Constituyen, sin duda, los principales ciberdelitos, tanto cuantitativa como cualitativamente, por lo que también son los ciberdelitos económicos más importantes. Debemos poner de relieve que la estafa tradicional o clásica y la estafa informática se recogen en los arts. 248 y 249⁴ CP. La diferencia basilar entre ambas estriba en que, como sabemos, la estafa tradicional obedece a la conjunción de cinco elementos que han de darse de modo sucesivo: el empleo de engaño bastante, que induce a error a la víctima, y le hace realizar un acto de disposición patrimonial, en perjuicio propio o de tercero, existiendo entre todos los elementos de la cadena descrita una relación de causalidad. Por su parte, hasta el año 2022, la estafa informática figuraba como un apéndice de la estafa clásica, en el art. 248 CP, y se caracterizaba porque no concurría el engaño como medio comisivo, sino que se aludía a la obtención de una transferencia patrimonial inconsentida mediante “alguna manipulación informática o artificio semejante”. Un relevante sector doctrinal había llamado la atención sobre la imposibilidad de engañar a las máquinas y rehusaba la pretendida equivalencia con el molde de la estafa canónica.

Pues bien, la LO 14/2022, de 22 de diciembre, ha venido a dotar de independencia a la estafa informática, ubicándola sistemáticamente en el art. 249⁵ CP, ampliando sus modalidades de conducta y solapándose, en buena medida, con los verbos nucleares del delito de daños informáticos del art. 264 CP. Si bien, debemos anotar que, a los efectos de nuestro trabajo, lo más relevante es que surgen discrepancias interpretativas a propósito de si la estafa tradicional puede ser aplicada en las ciberestafas ‒con lo que cabría la posibilidad del delito leve de estafa‒, o bien, si el legislador ha pretendido que todas las estafas cometidas en las TIC se incardinen en el cauce del art. 249 CP, que no contiene ninguna modalidad de delito leve, con todo lo que ello comportaría en materia procesal: no sería posible acudir al juicio por delito leve, siempre habrían de tramitarse por el procedimiento abreviado y existiría una fase de instrucción, con la posibilidad de adoptar diligencias de investigación y actos de cooperación judicial internacional, de gran relevancia en materia de ciberestafas ante la ausencia de fronteras en las TIC y el carácter transnacional de muchos de estos ilícitos. En nuestra opinión, y de modo telegráfico, consideramos que ambas figuras son compatibles en este ámbito, puesto que obedecen a presupuestos fácticos diferentes. En aquellos supuestos en los que se dé una relación bilateral entre dos sujetos y medie engaño que induzca a error al sujeto pasivo, no habría óbice para estimar que nos hallamos ante una estafa subsumible en el art. 248 CP ‒siempre y cuando concurran los restantes elementos típicos‒. No obstante, no siempre será fácil deslindar con tanta nitidez, por lo que habrá de estarse al caso concreto y a sus circunstancias específicas.

Con todo, no se trata de una cuestión que se pueda zanjar en una afirmación simplista o reduccionista, inopinada y que no se sustente en argumentos dogmáticos o de técnica penal, sino que habrá de estarse al caso concreto para valorar qué concretos elementos típicos se dan. En este sentido, no podemos obviar que en aquellos casos en los que las TIC constituyan únicamente el medio comisivo ‒instrumental‒, pero no haya ningún artificio informático o técnico, se puede sostener que existe una estafa tradicional. El caso prototípico sería el de un anuncio de venta falso en una página web, a través del cual se ponen en relación dos personas para la venta de un bien o servicio, la víctima abona el precio y la contraprestación no se produce. En este esquemático supuesto ha existido un engaño que ha inducido a error al perjudicado, y en cuya virtud ha realizado el acto de disposición patrimonial generador del perjuicio.

Somos conscientes de que la voluntad del legislador en la LO 14/2022 es dotar de autonomía a las ciberestafas y, al hilo de la normativa comunitaria, potenciar y reforzar su ámbito de aplicación. Ello se observa en la Consulta 1/2024, de la Fiscalía General del Estado, de 21 de marzo, sobre algunas cuestiones relacionadas con la utilización fraudulenta de instrumentos de pago distintos del efectivo. En este texto se aporta una serie de criterios de interpretación del art. 249 CP. En él se afirma que: “En opinión de la doctrina mayoritaria, tanto la estafa informática como la utilización fraudulenta de medios de pago de los arts. 249.1.a) y 249.1.b) CP se consideran modalidades típicas que tienen auténtica autonomía y sustantividad frente al tipo básico de estafa del art. 248 CP”. Además, la citada consulta rechaza que quepa el delito leve de estafa informática ex art. 249 CP, cuando zanja que “al margen del tenor literal del art. 249 CP y del art. 9 de la Directiva (UE) 2019/713 y con independencia de la voluntas legislatoris expresada en la MAIN del anteproyecto de ley, existen razones de carácter teleológico y lógico-sistemático para rechazar que los supuestos en los que la cuantía defraudada no supere los 400 euros puedan ser calificados como delito leve de estafa”.

Pues bien, ello no es óbice para mantener las afirmaciones expresadas con anterioridad, antes, al contrario. Hemos de discriminar cuándo existe una estafa clásica (del art. 248 CP) ‒aunque se cometa a través de las TIC, como mero cauce, canal o herramienta a través del que se vehicule el engaño‒ y cuándo nos hallamos ante una estafa informática, cuya regulación se contiene en el art. 249 CP. Como podemos apreciar, se trata de cauces diferentes y con tratamientos distintos. Si bien, reiteramos, en algunas ocasiones será complejo discernir cuál de los dos preceptos resulta aplicable, sobre todo, cuando aparezcan, entremezclados, elementos de engaño ‒como medio comisivo típico‒ y manipulaciones informáticas o artificios semejantes, con accesos, inmisiones e intromisiones. En tal caso, podríamos acudir al principio de especialidad, contenido en la regla 1.ª⁶ del art. 8 CP, y considerar aplicable el art. 249 CP, si se aprecia dicho concurso de normas. Por el momento no contamos con doctrina jurisprudencial actual, tras la reforma de la LO 14/2022, que brinde criterios de delimitación nítidos, precisos y extrapolables a casos similares, por lo que habrá que aguardar los avances en la práctica judicial.

En todo caso, si nos adentramos en las diferentes clases de ciberestafas, podemos apreciar que existe una gran variedad de tipologías y modalidades comisivas. Algunas de ellas más burdas y obvias ‒como envíos de correos spam‒, otras, más elaboradas y sofisticadas. Lo primero que llama la atención es que su comisión se ve favorecida por el empleo de técnicas de ingeniería social, que el Instituto Nacional de Ciberseguridad (INCIBE) define como⁷ “técnicas de manipulación psicológica con el objetivo de conseguir que los usuarios revelen información confidencial o realicen cualquier tipo de acción que pueda beneficiar al ciberdelincuente”, y que consisten en el uso de canales de propagación masivos, como el correo electrónico, llamadas telefónicas, aplicaciones de mensajería o redes sociales. El INCIBE alude a dos modalidades de técnicas de ingeniería social, dependiendo del número de interacciones que requieran por parte del ciberdelincuente: (i) hunting, que busca afectar al mayor número de usuarios realizando, únicamente, una comunicación, y que es común en campañas de phishing realizado contra entidades bancarias o energéticas, o bien, en acciones que pretenden realizar acciones de infección de malware para efectuar ulteriores ataques de ransomware; (ii) farming, donde los ciberdelincuentes realizan varias comunicaciones con las víctimas hasta conseguir su objetivo u obtener la mayor cantidad de información posible, donde se podrían incluir las campañas que pretenden infundir temor al receptor con la existencia de vídeos privados suyos o futuros ataques contra su organización. Desde el INCIBE se explica que estos ataques de manipulación de las víctimas suelen seguir una serie de principios básicos: el respeto a la autoridad, la voluntad de ayudar ‒fundamentalmente, en entornos laborales‒, el temor a perder un servicio, el respeto social y la gratuidad.

Por poner algunos ejemplos clásicos de ciberestafas, podemos mencionar: (i) la ciberestafa extorsiva, en la que se comunica mediante mail o sms que hemos sido objeto de una sanción administrativa, de una multa de tráfico, de una inspección tributaria o de la Seguridad Social, etc., y se nos solicita un pago para poner fin a dicho procedimiento. Suelen remitirse desde direcciones de correo electrónico que pretenden emular los correos corporativos de tales entidades, con membretes y links a páginas web que, en realidad, no son las legítimas, por lo que también efectúan suplantaciones de identidad de tales entes ‒spoofing‒, aunque suelen ser montajes burdos y toscos. En otras ocasiones, se amenaza con la difusión de un vídeo de contenido íntimo si el sujeto no obedece a la petición formulada; (ii) la ciberestafa de lotería, en la que se anuncia al receptor que ha obtenido un premio ‒de un concurso o sorteo en que no ha participado‒ y se le indica que, para su cobro, ha de abonar una suerte de tasa o adelanto; (iii) las ciberestafas laborales, en las que se oferta al destinatario un puesto de trabajo, a desempeñar desde su domicilio, con una alta rentabilidad, a cambio de facilitar sus datos personales y de facilitar una cuenta bancaria. Se indica que la empresa está radicada en el extranjero y que la pasarela de pagos no admite sus cuentas bancarias, por lo que se interesa al candidato al puesto que aperture una cuenta ‒o facilite la suya‒ y, a través de este medio, vehicular diferentes pagos. En realidad, las cibervíctimas suelen ser utilizadas, en muchas ocasiones, como mulas de los fondos ilícitamente obtenidos; (iv) las ciberestafas románticas, en las que los ciberdelincuentes se ganan la confianza del receptor, le hacen ver que están iniciando una relación sentimental y, en un momento dado, tras ganarse su confianza, le solicitan abonos dinerarios con diferentes excusas; (v) el fraude del CEO, en que el ciberdelincuente, tras haber obtenido determinada información de una organización, remite a uno de sus integrantes un mail, haciéndose pasar por otro sujeto ‒el CEO o una persona con capacidad de mando, o directivo de algún departamento‒, y requiere una modificación en las transferencias por determinados servicios, o varía una orden de pago; (vi) fraudes en herencias, similar a la estafa de la lotería, se comunica que existe una herencia muy cuantiosa y que el receptor puede obtener dicho monto si abona una tasa o pago por cuestiones burocráticas de tramitación interna; (vii) comunicaciones ‒vía SMS o mail‒ sobre problemas existentes en un envío de correos, para lo que es preciso verificar algunas cuestiones en un link que se remite en el cuerpo del mensaje. Esta ciberestafa tiene la particularidad de que, dado el alto volumen de compras online que se realizan, es muy factible que el destinatario del mensaje esté esperando la llegada de un paquete, por lo que no le sorprendería recibir una comunicación al respecto ‒de Correos, SEUR, MRW, Amazon, FedEx…‒, podría otorgar credibilidad al remitente y, en consecuencia, hacer click en el enlace malicioso. Constituye una buena muestra de cómo la variación de nuestros hábitos de consumo puede abrir el portillo a ulteriores victimizaciones; (ix) anuncios fraudulentos de compraventa de bienes y servicios en los que la característica es que la víctima toma la iniciativa, contacta con el número de teléfono o mail que ha insertado el anuncio, abona el precio convenido y, finalmente, nunca recibe la contraprestación pactada ‒teléfonos móviles, videoconsolas, entradas de conciertos, perros…‒. Sin lugar a dudas, esta modalidad es la más relevante, numéricamente, en la práctica de los juzgados y tribunales. Por tal motivo, señalaremos algunos de sus rasgos característicos con mayor profundidad que las restantes. Los precios requeridos no superan los 400 euros, lo que provoca que nos hallemos ante ciberdelitos leves ‒si asumimos que sigue operando el art. 248 CP y que en ellas predomina el engaño‒, en los que no cabría realizar una fase de instrucción.

Los anuncios se insertan en portales legítimos de compraventa de artículos, camuflados entre otros anuncios reales. Los ciberdelincuentes entablan conversaciones con los supuestos compradores y les facilitan datos personales y hasta fotografías de DNI, lo que dota de verosimilitud al engaño y crea un cierto clima de confianza recíproca. Hemos de apuntar que, en muchas ocasiones, tales DNI son de anteriores víctimas, por lo que resulta usual que, en la práctica, nos encontremos con personas que han sido victimizadas, denuncien la estafa padecida y, con posterioridad, tales personas se vean denunciadas por hechos similares posteriores, dado que los ciberdelincuentes han empleado sus datos personales para cometer otras estafas. Asimismo, se observan anuncios reduplicados en distintos portales web, y que los mismos sujetos oferten diferentes bienes y servicios, sin relación entre ellos.

En este punto, debemos subrayar la posibilidad de que distintos tipos de ciberestafas sean cometidas mediante IA, lo que introduce mayores elementos de complejidad. En este sentido, Alonso Cebrián y Velasco Núñez (2024) advierten que la suplantación de datos personales digitalizables, como la voz o la imagen, se está utilizando, en el campo económico, para llevar a cabo distintas estafas, y mencionan la estafa del CEO, así como la del supuesto hijo que comunica a sus padres que tiene problemas en el aeropuerto. También citan la ciberestafa consistente en suplantar la identidad, en la que se lleva a cabo la apertura de cuenta bancaria, y en la que “agregan reclamos con aparentes elementos identitarios (voz, imagen) falseados/creados con IA para suplantar personas que mueven a hacer los desplazamientos patrimoniales perseguidos”, y apuntan otras modalidades tan sofisticadas como el SIM swapping, “emitido por algoritmos de IA controlada una vez se conocen datos ‘pescados’ de quien se quiere suplantar para recibir del banco las claves necesarias para autenticar la cuenta a defraudar”. Asimismo, podemos resaltar, siguiendo a Morillas Fernández (2023), que se pueden cometer, a través de IA, actos de spear phishing, en los que se envían correos electrónicos ‒o bien, se replican páginas web legítimas o mensajes de texto‒, y se solicita información a la víctima, o bien, que inicie sesión en alguna plataforma, y donde lo relevante es la obtención del acceso. Pues bien, como sintetiza dicho autor, a través de esta información, los sistemas de IA pueden analizar los hábitos de los usuarios de las TIC y confeccionar emails fraudulentos “mucho más sofisticados que los que han sido elaborados a través de tradicionales técnicas de social engineering”, y concluye que, de esta forma, se incrementan “las posibilidades de inducir a error a los internautas obteniendo de forma ilícita datos personales contenidos en tarjetas de crédito, credenciales para acceder a home banking, datos sanitarios, etc.”. En esta misma línea, Jiménez (2024) centra la atención en el elevado grado de sofisticación de las estafas telefónicas cometidas mediante IA. Destaca que esta no solo es capaz de imitar las voces, sino también de replicar las pausas, las muletillas y las características que hacen única cada forma de hablar. Indica que en Reino Unido se cometió una estafa de 240.000 euros, cuando un empleado recibió una llamada telefónica de su presunto jefe, en la que le ordenaba que realizase, con urgencia, una transferencia. En realidad, el supuesto jefe resultó ser una voz clonada generada mediante IA.

Tras llamar la atención sobre algunos de los casos prototípicos de ciberestafas y advertir de los riesgos que comporta la IA en este ámbito, de un alcance insospechado e insospechable en estos momentos, debemos aludir, en este punto, a otro aspecto basilar de las ciberestafas, que nos permitirá catalogar los hechos como delito o no. Hacemos referencia a los denominados “deberes de autoprotección” que tendría la víctima. En apretada síntesis podemos indicar que tales deberes consisten en ciertas cautelas o medidas de salvaguarda que ha de adoptar un sujeto para evitar ser víctima de delitos. No aparecen regulados, como tales, en el Código Penal; no obstante, nos sitúan en el ámbito de la influencia que puede tener el comportamiento de la víctima en su proceso de victimización y, a efectos penales, en la calificación jurídica de los hechos cuando se omiten tales cautelas. Su análisis ha de llevarse a cabo al valorar la imputación objetiva del resultado dañoso al autor de la conducta que, causalmente, ha generado un concreto resultado lesivo. Por lo que respecta a nuestro ámbito, en el delito de estafa, no cabe extralimitar su alcance. Debemos tomar en consideración que el tipo no alude a ellos, por lo que no es dable un recurso exacerbado a dicha figura, so riesgo de perpetuar situaciones de impunidad. Es evidente que ha de descartarse la idoneidad del engaño en los supuestos de ardides burdos, evidentes, toscos o grotescos, si bien, ello ha de analizarse, de modo fundamental, desde la perspectiva de la conducta defraudatoria, tomando como base las características personales de la víctima. La jurisprudencia de la Sala 2.ª del Tribunal Supremo (TS) ha llevado a cabo una evolución, desde supuestos en los que se destacaba la atipicidad de la conducta por la ausencia de los deberes de autoprotección, a otra intelección restrictiva, en la que estima que no cabe imponer a la víctima desproporcionados y excesivos deberes de autotutela⁸.

Por lo tanto, en el ámbito de la ciberdelincuencia, los usuarios de las TIC han de adoptar las cautelas y medidas de seguridad necesarias, tanto en sus dispositivos telemáticos, como en sus prácticas y en la utilización de las TIC. Existe una pluralidad de medidas de diligencia y cautelas recomendables, si bien, no cabe realizar una interpretación maximalista de las consecuencias de la omisión de tales cautelas. En este sentido, ha de promoverse una intelección restrictiva de la virtualidad exculpatoria de la omisión de los deberes de protección en el ciberespacio, a la vista de la normativa comunitaria, en que se promueve la detección, persecución y sanción de tales fraudes. Puesto que abundan las posibilidades de victimización, ante la nueva configuración de las relaciones espacio-temporales, deben tomarse en consideración todos los elementos concurrentes. Ha de ponerse en relación con el concepto de riesgo permitido, con el concreto giro, tráfico o sector en que se lleva a cabo la acción, con los principios de confianza y de buena fe, y, de modo esencial, con las características personales del sujeto que opera su autopuesta en peligro.

Asimismo, a modo de cierre del apartado, y a simple título de esbozo, no podemos pasar por alto que pueden darse algunas áreas de confluencia de la ciberestafa con otros tipos delictivos, por lo que pueden surgir dudas a propósito de si nos hallamos ante un concurso de normas, o bien, de delitos y, en este último caso, a la hora de precisar qué concreta relación concursal se da. Sin pretensión de agotar la materia y a los meros efectos ejemplificativos, más allá de los clásicos ejemplos concursales de la estafa tradicional con los delitos de apropiación indebida o de falsedades, podríamos aludir a otras tres situaciones concursales, que presentarían mayor conexión con las TIC, y que surgen en relación con los delitos contra la intimidad (art. 197 CP), de daños informáticos (art. 264 CP) o de usurpación del estado civil (art. 401 CP). Por lo que hace a los delitos contra la intimidad, podemos pensar en el supuesto de una persona que se apodera de los datos personales de otro, que están registrados en un fichero o soporte ‒un smartphone o un ordenador donde están almacenadas las claves bancarias‒ y, a continuación, lleva a cabo la transferencia inconsentida. Existirían argumentos para defender que se trata de un concurso real de delitos, aunque tampoco sería descabellado apreciar que nos encontramos ante un concurso medial, en que el ataque a la intimidad es el medio para llegar al fin perseguido, de naturaleza patrimonial.

En segundo término, si prestamos atención a la relación concursal entre la ciberestafa y el delito de daños, debemos efectuar varias matizaciones: se aprecia un solapamiento de algunas modalidades de conducta entre el art. 249 CP y el art. 264 CP, puesto que en ambos delitos se mencionan, como verbos nucleares, “borrar”, “alterar” y “suprimir” datos informáticos. Observamos que la pena es idéntica en ambos delitos. Así las cosas, podríamos abogar por la existencia de un concurso de normas, a resolver mediante el principio de especialidad, en virtud del ánimo de lucro que guía al sujeto activo en la estafa, por lo que podría prevalecer dicho tipo. Incluso, podría argumentarse que los daños constituyen un medio para cometer la estafa: se emplean tales comportamientos, lesivos para los datos y que los dañan, para conseguir la transferencia inconsentida. Por lo tanto, se deja abierto el supuesto, dado que únicamente se apuntan las alternativas en presencia, pero sin pretensión de exhaustividad.

En último lugar, por lo que hace al delito de usurpación del estado civil, pese a que en algún momento se haya podido indicar que es dable apreciar un concurso de delitos con la estafa, cuando se empleen los datos personales y señas de un tercero para cometer la estafa, debemos excluir dicha posibilidad si no existe una permanencia en el tiempo, puesto que la jurisprudencia de la Sala 2.ª exige una continuidad temporal, como se indicó en la STS 1045/2011⁹, de 14 de octubre, en la que se expresa que “la conducta del agente exige una cierta permanencia y es ínsito al propósito de usurpación plena de la personalidad global del afectado”. Si bien, debemos recordar que la LO 10/2022, de 6 de septiembre, introdujo el art. 172 ter 5 CP, en el que se castiga a quien, sin consentimiento de su titular, utilice la imagen de una persona para realizar anuncios o abrir perfiles falsos en redes sociales, páginas de contacto o cualquier medio de difusión pública, ocasionándole a la víctima una situación de acoso, hostigamiento o humillación. No obstante, prima facie, no concurrirían los requisitos del art. 401 CP en el supuesto de hecho que hemos indicado.

Con todo, tanto en los tres supuestos que hemos anotado, como en otras posibles situaciones concursales que se puedan originar, habrá que estar a las circunstancias del caso concreto para determinar, con precisión, qué nexo, engarce o ligazón se produce entre los distintos tipos en presencia, si es que se da dicha conexión. Por lo tanto, reiteramos que las soluciones apuntadas aquí son provisionales, genéricas y parciales, por lo que nos mostramos expectantes y aguardamos las propuestas doctrinales y los pronunciamientos judiciales que arrojen luz sobre dicha materia.

La afectación al patrimonio de los delitos de daños resulta incuestionable, aunque nos hallamos ante delitos patrimoniales sin enriquecimiento, por lo que constituyen una suerte de rareza en el Título XIII¹⁰. Pues bien, si atendemos a los delitos de daños informáticos, podemos convenir en que, en ocasiones, la finalidad que guía al ciberdelincuente puede ser variada. No podemos obviar que, en algunos casos de intrusiones o de ataques de denegación de servicio ‒ataques DoS‒, o distribuidos de denegación de servicio ‒ataques DDoS‒, se pretende llevar a cabo actos de hacktivismo, con motivaciones políticas o ideológicas, lo que se puede observar en el colapso temporal de servidores web de grandes empresas multinacionales o de servicios públicos, en los que se persigue exteriorizar una reivindicación política. En otras ocasiones, según la magnitud del ataque, sus destinatarios y sus consecuencias, podríamos hallarnos ante casos de ciberterrorismo, por lo que, como podemos apreciar, en estos supuestos nos hallaríamos, más bien, ante ciberdelitos de corte político y no meramente económicos. Con ello constatamos que, algunas veces, las líneas divisorias entre las clasificaciones de ciberdelitos son permeables, porosas y permiten diversas gradaciones. Podemos discriminar los delitos de “sabotaje informático” o interferencia ilegal en datos informáticos ‒art. 264.1 CP‒, cuya conducta típica se configura de modo mixto alternativo, el delito de daños informáticos a sistemas ‒art. 264 bis.1 CP‒, donde se reprime obstaculizar o interrumpir el funcionamiento del sistema informático ajeno y un adelantamiento de las barreras de punición, contenido en el art. 264 ter CP, en el que nos hallaríamos ante actos preparatorios o protopreparatorios de los anteriores. Cabe significar que, al igual que en los restantes delitos de daños, el bien jurídico tutelado es la propiedad, si bien, en algunas de las conductas tipificadas se pone de relieve que se trasciende del patrimonio individual y se atiende a intereses supraindividuales, toda vez que en los tipos cualificados se valora que la afectación se propague a una pluralidad de sistemas informáticos, o bien, que afecte al funcionamiento de servicios públicos que puedan ser reputados como esenciales, o a la provisión de bienes de primera necesidad, que se afecte a una “infraestructura crítica”, o que se ponga en peligro la seguridad estatal, de la UE o de un Estado miembro de la UE. Como se puede observar, en tales supuestos no solo se está tutelando la propiedad privada, sino que se pone de manifiesto la capacidad dañina de los ataques informáticos y la posibilidad de que se afecten los intereses generales y la propia seguridad nacional.

Por lo que a nosotros interesa, debemos señalar los peligros que se derivan de determinados delitos de daños, como los ataques de ransomware o secuestros de datos, en los que se produce un acceso inconsentido en un sistema informático ajeno, mediante un malware que lo infecta y accede a la totalidad o parte de sus datos, que se cifran, y se impide a su titular el acceso a ellos, en todo o en parte, y se solicita el pago de un rescate para poder recuperar el acceso o los datos en cuestión. Asimismo, en muchas ocasiones, la petición del rescate se hace en criptomonedas, para robustecer el anonimato, evitar la trazabilidad de los fondos y la persecución de los autores del ataque. Conviene destacar que tales ciberataques se realizan tanto a personas físicas como jurídicas, públicas y privadas, y gozan de especial repercusión mediática cuando se efectúan a servicios públicos, como hospitales, por los notables perjuicios personales que irrogan, no solo por los actos médicos que se cancelan y dilatan, sino también por la obtención de datos sensibles de multitud de pacientes, que pueden acabar vendiéndose en la dark web ‒no está de más recordar el manido lema de que los datos personales constituyen el petróleo del siglo XXI‒. Además, cabe agregar que se han dado casos de ataques de ransomware recurrentes frente a las mismas víctimas, con posterioridad a que hubieran abonado el rescate. Podemos vaticinar que existe una notable cifra negra en este campo, sobre todo, en el ámbito empresarial, toda vez que las corporaciones desean evitar cualquier publicidad negativa o desconfianza en sus sistemas de ciberseguridad, toda vez que la denuncia de estos hechos expondría, públicamente, la existencia de vulnerabilidades en sus sistemas de protección, lo que generaría un notable daño reputacional.

En segundo lugar, como ciberdelito de daños con repercusión patrimonial, debemos destacar que los ataques DoS y DDoS, que en muchas ocasiones son ejecutados a través de redes de bots, consisten en dirigir una multitud de peticiones a sitios web y redes, hasta saturarlas, sobrecargando sus servidores y evitando que sean accesibles a usuarios legítimos, lo que provoca su parálisis. Estos ciberataques se han dirigido frente a grandes empresas y también frente a organismos públicos, saturando sus servidores y portales web. Podemos hacernos una idea de los notables perjuicios económicos que se pueden derivar de la paralización de los servidores web de una empresa, si pensamos en la contratación online, en la formalización de pedidos o, incluso, en su propio sistema de comunicaciones con terceros ‒acreedores, proveedores, deudores…‒. Estos ciberataques pueden prolongarse en el tiempo, por lo que los efectos producidos se pueden dilatar, incrementando el perjuicio económico.

Dentro de estas figuras delictivas, podemos destacar la relevancia de la piratería informática o digital, esto es, la descarga de contenidos amparados por derechos de autor sin el abono de los pagos correspondientes. Desde una perspectiva criminológica se han propuesto diferentes explicaciones sobre un fenómeno tan extendido y normalizado. En este sentido, desde la Oficina de las Naciones Unidas contra la Droga y el Delito (UNODC, 2019) se ha explicado que “las normas socioculturales y el comportamiento y la dinámica de grupo influyen en las tasas de piratería digital”. También destaca que los autores de delitos contra la propiedad intelectual cometidos a través de las TIC utilizan cierta técnicas de “neutralización” ‒entre otras, negación de responsabilidad, negación de la víctima, negación del daño, condena de los condenadores y apelación a una mayor lealtad‒, si bien, se ha matizado que dichas técnicas varían y, en otras investigaciones sintetizadas por UNODC, se expresa que las “asimetrías digitales” ‒como puede ser la falta de supervisión inmediata de las acciones realizadas online‒ “pueden contribuir a que las personas ‘opten’ hacia la desviación digital y accedan a información o recursos que apoyen o normalicen actos delictivos como la piratería”. Además, desde UNODC se atiende a otros aspectos etiológicos de los ciberdelitos contra la propiedad intelectual, como el sentimiento antiempresarial o los altos costos ‒reales o percibidos‒ de las obras amparadas por derechos de propiedad intelectual y, en este sentido, se refleja que “si los consumidores creen que existe una discrepancia injusta entre el valor, la calidad y el precio, buscan medios alternativos para obtener el bien (a un precio más bajo o mediante la piratería, la obtención, el acceso o el uso no autorizado de la propiedad intelectual de otro)”. Asimismo, en la exposición realizada por UNODC se finaliza indicando que también se ha sugerido por diferentes autores que el drástico incremento de la piratería digital desde finales de la década de 1990 se produjo como “respuesta pública al exceso de legislación en materia de protección de la propiedad intelectual”.

No podemos obviar que el volumen de piratería digital (art. 270 CP) irroga elevadísimos perjuicios económicos a los titulares de los derechos de propiedad intelectual, puesto que se trata de un comportamiento globalizado, continuo y permanente. Nos hallamos ante una práctica extendida, generalizada, en la que se relativiza su carácter delictivo, se normalizan tales acciones y se asume su realización. A su vez, la descarga ilícita de contenidos se encuentra amparada por su facilidad de realización, toda vez que es sencillo, para cualquier usuario, acceder a portales web en que se ofertan tales ilícitos servicios. Además, el objeto sobre el que recae tal conducta es variado, plural y heterogéneo. No solo hacemos referencia a producciones audiovisuales ‒discos, películas, series o videojuegos‒, sino que también se propagan servidores, páginas, aplicaciones y servicios de mensajería con bibliotecas pirata, en las que se puede descargar cualquier libro.

Mención especial merece, en sede de delitos contra la propiedad industrial (art. 274 CP), la existencia de portales web que venden falsificaciones de ropa de marca, de complementos, de joyas, de dispositivos electrónicos o de medicamentos, entre otros, a un precio inferior al del producto legítimo. Las TIC constituyen un gran cauce de difusión y propagación para estos mercados irregulares, que producen importantes mermas de facturación a las marcas legítimas. Además, se produce la paradoja de que, cuando se cierra o suprime un portal de este tipo, al poco tiempo se produce un traslado a otra página web o servidor en que se ofrece la misma mercancía. Este traslado casi inmediato se explica por la propia estructura de las TIC y la facilidad en la creación de los portales web.

Si bien, debemos matizar una cuestión relevante. En un mercado ilícito como el de la difusión de competiciones deportivas ‒significadamente, partidos de fútbol‒, con un gran volumen de oferta y demanda, con multitud de portales web en que se anuncia el acceso, ilícitamente, a tales contenidos, la Sala 2.ª del TS llevó a cabo una importante puntualización en la STS 546/2022¹¹, de 2 de junio, al abordar la retransmisión no autorizada de partidos de fútbol, y consideró que no se trata de un delito contra la propiedad intelectual (art. 270.1.4 CP), sino de un delito relativo al mercado y a los consumidores (art. 286). El Alto Tribunal estimó que contravendría el principio de legalidad su calificación como delito contra la propiedad intelectual, ya que no tiene encaje en la noción de obra o prestación literaria, artística o científica.

Hemos de realizar una mención especial a lo expresado por Interpol (2024) a propósito de esta tipología de delitos. Resume en siete los principales métodos de piratería digital: (i) aplicaciones ilegales, (ii) robo de contenidos antes de su estreno, (iii) proveedores de servicios de alojamiento extraterritorial, (iv) extracción de secuencias o stream ripping, (v) servicios de almacenamiento en línea o cyberlockers, (vi) criptomonedas y (vii) tecnologías emergentes. En su análisis, destaca que esta modalidad de ciberdelincuencia afecta a los ingresos estatales y expone a los consumidores al riesgo de sufrir pérdidas financieras. Apunta que, además, la piratería digital comporta riesgos para la seguridad, tales como el robo de identidad, o bien, la exposición de menores a contenidos inapropiados. Sintetiza que nos hallamos ante un delito lucrativo, ya que los servicios de piratería obtienen sus ingresos por varios medios: (i) publicidad, (ii) donaciones de sus usuarios, (iii) servicios de suscripción, (iv) venta de datos de sus usuarios a terceros y (v) publicidad de afiliados. Además, Interpol advierte de que el dinero de los usuarios de estos servicios, al utilizarlos, “se desvía a cuentas bancarias piratas mediante complejas técnicas de blanqueo de capitales”. En punto a la propia ciberseguridad de los usuarios de estas plataformas, Interpol señala que tales sitios web presentan riesgos, por contener malware y virus, que pueden ser usados para dañar los dispositivos informáticos o para sustraer información confidencial. Anota que tales malwares se pueden propagar por las redes corporativas o domésticas, comprometiendo la seguridad de la organización. Subraya que también pueden servir como trampolín para el robo de identidad, y que los consumidores se enfrentan a un riesgo jurídico, “al suscribirse a servidores proxy que podrían haberse usado para participar en ataques de denegación de servicio distribuida o de otro tipo en el pasado”. Enumera otro conjunto de riesgos: (i) que los contenidos pirateados se empleen como trampa para el robo de datos personales, información bancaria u otro tipo de información confidencial; (ii) que los métodos de pago no seguros pueden dar lugar a fraudes con tarjetas de crédito o débito, u otras estafas financieras; (iii) que las actualizaciones de software ‒o su ausencia‒ para productos obtenidos de modo ilegal pueden provocar fallos de seguridad.

En último lugar, debemos aludir a la viabilidad del blanqueo de dinero mediante las TIC. La propia configuración normativa de este tipo¹², su imparable expansionismo ‒legislativo e interpretativo‒ y las características del ciberespacio propician que este nuevo ámbito de oportunidad criminal sea especialmente apto para la comisión de actos de ciberlavado de activos. En resumen, podemos describir el blanqueo de dinero como el proceso por el cual se pretende la reintroducción en el tráfico económico-financiero de curso legal de unos bienes que proceden de un delito. Por lo tanto, en su configuración más elemental, el blanqueo no pasa de ser ‒ni más, ni menos‒ el alejamiento de los bienes de su ilícita procedencia y su afloramiento con la finalidad de dotarles de una pátina de legitimidad, obtenida a través de diferentes negocios jurídicos. Nos hallamos ante un delito de referencia, que precisa de un delito fuente al que ir referido, pero que es autónomo, y que además se configura como un tipo pluriofensivo, que tutela la licitud de los bienes en el tráfico económico-financiero de curso legal y la Administración de Justicia. Además, coexiste con la normativa administrativa de prevención, la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, lo que puede provocar áreas de confluencia, solapamiento y confusión.

El anonimato que permiten las TIC es una cualidad que favorece que sean empleadas para llevar a cabo actos de lavado. Asimismo, también influye la ausencia de fronteras, la posibilidad de deslocalización y el empleo de artilugios técnicos para ocultar y modificar la IP. Debemos convenir en que, a través de las TIC, se mueve una gran cantidad de bienes con contenido económico. Es un ámbito abonado para la facilidad en las transferencias de bienes y para el desarrollo de una pluralidad de negocios jurídicos de contenido patrimonial. Pensemos que algunos ámbitos como los juegos de azar, las apuestas o los casinos online son entornos idóneos para camuflar ganancias procedentes de un delito. Además, nuevos elementos, como los juegos online, se han convertido en terrenos empleados para llevar a cabo la legitimación de fondos. En este sentido, debemos subrayar que las TIC se pueden emplear tanto para lavar el dinero obtenido en el entorno offline como para legitimar los propios fondos dimanantes de ciberdelitos ‒v. gr., las cantidades obtenidas mediante ciberestafas o los pagos de rescates para que cesen ataques de ransomware‒.

Precisamente, hemos de conectar el fenómeno del lavado de bienes con las organizaciones criminales, dado que constituye uno de sus principales ámbitos operativos. Se ha observado que las organizaciones criminales tradicionales están llevando a cabo una traslación parcial al ciberespacio para asegurar sus montos de procedencia delictiva, como se ha apreciado en alguna operación policial¹³, por lo que están diversificando los cauces a través de los cuales reciclan los activos delictivos, y la legitimación de fondos se lleva a cabo tanto por los canales tradicionales como a través de las TIC. En este sentido, Interpol señala que la delincuencia organizada utiliza las ganancias obtenidas para otras actividades ilegales, como el juego ilegal en línea, la explotación sexual en línea, el tráfico de drogas, la trata de personas, el tráfico de armas o el blanqueo de dinero. Además, se ha constatado que otras organizaciones criminales han surgido en el propio ciberespacio y su actividad delictiva se desarrolla en él: podemos aquí hacer alusión a las organizaciones internacionales dedicadas a la realización de ataques de ransomware por todo el mundo.

Pues bien, a la hora de favorecer el anonimato, romper la trazabilidad de los fondos, diluir su rastro, ocultar su procedencia delictiva y llevar a cabo su afloramiento ulterior, en la actualidad, juegan un papel destacado las criptomonedas (Casals Fernández, 2022). En el art. 3.1.5) del Reglamento (UE) 2023/1114, del Parlamento Europeo y del Consejo, de 31 de mayo de 2023, relativo a los mercados de criptoactivos y por el que se modifican los Reglamentos (UE) n.º 1093/2010 y (UE) n.º 1095/2010 y las Directivas 2013/36/UE y (UE) 2019/1937, se definen los criptoactivos como “una representación digital de un valor o de un derecho que puede transferirse y almacenarse electrónicamente, mediante la tecnología de registro distribuido o una tecnología similar”. Podemos apostillar que los criptoactivos no constituyen dinero de curso legal, no están sometidos a una autoridad central, ni presentan una regulación, un tipo de cambio ni una normativa oficial. De hecho, el punto de conexión entre el blanqueo de dinero y los criptoactivos viene dado por su capitalización, su monetarización y conversión en dinero FIAT. En este aspecto juegan un destacado papel los exchangers, los servicios de conversión de criptoactivos, por lo que resulta esencial que cumplan con las obligaciones de información y registro impuestas por la normativa europea, en orden a prevenir operativas de lavado de activos, por lo que se erigen en sujetos especialmente obligados al cumplimiento de una serie de obligaciones y deberes. La adquisición de criptoactivos por las organizaciones criminales y sujetos que pretendan blanquear se basa en el anonimato tendencial que presentan, toda vez que, en la tecnología blockchain que emplean, lo que consta es la existencia de las transacciones, ligadas a monederos ‒wallets‒, pero no a personas físicas individualmente identificadas. Además, existen distintas aplicaciones y servidores que funcionan como “mezcladores” ‒mixers‒, que permiten romper la trazabilidad de las operaciones y mezclar criptomonedas procedentes de diversos monederos, provocando que se dificulte ‒o impida‒ el rastreo de la procedencia de tales activos. Así las cosas, las criptomonedas se emplean como refugio de dinero sucio obtenido en el entorno offline, y como lugar para asegurar las ilícitas ganancias derivadas de los ciberdelitos cometidos en Red. De este modo, mediante la sucesión de transferencias, de negocios jurídicos y de actos llevados a cabo en línea es dable desligar los bienes delictivos de su fuente, alejarlos y darles una pátina de legalidad.

Con todo, y pese a las advertencias que realizamos de la posibilidad del empleo de las TIC para llevar a cabo operativas de blanqueo de capitales, al igual que hemos reiterado en otros lugares (González Uriel, 2023), debemos patrocinar una interpretación sumamente restrictiva de la aplicación del delito de blanqueo, para contrarrestar algunos excesos intelectivos que se aprecian en materia concursal y en la comprensión de determinadas figuras, fundamentalmente, en el blanqueo imprudente. Por ende, sobre todo en los casos de ciberestafas, ha de abogarse por mantener el título de imputación a los coacusados, y por efectuar una valoración global del hecho que atienda a la aplicación de las reglas del concurso aparente de normas del art. 8 CP. De ahí que no todo delito del que derive una ganancia patrimonial vaya a implicar, per se, la existencia de un concurso real con el delito de blanqueo ‒porque exista una adquisición, posesión o utilización de tales bienes‒, sino que habrá de estarse al caso concreto, y habrán de tomarse en consideración diferentes criterios de restricción, como los actos neutros, el riesgo permitido, la lesión o puesta en peligro del bien jurídico tutelado, el principio de insignificancia ‒desechando conductas de bagatela‒ o, jurisprudencialmente, la exigencia de finalidad en todas las modalidades de conducta blanqueadoras ‒criterio este que no comparte un relevante sector doctrinal‒. De especial relevancia es la figura de las mulas en las ciberestafas, cuya intervención ha sido calificada, en no pocas ocasiones, como constitutiva de un delito de blanqueo imprudente, en lugar de como una cooperación necesaria en la estafa. Hemos de eludir consideraciones apriorísticas y hemos de rechazar la traslación de deberes policiales ‒o parapoliciales‒ a los particulares, toda vez que el tipo de blanqueo no los exige, y se pueden producir situaciones de paralización de la economía, con la instauración de una suerte de desconfianza generalizada. Si bien, somos conscientes de que las TIC constituyen un terreno abonado para que las organizaciones criminales laven sus fondos delictivos, por lo que abogamos por la especialización en la materia de todos los operadores jurídicos y de las Fuerzas y Cuerpos de Seguridad del Estado (FFCSE) concernidos, ante la gran magnitud económica que pueden conllevar tales operativas de lavado y dada la complejidad técnica de estas cuestiones.