el proveedor real reclama el cobro, y en el que la cuenta de destino, muchas veces una cuenta puente, es la primera señalada.

¿Te investigan por un fraude online que dices no haber cometido?

Tipos de estafas online según la plataforma

El segundo criterio para clasificar el fraude es el canal donde ocurre. Cada plataforma tiene su modalidad propia, y en casi todas se repite la misma tensión: la denuncia recae sobre el vendedor legítimo o sobre el titular de la cuenta, no sobre el estafador real.

Estafa por Bizum y Bizum inverso

Bizum permite dos operaciones que en pantalla se parecen mucho, enviar un pago y solicitar dinero. En el Bizum inverso, un falso comprador dice que va a pagar pero manda una solicitud de cobro disfrazada de pago, y la víctima, al confirmar, envía ella misma el dinero. La acusación aparece cuando se denuncia al vendedor real de una operación que salió mal, confundiendo un incumplimiento con una estafa, o cuando la cuenta que recibió el dinero se atribuye sin más a su titular. La defensa separa la venta legítima del engaño y discute quién dispuso realmente del dinero. Cada modalidad y su encaje penal se detallan en la página sobre la estafa por Bizum.

Wallapop, Vinted y Milanuncios: el fraude en la segunda mano

Las plataformas de compraventa entre particulares concentran una parte enorme de estas denuncias. Las modalidades van del producto que se cobra y nunca se envía al enlace falso de confirmación de envío. En este terreno es frecuente que la denuncia recaiga sobre un vendedor honesto: un retraso, un producto que no gustó o una devolución mal resuelta se transforman en una denuncia penal que, en realidad, describe una discrepancia civil. Demostrar que hubo una compraventa real, con su conversación y su entrega, desmonta la acusación de estafa. Los matices de cada plataforma, con su propia forma de acusación y de defensa, se explican en los artículos sobre la estafa en Wallapop, la estafa en los envíos de Wallapop, la estafa en Vinted y la estafa en Milanuncios.

Estafa por transferencia bancaria

La transferencia es el método de pago que el estafador prefiere, porque es difícil de revertir. Aparece en falsas ventas, en alquileres inexistentes y en fraudes de inversión. Quien recibe una transferencia procedente de un fraude sin saberlo se encuentra de pronto en el centro de la investigación, en la figura de la mula bancaria que se trata más abajo.

Estafa en el alquiler de vivienda

El falso arrendador publica un piso atractivo a buen precio, a menudo con fotos sacadas de otro anuncio, y pide una señal o el primer mes por adelantado. La vivienda no existe o no es suya. La otra cara, la que llega al despacho, es la del propietario real al que se denuncia por un problema con las arras o el contrato. Casi siempre es un conflicto civil, no penal. Los detalles de esta modalidad y su defensa se explican en el artículo sobre la estafa en el alquiler de vivienda.

Estafa amorosa

En la estafa amorosa, o fraude romántico, el estafador construye una relación sentimental falsa durante semanas o meses para, después, pedir dinero con una excusa urgente. La acusación puede alcanzar a quien, sin saberlo, sirvió de puente para recibir o reenviar esos fondos, o a quien mantuvo una relación real y es señalado por despecho una vez terminada.

Empleo falso y mulas bancarias

La oferta de trabajo falsa promete ganar dinero desde casa recibiendo cobros en la cuenta propia y reenviándolos a cambio de una comisión. Quien acepta se convierte, sin saberlo, en una mula bancaria: recibe dinero de un fraude y lo mueve. Es una de las situaciones más delicadas, porque la persona captada aparece en la investigación como si fuera el autor. Aquí lo determina todo el conocimiento del origen del dinero, como también ocurre en la estafa a través de Indeed o InfoJobs.

Cómo se defiende una acusación por una estafa online

No todos los que aparecen en una denuncia por estafa son estafadores. Sea cual sea la modalidad, la defensa parte del mismo sitio y se apoya en varias líneas que conviene entender antes de dar un solo paso.

La acusación debe probar los cuatro elementos del artículo 248

La carga de la prueba recae sobre quien acusa, no sobre ti. Si la denuncia no acredita engaño bastante, ánimo de lucro, error de la víctima y acto de disposición, el delito no se sostiene. La presunción de inocencia obliga a que se pruebe cada elemento, y basta que uno falle para que la estafa no exista. Muchas denuncias describen un dinero perdido, pero no un engaño anterior y buscado, que es lo que la ley castiga.

Estafa o incumplimiento civil: la primera frontera

La defensa más habitual del vendedor legítimo consiste en separar la estafa del simple incumplimiento contractual. Que un trato salga mal, que el producto no guste o que haya un retraso no es delito, es una discrepancia civil. La estafa exige un engaño previo al pago; si ese engaño no existía al inicio, el asunto no es penal. Distinguir la estafa de otras figuras patrimoniales, como se detalla al analizar la diferencia entre estafa y apropiación indebida, es a menudo lo que decide el archivo.

La ausencia de dolo: la mula bancaria engañada

Cuando la acusación se dirige a quien recibió en su cuenta el dinero del fraude, lo que cambia todo es el dolo, esto es, el conocimiento del origen ilícito. Un eslabón inconsciente, captado con una falsa oferta de empleo y engañado sobre la procedencia de los fondos, no responde como quien actúa a sabiendas. Los mensajes de captación, el contrato de trabajo falso, la ausencia de beneficio real y un perfil sin antecedentes prueban esa buena fe. Según el caso, la conducta se califica como estafa o como blanqueo, y responder por una, por otra o por ninguna depende precisamente de ese conocimiento.

El deber de autotutela: cuando el engaño no fue «bastante»

La ley exige que el engaño sea bastante, es decir, idóneo para vencer una diligencia mínima de la víctima. Si quien denuncia pudo descubrir la trampa con una comprobación sencilla, la defensa puede discutir la tipicidad por incumplimiento de ese deber de autotutela. Basta con que leyera lo que confirmaba en la propia aplicación o con que el anuncio fuera evidentemente falso. No toda ingenuidad de la supuesta víctima traslada la responsabilidad penal a quien recibió el dinero.

La trazabilidad y la prueba pericial informática

El mismo rastro que te sitúa en la investigación sirve para exculpar. La trazabilidad del dinero suele demostrar que la cantidad no se quedó en tu cuenta, sino que siguió su camino en cadena hacia otras entidades, lo que encaja con el papel de eslabón de paso y no de autor. Una prueba pericial informática sobre dispositivos, direcciones IP y horarios puede acreditar que no fuiste tú quien manejó la operación. En la práctica, la defensa se construye con esos datos técnicos, no con afirmaciones.

Qué hacer si te citan como investigado

Si te llega una citación para declarar como investigado, el error más caro es presentarte a improvisar. Tienes derecho a no declarar y a conocer de qué se te acusa antes de hacerlo. Lo sensato es ordenar antes tu versión y tu prueba, decidir con tu abogado si declaras o guardas silencio, y no dar explicaciones sueltas que después se usen en tu contra. Y hay dos movimientos que se pagan caros: contactar con quien te denuncia para «arreglarlo» enviando dinero, porque se lee como reconocimiento, y borrar mensajes o movimientos, porque destruyes la prueba que puede exculparte.

¿Te enfrentas a una acusación por una estafa online?

Preguntas frecuentes sobre las acusaciones por estafa online

Me acusan de una estafa online que no cometí, ¿qué hago?

No contactes con quien te denuncia ni envíes dinero para arreglarlo, porque se interpreta como reconocimiento. Reúne toda la prueba de la operación, no borres nada y no declares sin preparar antes tu versión con un abogado. Aparecer en la trazabilidad no prueba que engañaras a nadie.

¿Me pueden condenar solo con la denuncia de la otra parte?

No. La denuncia abre el procedimiento, pero la condena exige que se pruebe el engaño, el ánimo de lucro y el perjuicio. Quien denuncia es quien debe acreditar esos elementos, y el deber de autotutela permite discutir si el engaño fue realmente bastante.

Recibí en mi cuenta dinero de un fraude sin saberlo, ¿soy responsable?

Depende del conocimiento. Si sabías que ese dinero procedía de un fraude, respondes como partícipe, y según el caso la conducta se califica como estafa o como blanqueo. Si te captaron con una oferta de empleo falsa y desconocías el origen, la defensa se centra en demostrar la ausencia de dolo.

Vendí un producto real y me denuncian por estafa, ¿qué puede pasar?

Si entregaste lo pactado, no hubo engaño ni ánimo de lucro, hubo una compraventa. La prueba de la operación, con su conversación, su envío y su entrega, desmonta la acusación. La clave es separar la estafa de un simple incumplimiento, que pertenece a la vía civil y no a la penal.

¿Qué pena tiene una estafa online?

El tipo base de la estafa del artículo 248 se castiga con prisión de seis meses a tres años, y por debajo de 400 euros es delito leve con pena de multa, salvo que concurra un agravante o multirreincidencia. La estafa informática del artículo 249 comparte esa horquilla de seis meses a tres años, pero no admite delito leve por cuantía desde la reforma de 2022, así que por debajo de 400 euros la pena no se rebaja. Cuando la cuantía supera los 50.000 euros o concurren otros agravantes, se aplica la estafa agravada del artículo 250, con prisión de uno a seis años.

¿Cuándo prescribe una acusación por estafa online?

La estafa básica prescribe a los cinco años y las modalidades agravadas del artículo 250 a los diez. El plazo cuenta desde que se comete el hecho, no desde que se denuncia. Si se aprecia continuidad delictiva, el cómputo se ve afectado por la fecha de la última operación atribuida.