Aplicable en España — basado en normativa española (BOE).Manipular un sistema informático o usar tarjetas ajenas para conseguir una transferencia no consentida, sin engañar a ninguna persona
Resumen rápido: La estafa informática es la modalidad de estafa que castiga a quien, con ánimo de lucro, obtiene una transferencia patrimonial no consentida obstaculizando o interfiriendo en un sistema de información, manipulando datos informáticos, o utilizando de forma fraudulenta tarjetas de crédito o débito y otros instrumentos de pago, así como a quien fabrica o facilita el software o los dispositivos diseñados para cometer estas conductas.
Definición flash: Conseguir una transferencia patrimonial no consentida manipulando un sistema informático o usando de forma fraudulenta una tarjeta u otro medio de pago.
Etiqueta lingüística
La estafa clásica del artículo 248 exige un engaño que induce a una persona a disponer de su patrimonio. La estafa informática nace precisamente para cubrir el hueco que deja esa definición cuando no hay ninguna persona engañada: quien manipula un cajero automático o una plataforma de pago online no engaña a nadie, interviene directamente sobre una máquina o un sistema. Por eso el legislador la reguló como una modalidad autónoma, con su propio artículo, en vez de forzar la definición clásica para que encajara.
Definición técnica
El artículo 249 del Código Penal castiga con pena de prisión de seis meses a tres años, en su apartado 1: a) a quien, con ánimo de lucro, obstaculizando o interfiriendo indebidamente en el funcionamiento de un sistema de información, o introduciendo, alterando, borrando, transmitiendo o suprimiendo indebidamente datos informáticos, o valiéndose de cualquier otra manipulación informática o artificio semejante, consiga una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro; y b) a quien, utilizando de forma fraudulenta tarjetas de crédito o débito, cheques de viaje o cualquier otro instrumento de pago material o inmaterial distinto del efectivo, o los datos obrantes en ellos, realice operaciones en perjuicio de su titular o de un tercero.
El apartado 2 castiga con la misma pena la conducta anterior a la propia estafa: a) fabricar, importar, obtener, poseer, transportar, comerciar o de otro modo facilitar a terceros dispositivos, datos o programas informáticos, o cualquier otro medio diseñado o adaptado específicamente para cometer estas estafas; y b) sustraer, apropiarse o adquirir de forma ilícita tarjetas u otros instrumentos de pago para su utilización fraudulenta. El apartado 3 impone la pena en su mitad inferior a quien, sabiendo que fueron obtenidos ilícitamente, posea, adquiera, transfiera, distribuya o ponga a disposición de terceros esos instrumentos de pago para su utilización fraudulenta -una escala descendente de responsabilidad según la cercanía de la conducta al fraude final-.
Aplicación práctica
En la práctica, este delito cubre desde el phishing y las transferencias fraudulentas mediante credenciales bancarias sustraídas hasta la clonación de tarjetas y el uso de datáfonos manipulados. La cadena de responsabilidad que traza el artículo 249 -quien manipula el sistema, quien fabrica o facilita las herramientas para hacerlo, y quien solo posee o mueve los instrumentos de pago sabiendo su origen ilícito- permite perseguir tanto al autor material de la transferencia fraudulenta como a la infraestructura criminal que la hace posible, con penas graduadas según el papel de cada uno.
Un matiz que suele pasar desapercibido: la mera posesión o el mero acceso a datos de tarjetas ajenas, sin que exista un propósito de utilización fraudulenta, no colma este tipo; el apartado 3 exige expresamente esa finalidad. Y cuando la cuantía defraudada es reducida, entra en juego el mismo mecanismo del artículo 248 para la estafa básica: por debajo de 400 euros la pena baja a multa, salvo que concurra alguna circunstancia agravante del artículo 250 o que el autor sea reincidente en delitos de la misma naturaleza.
Contexto legal en España
Este delito se regula en el artículo 249 del Código Penal, dentro del Capítulo VI del Título XIII (De las defraudaciones), inmediatamente después de la estafa común del artículo 248. Su redacción vigente procede de la Ley Orgánica 14/2022, de 22 de diciembre, que reorganizó y amplió lo que hasta entonces era un apartado del artículo 248 -conviene no seguir citando esa numeración antigua, que aún circula en fuentes desactualizadas-.
Normas clave a tener en cuenta
Qué no es / diferencias clave
- Estafa común
- La estafa del artículo 248 exige un engaño que induce a una persona a realizar un acto de disposición patrimonial. La estafa informática no exige engañar a ninguna persona: castiga obtener la transferencia manipulando directamente un sistema informático o usando de forma fraudulenta un instrumento de pago, sin que medie el error de una víctima humana.
- Descubrimiento y revelación de secretos
- El artículo 197 del Código Penal castiga apoderarse o acceder a datos personales ajenos para descubrir secretos o vulnerar la intimidad. La estafa informática exige, además del acceso o la manipulación del sistema, el ánimo de lucro y la obtención de una transferencia patrimonial no consentida; ambos delitos pueden concurrir cuando el acceso ilícito a datos es el paso previo a la transferencia fraudulenta.
- Falsificación de tarjetas de crédito y débito
- Falsificar físicamente una tarjeta de pago es un delito de falsedad documental, autónomo del uso fraudulento posterior de esa tarjeta que castiga el artículo 249. En la práctica ambos suelen concurrir: primero se falsifica o clona la tarjeta, después se utiliza para la operación fraudulenta.
Términos relacionados
Dato de autoridad
El artículo 249.1.a) del Código Penal castiga a quienes, con ánimo de lucro, «valiéndose de cualquier otra manipulación informática o artificio semejante, consigan una transferencia no consentida de cualquier activo patrimonial en perjuicio de otro», con pena de prisión de seis meses a tres años.
Encuentra un abogado
Preguntas frecuentes sobre estafa informática
¿El phishing es un delito distinto de la estafa?
No es un delito autónomo con nombre propio en el Código Penal: la conducta típica del phishing -conseguir una transferencia no consentida mediante manipulación informática o el uso fraudulento de datos de pago- encaja en el artículo 249, estafa informática, con la misma pena de prisión de seis meses a tres años que la estafa común.
¿Es delito fabricar o vender programas para cometer estafas informáticas, aunque no las cometa yo mismo?
Sí. El artículo 249.2.a) castiga con la misma pena que la propia estafa a quien fabrique, importe, posea o facilite a terceros dispositivos, datos o programas informáticos diseñados específicamente para cometer estas estafas, sin necesidad de que quien los facilita ejecute personalmente el fraude.
¿Es correcto seguir citando el antiguo apartado 2 del artículo 248 para la estafa informática?
No. Desde la reforma de la Ley Orgánica 14/2022, en vigor el 12 de enero de 2023, la estafa informática se regula en el artículo 249, con una estructura más amplia que la del antiguo apartado 2 del artículo 248. Esa numeración corresponde al texto anterior a esa reforma.
Autoría y revisión editorial
Contenido elaborado bajo la dirección editorial de DERECHO ABOGADOS, verificando cada norma sobre fuentes oficiales (BOE y jurisprudencia).
Cada norma citada se verifica contra su texto consolidado en el BOE: se comprueba el identificador de la norma, que la redacción sea la vigente y que lo entrecomillado sea literal. Es una verificación editorial, no un visto colegiado. Este contenido es información general y no constituye asesoramiento legal sobre un caso concreto.