La Audiencia protege a una víctima de una ciberestafa con SMS y llamadas suplantadas: no actuó con negligencia

Suena el teléfono. En la pantalla aparece el mismo número desde el que su banco le ha llamado otras veces. Minutos antes ha recibido un SMS en el mismo hilo en el que habitualmente recibe las comunicaciones de la entidad. El mensaje le alerta de un cargo sospechoso de 790 euros y le pide que actúe con rapidez si no reconoce la operación. Al otro lado de la línea, un supuesto empleado del departamento de ciberseguridad conoce sus datos personales, el estado de su cuenta y le explica que los ciberdelincuentes han conseguido acceder a ella. Sólo hay una forma de proteger sus ahorros: seguir las instrucciones que van apareciendo en la aplicación bancaria. Lo que el cliente desconoce es que no está hablando con su banco. Tampoco que los mensajes que recibe, aunque aparecen en la conversación auténtica mantenida durante años con la entidad, han sido manipulados por una red de ciberdelincuentes. En apenas unos minutos, convencido de que está poniendo su dinero a salvo, autoriza dos operaciones que terminan vaciando su cuenta con un perjuicio de 8.950 euros.

Ese es el escenario que ha llevado a la Audiencia Provincial de Baleares a dictar una sentencia con un mensaje claro: caer en una ciberestafa tan sofisticada no convierte automáticamente a la víctima en negligente. El tribunal considera que los delincuentes desplegaron una estrategia especialmente elaborada, utilizando técnicas de spoofing para hacer que los SMS aparecieran en el mismo hilo de mensajes del banco y que las llamadas procedieran del número oficial de atención al cliente, generando una apariencia de autenticidad muy difícil de detectar.

Fuerte presión psicológica

Para la Audiencia, todos esos elementos son determinantes. La sentencia reconoce que el cliente pudo confiar demasiado en las indicaciones recibidas, pero rechaza que esa conducta alcance el grado de negligencia grave exigido por la legislación para privarle de protección. Los magistrados recuerdan que el usuario recibió un mensaje en el canal habitual de comunicación con su banco, que la llamada procedía del número oficial desde el que anteriormente había mantenido conversaciones legítimas y que toda la actuación se desarrolló bajo una fuerte presión psicológica provocada por la posibilidad de que estuvieran vaciando su cuenta.

El tribunal también contextualiza los hechos. Recuerda que ocurrieron en noviembre de 2023, cuando este tipo de ataques aún no eran tan conocidos por el conjunto de la población. Desde entonces, las campañas de información sobre fraudes digitales se han multiplicado, pero hace apenas dos años muchas personas desconocían que era técnicamente posible recibir un SMS fraudulento dentro de una conversación auténtica o una llamada que aparentara proceder del número oficial de su entidad financiera.

La resolución refleja cómo han evolucionado las ciberestafas en los últimos años. Atrás quedaron los mensajes plagados de errores ortográficos o los correos electrónicos fácilmente identificables como fraudulentos. Hoy los delincuentes replican con precisión los canales oficiales de comunicación, manipulan el identificador de las llamadas, conocen información personal de sus víctimas y aprovechan situaciones de estrés para impedir que estas tengan tiempo de reflexionar. Su objetivo ya no es solo engañar mediante la tecnología, sino explotar la confianza y la reacción emocional de quien cree estar evitando un robo.

Precisamente por ello, la Audiencia insiste en que la valoración de la conducta de la víctima debe hacerse teniendo en cuenta todas las circunstancias del caso y no desde la perspectiva de quien conoce el desenlace. En la práctica, concluye que una persona razonablemente prudente también podía haber caído en una estafa de estas características, cuidadosamente planificada para aparentar absoluta autenticidad.

La sentencia se suma así a una línea jurisprudencial que empieza a consolidarse en España: el éxito de una ciberestafa sofisticada no basta para considerar que la víctima actuó con negligencia grave. Frente a organizaciones criminales que perfeccionan constantemente sus técnicas y convierten la ingeniería social en su principal arma, los tribunales empiezan a reconocer que, en ocasiones, los ciberdelincuentes simplemente se las saben todas.