Auto Penal 724/2024 Audiencia Nacional. Sala de lo Penal. Sección Segunda, Rec. 54/2024 de 17 de diciembre del 2024

PRIMERO. -El procedimiento de extradición entre el Reino de España y los Estados Unidos de América se encuentra regulado, de conformidad con lo dispuesto en el artículo 13.3 de la Constitución Española por:

- El Tratado de Extradición entre España y los Estados Unidos de América, firmado en Madrid el día 29 de mayo de 1970 (publicado en el BOE n.º 220, de 14 de septiembre de 1971).

- El Tratado Suplementario de Extradición entre España y los Estados Unidos de América, firmado en Madrid el 25 enero de 1975 (BOE n.º 152, de 25 de junio de 1978).

- El Segundo Tratado Suplementario de Extradición entre el Reino de España y los Estados Unidos de América, firmado en Madrid el 9 de febrero de 1988 (BOE n.º 156, de 1 de julio de 1993).

- El Tercer Tratado suplementario de extradición entre el Reino de España y los

Estados Unidos de América, hecho en Madrid el 12 de marzo de 1996 (BOE n.º 162, de 8 de julio de 1999).

- El Instrumento previsto en el artículo 3(2) del Acuerdo de Extradición entre la

Unión Europea y los Estados Unidos de América de 25 de Junio de 2003 (en vigor desde el 1 de febrero de 2010, según Decisión 2009/933, de 30 de noviembre, del Consejo y Decisión 2009/820, de 23 de octubre, del Consejo), para la aplicación del Tratado de Extradición entre España y EEUU de 29 de mayo de 1970 y Tratados Suplementarios de Extradición de 25 de enero de 1975, 9 de febrero de 1988 y 12 de marzo de 1996, hecho ad referéndum en

Madrid el 17 de diciembre de 2004 (BOE n.º 22, de 26 de enero de 2010).

- Y, subsidiariamente, por la Ley 4/1985, de 21 de marzo, de Extradición Pasiva.

SEGUNDO. -La solicitud de extradición ha cumplido todos los requisitos legalmente establecidos, habiendo sido remitida al Ministerio de Justicia a través del Ministerio de Asuntos Exteriores y Cooperación, acompañada de los datos de identificación de la persona reclamada, los cuales permiten establecer sin duda alguna que se trata de la persona a la que se refiere este procedimiento, sin que en ningún momento haya sido puesta en duda aquella.

Asimismo, se adjunta un resumen de las actuaciones judiciales desplegadas, que contiene el relato de los hechos con apariencia delictiva que se imputan al reclamado, y la orden de detención, junto con la copia de los textos legales aplicables, como establece el artículo X letras B) y D) del Texto Integrado de las disposiciones del Tratado Bilateral de Extradición y del Tratado de Extradición UE-EEUU.

En ningún momento se ha cuestionado la identidad de la persona reclamada, tratándose del ciudadano británico Luis Alberto.

TERCERO. -Los delitos para cuyo enjuiciamiento se formula la solicitud de extradición son de naturaleza común, no son de carácter político o militar; no se encuentra prescrito con arreglo a la legislación del Estado requirente y requerido; no se aprecian causas extintivas de la responsabilidad criminal y no se cuestiona la jurisdicción de los Estados Unidos para el enjuiciamiento de tales hechos.

CUARTO. -Analizando, por su orden, las causas de oposición a la entrega extradicional formuladas por la defensa del reclamado, en las dos primeras se denuncia la inexistencia de una acusación formal, formulada por un Gran Jurado, alegando que la solicitud de información se ampara en una "denuncia penal", por lo que la misma no se ha formulado para someter a juicio al reclamado; sin que se hayan aportado en apoyo de la demanda extradicional una información suficiente que pudiera justificar en España el procesamiento del Sr. Luis Alberto.

El artículo X del Instrumento, en consonancia con el art. 10 del Tratado bilateral, establecen que cuando la solicitud se refiera a una persona que todavía no haya sido condenada, la demanda extradicional deberá ir acompañada de:

- una orden de detención emitida por un Juez u otro funcionario judicial de la Parte Requirente,

- la información que justificaría el procesamiento de dicha persona si el delito se hubiere cometido en el territorio del Estado Requerido.

Añadiendo que se podrá denegar la extradición si, al examinar el caso, la misma aparece manifiestamente infundada.

En el presente caso, si bien ciertamente se aporta, como Prueba A de la documentación extradicional una denuncia formulada por el agente especial Juan, lo cierto es que, en contra de lo que se afirma por la defensa del reclamado, la solicitud de extradición ni esta basada en dicha denuncia, ni es el título que habilita la misma, pues el mismo no es otro que la Orden de Arresto emitida por el Honorable Margo A. Rocconi, Juez del Tribunal de distrito de los Estados Unidos del Distrito Central de California, de fecha 25 de mayo de 2024, que emite la orden para poder proceder frente Luis Alberto como sospechoso de la comisión de la conspiración para cometer fraude de transferencia electrónica, conspiración, fraude de transferencia electrónica y robo agravado de identidad, en contravención de las secciones 1349, 371, 1343 y 1028A del Título 18 del C6digo de los Estados Unidos. Con dicho mandato de detención se pone de manifiesto que la reclamación lo es para "proceder" frente al reclamado, esto es, para su enjuiciamiento, si finalmente es formalmente acusado.

A la citada documentación extradicional se acompaña, además, la declaración jurada del Fiscal SUE J. BAI, en apoyo de la solicitud de extradición de Luis Alberto, declaración en la que se contiene el "Resumen del Caso", en el que se refieren los hechos concretos que son imputados al reclamado y que a la vista del detallado análisis que se hace de los mismos, sería, desde luego, suficiente en España para el procesamiento del reclamado, por los delitos de integración en organización criminal y de estafa.

Así, en la documentación aportada (Declaración Jurada del agente especial del FBI Juan) se relata cómo, indiciariamente, "desde junio hasta diciembre de 2022, Luis Alberto y otras personas, actuando de común acuerdo y con ánimo de enriquecimiento, enviaron mensajes de phishing a empleados de compañías ubicadas en los Estados Unidos, incluidos empleados ubicados en el Distrito Central de California. Luis Alberto y sus socios enviaron mensajes de phishing a los teléfonos móviles de empleados, diciendo que sus cuentas estaban a punto de ser desactivadas y dándoles instrucciones para ir a un sitio web de phishing que estaba diseñado para parecer legitimo. Sin embargo, los sitios web de phishing no estaban asociados con ninguna compañía legitima y eran controlados por Luis Alberto y sus coconspiradores. Algunos empleados fueron al sitio web de phishing, ingresaron sus credenciales en las compañías y después autenticaron sus identidades usando una solicitud de autenticación de dos factores enviada a sus teléfonos móviles.

Luis Alberto y sus coconspiradores registraron y administraron numerosos nombres de dominios de sitios web destinados a phishing, los cuales contenían el nombre de la compañía perjudicada, afectando a más de 45 compañías con sede en los Estados Unidos, Canadá, el Reino Unido y otros países. La información que las victimas ingresaron a través de los sitios web de phishing fue enviada a plataformas controladas por Luis Alberto y sus coconspiradores, incluido un canal especifico en Telegram, controlado por uno de los coconspiradores de Luis Alberto.

Luis Alberto era el organizador y líder del grupo y fue responsable de la comunicación y coordinación con sus coconspiradores. Luis Alberto obtuvo con uno de sus coconspiradores por lo menos un equipo de phishing, una colección de herramientas de software que hace más fácil lanzar un ataque de phishing y capturar la información que entra a los sitios web de phishing. Luis Alberto creó y accedió a cuentas usadas para registrar nombres de dominios de sitios web destinados a phishing y visitó las consolas de administración de múltiples sitios web de phishing.

Luis Alberto y sus coconspiradores usaban las credenciales que robaban a través del ardid de phishing con el fin de ingresar y acceder a los sistemas de ordenadores de las compañías perjudicadas. Accedieron a los sistemas de ordenadores y robaron información confidencial de las compañías, entre ellas a la base de datos de clientes de una compañía estadounidense de telecomunicaciones importante, así como la información de clientes de un mercado de intercambio de criptomoneda se encontraron en aparatos digitales de Luis Alberto.

Luis Alberto y sus coconspiradores usaron la información que robaron de las para cometer fraudes adicionales para apoderarse de monederos de criptomoneda de víctimas individuales, con un valor de millones de dólares estadounidenses al momento de cometer los delitos. Luis Alberto identificaba a las víctimas seleccionadas y enviaba a uno de sus coconspiradores la información personal de las víctimas, como nombres, direcciones de correo electrónico o números telefónicos, y ambos recibían una parte de los fondos robados.

Existen tres compañías perjudicadas, dos en el Distrito Central de California y otra fuera del mismo.

El 2 de junio de 2022, los empleados de la compañía 1 en el Distrito Central de California recibieron mensajes de SMS en sus teléfonos informándoles que sus cuentas estaban a punto de ser desactivadas. Uno de los mensajes de SMS instruía a los empleados a que navegaran a un sitio web vinculado con el dominio "[nombre de la compañía 1]- okta.net" ("dominio de phishing 1") el cual parecía estar asociado con Okta. Al menos un empleado navegó al sitio web vinculado, ingresó sus credenciales de empleado de la compañía y después autentico su identidad de empleado a través de una solicitud de autenticación de dos factores enviada a su teléfono.

La compañía 2 es una mercantil de videojuegos con oficinas en el Distrito Central de California. El 2 de junio de 2022, múltiples empleados recibieron mensajes de SMS en sus teléfonos, los cuales les informaban que sus cuentas estaban a punto de ser desactivadas y les instruían para que navegaran al sitio web vinculado. Los empleados de la vieron que el sitio web vinculado parecía estar asociado con la mercantil. Los sitios web vinculados incluían un sitio web con el dominio "[nombre de la compañía 2]-vpn.net" ("dominio de phishing 2"). Al menos un empleado navegó al sitio web vinculado, ingresó sus credenciales de empleado de la compañía y después autenticó su identidad de empleado a través de una solicitud de autenticación de dos factores enviada a su teléfono.

La compañía 3 es una compañía de videojuegos y software fuera del Distrito Central de California. Al igual que con las compañías 1 y 2, el 2 de junio de 2022, múltiples empleados de la compañía 3, recibieron mensajes de SMS en sus teléfonos, que les informaban, de manera similar, que sus cuentas estaban a punto de ser desactivadas. Esos mensajes de SMS instruían a los empleados para que navegaran al sitio web vinculado con el dominio "[nombre de la compañía 3]- okta.com", el cual también parecía estar asociado con Okta. Al menos un empleado navegó al sitio web vinculado, ingresó sus credenciales de empleado y después autenticó su identidad de empleado a través de una solicitud de autenticación de dos factores enviada a su teléfono.

Los registros de inscripción del dominio NameCheap para el dominio de phishing 1 y el dominio de phishing 2 muestran que ambos dominios estaban registrados bajo la misma cuenta de NameCheap , la cual tenía el nombre de usuario DIRECCION000 e indicaba una cuenta con la dirección de correo electrónico: DIRECCION001 .Estos registros mostraron que ambos dominios de phishing se registraron el 2 de junio de 2022, en la misma fecha en la que las compañías 1, 2 y 3 fueron atacadas. Los registros de NameCheap también mostraron que la cuenta había sido usada para registrar otros dominios de phishing con nombres que sugerían que estaban diseñadas para seleccionar de manera similar las compañías de telecomunicaciones, mercados de intercambio de criptomoneda, medios sociales y tecnología. Los registros de NameCheap también mostraron que menos de un mes antes de los ataques de phishing, el 4 de mayo de 2022, se inició sesión a la cuenta objetiva de NameCheap desde la dirección IP NUM002, la cual se rastreó a Escocia, en el Reino Unido. Virgin Media informó que la dirección IP se le había alquilado a Luis Alberto desde el 26 de enero de 2022 al 7 de noviembre de 2022.

El historial del navegador de internet de uno de los aparatos incautados de Luis Alberto mostraba que había accedido a una página de registro y panel de control de NameCheap para el dominio de phishing 2, la cual se había usado para atacar a la compañía victimizada 2 y la cuenta objetiva de Gmail, la cual se usa para registrar la cuenta objetiva de NameCheap que a su vez registro el dominio de phishing 1, el dominio de phishing 2 y muchos otros dominios aparentes de phishing

Los aparatos digitales de Luis Alberto tenían múltiples archivos que contenían información de posibles compañías perjudicadas.

Durante la investigación, el FBI identifico a numerosas víctimas a las que les habían robado su criptomoneda. Con base en información obtenida de esas víctimas y los aparatos digitales de Luis Alberto, los registros de Coinbase, Gemini y exploradores de cadena de bloques, además de la información de los empleados del FBI, las autoridades estadounidenses establecieron que mucha de la criptomoneda robada se transfirió a monederos controlados por Luis Alberto y las personas con las que actuaba. En concreto, se identificaron dos perjudicados en el Distrito Central de California, por importe de 267.000 dólares y 195.000 dólares respectivamente, otra víctima en Tennessee por 60.000 dólares, otra en Nueva York por 199.000 dólares, otra persona residente en Ohio por 40.000 dólares, un residente en California por 34.900 dólares, otra víctima de Texas por 182.000 dólares, un residente en Pensilvania por 129.000 dólares , otra víctima de New Hampshire por 1.668.000 dólares y un residente en Indiana por 40.000 dólares.

Parte de los fondos robados fue enviada a una dirección de criptomoneda que terminaba en " NUM003". Una página del navegador de blockchain de la dirección NUM003 estaba almacenado como un "acceso directo" en el navegador web de Luis Alberto que se encontró en uno de sus aparatos. Los registros obtenidos de Discord revelaron que el usuario de una cuenta de Discord con la identificación de usuario NUM004 envió la dirección de NUM003 a un usuario no identificado de Discord cuando le pidió a este último que enviara fondos. Los registros de la cuenta de Discord revelaron que la dirección IP de Luis Alberto se usó para entrar a esta cuenta de Discord múltiples veces en julio de 2022. El historial de transacciones disponible públicamente de la dirección NUM003 muestra que se transfirieron aproximadamente 391 monedas virtuales de bitcoin dentro y fuera de esta dirección entre octubre de 2022 y febrero de 2023, con un valor actual de más de $26 millones de dólares estadounidense".

No podemos entender que una petición de extradición, en los términos expuestos, pueda ser declarada como manifiestamente infundada, siendo así que se describen unos hechos que justificarían el procesamiento del reclamado en España.

QUINTO. -Se alega, como tercera causa, la ausencia de los requisitos de doble incriminación y de mínimo punitivo, este de forma subsidiaria.

Y así, se indica en las alegaciones efectuadas que, respecto de los cargos 1 y 2, los mismos no serían punibles en nuestro país, pues en nuestro sistema legislativo la conspiración sería absorbida por el delito consumado, ya que sería la autoría lo que se penaría, es decir, el conspirador pasa a ser el autor y, por tanto, los actos previos o ese "ardid de phishing"no sería punible, pues estaríamos penando el fraude y la conspiración para defraudar de manera autónoma, lo que supone una doble punición a efectos normativos.

Confunde la defensa del reclamado el significado del término "conspiración" en el ordenamiento jurídico de la parte requirente, que no tiene nada que ver con el acto preparatorio al que se refiere en su escrito y que define el art. 17 de nuestro Código Penal.

Tal y como se indica en la documentación aportada, según las leyes de los Estados Unidos "una conspiración es un acuerdo con dos o más personas para cometer uno o más delitos". "El delito de conspiración es un delito independiente, separado y distinto de la comisión de un delito fundamental específico."Es decir, el término "conspiración" utilizado por la Parte Requirente equivale al concepto de organización criminal que define el art. 570 bis del Código Penal como "la agrupación formada por más de dos personas con carácter estable o por tiempo indefinido, que de manera concertada y coordinada se repartan diversas tareas o funciones con el fin de cometer delitos".

Concurre, por ello el principio de doble incriminación, así como el del mínimo punitivo, por cuanto la pena a imponer a los miembros integrantes de una organización criminal es la misma que a la del autor individual, pues como queda dicho no se aplica al término "conspirador" el significado que pretende la defensa del reclamado; y así, los hechos constituirían, conforme al ordenamiento jurídico español los delitos de estafa ( arts. 248, 249 1. a), 250.2 y 74.2 CP) y de pertenencia a organización criminal ( art. 570 bis CP) .

Los hechos, por otra parte, y tal y como quedan descritos, describen no una mera codelincuencia, como pretende la citada defensa, sino una verdadera organización criminal, con un liderazgo (el del reclamado), distribución de funciones y permanencia temporal, que permite entender dicha trama como la de una organización criminal.

SEXTO. -Se alega, respecto de los cargos 3 y 4 que en el relato de hechos ofrecido no se especifica qué tipo de manipulación informática o artificio semejante utilizaba el reclamado para la trasferencia no consentida de criptomonedas. No podemos compartir esa afirmación, pues en dicho relato se describe minuciosamente el método utilizado para la obtención fraudulenta de los datos de terceros, que no era otro que el denominado phishing, es decir, mediante el envío de correos electrónicos que suplantan la identidad de compañías legales, solicitando información personal y bancaria al usuario redirigiendo al mismo a una página web fraudulenta para que introduzca sus datos, que será usados para culminar la estafa.

La pena para el delito que se contempla en el Código Penal español, arts. 248, 249.1 a), 250.1, 2º 74.2 CP, y 270 bis excede del año de prisión, por lo que concurre el requisito de mínimo punitivo.

Se describe, igualmente el perjuicio ocasionado por los hechos que son la base de la reclamación, sin que quepa duda alguna sobre el hecho de que la criptomoneda, al ser un activo, puede ser objeto del delito de estafa.

Por último, y respecto del cargo 5, "de robo agravado de identidad", el mismo se configura en derecho español como un elemento subsumido en el tipo de la estafa, como el medio para producir el engaño, debiendo recordar que el principio de la doble incriminación se encuentra incluido en el derecho fundamental a la legalidad penal, y consiste en que el hecho por el que se pide la extradición sea delictivo y esté sancionado con una determinada penalidad en las legislaciones punitivas del Estado requirente y del Estado requerido, pero no exige identidad de las normas penales de los Estados concernidos, ni la identidad de penas en ambas legislaciones, sino que basta con que se cumplan los mínimos penales previstos en las normas aplicables ( STS 102/1997 de 20 mayo, que cita AATC 23/1997, 753/1985 y 499/1988). Igualmente, el Tribunal Constitucional ( AATC 121/2000 de 16 mayo, 95/1999 de 14 abril y 49/1999 de 4 marzo y Auto 23/1997 de 27 enero) considera que el principio en cuestión no exige una misma denominación del delito en ambas legislaciones, ni tampoco que las normas penales respectivas sean idénticas. En este sentido, el ATC 412/2004 de 2 noviembre, destacó que la doble incriminación en los Estados requirente y requerido no exige que los tipos delictivos que sancionan la conducta perseguida tengan la misma estructura y naturaleza, sino tan sólo que la misma conducta sea objeto de sanción penal en ambos Estados; añadiendo que, dado que el proceso extradicional limita su naturaleza a la de ser un simple acto de auxilio judicial internacional, el alcance de dicho principio es únicamente el expresado; procediendo exclusivamente la comprobación de las condiciones específicamente recogidas en las Leyes y convenios que la regulan, ATC 558/1985 y STC 229/2003. La conducta de suplantación, por lo tanto, estaría en la legislación española castigada dentro y como elemento del tipo de estafa, por lo que procede estimar la concurrencia del principio de doble incriminación en este punto.

SÉPTIMO. -Se pone "en duda" por la defensa del reclamado, la legalidad de la entrada y registro efectuado por las autoridades británicas en el domicilio del Sr. Luis Alberto, sin aportar dato ni prueba objetiva alguna de que así fuera. Debemos partir de la base de que las autoridades requirentes no tienen que presentar el título habilitante del registro que se realizó en Escocia. No obstante ello, se solicitó información a las autoridades requirentes, quienes contestaron afirmando que "las autoridades del orden público escocesas llevaron a cabo cateos autorizados por los tribunalesen los domicilio de Luis Alberto en el Reino Unido e incautaron múltiples dispositivos pertenecientes a Luis Alberto.... Si Luis Alberto es extraditado a los Estados Unidos, después de que sea procesado y comparece por primera vez ante el Tribunal de Distrito estadounidense para el Distrito Central de California, tendrá la oportunidad de impugnar la admisibilidad de las pruebas del gobierno, incluidas las pruebas obtenidas de las autoridades del orden público escocesas, tanto en las mociones previas al juicio como durante los procedimientos judiciales".

Ninguna vulneración, por tanto, ni directa ni indirecta, consta que se haya producido, por lo que el presente motivo de oposición debe, igualmente, desestimarse.

OCTAVO. -La siguiente causa de oposición no puede ser estimada, por cuanto la misma se fundamenta en una mera opinión de la defensa del reclamado, en el sentido de que el parte requirente ha decidido optar por presentar la orden internacional de detención en el momento en el que supo que el reclamado viajaría a España, entendiendo, de nuevo sin base para ello, que la jurisdicción española sería más beneficiosa para los intereses del Estado requirente que la del Reino Unido. No existe fundamento alguno que justifique dicha afirmación, ni dicha circunstancia se erige como causa de denegación a la entrega.

NOVENO. -En último lugar se alega la desproporción de las penas que pudieran ser impuestas al reclamado frente a las que se le impondrían conforme a la legislación española.

Sobre este particular debemos recordar la doctrina emanada del Pleno de la Sala Penal de la Audiencia Nacional (Autos de 15/01/2016 y 3/03/2020), en el sentido de que, respecto de la alegada desproporcionalidad de la pena, indicamos que la diferente respuesta punitiva prevista en la ley no es argumento que obstaculice la entrega y que en materia extradicional el principio de proporcionalidad referido al máximo punitivo opera en relación a la pena de muerte y a la de reclusión perpetua.

Entre otros, el auto de Pleno de esta Sala 81/2019 de 22 noviembre, aclara que la diferencia penológica no afecta a los principios de doble incriminación y mínimo punitivo y no puede obstar a la entrega, salvo que la pena prevista fuera inhumana o degradante y contraviniera los principios establecidos en los artículos 15 y 25 de la Constitución Española.

Por dicha razón, este motivo tampoco puede ser acogido.

En atención a lo expuesto, y vistos los artículos citados y demás de general y pertinente aplicación.