Sentencia Penal 255/2026 Audiencia Provincial Penal nº 16 de Madrid, Rec. 56/2026 de 25 de mayo del 2026

PRIMERO.-Como resultado de las pruebas evacuadas en el transcurso de la vista oral, consistentes básicamente en la declaración del acusado y la testifical del responsable de la mercantil perjudicada, así como de los empleados y representantes de la entidad bancaria, junto con la documental incorporada a los autos, no subsiste ninguna duda de la participación de Justino en los hechos denunciados, quedando de este modo enervado su derecho a la presunción de inocencia y todo ello de acuerdo a una abundante doctrina jurisprudencial que, en interpretación del artículo 24 de la Constitución, declara reiteradamente que dicho derecho supone la necesidad de que durante el plenario, con publicidad, inmediación, contradicción y oralidad (por todas, STC 31/1981, reiterada y citada en muchas posteriores como la STC 118/1991 y la STC 124/1990), se aporten suficientes elementos de juicio para entender acreditados los hechos objeto de acusación mediante una auténtica prueba de cargo ( STC 70/1985, reiterada por la STC 98/1990), llegándose en este caso a la convicción de que el relato fáctico que integra el tipo penal de estafa por el que resulta condenado consta razonablemente acreditado.

Se estima acreditado, en efecto, sin ningún género de dudas, que los hechos resultan legalmente constitutivos de un delito de estafa informática del artículo 248, párrafos primero y segundo, apartado a) del Código Penal, en la redacción vigente a la fecha de los hechos y anterior, por tanto, a la modificación introducida por la Ley Orgánica 14/2022, de 22 de diciembre, en relación con el tipo agravado del artículo 250-1, apartado quinto, del mismo Texto sustantivo en cuanto que el valor de lo defraudado supera los cincuenta mil euros. De su análisis nos ocuparemos, sin embargo, más adelante una vez valorada la conducta típica en que incurre el acusado a la vista de la documental y testimonios vertidos, y de cuyo comportamiento punible dimana la declaración de responsabilidad civil subsidiaria de la entidad bancaria, quien invoca, como primer argumento de oposición, que, a causa de la imputación tardía de la acusación particular, no ha podido articular su defensa con todas las garantías, con infracción de sus derechos constitucionales.

Mas nada de eso se aprecia en este caso, pues con independencia de que no se mencionen qué diligencias concretas pudo haber interesado en fase de instrucción que le permitieran acreditar que los departamentos del banco encargados de estos controles habían actuado con la adecuada diligencia, lo que tampoco solicita para su práctica durante la celebración del juicio oral, la controversia suscitada carece, en cualquier caso, de recorrido procesal alguno al haber sido ya resuelta con reiteración por la jurisprudencia, descartándose que el hecho de que la exigencia de responsabilidad civil no se suscite hasta la redacción del escrito de acusación genere indefensión alguna, pues tras la apertura del juicio oral adquirió la plena condición de parte, sin restricción alguna, personándose con abogado y procurador. De ahí la necesidad de notificación del auto de apertura de juicio oral a la persona natural o jurídica que pudiera ser declarada responsable civil de los perjuicios ocasionados ( Sentencias del Tribunal Supremo de 21 de enero de 1994 y 13 de diciembre de 1991, y del Tribunal Constitucional de 11 de febrero de 1985). Y esta es precisamente la situación que aquí se produce, pues notificado el auto de apertura de juicio oral de fecha 18 de noviembre de 2025 (a los folios 512 y siguientes de las actuaciones), dicha entidad evacuó su escrito de defensa con todas las garantías legales, tras emplazarle y requerirle al pago de la fianza correspondiente, por lo que ningún tipo de indefensión pudiera derivarse de su incorporación tardía, sin olvidar que durante la fase de instrucción fue requerida en diversas ocasiones para la aportación de distinta documental, siendo los directores de las oficinas bancarias que tuvieron alguna relación con este asunto citados en su momento a declarar como testigos, por lo que es evidente que tenía conocimiento de la existencia del procedimiento seguido contra el titular de la cuenta bancaria, que tenia abierta en una de las sucursales del Banco de Santander.

Al respecto, una reciente sentencia del Tribunal Supremo de 19 de julio de 2021, al abordar la cuestión relativa a la responsabilidad civil subsidiaria derivada de la aplicación del artículo 120 del Código Penal de la que nos ocuparemos luego, recuerda expresamente que no resulta imprescindible que el auto de transformación del procedimiento abreviado incluya al eventual tercero responsable civil. Lo estrictamente necesario es que sea traído al proceso antes del juicio oral, sin que constituya un requisito indispensable ni su declaración en fase de instrucción ni una expresa constitución judicial anterior a la apertura del juicio oral.

Por lo demás, y dejando ya al margen esta cuestión de índole meramente formal, la declaración de Justino vertida con fines claramente exculpatorios durante el plenario, no logra eximirle de la responsabilidad penal pretendida vistos los documentos incorporados a la causa y el testimonio vertido por el responsable del departamento de cobros de la empresa austríaca perjudicada por el engaño. Así, reconoce el acusado que acudió personalmente a la oficina y suscribió con su firma el contrato de apertura de cuenta corriente necesaria para su actividad profesional, primero como trabajador por cuenta ajena y más adelante como autónomo, siendo necesario que facilitara tanto su número de móvil como su dirección de correo electrónico. Así se desprende también de la documentación remitida a requerimiento del órgano judicial, por parte de Adriana, responsable de la asesoría jurídica del banco, lo que ratifica durante el plenario (folios 212 a 224 de las actuaciones) y que contiene el "formulario de información obligatoria del cliente" (FIOC), la copia del contrato cuenta zero y tarjeta débito zero, junto con los movimientos existentes en la misma (folios 225 y siguientes). En dicho contrato, suscrito materialmente con su firma en la sucursal 5134 de la calle Alcalá, 445 de Madrid, constan efectivamente sus datos personales, teléfono y correo electrónico, así como la actividad declarada, junto con las condiciones y beneficios que se pudieran derivar de su apertura.

En todo caso, manifiesta haber tenido siempre en la cuenta un saldo reducido, sin grandes movimientos de dinero producto de su trabajo como transportista, existiendo un saldo deudor de 131,26 euros a la fecha de recibo de la transferencia, la cual, por importe de 54.250 euros, se ingresó en su cuenta con fecha 30 de junio de 2021, pero de la que afirma no tener ningún conocimiento, pues no consultaba, según él, la aplicación del banco por teléfono y ningún responsable le avisó, sin que cuando pidió explicaciones, se las dieron, informándole que su cuenta se encontraba intervenida y que le llegaría una notificación a casa, lo que nunca ocurrió. Tampoco tenía acceso, según afirma, a la aplicación "bizum". De ahí que desconozca quién pudo ser responsable de realizar la transferencia, así como las disposiciones llevadas a cabo en su cuenta en los cinco días posteriores al 30 de junio de 2021, ya que con su tarjeta solo retiraba lo imprescindible para sus gastos básicos. En consecuencia, se considera perjudicado también por lo sucedido, manifestando que abrió la cuenta en fecha que no puede precisar, pero en todo caso antes de la pandemia, la cual mantuvo operativa hasta enero del año 2022, que fue cuando, según cree recordar, le llamaron del banco para decirle que estaba intervenida. Reconoce, no obstante, que acudió a la policía al enterarse de que su cuenta había sido hackeada y en donde le dijeron que no podían hacer nada, si bien tuvo que cambiar su número de teléfono pues recibía mensajes de whatsapps reclamándole dinero. En la actualidad sigue trabajando como transportista para una empresa de paquetería y recibe el sueldo mínimo de 1.250 euros, viéndose obligado a vender su piso al no poder hacer frente al pago de la hipoteca, por lo que ahora vive solo ya que su pareja tuvo que regresar a su país para cuidar de sus padres, ocupando una habitación en régimen de alquiler.

La declaración de Miguel como responsable del departamento de clientes y encargado de la contabilidad y del departamento de pagos al extranjero en la empresa austríaca "Gebrüder Weiss GmbH" (en adelante, Gebrüder), corrobora, en cambio, el fraude cometido, pues en cuanto que dedicada al transporte internacional, mantenía relaciones comerciales desde el año 2017 con otra empresa lituana de nombre "Uab Tranita" (en adelante, Tranita), con quien cooperaban en la logística necesaria para el desarrollo de su actividad en países como Alemania y Finlandia, encargándose "Tranita", según consta en su querella, del pago de los fletes a través de la persona de contacto de nombre Eloisa, siendo, a su vez, Rebeca la encargada en la empresa "Gebrüder" de realizar los pagos una vez la primera se ponía en contacto con ella a través normalmente de correo electrónico para indicarle cuáles eran las cantidades pendientes de pago. Así, se dispuso una primera transferencia en fecha 8 de junio de 2021 por importe de 41.400 euros a una cuenta supuestamente facilitada por Eloisa tras indicarle ésta que las cuentas lituanas utilizadas anteriormente de forma exclusiva para realizar los pagos estaban bloqueadas y que el pago debía realizarse a partir de entonces a una cuenta española abierta en el Banco de Santander. Sin embargo, y tras insistir "Tranita" que no había recibido su importe, pues la transferencia se había realizado a una cuenta en dólares americanos, anunciándose por ello su devolución y que el nuevo pago debía realizarse a otra cuenta, en este caso en euros, dicha transferencia se hizo a una cuenta del Banco de Santander y, en concreto, según consta documentado, a la que figuraba abierta a nombre del acusado en la sucursal de la calle Alcalá, nº 445 de Madrid. De esta forma se transfirió la cantidad de 54.250 euros correspondientes a los 41.400 euros antes abonados pero que le iban a ser devueltos, más el importe de otras facturas vencidas hasta ese momento. Realizada la transferencia con fecha 28 de junio de 2021, constataron después que el dinero no había llegado a "Tranita" y al contactar con su banco, les informaron que ya no era posible recuperar su dinero, razón por la que formularon denuncia ante la Fiscalía de su país, de cuyo resultado nada saben y de ahí que reclamen su importe en este procedimiento.

Interrogado para que precise el origen de los pagos realizados, afirma que corresponden a facturas que, por importe de unos 2.500 euros, van acumulando y de ahí que las cantidades transferidas suelan ser muy elevadas. Para realizar los pagos, contactan por teléfono y, sobre todo, por correo electrónico con "Tranita", ya que es una empresa extranjera, ignorando al efectuar las transferencias que se trataba de una dirección de correo falsa, pues parecían mensajes auténticos procedentes de la cuenta habitual de Eloisa a través de la cual venían habitualmente contactando con dicha empresa desde el año 2017 sin problema alguno, no percatándose del fraude hasta que recibieron comunicación de "Tranita" reclamando su importe. En ese momento reunieron los correos que tenían y se pusieron en contacto con el departamento legal de la empresa y con los responsables de informática, constatando que su correo no había sido hackeado, sino que el que había sido pirateado era el correo electrónico de Eloisa, lo que permitió desviar los fondos a las cuentas españolas. Estos correos figuran incorporados a la causa, junto con el informe de detectives que acompañan con su querella, todos ellos traducidos al español (original a los folios 11 a 83, traducción a los folios 84 y siguientes). Con fecha 5 de julio de 2021 intentaron, a través de su banco, la devolución de las transferencias, pero les informaron que se trataba de un fraude y que todo dependía de lo que pudiera hacer la entidad bancaria donde se ingresó su importe y de que el dinero continuara todavía depositado en la cuenta de destino, lo que no sucedió.

A preguntas del Letrado del Banco de Santander, no fue posible, sin duda por las dificultades derivadas del empleo de un idioma extranjero, que el testigo concretara el volumen de negocios anual de "Gebrüder", pero precisa que su empresa dispone de un sistema de contabilidad muy detallado donde sus proveedores van unidos a un número y este número a una cuenta bancaria, facilitando el programa informático el detalle de los pagos. Insiste, en todo caso, que se hicieron las transferencias a cuentas españolas porque en ese momento desconocían que la dirección de correo de Eloisa hubiera sido manipulada. No le consta, sin embargo, que en su empresa exista ningún protocolo relativo a ataques informáticos o ciberseguridad, como desde luego ignora que exista una Directiva comunitaria, traspuesta al derecho austríaco en el año 2018, sobre suplantación de cuentas bancarias. Mas vuelve a insistir que se pusieron en contacto con "Tranita" al constatar el hackeado de la cuenta de correo de la empresa lituana y que dicha empresa formuló denuncia por tal motivo, desconociendo cuál fue su resultado.

A preguntas, por último, de la defensa del encausado, manifiesta que siendo "Tranita" una empresa con sede en Lituania, los pagos se hacían habitualmente a cuentas de su país, pero se cambió a una cuenta española las que las suyas les dijeron que habían sido bloqueadas, lo que no les extrañó, ya que su empresa trabaja con otras de diferentes países y disponen de una constelación de cuentas bancarias. Tampoco les llamó la atención que, tras efectuar una primera transferencia a una cuenta, les dijeran que al ser ésta en dólares estadounidenses, debían hacer el pago a otra en euros, insistiendo en que todo ello se debió a que el correo de Eloisa, su contacto en dicha empresa, había sido manipulado. Finalmente, manifiesta que la empresa "Gebrüder" tiene suscrita una póliza de seguros que cubre alguna de estas contingencias, pero solo para perjuicios que superan el millón de euros.

Por su parte, los testimonios vertidos por Celso y Pedro, directores de otras tantas sucursales de la entidad Banco de Santander en nuestro país, el último de ellos de la oficina de la calle Alcalá, nº 445 de Madrid en donde figura domiciliada la cuenta destinataria de la transferencia, sostienen que nada tiene que ver su Banco con la defraudación producida, pues con independencia de quien figure como beneficiario de la transferencia, lo relevante es el número de IBAN y si este está correcto, la transferencia opera directamente sin intervención alguna de los empleados de la sucursal. Solo si sobre una cuenta o una determinada operativa estuviese activada alguna alarma por parte de los departamentos centrales del Banco, es cuando estarían obligados a hacer alguna comprobación, ya que en los demás casos el control debe llevarlo a cabo el propio ordenante. Y lo mismo sucede cuando se trata de una transferencia internacional. Si bien ha asistido a cursos sobre prevención del fraude, nada tiene que ver con la operativa diaria del banco respecto a las trasferencias que se realizan, debiendo limitarse a comprobar la identidad de la persona y su actividad profesional en el momento de proceder a la apertura de la cuenta, pero sin que, salvo que exista algún aviso, se pueda bloquear la cuenta de ningún cliente.

El segundo de los testigos corrobora todo lo dicho por el anterior, si bien, en su calidad de director en su momento de la sucursal donde se abrió la cuenta destinataria de la transferencia, afirma haber constatado que se trataba de un contrato de cuenta corriente que se formalizó personalmente en la sede de dicha entidad con base a la documentación aportada por el interesado, ya que la Ley de Prevención del Blanqueo de Capitales obliga a comprobar el perfil del cliente. Le consta, en cualquier caso, que se encontraba operativa desde agosto del año 2020, aunque desconoce cuál pudiera ser su saldo habitual o si se hallaba al descubierto el día en que se llevó a cabo la transferencia, siendo habitual que si eso sucede, se realicen gestiones a este respecto con el cliente, pero insiste en que no se puede intervenir la operación si la transferencia se atiene a la normativa Sepa y el número de IBAN está correcto, existiendo un departamento de blanqueo en el banco que se encarga de detectar las actividades que pudieran resultar sospechosas, pues la propia oficina no dispone de capacidad para ello. Y aun cuando, según la Ley de Prevención de Blanqueo de Capitales, están obligados a activar alertas en caso de operaciones sospechosas, el encargado de llevar a cabo esos filtros no es la oficina sino el departamento de fraude creado por el Banco, por lo que si como es este el caso, se realiza la transferencia sin existir ningún aviso, entra directamente en la cuenta corriente del cliente sin posible control por su parte. Es después, si se detecta alguna irregularidad, cuando se inicia un procedimiento de comprobación por fraude a cargo del departamento correspondiente a fin de constatar, entre otras cosas, si el dinero salió ya de la cuenta. De lo ocurrido en este caso, solo se enteró cuando fue citado a declarar por primera vez por este asunto, y que no le consta que la transferencia en este caso hubiera sido rechazada automáticamente, tal y como al parecer se indica en la información remitida por la asesoría jurídica del Banco (folio 430).

A preguntas del Ministerio Fiscal, confirma que los documentos que se le exhiben se corresponden con el contrato de apertura de cuenta corriente con el acusado (folios 212 y siguientes), desconociendo si incluía la posibilidad de disponer de tarjeta, aunque asegura que todos los clientes tienen acceso a su cuenta a través de la aplicación bancaria y que aun cuando al folio 222 conste un máximo de retirada diaria de dinero con tarjeta de 600 euros, ese límite se puede modificar en cualquier momento. Desconoce, en cualquier caso, si los reintegros que, por importe de 1.000 euros, figuran en dicha cuenta se hicieron en el mismo cajero de la oficina o en otra. Por lo demás, cree que la cuenta "murió sola", pues no le consta que en ningún momento se pidiera su cancelación, desconociendo si alguien de la entidad se puso en contacto con el cliente por tal motivo, lo que personalmente no hizo. Reitera, por último, que las transferencias electrónicas en el marco Sepa no tienen ningún tipo de supervisión por la oficina y funcionan automáticamente sin ninguna intervención por su parte, ya que, conforme a la normativa PSD2 (regulación europea en los servicios de pagos digitales), el responsable de la transferencia es el propio ordenante, siendo facultad de cada oficina bancaria autorizar solo la apertura de una cuenta caso de que resulte acorde con la normativa y que ninguna oficina bancaria puede aperturar una cuenta por sí misma.

Por último, Adriana, letrada de los servicios jurídicos del Banco de Santander, ratifica las comunicaciones remitidas con su firma al órgano judicial, una de fecha 17 de diciembre de 2021 informando del titular de la cuenta y momento de apertura, la cual continuaba abierta (folios 199 y siguientes), y otra de 31 de octubre de 2023 en la que se comunica que las transferencias por importe de 41.000 euros y 54.250 euros figuran "rechazadas automáticamente", poniéndose en conocimiento del Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales con fecha 3 de septiembre de 2021 las dos operaciones aludidas (folios 430 y siguientes). Es evidente, sin embargo, el error cometido al respecto, aunque relevante por lo que luego se dirá en cuanto a la declaración de responsabilidad civil de la entidad bancaria, pues la transferencia de 54.250 euros figura efectivamente ingresada en la cuenta del acusado, al igual que no hay duda de las disposiciones realizadas a continuación.

SEGUNDO.-En definitiva, y como síntesis de lo hasta ahora expuesto, no hay duda que la mercantil "Gebrüder" llevó a cabo la transferencia, por el importe y en la fecha indicada, de la que debiera haber sido destinataria la empresa "Tranita", única que figuraba como beneficiaria y con la que mantenía relaciones comerciales -no consta que las tuviera con el encausado-, pero en la que, tras una manipulación llevada a cabo hackeando el correo electrónico de una empleada de esta última, se modificó el número de cuenta del destinatario, lo que permitió que fuera ingresado el dinero de forma ilícita a favor de Justino. Y aunque éste insista en que era ajeno a dicha operación fraudulenta, reconoce, cuanto menos, la apertura de la cuenta corriente con la información que el mismo facilitó y que disponía de pequeñas sumas a través de su tarjeta bancaria, manteniéndose informado de sus movimientos solo a través de las notificaciones por escrito. Pero si ello era así, no explica por qué justamente en el momento de recibir la transferencia por importe tan elevado, dejó de tener control sobre la misma, alegando no haber sido informado de ello por su banco, lo que resulta tanto más más inverosímil si con anterioridad al 30 de junio de 2021, fecha en la que consta ingresada la transferencia, no había advertido irregularidad alguna, como tampoco parece haberla detectado después, lo que, a nuestro criterio, resulta todavía más extraño, pues si se examinan los movimientos producidos a partir de entonces, dejando al margen las disposiciones de fondos realizadas de forma inmediata hasta el día 5 de julio de ese año directamente relacionados con dicho fraude, figuran distintos cargos por compras en establecimientos comerciales, recibos telefónicos, seguro de vehículos, transferencias bancarias y, sobre todo, distintos reintegros, también de 1.000 euros y a través de cajeros automáticos, sin que conste queja u oposición alguna por su parte, operando con normalidad incluso después de esa fecha y cuanto menos hasta el 15 de diciembre de 2021, no percatándose, según él, de lo ocurrido hasta que en enero de 2022 fue informado, según cree recordar, por el propio Banco (folios 225 a 256 de las actuaciones).

Por lo demás, la pasividad del Banco, que en septiembre de ese año informa al departamento correspondiente de la operación fraudulenta, esto es, más de dos meses después, así como del rechazo automático de la transferencia, resulta también clamorosa, especialmente cuando tras la transferencia internacional de elevado importe recibida, se llevan a cabo por el acusado, y en apenas cinco días, hasta un número aproximado de veinte operaciones distintas sobre una cuenta que hasta ese momento tenía movimientos de muy escasa cuantía y sin que tampoco conste que por el titular de la misma se hubiera llegado a formular ninguna denuncia, siendo ajeno, según él, a tal dinámica comisiva, lo que resulta inverosímil.

Pero es más, el día 9 de julio de 2021 vuelve a recibir en su cuenta otra transferencia próxima a los 4.000 euros y de la que si bien se desconoce el origen, pues resulta ajena a la operación aquí analizada, llama, en cualquier caso, la atención por cuanto tampoco se correspondería con lo declarado por éste sobre la retirada de pequeñas sumas de dinero para gastos corrientes cuando precisamente al día siguiente realiza tres reintegros sucesivos a través de cajero automático, por un importe respectivo de 1.000 euros cada uno -cabe suponer que ese era ya el nuevo límite máximo autorizado en su tarjeta para cada operación y no los 600 euros inicialmente autorizados-, sin que sobre ello ofrezca tampoco explicación alguna. No nos consta que se trate de una nueva operación ilícita, pero de nuevo revela su forma de proceder: tras un ingreso por un importe elevado, una nueva disposición de fondos elevada hasta dejar la cuenta prácticamente en descubierto. Y ello sin entrar a valorar el bizum sobre el que llama la atención el Ministerio Público y que, con fecha 4 de julio de 2021, se lleva a cabo por el concreto importe del saldo existente en la cuenta a ese momento, 670 euros. No parece una casualidad.

Extraña también, por último, que si en septiembre de 2021, que es cuando aparentemente el Banco de Santander detecta la irregularidad de la transferencia internacional realizada y, por tanto, se supone que es cuando debió contactar con el cliente -no al año siguiente cuando la cuenta deja de estar operativa, según declarado el acusado-, éste no hubiere formulado ninguna queja o denuncia, limitándose a reconocer en su declaración, aunque sin acreditarlo, que acudió a la policía solo cuando a través de su teléfono comenzó a recibir mensajes de un posible hackeo de su cuenta, lo que no consta, sino que mas bien pudiera ser que su conversación con algún agente se produjera, no por propia iniciativa, sino tras detectarse por el banco la operación fraudulenta realizada.

Los indicios que recaen, pues, sobre el acusado resultan ser más que evidentes y de la ausencia de cualquier tipo de explicación convincente por parte de éste, no cabe sino inferir su particular responsabilidad en los hechos. Y es que, en lo referente a una situación tan cuestionada como prestar cuentas bancarias propias para recibir transferencias, cualquier ciudadano medio ha de saber que se deben devolver las que no tienen ninguna relación con él, cosa que el acusado no hizo, entendiéndose, al descartar esta posibilidad, que conocía, en consecuencia, su procedencia ilícita (por todas, Sentencia del Tribunal Supremo de 19 de febrero de 2025).

En definitiva, la apreciación conjunta de todas estas pruebas, apreciadas conforme al criterio de libre arbitrio y valoración que prevé el artículo 741 de la Ley de Enjuiciamiento Criminal, lleva a este Tribunal a la firme convicción de que el relato fáctico que integra el delito de estafa por el que resulta acusado se encuentra razonablemente acreditado y ha quedado enervado el derecho a la presunción de inocencia que en principio le amparaba, lo que nos exime de entrar en el análisis de la figura alternativa por la que, en su defecto, se formula asimismo acusación. Debe aclararse, en cualquier caso, que en el delito de blanqueo de capitales por imprudencia del artículo 301, 1 y 3 del Código Penal, al igual que sucede con el delito de receptación del artículo 298 del mismo Texto sustantivo, no se exige un conocimiento pleno del ilícito patrimonial previo, sino que basta con conocer que los efectos, en este caso el dinero, procederían de algún delito patrimonial del que se aprovecha para obtener un lucro propio. Mas en este caso, el acusado participó de forma activa en el delito de estafa cometido, pues sin su intervención no se hubiere podido llevar a cabo la descapitalización de la empresa perjudicada. Ni que decir tiene que, caso de que se hubiera producido por error un ingreso por tan elevado importe -lo que tampoco asume-, lo procedente sería devolver la suma recibida, no efectuar múltiples reintegros y disposiciones de fondos hasta dejar su cuenta de nuevo prácticamente sin saldo, pues constatada la irregularidad de la transferencia recibida, por cuanto no figura éste como destinatario sino una empresa lituana, lo normal sería acudir al propio banco para informarse de lo sucedido y no esperar a que se pongan en contacto con él como sostiene y, desde luego, formular denuncia ante la policía. Nada de esto llevó a cabo, lo que se convierte en un indicio más de su comportamiento criminal.

TERCERO.-Así las cosas, y en directa relación con lo anterior, se estima que concurren los presupuestos que integran y definen el delito de estafa informática del artículo 248, apartados 1 y 2, del Código Penal, en su redacción vigente a la fecha de los hechos anterior a la reforma referida de diciembre de 2022, y de la que ha ser declarado responsable Justino, pues el engaño consistió en la manipulación falsaria, por sí mismo o con la intervención probable de un tercero -no consta que disponga de conocimientos informáticos suficientes, aunque su actividad de transportista no sea ajena al de las empresas afectadas-, del correo electrónico de la empresa beneficiaria de la transferencia, obteniendo un beneficio económico por importe de 54.250 euros, lo que lleva a subsumir los hechos a su vez, a efectos de penalidad, en la modalidad agravada del artículo 250 del mismo Código Penal, resultando, por lo demás, evidente el ánimo de lucro inherente al ilícito cometido.

Ha de tenerse en cuenta que, a la fecha de los hechos, en el número 1 se definía el tipo básico de la estafa y en el número 2 un tipo específico mediante la manipulación informática, de tal forma que en la dinámica comisiva que examinamos, se aprecian claramente dos fases, por un lado, la manipulación del correo electrónico del empleado de la empresa legítima destinataria del dinero mediante la creación de una cuenta de correo duplicada suplantando su identidad, lo que es conocido en el argot anglosajón como "spoofing", y la realización de la transferencia no consentida por el titular de la cuenta ordenante, y una segunda fase que consiste en la elección de una cuenta bancaria a la que se transfiere la cantidad fraudulentamente obtenida, con posterior retirada inmediata de su importe o su envío a terceras personas implicadas asimismo en el fraude cometido. Es cierto que en el curso de la instrucción no se ha podido llegar a conocer finalmente quien habría sido el destinatario de alguna de las transferencias realizadas por él dentro de los cinco días siguientes desde la cuenta del acusado, lo que no exime a éste, en cualquier caso, de su particular responsabilidad en los hechos en cuanto que titular de la cuenta corriente destinataria de la transferencia fraudulenta obtenida cuando ningún negocio o relación mercantil mantenía con la empresa perjudicada.

Esta arquitectura delictiva presenta, como se observa, unas claras similitudes con otra mucho más habitual conocida como "phishing", aunque en ésta la actividad delictiva se centra en engañar a los usuarios para que revelen información confidencial, mientras que el "spoofing" del que participa el acusado consiste en suplantar fuentes legítimas para ganarse la confianza de otro y obtener el acceso a información o datos relevantes, lo que en este caso permitió a los autores, el acusado por sí o con la intervención de terceros desconocidos, piratear la cuenta de correo de "Tranita" en las comunicaciones intercambiadas con "Gebrüder" y a cuyo departamento encargado del pago de las facturas pendientes lograron convencer para que la transferencia se hiciera a diferente cuenta de la habitual, aludiendo primero a que las anteriores se encontraban bloqueadas y después a la necesidad de que el pago se hiciera en una cuenta en euros y no en dólares. En definitiva, la habilidad desplegada por el autor permitió que el dinero transferido terminara en una cuenta corriente con domicilio en España cuando su verdadero destinatario había de ser una empresa lituana.

Lógicas resultan las dudas que en tal caso plantean las defensas sobre la existencia de un engaño personal directo y bastante en los responsables de "Gebrüder", tal y como exige el tipo, y a quien atribuyen falta de tutela sobre la transferencia realizada, mas no debemos olvidar que el delito se comete mediante una más que hábil manipulación informática y la propia sentencia del Tribunal Supremo de 20 de noviembre de 2001 se ha encargado de aclarar que "ello es así porque la asechanza a patrimonios ajenos realizados mediante manipulaciones informáticas actúa con automatismo en perjuicio de tercero, precisamente porque existe la manipulación informática y por ello no se exige el engaño personal".

Por lo demás, y aunque nada se ha dicho sobre los conocimientos informáticos de que pudiera disponer el acusado, quien de entrada afirmó no disponer de ninguna capacidad para poder consultar su cuenta a través de la aplicación bancaria fuera de la habitual comunicación escrita y a través de la extensión del correspondiente recibo, ello no obstante el Tribunal Supremo, en sentencia de 12 de junio de 2007, expone que en este tipo de delitos "se está ante un caso de delincuencia económica de tipo informático de naturaleza internacional en el que los recurrentes ocupan un nivel inferior y sólo tienen un conocimiento necesario para prestar su colaboración. La ignorancia del resto del operativo no borra ni disminuye su culpabilidad porque fueron conscientes de la antijuridicidad de su conducta, prestando su conformidad con un evidente ánimo de enriquecimiento, ya supieran, no quisieran saber (ignorancia deliberada), o les fuera indiferente el origen del dinero que en cantidad tan relevante recibieron. Lo relevante es que se beneficiaron con todo, o, más probablemente, en parte como "pago" de sus servicios. Es obvio que quienes prestaron su colaboración eficiente y causalmente relevante en una actividad antijurídica con pleno conocimiento y cobrando por ello no pueden ignorar indefensión alguna..... En la sociedad actual el acervo de conocimientos de cualquier persona de nivel cultural medio conoce y sabe de la ilicitud de una colaboración que se le pueda pedir del tipo de la que se observa en esta causa, y al respecto, hay que recordar que los recurrentes vivían en Madrid y no consta en los autos nada que pudiera ser sugestivo de un desconocimiento de la ilicitud de la colaboración que se le pedía, máxime cuando no se trataba de una colaboración gratuita sino que llevaba aneja un claro enriquecimiento personal".Doctrina que proclamada respecto a los delitos cometidos por los denominados "muleros", es de igual aplicación a los supuestos como el aquí descrito de suplantación de identidad para, a través de una manipulación informática, conseguir ser destinatario de la transferencia recibida y en la que otro figuraba como beneficiario.

Nos hallamos, pues, ante un supuesto claro de comisión por dolo directo, o cuanto menos eventual, pues la disposición de una cuenta a la que se destina la transferencia es un elemento necesario para la consumación de la estafa y la disposición inmediata de los fondos recibidos revela ese conocimiento, o al menos connivencia, para llevar a cabo el apoderamiento ilícito por parte del acusado. Por tanto, y aun en la hipótesis de que no hubiera participado en la manipulación informática y que sólo se limitara a recibir el dinero en su cuenta, de las pruebas evacuadas resulta fundada la inferencia que concluye que conocía toda la operativa de la que se enriqueció y a la que conscientemente hizo una aportación relevante, lo que abarca la totalidad de los elementos que conforman el delito de estafa informática (por todas, Sentencia del Tribunal Supremo de 2 de diciembre de 2014).

Por lo demás, y aunque por las defensas se alega que existe un cierto déficit en la instrucción al no haberse llevado a cabo gestiones sobre las investigaciones que hubieran podido llevarse a cabo en Lituania tras el hackeo cometido en el correo electrónico de "Tranita" que tiene su sede en ese país y, por tanto, se desconoce si ha podido ser averiguada la identidad de los presuntos autores de esta manipulación informática suplantando su identidad, como tampoco se han practicado gestiones para conocer cuál pudo ser el resultado de la denuncia que formuló la empresa austríaca ante la Fiscalía de su país, tal y como declaró el testigo en el plenario, no está de más recordar que en los delitos de estafa informática donde el dinero se mueve rápidamente o se extrae en lugares distintos al del engaño, la Sala de lo Penal del Tribunal Supremo (Autos de 20 de junio de 2012, 17 de noviembre de 2016 y 7 de julio de 2017, entre otros) prioriza en estos casos el criterio de la funcionalidad y eficacia en la investigación sobre el más general de la ubicuidad y, por tanto, resulta competente para conocer del asunto el órgano del lugar donde se creó la cuenta receptora o donde reside el presunto autor, o el del lugar donde se consuma el perjuicio patrimonial, en lugar del domicilio de la víctima, por lo que nada obsta a la condena del acusado por este ilícito en nuestro país, no existiendo constancia alguna que contra el mismo se siga procedimiento en ninguno de esos otros dos países, lo que no se ha acreditado.

CUARTO.-Entrando ya en la concreta individualización y determinación de la pena, no alegada la concurrencia de circunstancia modificativa de la responsabilidad criminal y aplicando los criterios de libre arbitrio que la ley concede a este Tribunal, se estima proporcionada y adecuada la imposición a Justino, por concurrencia de la modalidad agravada del artículo 250-1, apartado 5, del Código Penal al superar el límite de 50.000 euros establecido, la pena de dos años de prisión, inhabilitación especial para el ejercicio del derecho de sufragio pasivo durante el tiempo de la condena y multa de siete meses, con una cuota diaria de diez euros y responsabilidad personal subsidiaria en caso de impago conforme al artículo 53 del Código Penal.

Como se constata, tanto la pena la pena privativa de libertad como la extensión de la multa se sitúan algo por encima de su mínimo legal, aunque siempre dentro de su mitad inferior, pues dispone de antecedentes penales aunque no resulten computables a efectos de reincidencia, siendo la cantidad defraudada muy elevada y no habiendo mostrado signo alguno de arrepentimiento ni reconocido los hechos pese a las evidencias existentes en su contra. Por otra parte, la cuota de la multa se fija en una cantidad reducida de seis euros, próxima también al mínimo (en un umbral que oscila entre 2 y 400 euros diarios), pues manifiesta que continúa en la actualidad trabajando como transportista y que dispone de contrato indefinido, percibiendo un salario de unos 1.250 euros mensuales, sin que consten otras obligaciones ni cargas familiares conforme asimismo ha declarado. De hecho, su imposición por debajo podría suponer la pérdida de toda eficacia preventiva de la pena. En este sentido, el importe fijado se sitúa en el tramo inferior de dicho margen de aplicación de la cuota, ya que, como es lógico, la cuantía mínima debe reservarse, según indica reiterada jurisprudencia, a situaciones acreditadas de indigencia o miseria, de imposibilidad económica de hacer frente a un mínimo pago, por lo que en casos ordinarios en que no concurren dichas circunstancias extremas, resulta adecuada la imposición de una cuota prudencial situada en el tramo inferior, próxima al mínimo, como aquí sucede y que se estima adecuada a falta de una cumplida acreditación de su total ausencia de ingresos o medios económicos.

QUINTO.-En materia de responsabilidad civil y de acuerdo a lo previsto en el artículo 109, en relación con el artículo 116, ambos del Código Penal, declarada la responsabilidad criminal del acusado, éste deberá indemnizar a la mercantil "Gebrüder Weiss GmbH ", de conformidad con lo establecido en el artículo 110-3° del Código Penal, en la cantidad de 54. 250 euros, con declaración de responsabilidad civil subsidiaria, a tenor de lo previsto en el artículo 120-3° del mismo Código, de la sociedad "Banco de Santander, S.A".

La responsabilidad de esta última constituye motivo de controversia, sin embargo, para la defensa de dicha entidad, pues insiste, conforme a las manifestaciones vertidas por los respectivos directores de otras tantas sucursales bancarias que depusieron en el curso del plenario, que no se incumplió ninguna normativa, sino que, antes al contrario, la indicación correcta del número de IBAN excluye la posibilidad de cualquier posible control por parte del responsable de la oficina bancaria en donde se encuentra domiciliada la cuenta, habiendo actuado en todo momento conforme a los protocolos existentes en materia de prevención de blanqueo de capitales y de acuerdo con los sistemas de control aplicables al sistema financiero español, citando al respecto distintas sentencias de diferentes tribunales de nuestro país.

No podemos estar de acuerdo, sin embargo, con tal criterio, ciertamente controvertido, pero que desde luego no se corresponde con la posición expresada, entre otras, por esta misma Audiencia Provincial de Madrid, Sección 23, en su reciente sentencia de fecha 9 de diciembre de 2025, referida por cierto a esta misma entidad bancaria, pero que dicha parte no menciona aunque de su lectura se desprende que fue la misma dirección legal quien asumió la defensa en ese procedimiento. Y, sobre todo, no se corresponde con el reciente criterio establecido por el Tribunal Supremo, Sala Primera, Civil, en su sentencia de 9 de abril de 2025, que ha confirmado la responsabilidad de las entidades financieras ante fraudes cometidos mediante suplantación de identidad y operaciones no autorizadas, como el phishing, smishing o spoofing. Este pronunciamiento, a diferencia de otra inmediata anterior de 27 de marzo de 2025, que es la que reproduce alguna de las sentencias a que alude el Banco de Santander en defensa de su posición, refuerza la protección de los usuarios en el entorno digital y marca un hito en la interpretación de la normativa vigente en materia de pagos electrónicos viniendo a unificar un criterio interpretativo ciertamente disperso hasta la fecha. El Alto Tribunal, a partir de este fallo, responsabiliza a las entidades financieras de los fraudes por suplantación de identidad si no han aplicado protocolos de autenticación reforzada y no han logrado prevenir operaciones sospechosas (como transferencias inusuales), obligando al reembolso del dinero y, sobre todo, recordando que la carga de probar que hubo una "negligencia grave" por parte del consumidor recae íntegramente sobre la entidad bancaria.

No se olvide a este respecto que, según el artículo 120 del Código Penal, "son también responsables civilmente en defecto de los que lo sean criminalmente (...) 3º.- las personas naturales o jurídicas, en los casos de delitos cometidos en los establecimientos de los que sean titulares, cuando por parte de los que dirijan o administren, o de sus dependientes o empleados, se hayan infringido los reglamentos de policía o las disposiciones de la autoridad que estén relacionados con el hecho punible cometido, de modo que éste no se hubiera producido sin dicha infracción".

Pues bien, en relación a este precepto, la sentencia del Tribunal Supremo, Sala 2ª, de fecha 12 de febrero de 2020 ya nos recuerda que "no nos movemos aquí en el marco específico del derecho penal, sino precisamente en el del derecho civil resarcitorio de los perjuicios derivados de la infracción penal cometida. Se ejercita así una acción distinta, aunque acumulada al proceso penal por razones de utilidad y economía procesales, con la finalidad de satisfacer los legítimos derechos (civiles) de las víctimas; de modo que las acciones civiles no pierden su naturaleza propia por el hecho de ejercitarse ante la jurisdicción penal. Y ello hasta el punto de llegar a una cuasi-objetivación basada en la teoría del riesgo, o bien del aprovechamiento de la actividad que lo genera (cuius commoda eius incommoda). Y también nos hemos referido en otras ocasiones a que la evolución progresiva que ensancha este tipo de responsabilidad civil mediante la aplicación de la teoría del riesgo, aunque no permita hablar en sentido estricto de que en esta esfera impere un criterio de absoluta responsabilidad objetiva, sí puede decirse que prima o prevalece un criterio de "ponderado objetivismo" ( SSTS 108/2010, de 4 de abril ; 357/2013, de 29 de abril ; 64/2014, de 11 de febrero y 778/2015, de 18 de noviembre )".

Es por ello que, como también señala la sentencia de este mismo Alto Tribunal de 30 de enero de 2019, "los artículos 120 y 121 del Código penal recogen los supuestos de responsabilidad subsidiaria, esto es, de la responsabilidad que surge en defecto, total o parcial, de la principal. Son supuestos en los que la responsabilidad civil se exige a personas que no han participado en el delito, pero que, sin embargo, tienen una vinculación con los partícipes del hecho que genera una culpa in vigilando, (por ejemplo, este fundamento aparece claramente en el art. 120.1), in eligendo, o bien, una responsabilidad objetiva (los supuestos de los números 2, 3, 4 y 5 admiten ser interpretados conforme a una responsabilidad objetiva)."

De esta forma, y haciéndonos eco nuevamente de la sentencia antes referida de la Sala Civil de 9 de abril de 2025, conforme a lo dispuesto en la Ley de Servicios de Pago (Real Decreto-ley 19/2018), las entidades bancarias deben rectificar las operaciones no autorizadas por el usuario y, en consecuencia, restituir las cantidades sustraídas, salvo que puedan demostrar que el cliente ha actuado con negligencia grave o fraude. Es decir, la carga de la prueba recae en el banco, pero en este caso el Tribunal Supremo se puede decir que ha ido ahora mucho más allá al afirmar que no basta con cumplir formalmente con los protocolos técnicos (como la autenticación en dos pasos o los SMS de verificación), que es la tesis defendida por el Banco de Santander, sino que las entidades deben adoptar una actitud proactiva y diligente tanto en la prevención como en la respuesta a los fraudes. La sentencia consolida así una doctrina de responsabilidad cuasi-objetiva, en la que se impone al banco la obligación de garantizar la seguridad del canal digital, con independencia de si el ataque proviene de terceros. Este nuevo enfoque implica que, ante una operación no autorizada, el cliente solo necesita acreditar que actuó con la diligencia razonable, notificó el incidente con prontitud y custodió adecuadamente sus credenciales. En cambio, será la entidad financiera la que deba probar que hubo negligencia grave o intencionalidad por parte del usuario para eximirse de responsabilidad.

Cabe concluir, por tanto, que, a partir de ahora, conforme a la jurisprudencia del Tribunal Supremo citada, las entidades bancarias, en aquellos casos en que se ha producido alguno de los fraudes antes descritos, ya no pueden "escudarse" bajo el falso pretexto de que una operación de pago autenticada, registrada con exactitud y contabilizada es necesariamente "equivalente" a una operación de pago consentida por el usuario del servicio de pago, en este caso por la sociedad austríaca que realiza la transferencia a una cuenta corriente española y quien lleva a cabo una operación no consentida, o mejor dicho, viciada por la suplantación de identidad de la cuenta de correo del beneficiario de esta transferencia, modificando para ello el número de IBAN del destinatario. Sintetiza a este respecto la relevante sentencia del Tribunal Supremo que reproducimos, "la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo, en el doble sentido de que, primero, notificada la existencia de una operación no autorizada o ejecutada incorrectamente, el proveedor debe responder salvo que acredite la existencia de fraude; y, segundo, cuando el usuario niegue haber autorizado la operación o alegue que ésta se ejecutó incorrectamente, corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave".

En efecto, la Ley de Servicios de Pago de 23 de noviembre de 2018 establece, en su artículo 43-1, que "el usuario de servicios de pago obtendrá la rectificación por parte del proveedor de servicios de pago de una operación de pago no autorizada",esto es, tendrá el derecho a obtener el abono de la cantidad que se le ha sustraído. Ahora bien, la propia Ley establece, a su vez, dos salvedades a este principio: la primera, en el artículo 46-1, cuando señala que el banco no será responsable si puede probar que el cliente incurrió en una negligencia grave en el cumplimiento de sus obligaciones; y la segunda, en el artículo 44-1, cuando dice que el banco no será responsable si puede probar que "la operación de pago fue autenticada, registrada con exactitud y contabilizada y no se vio afectada por un fallo técnico u otras deficiencias vinculadas al servicio de pago del que es responsable".

Y esta misma sentencia, respecto a la dificultad de poder controlar las transferencias a que alude la defensa del Banco de Santander, incluidas las internacionales, en las que el número de IBAN se corresponde con el titular de la cuenta, tal y como declararon los directores de las oficinas bancarias comparecidos como testigos, recuerda, no obstante, que "los avances de la tecnología actual hacen relativamente sencillo diseñar sistemas o aplicaciones informáticas idóneas para detectar ciertas anomalías en la prestación de los servicios de pago. Operaciones que, tratándose de empresas o sociedades con un concreto objeto social, pueden calificarse como ordinarias, deben inmediatamente levantar sospechas y dar lugar a una respuesta cuando afectan a personas físicas ajenas a tales actividades. A este respecto, sería suficiente un control automático de determinados factores, como el número y sucesión de operaciones, el intervalo en que se ejecutan, la hora del día, su importe, entidades de destino......para generar un aviso que reforzara los requisitos de confirmación y minimizara los posibles riesgos".

En este caso, de la lectura del Real Decreto 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, se infiere que la operativa llevada a cabo en la cuenta del Banco Santander debió haber sido identificada como operación susceptible de estar relacionada con el blanqueo de capitales y, por tanto, se debieron haber activado los mecanismos de la entidad y en particular, el bloqueo inmediato de la cuenta, pues resulta evidente que el titular de la misma no había declarado una actividad profesional relacionada con operaciones de comercio exterior -véase sino el formulario de información obligatoria al cliente que figura a los folios 212 y siguientes de la causa- y, desde luego, la naturaleza de los movimientos bancarios registrados en su cuenta y el reducido importe de sus operaciones debió alertar al banco de que una transferencia internacional de nada menos que 54.250 euros, ingresada en una cuenta que se encontraba en descubierto, figurando como destinatario una empresa distinta y no el titular, quien lleva a cabo a continuación sucesivos reintegros y disposiciones de sus fondos en apenas cinco días, podría resultar una actividad sospechosa y, de hecho, aunque de forma tardía, por parte del Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias se informa que fueron rechazadas automáticamente (al folio 430), lo que ciertamente no sucedió, pues los fondos finalmente desaparecieron de la cuenta de destino, pero revela cuanto menos la posibilidad de que disponía el Banco para bloquear la operación, lo que no hizo. De hecho, los responsables de las entidades bancarias comparecidos como testigos así vinieron a reconocerlo en la práctica, pues si bien declinaron que esa posibilidad pudiera recaer directamente en el director de la sucursal donde figura domiciliada la cuenta, no dudaron en reconocer al mismo tiempo que el departamento de control de fraude de la entidad puede activar las alertas en determinados casos, cuyo modo de hacerlo, sin embargo, no concretaron.

Debemos regresar en este punto necesariamente al contenido de la sentencia de esta misma Audiencia Provincial de Madrid de fecha 9 de diciembre de 2025 a la que antes aludimos y que, a diferencia de las invocadas por la defensa, acoge este mismo criterio en base a la normativa legal que estima de aplicación y pese a no hacer mención a ninguna de las sentencias del Tribunal Supremo antes referidas, la cual, aplicada al caso concreto que enjuiciamos, nos lleva a concluir que de haberse producido en tiempo y forma al bloqueo de la cuenta de Justino, la dinámica comisiva no se hubiera podido consumar ni habrían tenido lugar las disposiciones de fondos realizadas por éste en los días siguientes, pues de haber actuado el Banco de Santander de forma diligente, el dinero habría quedado cautelarmente bloqueado hasta que se presentase justificación de la operativa desarrollada.

No se olvide que, según el artículo 24-2 del Reglamento que desarrolla la referida Ley de Prevención del Blanqueo de Capitales, entre las operaciones susceptibles de estar relacionadas con dicho blanqueo, se incluyen aquéllas que no se corresponden a la actividad o antecedentes operativos del cliente, como es este el caso, pues si bien consta dedicado a la actividad del transporte, no figura que lleve a cabo operaciones de comercio exterior conforme figura en el PIOC y, en todo caso, de conformidad con esta misma Ley, de haber realizado algún tipo de seguimiento y verificación, la entidad podría haber constatado la transferencia de alto importe de la que figura como destinatario, pese a que su beneficiario era una tercera empresa que nada tenía que ver con éste, procediendo, siquiera cautelarmente, al bloqueo de la cuenta mientras verificaba la legalidad de la operación y en cuyo caso las disposiciones posteriores -más de veinte en apenas cinco días- no se hubiesen podido producir tampoco, pues de haberse hecho, el dinero habría quedado bloqueado hasta que presentase justificación de la operativa desarrollada. Todo ello determina la responsabilidad civil subsidiaria de la entidad bancaria en la comisión del delito por omisión de la normativa específica que le es de aplicación.

Sugerida, finalmente, por la defensa de la entidad bancaria, durante el trámite de informe y al final de su intervención aunque sin apoyo argumental alguno, la posible aplicación alternativa del principio de concurrencia de culpas dada la responsabilidad en la que, a su vez, habría incurrido la mercantil perjudicada al remitir la transferencia a una cuenta errónea, esta misma sentencia de la Audiencia Provincial de Madrid que citamos da cumplida respuesta también a la cuestión aquí planteada, recordando que en casos como el presente no se trata tanto de una cuestión de compensación de culpas, que tendría difícil encaje en los supuestos de un delito doloso como es la estafa, sino que el campo del artículo 114 del Código Penal que recoge tal posibilidad sería de aplicación solo en aquellos supuestos en los que la contribución de la víctima, no siendo causal, ni por tanto situarse en el resultado, puede tener alguna relevancia en materia indemnizatoria en virtud de la facultad discrecional que en relación a la responsabilidad civil otorga este artículo ( STS 623/2022 22 de junio; STS 440/2022 de 4 de mayo; STS 522/2017 de 6 de julio).

Pero, concluye esta sentencia, dicho precepto no es de aplicación para poder moderar la responsabilidad civil de la entidad bancaria en donde figuraba abierta la cuenta corriente del acusado y a donde se transfirió la suma de dinero bajo engaño, pues en nuestro ordenamiento jurídico la responsabilidad civil nacida de delito tiene un régimen especial y diferente del régimen general de la culpa extracontractual y, por tanto, hay que estar a lo dispuesto en el Código Penal y el artículo 114 es un precepto inescindible. La responsabilidad civil es estrictamente vicaria de la responsabilidad penal. En consecuencia, el responsable civil subsidiario responde de lo mismo que el responsable penal, Justino, aunque sólo en defecto de éste, de tal forma que no caben diferenciaciones en el alcance de sus respectivas responsabilidades civiles en virtud de factores como éste, pues, conforme a este criterio, la culpa de la víctima no tendría relevancia en relación a la conducta dolosa, pero si repartiría el daño en relación al tercero en caso de culpas concurrentes, no exigiéndose constatar, en concreto, la presencia de culpa de ese tercero civil responsable (por todas, STS 300/2014 de 1 de abril).

En definitiva, y a la vista de lo expuesto, no se trata que las entidades bancarias tengan que responder siempre y ante cualquier circunstancia ni tampoco que dichas entidades no experimenten ningún perjuicio como consecuencia de las actuaciones fraudulentas cometidas por terceros, sino que como operadores que desempeñan una actividad muy lucrativa, mientras los consumidores y usuarios se ven forzados a operar a través de plataformas digitales que generan un claro riesgo para la sociedad, estas entidades deben poner sus esfuerzos y recursos en prevenir el fraude e impedir que los defraudadores se valgan de sus servicios para cometer actos delictivos, debiendo responder cuando realmente se haya posibilitado la comisión del delito por un proceder negligente que haya supuesto la inobservancia de las normas de cuidado. Resulta obvio que la solución del problema pasa entonces necesariamente por un mayor desarrollo y una correcta implementación de sistemas de detección preventiva del fraude por parte de las entidades bancarias.

El Banco de Santander no aplicó las medidas que la Ley de Prevención del Blanqueo de Capitales establece en tanto en cuanto no verificó la actividad de la cuenta, no solicitó el origen de los fondos ni tampoco bloqueó las operaciones sospechosas, porque, según se escuda, no saltó la alarma, pero en la comunicación remitida al órgano judicial sí reconoce que fue rechazada la transferencia, lo que, aun cuando lamentablemente no es cierto ni evitó el desfalco, revela que pudo hacerlo. La negligencia bancaria en la prevención del blanqueo de capitales permitió la consumación del acto delictivo y aunque el regulador no haya intervenido, argumento utilizado asimismo por la defensa para eximirse de su particular responsabilidad, no por ello se ha de dejar de declarar su responsabilidad en el orden civil, siempre con carácter subsidiario al declarado penalmente responsable de estos hechos.

Por ello, finaliza esta sentencia diciendo que "está fuera de toda duda que las entidades bancarias juegan un rol esencial en la economía, posibilitando la realización de una larga lista de transacciones financieras de forma telemática y ágil, lo que permite que el dinero fluya entre los diferentes sectores con la consecuente generación de riqueza. Si bien, igual de claro resulta que las entidades bancarias desarrollan una actividad que entraña un elevado nivel de riesgo por cuanto ejercen como intermediarios y depositarios de los recursos económicos de las personas y de las empresas y a su vez los delincuentes se sirven de ellas para cometer estafas, como en este caso, recibiendo de manera indebida transferencias de fondos a una cuenta bancaria fruto de una estafa o engaño consiguiendo que el dinero defraudado pase por la citada cuenta bancaria antes de ser desviado hacia otros productos que dificultan su rastreo, como fue el caso.

Téngase en cuenta que las entidades bancarias desempeñan una actividad con ánimo de lucro y que sus consumidores y usuarios dependen de ellas para operar y no quedan excluidos del sistema financiero, pagando por sus servicios.

Las entidades bancarias han de cumplir, por tanto, con unas muy altas exigencias de seguridad en los sistemas de pago e intermediación financiera, con el objeto de minimizar al máximo e idealmente descartar el riesgo de la actividad que desempeñan, debiendo corresponder la confianza que depositan en ellos los consumidores y usuarios y responder cuando no han cumplido satisfactoriamente y tales exigencias de seguridad no han sido satisfechas, permitiendo la materialización del riesgo en el resultado".

SEXTO.-Por último, y con arreglo a lo dispuesto en el vigente artículo 123 del Código Penal, las costas procesales vienen impuestas por ley al declarado responsable criminalmente de estos hechos, incluidas las de la acusación particular.

Téngase en cuenta que, de acuerdo a una abundante doctrina jurisprudencial (por todas, Sentencias del Tribunal Supremo de 15 de septiembre de 1999, 25 de enero de 2001, 25 de octubre de 2006 y 15 de marzo de 2017), no consta que la mercantil querellante hubiera entorpecido el proceso ni formulado peticiones heterogéneas respecto de las conclusiones aceptadas en la sentencia, no pudiendo ser calificada su actuación como superflua, inútil o perturbadora, ni desde luego inadecuada desde el punto de vista procesal, en cuanto que se ha personado en la causa en el legítimo ejercicio de las acciones civiles y penales derivadas de estos hechos, solicitando de inicio idéntica pena y declaración de responsabilidad civil que el Ministerio Público, si bien reclama, además, la responsabilidad civil subsidiaria del "Banco de Santander, S.A.", que asimismo se acoge en el fallo.

Vistos los preceptos legales citados, sus concordantes y demás de general y pertinente aplicación,

PRIMERO.-Como resultado de las pruebas evacuadas en el transcurso de la vista oral, consistentes básicamente en la declaración del acusado y la testifical del responsable de la mercantil perjudicada, así como de los empleados y representantes de la entidad bancaria, junto con la documental incorporada a los autos, no subsiste ninguna duda de la participación de Justino en los hechos denunciados, quedando de este modo enervado su derecho a la presunción de inocencia y todo ello de acuerdo a una abundante doctrina jurisprudencial que, en interpretación del artículo 24 de la Constitución, declara reiteradamente que dicho derecho supone la necesidad de que durante el plenario, con publicidad, inmediación, contradicción y oralidad (por todas, STC 31/1981, reiterada y citada en muchas posteriores como la STC 118/1991 y la STC 124/1990), se aporten suficientes elementos de juicio para entender acreditados los hechos objeto de acusación mediante una auténtica prueba de cargo ( STC 70/1985, reiterada por la STC 98/1990), llegándose en este caso a la convicción de que el relato fáctico que integra el tipo penal de estafa por el que resulta condenado consta razonablemente acreditado.

Se estima acreditado, en efecto, sin ningún género de dudas, que los hechos resultan legalmente constitutivos de un delito de estafa informática del artículo 248, párrafos primero y segundo, apartado a) del Código Penal, en la redacción vigente a la fecha de los hechos y anterior, por tanto, a la modificación introducida por la Ley Orgánica 14/2022, de 22 de diciembre, en relación con el tipo agravado del artículo 250-1, apartado quinto, del mismo Texto sustantivo en cuanto que el valor de lo defraudado supera los cincuenta mil euros. De su análisis nos ocuparemos, sin embargo, más adelante una vez valorada la conducta típica en que incurre el acusado a la vista de la documental y testimonios vertidos, y de cuyo comportamiento punible dimana la declaración de responsabilidad civil subsidiaria de la entidad bancaria, quien invoca, como primer argumento de oposición, que, a causa de la imputación tardía de la acusación particular, no ha podido articular su defensa con todas las garantías, con infracción de sus derechos constitucionales.

Mas nada de eso se aprecia en este caso, pues con independencia de que no se mencionen qué diligencias concretas pudo haber interesado en fase de instrucción que le permitieran acreditar que los departamentos del banco encargados de estos controles habían actuado con la adecuada diligencia, lo que tampoco solicita para su práctica durante la celebración del juicio oral, la controversia suscitada carece, en cualquier caso, de recorrido procesal alguno al haber sido ya resuelta con reiteración por la jurisprudencia, descartándose que el hecho de que la exigencia de responsabilidad civil no se suscite hasta la redacción del escrito de acusación genere indefensión alguna, pues tras la apertura del juicio oral adquirió la plena condición de parte, sin restricción alguna, personándose con abogado y procurador. De ahí la necesidad de notificación del auto de apertura de juicio oral a la persona natural o jurídica que pudiera ser declarada responsable civil de los perjuicios ocasionados ( Sentencias del Tribunal Supremo de 21 de enero de 1994 y 13 de diciembre de 1991, y del Tribunal Constitucional de 11 de febrero de 1985). Y esta es precisamente la situación que aquí se produce, pues notificado el auto de apertura de juicio oral de fecha 18 de noviembre de 2025 (a los folios 512 y siguientes de las actuaciones), dicha entidad evacuó su escrito de defensa con todas las garantías legales, tras emplazarle y requerirle al pago de la fianza correspondiente, por lo que ningún tipo de indefensión pudiera derivarse de su incorporación tardía, sin olvidar que durante la fase de instrucción fue requerida en diversas ocasiones para la aportación de distinta documental, siendo los directores de las oficinas bancarias que tuvieron alguna relación con este asunto citados en su momento a declarar como testigos, por lo que es evidente que tenía conocimiento de la existencia del procedimiento seguido contra el titular de la cuenta bancaria, que tenia abierta en una de las sucursales del Banco de Santander.

Al respecto, una reciente sentencia del Tribunal Supremo de 19 de julio de 2021, al abordar la cuestión relativa a la responsabilidad civil subsidiaria derivada de la aplicación del artículo 120 del Código Penal de la que nos ocuparemos luego, recuerda expresamente que no resulta imprescindible que el auto de transformación del procedimiento abreviado incluya al eventual tercero responsable civil. Lo estrictamente necesario es que sea traído al proceso antes del juicio oral, sin que constituya un requisito indispensable ni su declaración en fase de instrucción ni una expresa constitución judicial anterior a la apertura del juicio oral.

Por lo demás, y dejando ya al margen esta cuestión de índole meramente formal, la declaración de Justino vertida con fines claramente exculpatorios durante el plenario, no logra eximirle de la responsabilidad penal pretendida vistos los documentos incorporados a la causa y el testimonio vertido por el responsable del departamento de cobros de la empresa austríaca perjudicada por el engaño. Así, reconoce el acusado que acudió personalmente a la oficina y suscribió con su firma el contrato de apertura de cuenta corriente necesaria para su actividad profesional, primero como trabajador por cuenta ajena y más adelante como autónomo, siendo necesario que facilitara tanto su número de móvil como su dirección de correo electrónico. Así se desprende también de la documentación remitida a requerimiento del órgano judicial, por parte de Adriana, responsable de la asesoría jurídica del banco, lo que ratifica durante el plenario (folios 212 a 224 de las actuaciones) y que contiene el "formulario de información obligatoria del cliente" (FIOC), la copia del contrato cuenta zero y tarjeta débito zero, junto con los movimientos existentes en la misma (folios 225 y siguientes). En dicho contrato, suscrito materialmente con su firma en la sucursal 5134 de la calle Alcalá, 445 de Madrid, constan efectivamente sus datos personales, teléfono y correo electrónico, así como la actividad declarada, junto con las condiciones y beneficios que se pudieran derivar de su apertura.

En todo caso, manifiesta haber tenido siempre en la cuenta un saldo reducido, sin grandes movimientos de dinero producto de su trabajo como transportista, existiendo un saldo deudor de 131,26 euros a la fecha de recibo de la transferencia, la cual, por importe de 54.250 euros, se ingresó en su cuenta con fecha 30 de junio de 2021, pero de la que afirma no tener ningún conocimiento, pues no consultaba, según él, la aplicación del banco por teléfono y ningún responsable le avisó, sin que cuando pidió explicaciones, se las dieron, informándole que su cuenta se encontraba intervenida y que le llegaría una notificación a casa, lo que nunca ocurrió. Tampoco tenía acceso, según afirma, a la aplicación "bizum". De ahí que desconozca quién pudo ser responsable de realizar la transferencia, así como las disposiciones llevadas a cabo en su cuenta en los cinco días posteriores al 30 de junio de 2021, ya que con su tarjeta solo retiraba lo imprescindible para sus gastos básicos. En consecuencia, se considera perjudicado también por lo sucedido, manifestando que abrió la cuenta en fecha que no puede precisar, pero en todo caso antes de la pandemia, la cual mantuvo operativa hasta enero del año 2022, que fue cuando, según cree recordar, le llamaron del banco para decirle que estaba intervenida. Reconoce, no obstante, que acudió a la policía al enterarse de que su cuenta había sido hackeada y en donde le dijeron que no podían hacer nada, si bien tuvo que cambiar su número de teléfono pues recibía mensajes de whatsapps reclamándole dinero. En la actualidad sigue trabajando como transportista para una empresa de paquetería y recibe el sueldo mínimo de 1.250 euros, viéndose obligado a vender su piso al no poder hacer frente al pago de la hipoteca, por lo que ahora vive solo ya que su pareja tuvo que regresar a su país para cuidar de sus padres, ocupando una habitación en régimen de alquiler.

La declaración de Miguel como responsable del departamento de clientes y encargado de la contabilidad y del departamento de pagos al extranjero en la empresa austríaca "Gebrüder Weiss GmbH" (en adelante, Gebrüder), corrobora, en cambio, el fraude cometido, pues en cuanto que dedicada al transporte internacional, mantenía relaciones comerciales desde el año 2017 con otra empresa lituana de nombre "Uab Tranita" (en adelante, Tranita), con quien cooperaban en la logística necesaria para el desarrollo de su actividad en países como Alemania y Finlandia, encargándose "Tranita", según consta en su querella, del pago de los fletes a través de la persona de contacto de nombre Eloisa, siendo, a su vez, Rebeca la encargada en la empresa "Gebrüder" de realizar los pagos una vez la primera se ponía en contacto con ella a través normalmente de correo electrónico para indicarle cuáles eran las cantidades pendientes de pago. Así, se dispuso una primera transferencia en fecha 8 de junio de 2021 por importe de 41.400 euros a una cuenta supuestamente facilitada por Eloisa tras indicarle ésta que las cuentas lituanas utilizadas anteriormente de forma exclusiva para realizar los pagos estaban bloqueadas y que el pago debía realizarse a partir de entonces a una cuenta española abierta en el Banco de Santander. Sin embargo, y tras insistir "Tranita" que no había recibido su importe, pues la transferencia se había realizado a una cuenta en dólares americanos, anunciándose por ello su devolución y que el nuevo pago debía realizarse a otra cuenta, en este caso en euros, dicha transferencia se hizo a una cuenta del Banco de Santander y, en concreto, según consta documentado, a la que figuraba abierta a nombre del acusado en la sucursal de la calle Alcalá, nº 445 de Madrid. De esta forma se transfirió la cantidad de 54.250 euros correspondientes a los 41.400 euros antes abonados pero que le iban a ser devueltos, más el importe de otras facturas vencidas hasta ese momento. Realizada la transferencia con fecha 28 de junio de 2021, constataron después que el dinero no había llegado a "Tranita" y al contactar con su banco, les informaron que ya no era posible recuperar su dinero, razón por la que formularon denuncia ante la Fiscalía de su país, de cuyo resultado nada saben y de ahí que reclamen su importe en este procedimiento.

Interrogado para que precise el origen de los pagos realizados, afirma que corresponden a facturas que, por importe de unos 2.500 euros, van acumulando y de ahí que las cantidades transferidas suelan ser muy elevadas. Para realizar los pagos, contactan por teléfono y, sobre todo, por correo electrónico con "Tranita", ya que es una empresa extranjera, ignorando al efectuar las transferencias que se trataba de una dirección de correo falsa, pues parecían mensajes auténticos procedentes de la cuenta habitual de Eloisa a través de la cual venían habitualmente contactando con dicha empresa desde el año 2017 sin problema alguno, no percatándose del fraude hasta que recibieron comunicación de "Tranita" reclamando su importe. En ese momento reunieron los correos que tenían y se pusieron en contacto con el departamento legal de la empresa y con los responsables de informática, constatando que su correo no había sido hackeado, sino que el que había sido pirateado era el correo electrónico de Eloisa, lo que permitió desviar los fondos a las cuentas españolas. Estos correos figuran incorporados a la causa, junto con el informe de detectives que acompañan con su querella, todos ellos traducidos al español (original a los folios 11 a 83, traducción a los folios 84 y siguientes). Con fecha 5 de julio de 2021 intentaron, a través de su banco, la devolución de las transferencias, pero les informaron que se trataba de un fraude y que todo dependía de lo que pudiera hacer la entidad bancaria donde se ingresó su importe y de que el dinero continuara todavía depositado en la cuenta de destino, lo que no sucedió.

A preguntas del Letrado del Banco de Santander, no fue posible, sin duda por las dificultades derivadas del empleo de un idioma extranjero, que el testigo concretara el volumen de negocios anual de "Gebrüder", pero precisa que su empresa dispone de un sistema de contabilidad muy detallado donde sus proveedores van unidos a un número y este número a una cuenta bancaria, facilitando el programa informático el detalle de los pagos. Insiste, en todo caso, que se hicieron las transferencias a cuentas españolas porque en ese momento desconocían que la dirección de correo de Eloisa hubiera sido manipulada. No le consta, sin embargo, que en su empresa exista ningún protocolo relativo a ataques informáticos o ciberseguridad, como desde luego ignora que exista una Directiva comunitaria, traspuesta al derecho austríaco en el año 2018, sobre suplantación de cuentas bancarias. Mas vuelve a insistir que se pusieron en contacto con "Tranita" al constatar el hackeado de la cuenta de correo de la empresa lituana y que dicha empresa formuló denuncia por tal motivo, desconociendo cuál fue su resultado.

A preguntas, por último, de la defensa del encausado, manifiesta que siendo "Tranita" una empresa con sede en Lituania, los pagos se hacían habitualmente a cuentas de su país, pero se cambió a una cuenta española las que las suyas les dijeron que habían sido bloqueadas, lo que no les extrañó, ya que su empresa trabaja con otras de diferentes países y disponen de una constelación de cuentas bancarias. Tampoco les llamó la atención que, tras efectuar una primera transferencia a una cuenta, les dijeran que al ser ésta en dólares estadounidenses, debían hacer el pago a otra en euros, insistiendo en que todo ello se debió a que el correo de Eloisa, su contacto en dicha empresa, había sido manipulado. Finalmente, manifiesta que la empresa "Gebrüder" tiene suscrita una póliza de seguros que cubre alguna de estas contingencias, pero solo para perjuicios que superan el millón de euros.

Por su parte, los testimonios vertidos por Celso y Pedro, directores de otras tantas sucursales de la entidad Banco de Santander en nuestro país, el último de ellos de la oficina de la calle Alcalá, nº 445 de Madrid en donde figura domiciliada la cuenta destinataria de la transferencia, sostienen que nada tiene que ver su Banco con la defraudación producida, pues con independencia de quien figure como beneficiario de la transferencia, lo relevante es el número de IBAN y si este está correcto, la transferencia opera directamente sin intervención alguna de los empleados de la sucursal. Solo si sobre una cuenta o una determinada operativa estuviese activada alguna alarma por parte de los departamentos centrales del Banco, es cuando estarían obligados a hacer alguna comprobación, ya que en los demás casos el control debe llevarlo a cabo el propio ordenante. Y lo mismo sucede cuando se trata de una transferencia internacional. Si bien ha asistido a cursos sobre prevención del fraude, nada tiene que ver con la operativa diaria del banco respecto a las trasferencias que se realizan, debiendo limitarse a comprobar la identidad de la persona y su actividad profesional en el momento de proceder a la apertura de la cuenta, pero sin que, salvo que exista algún aviso, se pueda bloquear la cuenta de ningún cliente.

El segundo de los testigos corrobora todo lo dicho por el anterior, si bien, en su calidad de director en su momento de la sucursal donde se abrió la cuenta destinataria de la transferencia, afirma haber constatado que se trataba de un contrato de cuenta corriente que se formalizó personalmente en la sede de dicha entidad con base a la documentación aportada por el interesado, ya que la Ley de Prevención del Blanqueo de Capitales obliga a comprobar el perfil del cliente. Le consta, en cualquier caso, que se encontraba operativa desde agosto del año 2020, aunque desconoce cuál pudiera ser su saldo habitual o si se hallaba al descubierto el día en que se llevó a cabo la transferencia, siendo habitual que si eso sucede, se realicen gestiones a este respecto con el cliente, pero insiste en que no se puede intervenir la operación si la transferencia se atiene a la normativa Sepa y el número de IBAN está correcto, existiendo un departamento de blanqueo en el banco que se encarga de detectar las actividades que pudieran resultar sospechosas, pues la propia oficina no dispone de capacidad para ello. Y aun cuando, según la Ley de Prevención de Blanqueo de Capitales, están obligados a activar alertas en caso de operaciones sospechosas, el encargado de llevar a cabo esos filtros no es la oficina sino el departamento de fraude creado por el Banco, por lo que si como es este el caso, se realiza la transferencia sin existir ningún aviso, entra directamente en la cuenta corriente del cliente sin posible control por su parte. Es después, si se detecta alguna irregularidad, cuando se inicia un procedimiento de comprobación por fraude a cargo del departamento correspondiente a fin de constatar, entre otras cosas, si el dinero salió ya de la cuenta. De lo ocurrido en este caso, solo se enteró cuando fue citado a declarar por primera vez por este asunto, y que no le consta que la transferencia en este caso hubiera sido rechazada automáticamente, tal y como al parecer se indica en la información remitida por la asesoría jurídica del Banco (folio 430).

A preguntas del Ministerio Fiscal, confirma que los documentos que se le exhiben se corresponden con el contrato de apertura de cuenta corriente con el acusado (folios 212 y siguientes), desconociendo si incluía la posibilidad de disponer de tarjeta, aunque asegura que todos los clientes tienen acceso a su cuenta a través de la aplicación bancaria y que aun cuando al folio 222 conste un máximo de retirada diaria de dinero con tarjeta de 600 euros, ese límite se puede modificar en cualquier momento. Desconoce, en cualquier caso, si los reintegros que, por importe de 1.000 euros, figuran en dicha cuenta se hicieron en el mismo cajero de la oficina o en otra. Por lo demás, cree que la cuenta "murió sola", pues no le consta que en ningún momento se pidiera su cancelación, desconociendo si alguien de la entidad se puso en contacto con el cliente por tal motivo, lo que personalmente no hizo. Reitera, por último, que las transferencias electrónicas en el marco Sepa no tienen ningún tipo de supervisión por la oficina y funcionan automáticamente sin ninguna intervención por su parte, ya que, conforme a la normativa PSD2 (regulación europea en los servicios de pagos digitales), el responsable de la transferencia es el propio ordenante, siendo facultad de cada oficina bancaria autorizar solo la apertura de una cuenta caso de que resulte acorde con la normativa y que ninguna oficina bancaria puede aperturar una cuenta por sí misma.

Por último, Adriana, letrada de los servicios jurídicos del Banco de Santander, ratifica las comunicaciones remitidas con su firma al órgano judicial, una de fecha 17 de diciembre de 2021 informando del titular de la cuenta y momento de apertura, la cual continuaba abierta (folios 199 y siguientes), y otra de 31 de octubre de 2023 en la que se comunica que las transferencias por importe de 41.000 euros y 54.250 euros figuran "rechazadas automáticamente", poniéndose en conocimiento del Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales con fecha 3 de septiembre de 2021 las dos operaciones aludidas (folios 430 y siguientes). Es evidente, sin embargo, el error cometido al respecto, aunque relevante por lo que luego se dirá en cuanto a la declaración de responsabilidad civil de la entidad bancaria, pues la transferencia de 54.250 euros figura efectivamente ingresada en la cuenta del acusado, al igual que no hay duda de las disposiciones realizadas a continuación.

SEGUNDO.-En definitiva, y como síntesis de lo hasta ahora expuesto, no hay duda que la mercantil "Gebrüder" llevó a cabo la transferencia, por el importe y en la fecha indicada, de la que debiera haber sido destinataria la empresa "Tranita", única que figuraba como beneficiaria y con la que mantenía relaciones comerciales -no consta que las tuviera con el encausado-, pero en la que, tras una manipulación llevada a cabo hackeando el correo electrónico de una empleada de esta última, se modificó el número de cuenta del destinatario, lo que permitió que fuera ingresado el dinero de forma ilícita a favor de Justino. Y aunque éste insista en que era ajeno a dicha operación fraudulenta, reconoce, cuanto menos, la apertura de la cuenta corriente con la información que el mismo facilitó y que disponía de pequeñas sumas a través de su tarjeta bancaria, manteniéndose informado de sus movimientos solo a través de las notificaciones por escrito. Pero si ello era así, no explica por qué justamente en el momento de recibir la transferencia por importe tan elevado, dejó de tener control sobre la misma, alegando no haber sido informado de ello por su banco, lo que resulta tanto más más inverosímil si con anterioridad al 30 de junio de 2021, fecha en la que consta ingresada la transferencia, no había advertido irregularidad alguna, como tampoco parece haberla detectado después, lo que, a nuestro criterio, resulta todavía más extraño, pues si se examinan los movimientos producidos a partir de entonces, dejando al margen las disposiciones de fondos realizadas de forma inmediata hasta el día 5 de julio de ese año directamente relacionados con dicho fraude, figuran distintos cargos por compras en establecimientos comerciales, recibos telefónicos, seguro de vehículos, transferencias bancarias y, sobre todo, distintos reintegros, también de 1.000 euros y a través de cajeros automáticos, sin que conste queja u oposición alguna por su parte, operando con normalidad incluso después de esa fecha y cuanto menos hasta el 15 de diciembre de 2021, no percatándose, según él, de lo ocurrido hasta que en enero de 2022 fue informado, según cree recordar, por el propio Banco (folios 225 a 256 de las actuaciones).

Por lo demás, la pasividad del Banco, que en septiembre de ese año informa al departamento correspondiente de la operación fraudulenta, esto es, más de dos meses después, así como del rechazo automático de la transferencia, resulta también clamorosa, especialmente cuando tras la transferencia internacional de elevado importe recibida, se llevan a cabo por el acusado, y en apenas cinco días, hasta un número aproximado de veinte operaciones distintas sobre una cuenta que hasta ese momento tenía movimientos de muy escasa cuantía y sin que tampoco conste que por el titular de la misma se hubiera llegado a formular ninguna denuncia, siendo ajeno, según él, a tal dinámica comisiva, lo que resulta inverosímil.

Pero es más, el día 9 de julio de 2021 vuelve a recibir en su cuenta otra transferencia próxima a los 4.000 euros y de la que si bien se desconoce el origen, pues resulta ajena a la operación aquí analizada, llama, en cualquier caso, la atención por cuanto tampoco se correspondería con lo declarado por éste sobre la retirada de pequeñas sumas de dinero para gastos corrientes cuando precisamente al día siguiente realiza tres reintegros sucesivos a través de cajero automático, por un importe respectivo de 1.000 euros cada uno -cabe suponer que ese era ya el nuevo límite máximo autorizado en su tarjeta para cada operación y no los 600 euros inicialmente autorizados-, sin que sobre ello ofrezca tampoco explicación alguna. No nos consta que se trate de una nueva operación ilícita, pero de nuevo revela su forma de proceder: tras un ingreso por un importe elevado, una nueva disposición de fondos elevada hasta dejar la cuenta prácticamente en descubierto. Y ello sin entrar a valorar el bizum sobre el que llama la atención el Ministerio Público y que, con fecha 4 de julio de 2021, se lleva a cabo por el concreto importe del saldo existente en la cuenta a ese momento, 670 euros. No parece una casualidad.

Extraña también, por último, que si en septiembre de 2021, que es cuando aparentemente el Banco de Santander detecta la irregularidad de la transferencia internacional realizada y, por tanto, se supone que es cuando debió contactar con el cliente -no al año siguiente cuando la cuenta deja de estar operativa, según declarado el acusado-, éste no hubiere formulado ninguna queja o denuncia, limitándose a reconocer en su declaración, aunque sin acreditarlo, que acudió a la policía solo cuando a través de su teléfono comenzó a recibir mensajes de un posible hackeo de su cuenta, lo que no consta, sino que mas bien pudiera ser que su conversación con algún agente se produjera, no por propia iniciativa, sino tras detectarse por el banco la operación fraudulenta realizada.

Los indicios que recaen, pues, sobre el acusado resultan ser más que evidentes y de la ausencia de cualquier tipo de explicación convincente por parte de éste, no cabe sino inferir su particular responsabilidad en los hechos. Y es que, en lo referente a una situación tan cuestionada como prestar cuentas bancarias propias para recibir transferencias, cualquier ciudadano medio ha de saber que se deben devolver las que no tienen ninguna relación con él, cosa que el acusado no hizo, entendiéndose, al descartar esta posibilidad, que conocía, en consecuencia, su procedencia ilícita (por todas, Sentencia del Tribunal Supremo de 19 de febrero de 2025).

En definitiva, la apreciación conjunta de todas estas pruebas, apreciadas conforme al criterio de libre arbitrio y valoración que prevé el artículo 741 de la Ley de Enjuiciamiento Criminal, lleva a este Tribunal a la firme convicción de que el relato fáctico que integra el delito de estafa por el que resulta acusado se encuentra razonablemente acreditado y ha quedado enervado el derecho a la presunción de inocencia que en principio le amparaba, lo que nos exime de entrar en el análisis de la figura alternativa por la que, en su defecto, se formula asimismo acusación. Debe aclararse, en cualquier caso, que en el delito de blanqueo de capitales por imprudencia del artículo 301, 1 y 3 del Código Penal, al igual que sucede con el delito de receptación del artículo 298 del mismo Texto sustantivo, no se exige un conocimiento pleno del ilícito patrimonial previo, sino que basta con conocer que los efectos, en este caso el dinero, procederían de algún delito patrimonial del que se aprovecha para obtener un lucro propio. Mas en este caso, el acusado participó de forma activa en el delito de estafa cometido, pues sin su intervención no se hubiere podido llevar a cabo la descapitalización de la empresa perjudicada. Ni que decir tiene que, caso de que se hubiera producido por error un ingreso por tan elevado importe -lo que tampoco asume-, lo procedente sería devolver la suma recibida, no efectuar múltiples reintegros y disposiciones de fondos hasta dejar su cuenta de nuevo prácticamente sin saldo, pues constatada la irregularidad de la transferencia recibida, por cuanto no figura éste como destinatario sino una empresa lituana, lo normal sería acudir al propio banco para informarse de lo sucedido y no esperar a que se pongan en contacto con él como sostiene y, desde luego, formular denuncia ante la policía. Nada de esto llevó a cabo, lo que se convierte en un indicio más de su comportamiento criminal.

TERCERO.-Así las cosas, y en directa relación con lo anterior, se estima que concurren los presupuestos que integran y definen el delito de estafa informática del artículo 248, apartados 1 y 2, del Código Penal, en su redacción vigente a la fecha de los hechos anterior a la reforma referida de diciembre de 2022, y de la que ha ser declarado responsable Justino, pues el engaño consistió en la manipulación falsaria, por sí mismo o con la intervención probable de un tercero -no consta que disponga de conocimientos informáticos suficientes, aunque su actividad de transportista no sea ajena al de las empresas afectadas-, del correo electrónico de la empresa beneficiaria de la transferencia, obteniendo un beneficio económico por importe de 54.250 euros, lo que lleva a subsumir los hechos a su vez, a efectos de penalidad, en la modalidad agravada del artículo 250 del mismo Código Penal, resultando, por lo demás, evidente el ánimo de lucro inherente al ilícito cometido.

Ha de tenerse en cuenta que, a la fecha de los hechos, en el número 1 se definía el tipo básico de la estafa y en el número 2 un tipo específico mediante la manipulación informática, de tal forma que en la dinámica comisiva que examinamos, se aprecian claramente dos fases, por un lado, la manipulación del correo electrónico del empleado de la empresa legítima destinataria del dinero mediante la creación de una cuenta de correo duplicada suplantando su identidad, lo que es conocido en el argot anglosajón como "spoofing", y la realización de la transferencia no consentida por el titular de la cuenta ordenante, y una segunda fase que consiste en la elección de una cuenta bancaria a la que se transfiere la cantidad fraudulentamente obtenida, con posterior retirada inmediata de su importe o su envío a terceras personas implicadas asimismo en el fraude cometido. Es cierto que en el curso de la instrucción no se ha podido llegar a conocer finalmente quien habría sido el destinatario de alguna de las transferencias realizadas por él dentro de los cinco días siguientes desde la cuenta del acusado, lo que no exime a éste, en cualquier caso, de su particular responsabilidad en los hechos en cuanto que titular de la cuenta corriente destinataria de la transferencia fraudulenta obtenida cuando ningún negocio o relación mercantil mantenía con la empresa perjudicada.

Esta arquitectura delictiva presenta, como se observa, unas claras similitudes con otra mucho más habitual conocida como "phishing", aunque en ésta la actividad delictiva se centra en engañar a los usuarios para que revelen información confidencial, mientras que el "spoofing" del que participa el acusado consiste en suplantar fuentes legítimas para ganarse la confianza de otro y obtener el acceso a información o datos relevantes, lo que en este caso permitió a los autores, el acusado por sí o con la intervención de terceros desconocidos, piratear la cuenta de correo de "Tranita" en las comunicaciones intercambiadas con "Gebrüder" y a cuyo departamento encargado del pago de las facturas pendientes lograron convencer para que la transferencia se hiciera a diferente cuenta de la habitual, aludiendo primero a que las anteriores se encontraban bloqueadas y después a la necesidad de que el pago se hiciera en una cuenta en euros y no en dólares. En definitiva, la habilidad desplegada por el autor permitió que el dinero transferido terminara en una cuenta corriente con domicilio en España cuando su verdadero destinatario había de ser una empresa lituana.

Lógicas resultan las dudas que en tal caso plantean las defensas sobre la existencia de un engaño personal directo y bastante en los responsables de "Gebrüder", tal y como exige el tipo, y a quien atribuyen falta de tutela sobre la transferencia realizada, mas no debemos olvidar que el delito se comete mediante una más que hábil manipulación informática y la propia sentencia del Tribunal Supremo de 20 de noviembre de 2001 se ha encargado de aclarar que "ello es así porque la asechanza a patrimonios ajenos realizados mediante manipulaciones informáticas actúa con automatismo en perjuicio de tercero, precisamente porque existe la manipulación informática y por ello no se exige el engaño personal".

Por lo demás, y aunque nada se ha dicho sobre los conocimientos informáticos de que pudiera disponer el acusado, quien de entrada afirmó no disponer de ninguna capacidad para poder consultar su cuenta a través de la aplicación bancaria fuera de la habitual comunicación escrita y a través de la extensión del correspondiente recibo, ello no obstante el Tribunal Supremo, en sentencia de 12 de junio de 2007, expone que en este tipo de delitos "se está ante un caso de delincuencia económica de tipo informático de naturaleza internacional en el que los recurrentes ocupan un nivel inferior y sólo tienen un conocimiento necesario para prestar su colaboración. La ignorancia del resto del operativo no borra ni disminuye su culpabilidad porque fueron conscientes de la antijuridicidad de su conducta, prestando su conformidad con un evidente ánimo de enriquecimiento, ya supieran, no quisieran saber (ignorancia deliberada), o les fuera indiferente el origen del dinero que en cantidad tan relevante recibieron. Lo relevante es que se beneficiaron con todo, o, más probablemente, en parte como "pago" de sus servicios. Es obvio que quienes prestaron su colaboración eficiente y causalmente relevante en una actividad antijurídica con pleno conocimiento y cobrando por ello no pueden ignorar indefensión alguna..... En la sociedad actual el acervo de conocimientos de cualquier persona de nivel cultural medio conoce y sabe de la ilicitud de una colaboración que se le pueda pedir del tipo de la que se observa en esta causa, y al respecto, hay que recordar que los recurrentes vivían en Madrid y no consta en los autos nada que pudiera ser sugestivo de un desconocimiento de la ilicitud de la colaboración que se le pedía, máxime cuando no se trataba de una colaboración gratuita sino que llevaba aneja un claro enriquecimiento personal".Doctrina que proclamada respecto a los delitos cometidos por los denominados "muleros", es de igual aplicación a los supuestos como el aquí descrito de suplantación de identidad para, a través de una manipulación informática, conseguir ser destinatario de la transferencia recibida y en la que otro figuraba como beneficiario.

Nos hallamos, pues, ante un supuesto claro de comisión por dolo directo, o cuanto menos eventual, pues la disposición de una cuenta a la que se destina la transferencia es un elemento necesario para la consumación de la estafa y la disposición inmediata de los fondos recibidos revela ese conocimiento, o al menos connivencia, para llevar a cabo el apoderamiento ilícito por parte del acusado. Por tanto, y aun en la hipótesis de que no hubiera participado en la manipulación informática y que sólo se limitara a recibir el dinero en su cuenta, de las pruebas evacuadas resulta fundada la inferencia que concluye que conocía toda la operativa de la que se enriqueció y a la que conscientemente hizo una aportación relevante, lo que abarca la totalidad de los elementos que conforman el delito de estafa informática (por todas, Sentencia del Tribunal Supremo de 2 de diciembre de 2014).

Por lo demás, y aunque por las defensas se alega que existe un cierto déficit en la instrucción al no haberse llevado a cabo gestiones sobre las investigaciones que hubieran podido llevarse a cabo en Lituania tras el hackeo cometido en el correo electrónico de "Tranita" que tiene su sede en ese país y, por tanto, se desconoce si ha podido ser averiguada la identidad de los presuntos autores de esta manipulación informática suplantando su identidad, como tampoco se han practicado gestiones para conocer cuál pudo ser el resultado de la denuncia que formuló la empresa austríaca ante la Fiscalía de su país, tal y como declaró el testigo en el plenario, no está de más recordar que en los delitos de estafa informática donde el dinero se mueve rápidamente o se extrae en lugares distintos al del engaño, la Sala de lo Penal del Tribunal Supremo (Autos de 20 de junio de 2012, 17 de noviembre de 2016 y 7 de julio de 2017, entre otros) prioriza en estos casos el criterio de la funcionalidad y eficacia en la investigación sobre el más general de la ubicuidad y, por tanto, resulta competente para conocer del asunto el órgano del lugar donde se creó la cuenta receptora o donde reside el presunto autor, o el del lugar donde se consuma el perjuicio patrimonial, en lugar del domicilio de la víctima, por lo que nada obsta a la condena del acusado por este ilícito en nuestro país, no existiendo constancia alguna que contra el mismo se siga procedimiento en ninguno de esos otros dos países, lo que no se ha acreditado.

CUARTO.-Entrando ya en la concreta individualización y determinación de la pena, no alegada la concurrencia de circunstancia modificativa de la responsabilidad criminal y aplicando los criterios de libre arbitrio que la ley concede a este Tribunal, se estima proporcionada y adecuada la imposición a Justino, por concurrencia de la modalidad agravada del artículo 250-1, apartado 5, del Código Penal al superar el límite de 50.000 euros establecido, la pena de dos años de prisión, inhabilitación especial para el ejercicio del derecho de sufragio pasivo durante el tiempo de la condena y multa de siete meses, con una cuota diaria de diez euros y responsabilidad personal subsidiaria en caso de impago conforme al artículo 53 del Código Penal.

Como se constata, tanto la pena la pena privativa de libertad como la extensión de la multa se sitúan algo por encima de su mínimo legal, aunque siempre dentro de su mitad inferior, pues dispone de antecedentes penales aunque no resulten computables a efectos de reincidencia, siendo la cantidad defraudada muy elevada y no habiendo mostrado signo alguno de arrepentimiento ni reconocido los hechos pese a las evidencias existentes en su contra. Por otra parte, la cuota de la multa se fija en una cantidad reducida de seis euros, próxima también al mínimo (en un umbral que oscila entre 2 y 400 euros diarios), pues manifiesta que continúa en la actualidad trabajando como transportista y que dispone de contrato indefinido, percibiendo un salario de unos 1.250 euros mensuales, sin que consten otras obligaciones ni cargas familiares conforme asimismo ha declarado. De hecho, su imposición por debajo podría suponer la pérdida de toda eficacia preventiva de la pena. En este sentido, el importe fijado se sitúa en el tramo inferior de dicho margen de aplicación de la cuota, ya que, como es lógico, la cuantía mínima debe reservarse, según indica reiterada jurisprudencia, a situaciones acreditadas de indigencia o miseria, de imposibilidad económica de hacer frente a un mínimo pago, por lo que en casos ordinarios en que no concurren dichas circunstancias extremas, resulta adecuada la imposición de una cuota prudencial situada en el tramo inferior, próxima al mínimo, como aquí sucede y que se estima adecuada a falta de una cumplida acreditación de su total ausencia de ingresos o medios económicos.

QUINTO.-En materia de responsabilidad civil y de acuerdo a lo previsto en el artículo 109, en relación con el artículo 116, ambos del Código Penal, declarada la responsabilidad criminal del acusado, éste deberá indemnizar a la mercantil "Gebrüder Weiss GmbH ", de conformidad con lo establecido en el artículo 110-3° del Código Penal, en la cantidad de 54. 250 euros, con declaración de responsabilidad civil subsidiaria, a tenor de lo previsto en el artículo 120-3° del mismo Código, de la sociedad "Banco de Santander, S.A".

La responsabilidad de esta última constituye motivo de controversia, sin embargo, para la defensa de dicha entidad, pues insiste, conforme a las manifestaciones vertidas por los respectivos directores de otras tantas sucursales bancarias que depusieron en el curso del plenario, que no se incumplió ninguna normativa, sino que, antes al contrario, la indicación correcta del número de IBAN excluye la posibilidad de cualquier posible control por parte del responsable de la oficina bancaria en donde se encuentra domiciliada la cuenta, habiendo actuado en todo momento conforme a los protocolos existentes en materia de prevención de blanqueo de capitales y de acuerdo con los sistemas de control aplicables al sistema financiero español, citando al respecto distintas sentencias de diferentes tribunales de nuestro país.

No podemos estar de acuerdo, sin embargo, con tal criterio, ciertamente controvertido, pero que desde luego no se corresponde con la posición expresada, entre otras, por esta misma Audiencia Provincial de Madrid, Sección 23, en su reciente sentencia de fecha 9 de diciembre de 2025, referida por cierto a esta misma entidad bancaria, pero que dicha parte no menciona aunque de su lectura se desprende que fue la misma dirección legal quien asumió la defensa en ese procedimiento. Y, sobre todo, no se corresponde con el reciente criterio establecido por el Tribunal Supremo, Sala Primera, Civil, en su sentencia de 9 de abril de 2025, que ha confirmado la responsabilidad de las entidades financieras ante fraudes cometidos mediante suplantación de identidad y operaciones no autorizadas, como el phishing, smishing o spoofing. Este pronunciamiento, a diferencia de otra inmediata anterior de 27 de marzo de 2025, que es la que reproduce alguna de las sentencias a que alude el Banco de Santander en defensa de su posición, refuerza la protección de los usuarios en el entorno digital y marca un hito en la interpretación de la normativa vigente en materia de pagos electrónicos viniendo a unificar un criterio interpretativo ciertamente disperso hasta la fecha. El Alto Tribunal, a partir de este fallo, responsabiliza a las entidades financieras de los fraudes por suplantación de identidad si no han aplicado protocolos de autenticación reforzada y no han logrado prevenir operaciones sospechosas (como transferencias inusuales), obligando al reembolso del dinero y, sobre todo, recordando que la carga de probar que hubo una "negligencia grave" por parte del consumidor recae íntegramente sobre la entidad bancaria.

No se olvide a este respecto que, según el artículo 120 del Código Penal, "son también responsables civilmente en defecto de los que lo sean criminalmente (...) 3º.- las personas naturales o jurídicas, en los casos de delitos cometidos en los establecimientos de los que sean titulares, cuando por parte de los que dirijan o administren, o de sus dependientes o empleados, se hayan infringido los reglamentos de policía o las disposiciones de la autoridad que estén relacionados con el hecho punible cometido, de modo que éste no se hubiera producido sin dicha infracción".

Pues bien, en relación a este precepto, la sentencia del Tribunal Supremo, Sala 2ª, de fecha 12 de febrero de 2020 ya nos recuerda que "no nos movemos aquí en el marco específico del derecho penal, sino precisamente en el del derecho civil resarcitorio de los perjuicios derivados de la infracción penal cometida. Se ejercita así una acción distinta, aunque acumulada al proceso penal por razones de utilidad y economía procesales, con la finalidad de satisfacer los legítimos derechos (civiles) de las víctimas; de modo que las acciones civiles no pierden su naturaleza propia por el hecho de ejercitarse ante la jurisdicción penal. Y ello hasta el punto de llegar a una cuasi-objetivación basada en la teoría del riesgo, o bien del aprovechamiento de la actividad que lo genera (cuius commoda eius incommoda). Y también nos hemos referido en otras ocasiones a que la evolución progresiva que ensancha este tipo de responsabilidad civil mediante la aplicación de la teoría del riesgo, aunque no permita hablar en sentido estricto de que en esta esfera impere un criterio de absoluta responsabilidad objetiva, sí puede decirse que prima o prevalece un criterio de "ponderado objetivismo" ( SSTS 108/2010, de 4 de abril ; 357/2013, de 29 de abril ; 64/2014, de 11 de febrero y 778/2015, de 18 de noviembre )".

Es por ello que, como también señala la sentencia de este mismo Alto Tribunal de 30 de enero de 2019, "los artículos 120 y 121 del Código penal recogen los supuestos de responsabilidad subsidiaria, esto es, de la responsabilidad que surge en defecto, total o parcial, de la principal. Son supuestos en los que la responsabilidad civil se exige a personas que no han participado en el delito, pero que, sin embargo, tienen una vinculación con los partícipes del hecho que genera una culpa in vigilando, (por ejemplo, este fundamento aparece claramente en el art. 120.1), in eligendo, o bien, una responsabilidad objetiva (los supuestos de los números 2, 3, 4 y 5 admiten ser interpretados conforme a una responsabilidad objetiva)."

De esta forma, y haciéndonos eco nuevamente de la sentencia antes referida de la Sala Civil de 9 de abril de 2025, conforme a lo dispuesto en la Ley de Servicios de Pago (Real Decreto-ley 19/2018), las entidades bancarias deben rectificar las operaciones no autorizadas por el usuario y, en consecuencia, restituir las cantidades sustraídas, salvo que puedan demostrar que el cliente ha actuado con negligencia grave o fraude. Es decir, la carga de la prueba recae en el banco, pero en este caso el Tribunal Supremo se puede decir que ha ido ahora mucho más allá al afirmar que no basta con cumplir formalmente con los protocolos técnicos (como la autenticación en dos pasos o los SMS de verificación), que es la tesis defendida por el Banco de Santander, sino que las entidades deben adoptar una actitud proactiva y diligente tanto en la prevención como en la respuesta a los fraudes. La sentencia consolida así una doctrina de responsabilidad cuasi-objetiva, en la que se impone al banco la obligación de garantizar la seguridad del canal digital, con independencia de si el ataque proviene de terceros. Este nuevo enfoque implica que, ante una operación no autorizada, el cliente solo necesita acreditar que actuó con la diligencia razonable, notificó el incidente con prontitud y custodió adecuadamente sus credenciales. En cambio, será la entidad financiera la que deba probar que hubo negligencia grave o intencionalidad por parte del usuario para eximirse de responsabilidad.

Cabe concluir, por tanto, que, a partir de ahora, conforme a la jurisprudencia del Tribunal Supremo citada, las entidades bancarias, en aquellos casos en que se ha producido alguno de los fraudes antes descritos, ya no pueden "escudarse" bajo el falso pretexto de que una operación de pago autenticada, registrada con exactitud y contabilizada es necesariamente "equivalente" a una operación de pago consentida por el usuario del servicio de pago, en este caso por la sociedad austríaca que realiza la transferencia a una cuenta corriente española y quien lleva a cabo una operación no consentida, o mejor dicho, viciada por la suplantación de identidad de la cuenta de correo del beneficiario de esta transferencia, modificando para ello el número de IBAN del destinatario. Sintetiza a este respecto la relevante sentencia del Tribunal Supremo que reproducimos, "la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo, en el doble sentido de que, primero, notificada la existencia de una operación no autorizada o ejecutada incorrectamente, el proveedor debe responder salvo que acredite la existencia de fraude; y, segundo, cuando el usuario niegue haber autorizado la operación o alegue que ésta se ejecutó incorrectamente, corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave".

En efecto, la Ley de Servicios de Pago de 23 de noviembre de 2018 establece, en su artículo 43-1, que "el usuario de servicios de pago obtendrá la rectificación por parte del proveedor de servicios de pago de una operación de pago no autorizada",esto es, tendrá el derecho a obtener el abono de la cantidad que se le ha sustraído. Ahora bien, la propia Ley establece, a su vez, dos salvedades a este principio: la primera, en el artículo 46-1, cuando señala que el banco no será responsable si puede probar que el cliente incurrió en una negligencia grave en el cumplimiento de sus obligaciones; y la segunda, en el artículo 44-1, cuando dice que el banco no será responsable si puede probar que "la operación de pago fue autenticada, registrada con exactitud y contabilizada y no se vio afectada por un fallo técnico u otras deficiencias vinculadas al servicio de pago del que es responsable".

Y esta misma sentencia, respecto a la dificultad de poder controlar las transferencias a que alude la defensa del Banco de Santander, incluidas las internacionales, en las que el número de IBAN se corresponde con el titular de la cuenta, tal y como declararon los directores de las oficinas bancarias comparecidos como testigos, recuerda, no obstante, que "los avances de la tecnología actual hacen relativamente sencillo diseñar sistemas o aplicaciones informáticas idóneas para detectar ciertas anomalías en la prestación de los servicios de pago. Operaciones que, tratándose de empresas o sociedades con un concreto objeto social, pueden calificarse como ordinarias, deben inmediatamente levantar sospechas y dar lugar a una respuesta cuando afectan a personas físicas ajenas a tales actividades. A este respecto, sería suficiente un control automático de determinados factores, como el número y sucesión de operaciones, el intervalo en que se ejecutan, la hora del día, su importe, entidades de destino......para generar un aviso que reforzara los requisitos de confirmación y minimizara los posibles riesgos".

En este caso, de la lectura del Real Decreto 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, se infiere que la operativa llevada a cabo en la cuenta del Banco Santander debió haber sido identificada como operación susceptible de estar relacionada con el blanqueo de capitales y, por tanto, se debieron haber activado los mecanismos de la entidad y en particular, el bloqueo inmediato de la cuenta, pues resulta evidente que el titular de la misma no había declarado una actividad profesional relacionada con operaciones de comercio exterior -véase sino el formulario de información obligatoria al cliente que figura a los folios 212 y siguientes de la causa- y, desde luego, la naturaleza de los movimientos bancarios registrados en su cuenta y el reducido importe de sus operaciones debió alertar al banco de que una transferencia internacional de nada menos que 54.250 euros, ingresada en una cuenta que se encontraba en descubierto, figurando como destinatario una empresa distinta y no el titular, quien lleva a cabo a continuación sucesivos reintegros y disposiciones de sus fondos en apenas cinco días, podría resultar una actividad sospechosa y, de hecho, aunque de forma tardía, por parte del Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias se informa que fueron rechazadas automáticamente (al folio 430), lo que ciertamente no sucedió, pues los fondos finalmente desaparecieron de la cuenta de destino, pero revela cuanto menos la posibilidad de que disponía el Banco para bloquear la operación, lo que no hizo. De hecho, los responsables de las entidades bancarias comparecidos como testigos así vinieron a reconocerlo en la práctica, pues si bien declinaron que esa posibilidad pudiera recaer directamente en el director de la sucursal donde figura domiciliada la cuenta, no dudaron en reconocer al mismo tiempo que el departamento de control de fraude de la entidad puede activar las alertas en determinados casos, cuyo modo de hacerlo, sin embargo, no concretaron.

Debemos regresar en este punto necesariamente al contenido de la sentencia de esta misma Audiencia Provincial de Madrid de fecha 9 de diciembre de 2025 a la que antes aludimos y que, a diferencia de las invocadas por la defensa, acoge este mismo criterio en base a la normativa legal que estima de aplicación y pese a no hacer mención a ninguna de las sentencias del Tribunal Supremo antes referidas, la cual, aplicada al caso concreto que enjuiciamos, nos lleva a concluir que de haberse producido en tiempo y forma al bloqueo de la cuenta de Justino, la dinámica comisiva no se hubiera podido consumar ni habrían tenido lugar las disposiciones de fondos realizadas por éste en los días siguientes, pues de haber actuado el Banco de Santander de forma diligente, el dinero habría quedado cautelarmente bloqueado hasta que se presentase justificación de la operativa desarrollada.

No se olvide que, según el artículo 24-2 del Reglamento que desarrolla la referida Ley de Prevención del Blanqueo de Capitales, entre las operaciones susceptibles de estar relacionadas con dicho blanqueo, se incluyen aquéllas que no se corresponden a la actividad o antecedentes operativos del cliente, como es este el caso, pues si bien consta dedicado a la actividad del transporte, no figura que lleve a cabo operaciones de comercio exterior conforme figura en el PIOC y, en todo caso, de conformidad con esta misma Ley, de haber realizado algún tipo de seguimiento y verificación, la entidad podría haber constatado la transferencia de alto importe de la que figura como destinatario, pese a que su beneficiario era una tercera empresa que nada tenía que ver con éste, procediendo, siquiera cautelarmente, al bloqueo de la cuenta mientras verificaba la legalidad de la operación y en cuyo caso las disposiciones posteriores -más de veinte en apenas cinco días- no se hubiesen podido producir tampoco, pues de haberse hecho, el dinero habría quedado bloqueado hasta que presentase justificación de la operativa desarrollada. Todo ello determina la responsabilidad civil subsidiaria de la entidad bancaria en la comisión del delito por omisión de la normativa específica que le es de aplicación.

Sugerida, finalmente, por la defensa de la entidad bancaria, durante el trámite de informe y al final de su intervención aunque sin apoyo argumental alguno, la posible aplicación alternativa del principio de concurrencia de culpas dada la responsabilidad en la que, a su vez, habría incurrido la mercantil perjudicada al remitir la transferencia a una cuenta errónea, esta misma sentencia de la Audiencia Provincial de Madrid que citamos da cumplida respuesta también a la cuestión aquí planteada, recordando que en casos como el presente no se trata tanto de una cuestión de compensación de culpas, que tendría difícil encaje en los supuestos de un delito doloso como es la estafa, sino que el campo del artículo 114 del Código Penal que recoge tal posibilidad sería de aplicación solo en aquellos supuestos en los que la contribución de la víctima, no siendo causal, ni por tanto situarse en el resultado, puede tener alguna relevancia en materia indemnizatoria en virtud de la facultad discrecional que en relación a la responsabilidad civil otorga este artículo ( STS 623/2022 22 de junio; STS 440/2022 de 4 de mayo; STS 522/2017 de 6 de julio).

Pero, concluye esta sentencia, dicho precepto no es de aplicación para poder moderar la responsabilidad civil de la entidad bancaria en donde figuraba abierta la cuenta corriente del acusado y a donde se transfirió la suma de dinero bajo engaño, pues en nuestro ordenamiento jurídico la responsabilidad civil nacida de delito tiene un régimen especial y diferente del régimen general de la culpa extracontractual y, por tanto, hay que estar a lo dispuesto en el Código Penal y el artículo 114 es un precepto inescindible. La responsabilidad civil es estrictamente vicaria de la responsabilidad penal. En consecuencia, el responsable civil subsidiario responde de lo mismo que el responsable penal, Justino, aunque sólo en defecto de éste, de tal forma que no caben diferenciaciones en el alcance de sus respectivas responsabilidades civiles en virtud de factores como éste, pues, conforme a este criterio, la culpa de la víctima no tendría relevancia en relación a la conducta dolosa, pero si repartiría el daño en relación al tercero en caso de culpas concurrentes, no exigiéndose constatar, en concreto, la presencia de culpa de ese tercero civil responsable (por todas, STS 300/2014 de 1 de abril).

En definitiva, y a la vista de lo expuesto, no se trata que las entidades bancarias tengan que responder siempre y ante cualquier circunstancia ni tampoco que dichas entidades no experimenten ningún perjuicio como consecuencia de las actuaciones fraudulentas cometidas por terceros, sino que como operadores que desempeñan una actividad muy lucrativa, mientras los consumidores y usuarios se ven forzados a operar a través de plataformas digitales que generan un claro riesgo para la sociedad, estas entidades deben poner sus esfuerzos y recursos en prevenir el fraude e impedir que los defraudadores se valgan de sus servicios para cometer actos delictivos, debiendo responder cuando realmente se haya posibilitado la comisión del delito por un proceder negligente que haya supuesto la inobservancia de las normas de cuidado. Resulta obvio que la solución del problema pasa entonces necesariamente por un mayor desarrollo y una correcta implementación de sistemas de detección preventiva del fraude por parte de las entidades bancarias.

El Banco de Santander no aplicó las medidas que la Ley de Prevención del Blanqueo de Capitales establece en tanto en cuanto no verificó la actividad de la cuenta, no solicitó el origen de los fondos ni tampoco bloqueó las operaciones sospechosas, porque, según se escuda, no saltó la alarma, pero en la comunicación remitida al órgano judicial sí reconoce que fue rechazada la transferencia, lo que, aun cuando lamentablemente no es cierto ni evitó el desfalco, revela que pudo hacerlo. La negligencia bancaria en la prevención del blanqueo de capitales permitió la consumación del acto delictivo y aunque el regulador no haya intervenido, argumento utilizado asimismo por la defensa para eximirse de su particular responsabilidad, no por ello se ha de dejar de declarar su responsabilidad en el orden civil, siempre con carácter subsidiario al declarado penalmente responsable de estos hechos.

Por ello, finaliza esta sentencia diciendo que "está fuera de toda duda que las entidades bancarias juegan un rol esencial en la economía, posibilitando la realización de una larga lista de transacciones financieras de forma telemática y ágil, lo que permite que el dinero fluya entre los diferentes sectores con la consecuente generación de riqueza. Si bien, igual de claro resulta que las entidades bancarias desarrollan una actividad que entraña un elevado nivel de riesgo por cuanto ejercen como intermediarios y depositarios de los recursos económicos de las personas y de las empresas y a su vez los delincuentes se sirven de ellas para cometer estafas, como en este caso, recibiendo de manera indebida transferencias de fondos a una cuenta bancaria fruto de una estafa o engaño consiguiendo que el dinero defraudado pase por la citada cuenta bancaria antes de ser desviado hacia otros productos que dificultan su rastreo, como fue el caso.

Téngase en cuenta que las entidades bancarias desempeñan una actividad con ánimo de lucro y que sus consumidores y usuarios dependen de ellas para operar y no quedan excluidos del sistema financiero, pagando por sus servicios.

Las entidades bancarias han de cumplir, por tanto, con unas muy altas exigencias de seguridad en los sistemas de pago e intermediación financiera, con el objeto de minimizar al máximo e idealmente descartar el riesgo de la actividad que desempeñan, debiendo corresponder la confianza que depositan en ellos los consumidores y usuarios y responder cuando no han cumplido satisfactoriamente y tales exigencias de seguridad no han sido satisfechas, permitiendo la materialización del riesgo en el resultado".

SEXTO.-Por último, y con arreglo a lo dispuesto en el vigente artículo 123 del Código Penal, las costas procesales vienen impuestas por ley al declarado responsable criminalmente de estos hechos, incluidas las de la acusación particular.

Téngase en cuenta que, de acuerdo a una abundante doctrina jurisprudencial (por todas, Sentencias del Tribunal Supremo de 15 de septiembre de 1999, 25 de enero de 2001, 25 de octubre de 2006 y 15 de marzo de 2017), no consta que la mercantil querellante hubiera entorpecido el proceso ni formulado peticiones heterogéneas respecto de las conclusiones aceptadas en la sentencia, no pudiendo ser calificada su actuación como superflua, inútil o perturbadora, ni desde luego inadecuada desde el punto de vista procesal, en cuanto que se ha personado en la causa en el legítimo ejercicio de las acciones civiles y penales derivadas de estos hechos, solicitando de inicio idéntica pena y declaración de responsabilidad civil que el Ministerio Público, si bien reclama, además, la responsabilidad civil subsidiaria del "Banco de Santander, S.A.", que asimismo se acoge en el fallo.

Vistos los preceptos legales citados, sus concordantes y demás de general y pertinente aplicación,

PRIMERO.-Como resultado de las pruebas evacuadas en el transcurso de la vista oral, consistentes básicamente en la declaración del acusado y la testifical del responsable de la mercantil perjudicada, así como de los empleados y representantes de la entidad bancaria, junto con la documental incorporada a los autos, no subsiste ninguna duda de la participación de Justino en los hechos denunciados, quedando de este modo enervado su derecho a la presunción de inocencia y todo ello de acuerdo a una abundante doctrina jurisprudencial que, en interpretación del artículo 24 de la Constitución, declara reiteradamente que dicho derecho supone la necesidad de que durante el plenario, con publicidad, inmediación, contradicción y oralidad (por todas, STC 31/1981, reiterada y citada en muchas posteriores como la STC 118/1991 y la STC 124/1990), se aporten suficientes elementos de juicio para entender acreditados los hechos objeto de acusación mediante una auténtica prueba de cargo ( STC 70/1985, reiterada por la STC 98/1990), llegándose en este caso a la convicción de que el relato fáctico que integra el tipo penal de estafa por el que resulta condenado consta razonablemente acreditado.

Se estima acreditado, en efecto, sin ningún género de dudas, que los hechos resultan legalmente constitutivos de un delito de estafa informática del artículo 248, párrafos primero y segundo, apartado a) del Código Penal, en la redacción vigente a la fecha de los hechos y anterior, por tanto, a la modificación introducida por la Ley Orgánica 14/2022, de 22 de diciembre, en relación con el tipo agravado del artículo 250-1, apartado quinto, del mismo Texto sustantivo en cuanto que el valor de lo defraudado supera los cincuenta mil euros. De su análisis nos ocuparemos, sin embargo, más adelante una vez valorada la conducta típica en que incurre el acusado a la vista de la documental y testimonios vertidos, y de cuyo comportamiento punible dimana la declaración de responsabilidad civil subsidiaria de la entidad bancaria, quien invoca, como primer argumento de oposición, que, a causa de la imputación tardía de la acusación particular, no ha podido articular su defensa con todas las garantías, con infracción de sus derechos constitucionales.

Mas nada de eso se aprecia en este caso, pues con independencia de que no se mencionen qué diligencias concretas pudo haber interesado en fase de instrucción que le permitieran acreditar que los departamentos del banco encargados de estos controles habían actuado con la adecuada diligencia, lo que tampoco solicita para su práctica durante la celebración del juicio oral, la controversia suscitada carece, en cualquier caso, de recorrido procesal alguno al haber sido ya resuelta con reiteración por la jurisprudencia, descartándose que el hecho de que la exigencia de responsabilidad civil no se suscite hasta la redacción del escrito de acusación genere indefensión alguna, pues tras la apertura del juicio oral adquirió la plena condición de parte, sin restricción alguna, personándose con abogado y procurador. De ahí la necesidad de notificación del auto de apertura de juicio oral a la persona natural o jurídica que pudiera ser declarada responsable civil de los perjuicios ocasionados ( Sentencias del Tribunal Supremo de 21 de enero de 1994 y 13 de diciembre de 1991, y del Tribunal Constitucional de 11 de febrero de 1985). Y esta es precisamente la situación que aquí se produce, pues notificado el auto de apertura de juicio oral de fecha 18 de noviembre de 2025 (a los folios 512 y siguientes de las actuaciones), dicha entidad evacuó su escrito de defensa con todas las garantías legales, tras emplazarle y requerirle al pago de la fianza correspondiente, por lo que ningún tipo de indefensión pudiera derivarse de su incorporación tardía, sin olvidar que durante la fase de instrucción fue requerida en diversas ocasiones para la aportación de distinta documental, siendo los directores de las oficinas bancarias que tuvieron alguna relación con este asunto citados en su momento a declarar como testigos, por lo que es evidente que tenía conocimiento de la existencia del procedimiento seguido contra el titular de la cuenta bancaria, que tenia abierta en una de las sucursales del Banco de Santander.

Al respecto, una reciente sentencia del Tribunal Supremo de 19 de julio de 2021, al abordar la cuestión relativa a la responsabilidad civil subsidiaria derivada de la aplicación del artículo 120 del Código Penal de la que nos ocuparemos luego, recuerda expresamente que no resulta imprescindible que el auto de transformación del procedimiento abreviado incluya al eventual tercero responsable civil. Lo estrictamente necesario es que sea traído al proceso antes del juicio oral, sin que constituya un requisito indispensable ni su declaración en fase de instrucción ni una expresa constitución judicial anterior a la apertura del juicio oral.

Por lo demás, y dejando ya al margen esta cuestión de índole meramente formal, la declaración de Justino vertida con fines claramente exculpatorios durante el plenario, no logra eximirle de la responsabilidad penal pretendida vistos los documentos incorporados a la causa y el testimonio vertido por el responsable del departamento de cobros de la empresa austríaca perjudicada por el engaño. Así, reconoce el acusado que acudió personalmente a la oficina y suscribió con su firma el contrato de apertura de cuenta corriente necesaria para su actividad profesional, primero como trabajador por cuenta ajena y más adelante como autónomo, siendo necesario que facilitara tanto su número de móvil como su dirección de correo electrónico. Así se desprende también de la documentación remitida a requerimiento del órgano judicial, por parte de Adriana, responsable de la asesoría jurídica del banco, lo que ratifica durante el plenario (folios 212 a 224 de las actuaciones) y que contiene el "formulario de información obligatoria del cliente" (FIOC), la copia del contrato cuenta zero y tarjeta débito zero, junto con los movimientos existentes en la misma (folios 225 y siguientes). En dicho contrato, suscrito materialmente con su firma en la sucursal 5134 de la calle Alcalá, 445 de Madrid, constan efectivamente sus datos personales, teléfono y correo electrónico, así como la actividad declarada, junto con las condiciones y beneficios que se pudieran derivar de su apertura.

En todo caso, manifiesta haber tenido siempre en la cuenta un saldo reducido, sin grandes movimientos de dinero producto de su trabajo como transportista, existiendo un saldo deudor de 131,26 euros a la fecha de recibo de la transferencia, la cual, por importe de 54.250 euros, se ingresó en su cuenta con fecha 30 de junio de 2021, pero de la que afirma no tener ningún conocimiento, pues no consultaba, según él, la aplicación del banco por teléfono y ningún responsable le avisó, sin que cuando pidió explicaciones, se las dieron, informándole que su cuenta se encontraba intervenida y que le llegaría una notificación a casa, lo que nunca ocurrió. Tampoco tenía acceso, según afirma, a la aplicación "bizum". De ahí que desconozca quién pudo ser responsable de realizar la transferencia, así como las disposiciones llevadas a cabo en su cuenta en los cinco días posteriores al 30 de junio de 2021, ya que con su tarjeta solo retiraba lo imprescindible para sus gastos básicos. En consecuencia, se considera perjudicado también por lo sucedido, manifestando que abrió la cuenta en fecha que no puede precisar, pero en todo caso antes de la pandemia, la cual mantuvo operativa hasta enero del año 2022, que fue cuando, según cree recordar, le llamaron del banco para decirle que estaba intervenida. Reconoce, no obstante, que acudió a la policía al enterarse de que su cuenta había sido hackeada y en donde le dijeron que no podían hacer nada, si bien tuvo que cambiar su número de teléfono pues recibía mensajes de whatsapps reclamándole dinero. En la actualidad sigue trabajando como transportista para una empresa de paquetería y recibe el sueldo mínimo de 1.250 euros, viéndose obligado a vender su piso al no poder hacer frente al pago de la hipoteca, por lo que ahora vive solo ya que su pareja tuvo que regresar a su país para cuidar de sus padres, ocupando una habitación en régimen de alquiler.

La declaración de Miguel como responsable del departamento de clientes y encargado de la contabilidad y del departamento de pagos al extranjero en la empresa austríaca "Gebrüder Weiss GmbH" (en adelante, Gebrüder), corrobora, en cambio, el fraude cometido, pues en cuanto que dedicada al transporte internacional, mantenía relaciones comerciales desde el año 2017 con otra empresa lituana de nombre "Uab Tranita" (en adelante, Tranita), con quien cooperaban en la logística necesaria para el desarrollo de su actividad en países como Alemania y Finlandia, encargándose "Tranita", según consta en su querella, del pago de los fletes a través de la persona de contacto de nombre Eloisa, siendo, a su vez, Rebeca la encargada en la empresa "Gebrüder" de realizar los pagos una vez la primera se ponía en contacto con ella a través normalmente de correo electrónico para indicarle cuáles eran las cantidades pendientes de pago. Así, se dispuso una primera transferencia en fecha 8 de junio de 2021 por importe de 41.400 euros a una cuenta supuestamente facilitada por Eloisa tras indicarle ésta que las cuentas lituanas utilizadas anteriormente de forma exclusiva para realizar los pagos estaban bloqueadas y que el pago debía realizarse a partir de entonces a una cuenta española abierta en el Banco de Santander. Sin embargo, y tras insistir "Tranita" que no había recibido su importe, pues la transferencia se había realizado a una cuenta en dólares americanos, anunciándose por ello su devolución y que el nuevo pago debía realizarse a otra cuenta, en este caso en euros, dicha transferencia se hizo a una cuenta del Banco de Santander y, en concreto, según consta documentado, a la que figuraba abierta a nombre del acusado en la sucursal de la calle Alcalá, nº 445 de Madrid. De esta forma se transfirió la cantidad de 54.250 euros correspondientes a los 41.400 euros antes abonados pero que le iban a ser devueltos, más el importe de otras facturas vencidas hasta ese momento. Realizada la transferencia con fecha 28 de junio de 2021, constataron después que el dinero no había llegado a "Tranita" y al contactar con su banco, les informaron que ya no era posible recuperar su dinero, razón por la que formularon denuncia ante la Fiscalía de su país, de cuyo resultado nada saben y de ahí que reclamen su importe en este procedimiento.

Interrogado para que precise el origen de los pagos realizados, afirma que corresponden a facturas que, por importe de unos 2.500 euros, van acumulando y de ahí que las cantidades transferidas suelan ser muy elevadas. Para realizar los pagos, contactan por teléfono y, sobre todo, por correo electrónico con "Tranita", ya que es una empresa extranjera, ignorando al efectuar las transferencias que se trataba de una dirección de correo falsa, pues parecían mensajes auténticos procedentes de la cuenta habitual de Eloisa a través de la cual venían habitualmente contactando con dicha empresa desde el año 2017 sin problema alguno, no percatándose del fraude hasta que recibieron comunicación de "Tranita" reclamando su importe. En ese momento reunieron los correos que tenían y se pusieron en contacto con el departamento legal de la empresa y con los responsables de informática, constatando que su correo no había sido hackeado, sino que el que había sido pirateado era el correo electrónico de Eloisa, lo que permitió desviar los fondos a las cuentas españolas. Estos correos figuran incorporados a la causa, junto con el informe de detectives que acompañan con su querella, todos ellos traducidos al español (original a los folios 11 a 83, traducción a los folios 84 y siguientes). Con fecha 5 de julio de 2021 intentaron, a través de su banco, la devolución de las transferencias, pero les informaron que se trataba de un fraude y que todo dependía de lo que pudiera hacer la entidad bancaria donde se ingresó su importe y de que el dinero continuara todavía depositado en la cuenta de destino, lo que no sucedió.

A preguntas del Letrado del Banco de Santander, no fue posible, sin duda por las dificultades derivadas del empleo de un idioma extranjero, que el testigo concretara el volumen de negocios anual de "Gebrüder", pero precisa que su empresa dispone de un sistema de contabilidad muy detallado donde sus proveedores van unidos a un número y este número a una cuenta bancaria, facilitando el programa informático el detalle de los pagos. Insiste, en todo caso, que se hicieron las transferencias a cuentas españolas porque en ese momento desconocían que la dirección de correo de Eloisa hubiera sido manipulada. No le consta, sin embargo, que en su empresa exista ningún protocolo relativo a ataques informáticos o ciberseguridad, como desde luego ignora que exista una Directiva comunitaria, traspuesta al derecho austríaco en el año 2018, sobre suplantación de cuentas bancarias. Mas vuelve a insistir que se pusieron en contacto con "Tranita" al constatar el hackeado de la cuenta de correo de la empresa lituana y que dicha empresa formuló denuncia por tal motivo, desconociendo cuál fue su resultado.

A preguntas, por último, de la defensa del encausado, manifiesta que siendo "Tranita" una empresa con sede en Lituania, los pagos se hacían habitualmente a cuentas de su país, pero se cambió a una cuenta española las que las suyas les dijeron que habían sido bloqueadas, lo que no les extrañó, ya que su empresa trabaja con otras de diferentes países y disponen de una constelación de cuentas bancarias. Tampoco les llamó la atención que, tras efectuar una primera transferencia a una cuenta, les dijeran que al ser ésta en dólares estadounidenses, debían hacer el pago a otra en euros, insistiendo en que todo ello se debió a que el correo de Eloisa, su contacto en dicha empresa, había sido manipulado. Finalmente, manifiesta que la empresa "Gebrüder" tiene suscrita una póliza de seguros que cubre alguna de estas contingencias, pero solo para perjuicios que superan el millón de euros.

Por su parte, los testimonios vertidos por Celso y Pedro, directores de otras tantas sucursales de la entidad Banco de Santander en nuestro país, el último de ellos de la oficina de la calle Alcalá, nº 445 de Madrid en donde figura domiciliada la cuenta destinataria de la transferencia, sostienen que nada tiene que ver su Banco con la defraudación producida, pues con independencia de quien figure como beneficiario de la transferencia, lo relevante es el número de IBAN y si este está correcto, la transferencia opera directamente sin intervención alguna de los empleados de la sucursal. Solo si sobre una cuenta o una determinada operativa estuviese activada alguna alarma por parte de los departamentos centrales del Banco, es cuando estarían obligados a hacer alguna comprobación, ya que en los demás casos el control debe llevarlo a cabo el propio ordenante. Y lo mismo sucede cuando se trata de una transferencia internacional. Si bien ha asistido a cursos sobre prevención del fraude, nada tiene que ver con la operativa diaria del banco respecto a las trasferencias que se realizan, debiendo limitarse a comprobar la identidad de la persona y su actividad profesional en el momento de proceder a la apertura de la cuenta, pero sin que, salvo que exista algún aviso, se pueda bloquear la cuenta de ningún cliente.

El segundo de los testigos corrobora todo lo dicho por el anterior, si bien, en su calidad de director en su momento de la sucursal donde se abrió la cuenta destinataria de la transferencia, afirma haber constatado que se trataba de un contrato de cuenta corriente que se formalizó personalmente en la sede de dicha entidad con base a la documentación aportada por el interesado, ya que la Ley de Prevención del Blanqueo de Capitales obliga a comprobar el perfil del cliente. Le consta, en cualquier caso, que se encontraba operativa desde agosto del año 2020, aunque desconoce cuál pudiera ser su saldo habitual o si se hallaba al descubierto el día en que se llevó a cabo la transferencia, siendo habitual que si eso sucede, se realicen gestiones a este respecto con el cliente, pero insiste en que no se puede intervenir la operación si la transferencia se atiene a la normativa Sepa y el número de IBAN está correcto, existiendo un departamento de blanqueo en el banco que se encarga de detectar las actividades que pudieran resultar sospechosas, pues la propia oficina no dispone de capacidad para ello. Y aun cuando, según la Ley de Prevención de Blanqueo de Capitales, están obligados a activar alertas en caso de operaciones sospechosas, el encargado de llevar a cabo esos filtros no es la oficina sino el departamento de fraude creado por el Banco, por lo que si como es este el caso, se realiza la transferencia sin existir ningún aviso, entra directamente en la cuenta corriente del cliente sin posible control por su parte. Es después, si se detecta alguna irregularidad, cuando se inicia un procedimiento de comprobación por fraude a cargo del departamento correspondiente a fin de constatar, entre otras cosas, si el dinero salió ya de la cuenta. De lo ocurrido en este caso, solo se enteró cuando fue citado a declarar por primera vez por este asunto, y que no le consta que la transferencia en este caso hubiera sido rechazada automáticamente, tal y como al parecer se indica en la información remitida por la asesoría jurídica del Banco (folio 430).

A preguntas del Ministerio Fiscal, confirma que los documentos que se le exhiben se corresponden con el contrato de apertura de cuenta corriente con el acusado (folios 212 y siguientes), desconociendo si incluía la posibilidad de disponer de tarjeta, aunque asegura que todos los clientes tienen acceso a su cuenta a través de la aplicación bancaria y que aun cuando al folio 222 conste un máximo de retirada diaria de dinero con tarjeta de 600 euros, ese límite se puede modificar en cualquier momento. Desconoce, en cualquier caso, si los reintegros que, por importe de 1.000 euros, figuran en dicha cuenta se hicieron en el mismo cajero de la oficina o en otra. Por lo demás, cree que la cuenta "murió sola", pues no le consta que en ningún momento se pidiera su cancelación, desconociendo si alguien de la entidad se puso en contacto con el cliente por tal motivo, lo que personalmente no hizo. Reitera, por último, que las transferencias electrónicas en el marco Sepa no tienen ningún tipo de supervisión por la oficina y funcionan automáticamente sin ninguna intervención por su parte, ya que, conforme a la normativa PSD2 (regulación europea en los servicios de pagos digitales), el responsable de la transferencia es el propio ordenante, siendo facultad de cada oficina bancaria autorizar solo la apertura de una cuenta caso de que resulte acorde con la normativa y que ninguna oficina bancaria puede aperturar una cuenta por sí misma.

Por último, Adriana, letrada de los servicios jurídicos del Banco de Santander, ratifica las comunicaciones remitidas con su firma al órgano judicial, una de fecha 17 de diciembre de 2021 informando del titular de la cuenta y momento de apertura, la cual continuaba abierta (folios 199 y siguientes), y otra de 31 de octubre de 2023 en la que se comunica que las transferencias por importe de 41.000 euros y 54.250 euros figuran "rechazadas automáticamente", poniéndose en conocimiento del Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales con fecha 3 de septiembre de 2021 las dos operaciones aludidas (folios 430 y siguientes). Es evidente, sin embargo, el error cometido al respecto, aunque relevante por lo que luego se dirá en cuanto a la declaración de responsabilidad civil de la entidad bancaria, pues la transferencia de 54.250 euros figura efectivamente ingresada en la cuenta del acusado, al igual que no hay duda de las disposiciones realizadas a continuación.

SEGUNDO.-En definitiva, y como síntesis de lo hasta ahora expuesto, no hay duda que la mercantil "Gebrüder" llevó a cabo la transferencia, por el importe y en la fecha indicada, de la que debiera haber sido destinataria la empresa "Tranita", única que figuraba como beneficiaria y con la que mantenía relaciones comerciales -no consta que las tuviera con el encausado-, pero en la que, tras una manipulación llevada a cabo hackeando el correo electrónico de una empleada de esta última, se modificó el número de cuenta del destinatario, lo que permitió que fuera ingresado el dinero de forma ilícita a favor de Justino. Y aunque éste insista en que era ajeno a dicha operación fraudulenta, reconoce, cuanto menos, la apertura de la cuenta corriente con la información que el mismo facilitó y que disponía de pequeñas sumas a través de su tarjeta bancaria, manteniéndose informado de sus movimientos solo a través de las notificaciones por escrito. Pero si ello era así, no explica por qué justamente en el momento de recibir la transferencia por importe tan elevado, dejó de tener control sobre la misma, alegando no haber sido informado de ello por su banco, lo que resulta tanto más más inverosímil si con anterioridad al 30 de junio de 2021, fecha en la que consta ingresada la transferencia, no había advertido irregularidad alguna, como tampoco parece haberla detectado después, lo que, a nuestro criterio, resulta todavía más extraño, pues si se examinan los movimientos producidos a partir de entonces, dejando al margen las disposiciones de fondos realizadas de forma inmediata hasta el día 5 de julio de ese año directamente relacionados con dicho fraude, figuran distintos cargos por compras en establecimientos comerciales, recibos telefónicos, seguro de vehículos, transferencias bancarias y, sobre todo, distintos reintegros, también de 1.000 euros y a través de cajeros automáticos, sin que conste queja u oposición alguna por su parte, operando con normalidad incluso después de esa fecha y cuanto menos hasta el 15 de diciembre de 2021, no percatándose, según él, de lo ocurrido hasta que en enero de 2022 fue informado, según cree recordar, por el propio Banco (folios 225 a 256 de las actuaciones).

Por lo demás, la pasividad del Banco, que en septiembre de ese año informa al departamento correspondiente de la operación fraudulenta, esto es, más de dos meses después, así como del rechazo automático de la transferencia, resulta también clamorosa, especialmente cuando tras la transferencia internacional de elevado importe recibida, se llevan a cabo por el acusado, y en apenas cinco días, hasta un número aproximado de veinte operaciones distintas sobre una cuenta que hasta ese momento tenía movimientos de muy escasa cuantía y sin que tampoco conste que por el titular de la misma se hubiera llegado a formular ninguna denuncia, siendo ajeno, según él, a tal dinámica comisiva, lo que resulta inverosímil.

Pero es más, el día 9 de julio de 2021 vuelve a recibir en su cuenta otra transferencia próxima a los 4.000 euros y de la que si bien se desconoce el origen, pues resulta ajena a la operación aquí analizada, llama, en cualquier caso, la atención por cuanto tampoco se correspondería con lo declarado por éste sobre la retirada de pequeñas sumas de dinero para gastos corrientes cuando precisamente al día siguiente realiza tres reintegros sucesivos a través de cajero automático, por un importe respectivo de 1.000 euros cada uno -cabe suponer que ese era ya el nuevo límite máximo autorizado en su tarjeta para cada operación y no los 600 euros inicialmente autorizados-, sin que sobre ello ofrezca tampoco explicación alguna. No nos consta que se trate de una nueva operación ilícita, pero de nuevo revela su forma de proceder: tras un ingreso por un importe elevado, una nueva disposición de fondos elevada hasta dejar la cuenta prácticamente en descubierto. Y ello sin entrar a valorar el bizum sobre el que llama la atención el Ministerio Público y que, con fecha 4 de julio de 2021, se lleva a cabo por el concreto importe del saldo existente en la cuenta a ese momento, 670 euros. No parece una casualidad.

Extraña también, por último, que si en septiembre de 2021, que es cuando aparentemente el Banco de Santander detecta la irregularidad de la transferencia internacional realizada y, por tanto, se supone que es cuando debió contactar con el cliente -no al año siguiente cuando la cuenta deja de estar operativa, según declarado el acusado-, éste no hubiere formulado ninguna queja o denuncia, limitándose a reconocer en su declaración, aunque sin acreditarlo, que acudió a la policía solo cuando a través de su teléfono comenzó a recibir mensajes de un posible hackeo de su cuenta, lo que no consta, sino que mas bien pudiera ser que su conversación con algún agente se produjera, no por propia iniciativa, sino tras detectarse por el banco la operación fraudulenta realizada.

Los indicios que recaen, pues, sobre el acusado resultan ser más que evidentes y de la ausencia de cualquier tipo de explicación convincente por parte de éste, no cabe sino inferir su particular responsabilidad en los hechos. Y es que, en lo referente a una situación tan cuestionada como prestar cuentas bancarias propias para recibir transferencias, cualquier ciudadano medio ha de saber que se deben devolver las que no tienen ninguna relación con él, cosa que el acusado no hizo, entendiéndose, al descartar esta posibilidad, que conocía, en consecuencia, su procedencia ilícita (por todas, Sentencia del Tribunal Supremo de 19 de febrero de 2025).

En definitiva, la apreciación conjunta de todas estas pruebas, apreciadas conforme al criterio de libre arbitrio y valoración que prevé el artículo 741 de la Ley de Enjuiciamiento Criminal, lleva a este Tribunal a la firme convicción de que el relato fáctico que integra el delito de estafa por el que resulta acusado se encuentra razonablemente acreditado y ha quedado enervado el derecho a la presunción de inocencia que en principio le amparaba, lo que nos exime de entrar en el análisis de la figura alternativa por la que, en su defecto, se formula asimismo acusación. Debe aclararse, en cualquier caso, que en el delito de blanqueo de capitales por imprudencia del artículo 301, 1 y 3 del Código Penal, al igual que sucede con el delito de receptación del artículo 298 del mismo Texto sustantivo, no se exige un conocimiento pleno del ilícito patrimonial previo, sino que basta con conocer que los efectos, en este caso el dinero, procederían de algún delito patrimonial del que se aprovecha para obtener un lucro propio. Mas en este caso, el acusado participó de forma activa en el delito de estafa cometido, pues sin su intervención no se hubiere podido llevar a cabo la descapitalización de la empresa perjudicada. Ni que decir tiene que, caso de que se hubiera producido por error un ingreso por tan elevado importe -lo que tampoco asume-, lo procedente sería devolver la suma recibida, no efectuar múltiples reintegros y disposiciones de fondos hasta dejar su cuenta de nuevo prácticamente sin saldo, pues constatada la irregularidad de la transferencia recibida, por cuanto no figura éste como destinatario sino una empresa lituana, lo normal sería acudir al propio banco para informarse de lo sucedido y no esperar a que se pongan en contacto con él como sostiene y, desde luego, formular denuncia ante la policía. Nada de esto llevó a cabo, lo que se convierte en un indicio más de su comportamiento criminal.

TERCERO.-Así las cosas, y en directa relación con lo anterior, se estima que concurren los presupuestos que integran y definen el delito de estafa informática del artículo 248, apartados 1 y 2, del Código Penal, en su redacción vigente a la fecha de los hechos anterior a la reforma referida de diciembre de 2022, y de la que ha ser declarado responsable Justino, pues el engaño consistió en la manipulación falsaria, por sí mismo o con la intervención probable de un tercero -no consta que disponga de conocimientos informáticos suficientes, aunque su actividad de transportista no sea ajena al de las empresas afectadas-, del correo electrónico de la empresa beneficiaria de la transferencia, obteniendo un beneficio económico por importe de 54.250 euros, lo que lleva a subsumir los hechos a su vez, a efectos de penalidad, en la modalidad agravada del artículo 250 del mismo Código Penal, resultando, por lo demás, evidente el ánimo de lucro inherente al ilícito cometido.

Ha de tenerse en cuenta que, a la fecha de los hechos, en el número 1 se definía el tipo básico de la estafa y en el número 2 un tipo específico mediante la manipulación informática, de tal forma que en la dinámica comisiva que examinamos, se aprecian claramente dos fases, por un lado, la manipulación del correo electrónico del empleado de la empresa legítima destinataria del dinero mediante la creación de una cuenta de correo duplicada suplantando su identidad, lo que es conocido en el argot anglosajón como "spoofing", y la realización de la transferencia no consentida por el titular de la cuenta ordenante, y una segunda fase que consiste en la elección de una cuenta bancaria a la que se transfiere la cantidad fraudulentamente obtenida, con posterior retirada inmediata de su importe o su envío a terceras personas implicadas asimismo en el fraude cometido. Es cierto que en el curso de la instrucción no se ha podido llegar a conocer finalmente quien habría sido el destinatario de alguna de las transferencias realizadas por él dentro de los cinco días siguientes desde la cuenta del acusado, lo que no exime a éste, en cualquier caso, de su particular responsabilidad en los hechos en cuanto que titular de la cuenta corriente destinataria de la transferencia fraudulenta obtenida cuando ningún negocio o relación mercantil mantenía con la empresa perjudicada.

Esta arquitectura delictiva presenta, como se observa, unas claras similitudes con otra mucho más habitual conocida como "phishing", aunque en ésta la actividad delictiva se centra en engañar a los usuarios para que revelen información confidencial, mientras que el "spoofing" del que participa el acusado consiste en suplantar fuentes legítimas para ganarse la confianza de otro y obtener el acceso a información o datos relevantes, lo que en este caso permitió a los autores, el acusado por sí o con la intervención de terceros desconocidos, piratear la cuenta de correo de "Tranita" en las comunicaciones intercambiadas con "Gebrüder" y a cuyo departamento encargado del pago de las facturas pendientes lograron convencer para que la transferencia se hiciera a diferente cuenta de la habitual, aludiendo primero a que las anteriores se encontraban bloqueadas y después a la necesidad de que el pago se hiciera en una cuenta en euros y no en dólares. En definitiva, la habilidad desplegada por el autor permitió que el dinero transferido terminara en una cuenta corriente con domicilio en España cuando su verdadero destinatario había de ser una empresa lituana.

Lógicas resultan las dudas que en tal caso plantean las defensas sobre la existencia de un engaño personal directo y bastante en los responsables de "Gebrüder", tal y como exige el tipo, y a quien atribuyen falta de tutela sobre la transferencia realizada, mas no debemos olvidar que el delito se comete mediante una más que hábil manipulación informática y la propia sentencia del Tribunal Supremo de 20 de noviembre de 2001 se ha encargado de aclarar que "ello es así porque la asechanza a patrimonios ajenos realizados mediante manipulaciones informáticas actúa con automatismo en perjuicio de tercero, precisamente porque existe la manipulación informática y por ello no se exige el engaño personal".

Por lo demás, y aunque nada se ha dicho sobre los conocimientos informáticos de que pudiera disponer el acusado, quien de entrada afirmó no disponer de ninguna capacidad para poder consultar su cuenta a través de la aplicación bancaria fuera de la habitual comunicación escrita y a través de la extensión del correspondiente recibo, ello no obstante el Tribunal Supremo, en sentencia de 12 de junio de 2007, expone que en este tipo de delitos "se está ante un caso de delincuencia económica de tipo informático de naturaleza internacional en el que los recurrentes ocupan un nivel inferior y sólo tienen un conocimiento necesario para prestar su colaboración. La ignorancia del resto del operativo no borra ni disminuye su culpabilidad porque fueron conscientes de la antijuridicidad de su conducta, prestando su conformidad con un evidente ánimo de enriquecimiento, ya supieran, no quisieran saber (ignorancia deliberada), o les fuera indiferente el origen del dinero que en cantidad tan relevante recibieron. Lo relevante es que se beneficiaron con todo, o, más probablemente, en parte como "pago" de sus servicios. Es obvio que quienes prestaron su colaboración eficiente y causalmente relevante en una actividad antijurídica con pleno conocimiento y cobrando por ello no pueden ignorar indefensión alguna..... En la sociedad actual el acervo de conocimientos de cualquier persona de nivel cultural medio conoce y sabe de la ilicitud de una colaboración que se le pueda pedir del tipo de la que se observa en esta causa, y al respecto, hay que recordar que los recurrentes vivían en Madrid y no consta en los autos nada que pudiera ser sugestivo de un desconocimiento de la ilicitud de la colaboración que se le pedía, máxime cuando no se trataba de una colaboración gratuita sino que llevaba aneja un claro enriquecimiento personal".Doctrina que proclamada respecto a los delitos cometidos por los denominados "muleros", es de igual aplicación a los supuestos como el aquí descrito de suplantación de identidad para, a través de una manipulación informática, conseguir ser destinatario de la transferencia recibida y en la que otro figuraba como beneficiario.

Nos hallamos, pues, ante un supuesto claro de comisión por dolo directo, o cuanto menos eventual, pues la disposición de una cuenta a la que se destina la transferencia es un elemento necesario para la consumación de la estafa y la disposición inmediata de los fondos recibidos revela ese conocimiento, o al menos connivencia, para llevar a cabo el apoderamiento ilícito por parte del acusado. Por tanto, y aun en la hipótesis de que no hubiera participado en la manipulación informática y que sólo se limitara a recibir el dinero en su cuenta, de las pruebas evacuadas resulta fundada la inferencia que concluye que conocía toda la operativa de la que se enriqueció y a la que conscientemente hizo una aportación relevante, lo que abarca la totalidad de los elementos que conforman el delito de estafa informática (por todas, Sentencia del Tribunal Supremo de 2 de diciembre de 2014).

Por lo demás, y aunque por las defensas se alega que existe un cierto déficit en la instrucción al no haberse llevado a cabo gestiones sobre las investigaciones que hubieran podido llevarse a cabo en Lituania tras el hackeo cometido en el correo electrónico de "Tranita" que tiene su sede en ese país y, por tanto, se desconoce si ha podido ser averiguada la identidad de los presuntos autores de esta manipulación informática suplantando su identidad, como tampoco se han practicado gestiones para conocer cuál pudo ser el resultado de la denuncia que formuló la empresa austríaca ante la Fiscalía de su país, tal y como declaró el testigo en el plenario, no está de más recordar que en los delitos de estafa informática donde el dinero se mueve rápidamente o se extrae en lugares distintos al del engaño, la Sala de lo Penal del Tribunal Supremo (Autos de 20 de junio de 2012, 17 de noviembre de 2016 y 7 de julio de 2017, entre otros) prioriza en estos casos el criterio de la funcionalidad y eficacia en la investigación sobre el más general de la ubicuidad y, por tanto, resulta competente para conocer del asunto el órgano del lugar donde se creó la cuenta receptora o donde reside el presunto autor, o el del lugar donde se consuma el perjuicio patrimonial, en lugar del domicilio de la víctima, por lo que nada obsta a la condena del acusado por este ilícito en nuestro país, no existiendo constancia alguna que contra el mismo se siga procedimiento en ninguno de esos otros dos países, lo que no se ha acreditado.

CUARTO.-Entrando ya en la concreta individualización y determinación de la pena, no alegada la concurrencia de circunstancia modificativa de la responsabilidad criminal y aplicando los criterios de libre arbitrio que la ley concede a este Tribunal, se estima proporcionada y adecuada la imposición a Justino, por concurrencia de la modalidad agravada del artículo 250-1, apartado 5, del Código Penal al superar el límite de 50.000 euros establecido, la pena de dos años de prisión, inhabilitación especial para el ejercicio del derecho de sufragio pasivo durante el tiempo de la condena y multa de siete meses, con una cuota diaria de diez euros y responsabilidad personal subsidiaria en caso de impago conforme al artículo 53 del Código Penal.

Como se constata, tanto la pena la pena privativa de libertad como la extensión de la multa se sitúan algo por encima de su mínimo legal, aunque siempre dentro de su mitad inferior, pues dispone de antecedentes penales aunque no resulten computables a efectos de reincidencia, siendo la cantidad defraudada muy elevada y no habiendo mostrado signo alguno de arrepentimiento ni reconocido los hechos pese a las evidencias existentes en su contra. Por otra parte, la cuota de la multa se fija en una cantidad reducida de seis euros, próxima también al mínimo (en un umbral que oscila entre 2 y 400 euros diarios), pues manifiesta que continúa en la actualidad trabajando como transportista y que dispone de contrato indefinido, percibiendo un salario de unos 1.250 euros mensuales, sin que consten otras obligaciones ni cargas familiares conforme asimismo ha declarado. De hecho, su imposición por debajo podría suponer la pérdida de toda eficacia preventiva de la pena. En este sentido, el importe fijado se sitúa en el tramo inferior de dicho margen de aplicación de la cuota, ya que, como es lógico, la cuantía mínima debe reservarse, según indica reiterada jurisprudencia, a situaciones acreditadas de indigencia o miseria, de imposibilidad económica de hacer frente a un mínimo pago, por lo que en casos ordinarios en que no concurren dichas circunstancias extremas, resulta adecuada la imposición de una cuota prudencial situada en el tramo inferior, próxima al mínimo, como aquí sucede y que se estima adecuada a falta de una cumplida acreditación de su total ausencia de ingresos o medios económicos.

QUINTO.-En materia de responsabilidad civil y de acuerdo a lo previsto en el artículo 109, en relación con el artículo 116, ambos del Código Penal, declarada la responsabilidad criminal del acusado, éste deberá indemnizar a la mercantil "Gebrüder Weiss GmbH ", de conformidad con lo establecido en el artículo 110-3° del Código Penal, en la cantidad de 54. 250 euros, con declaración de responsabilidad civil subsidiaria, a tenor de lo previsto en el artículo 120-3° del mismo Código, de la sociedad "Banco de Santander, S.A".

La responsabilidad de esta última constituye motivo de controversia, sin embargo, para la defensa de dicha entidad, pues insiste, conforme a las manifestaciones vertidas por los respectivos directores de otras tantas sucursales bancarias que depusieron en el curso del plenario, que no se incumplió ninguna normativa, sino que, antes al contrario, la indicación correcta del número de IBAN excluye la posibilidad de cualquier posible control por parte del responsable de la oficina bancaria en donde se encuentra domiciliada la cuenta, habiendo actuado en todo momento conforme a los protocolos existentes en materia de prevención de blanqueo de capitales y de acuerdo con los sistemas de control aplicables al sistema financiero español, citando al respecto distintas sentencias de diferentes tribunales de nuestro país.

No podemos estar de acuerdo, sin embargo, con tal criterio, ciertamente controvertido, pero que desde luego no se corresponde con la posición expresada, entre otras, por esta misma Audiencia Provincial de Madrid, Sección 23, en su reciente sentencia de fecha 9 de diciembre de 2025, referida por cierto a esta misma entidad bancaria, pero que dicha parte no menciona aunque de su lectura se desprende que fue la misma dirección legal quien asumió la defensa en ese procedimiento. Y, sobre todo, no se corresponde con el reciente criterio establecido por el Tribunal Supremo, Sala Primera, Civil, en su sentencia de 9 de abril de 2025, que ha confirmado la responsabilidad de las entidades financieras ante fraudes cometidos mediante suplantación de identidad y operaciones no autorizadas, como el phishing, smishing o spoofing. Este pronunciamiento, a diferencia de otra inmediata anterior de 27 de marzo de 2025, que es la que reproduce alguna de las sentencias a que alude el Banco de Santander en defensa de su posición, refuerza la protección de los usuarios en el entorno digital y marca un hito en la interpretación de la normativa vigente en materia de pagos electrónicos viniendo a unificar un criterio interpretativo ciertamente disperso hasta la fecha. El Alto Tribunal, a partir de este fallo, responsabiliza a las entidades financieras de los fraudes por suplantación de identidad si no han aplicado protocolos de autenticación reforzada y no han logrado prevenir operaciones sospechosas (como transferencias inusuales), obligando al reembolso del dinero y, sobre todo, recordando que la carga de probar que hubo una "negligencia grave" por parte del consumidor recae íntegramente sobre la entidad bancaria.

No se olvide a este respecto que, según el artículo 120 del Código Penal, "son también responsables civilmente en defecto de los que lo sean criminalmente (...) 3º.- las personas naturales o jurídicas, en los casos de delitos cometidos en los establecimientos de los que sean titulares, cuando por parte de los que dirijan o administren, o de sus dependientes o empleados, se hayan infringido los reglamentos de policía o las disposiciones de la autoridad que estén relacionados con el hecho punible cometido, de modo que éste no se hubiera producido sin dicha infracción".

Pues bien, en relación a este precepto, la sentencia del Tribunal Supremo, Sala 2ª, de fecha 12 de febrero de 2020 ya nos recuerda que "no nos movemos aquí en el marco específico del derecho penal, sino precisamente en el del derecho civil resarcitorio de los perjuicios derivados de la infracción penal cometida. Se ejercita así una acción distinta, aunque acumulada al proceso penal por razones de utilidad y economía procesales, con la finalidad de satisfacer los legítimos derechos (civiles) de las víctimas; de modo que las acciones civiles no pierden su naturaleza propia por el hecho de ejercitarse ante la jurisdicción penal. Y ello hasta el punto de llegar a una cuasi-objetivación basada en la teoría del riesgo, o bien del aprovechamiento de la actividad que lo genera (cuius commoda eius incommoda). Y también nos hemos referido en otras ocasiones a que la evolución progresiva que ensancha este tipo de responsabilidad civil mediante la aplicación de la teoría del riesgo, aunque no permita hablar en sentido estricto de que en esta esfera impere un criterio de absoluta responsabilidad objetiva, sí puede decirse que prima o prevalece un criterio de "ponderado objetivismo" ( SSTS 108/2010, de 4 de abril ; 357/2013, de 29 de abril ; 64/2014, de 11 de febrero y 778/2015, de 18 de noviembre )".

Es por ello que, como también señala la sentencia de este mismo Alto Tribunal de 30 de enero de 2019, "los artículos 120 y 121 del Código penal recogen los supuestos de responsabilidad subsidiaria, esto es, de la responsabilidad que surge en defecto, total o parcial, de la principal. Son supuestos en los que la responsabilidad civil se exige a personas que no han participado en el delito, pero que, sin embargo, tienen una vinculación con los partícipes del hecho que genera una culpa in vigilando, (por ejemplo, este fundamento aparece claramente en el art. 120.1), in eligendo, o bien, una responsabilidad objetiva (los supuestos de los números 2, 3, 4 y 5 admiten ser interpretados conforme a una responsabilidad objetiva)."

De esta forma, y haciéndonos eco nuevamente de la sentencia antes referida de la Sala Civil de 9 de abril de 2025, conforme a lo dispuesto en la Ley de Servicios de Pago (Real Decreto-ley 19/2018), las entidades bancarias deben rectificar las operaciones no autorizadas por el usuario y, en consecuencia, restituir las cantidades sustraídas, salvo que puedan demostrar que el cliente ha actuado con negligencia grave o fraude. Es decir, la carga de la prueba recae en el banco, pero en este caso el Tribunal Supremo se puede decir que ha ido ahora mucho más allá al afirmar que no basta con cumplir formalmente con los protocolos técnicos (como la autenticación en dos pasos o los SMS de verificación), que es la tesis defendida por el Banco de Santander, sino que las entidades deben adoptar una actitud proactiva y diligente tanto en la prevención como en la respuesta a los fraudes. La sentencia consolida así una doctrina de responsabilidad cuasi-objetiva, en la que se impone al banco la obligación de garantizar la seguridad del canal digital, con independencia de si el ataque proviene de terceros. Este nuevo enfoque implica que, ante una operación no autorizada, el cliente solo necesita acreditar que actuó con la diligencia razonable, notificó el incidente con prontitud y custodió adecuadamente sus credenciales. En cambio, será la entidad financiera la que deba probar que hubo negligencia grave o intencionalidad por parte del usuario para eximirse de responsabilidad.

Cabe concluir, por tanto, que, a partir de ahora, conforme a la jurisprudencia del Tribunal Supremo citada, las entidades bancarias, en aquellos casos en que se ha producido alguno de los fraudes antes descritos, ya no pueden "escudarse" bajo el falso pretexto de que una operación de pago autenticada, registrada con exactitud y contabilizada es necesariamente "equivalente" a una operación de pago consentida por el usuario del servicio de pago, en este caso por la sociedad austríaca que realiza la transferencia a una cuenta corriente española y quien lleva a cabo una operación no consentida, o mejor dicho, viciada por la suplantación de identidad de la cuenta de correo del beneficiario de esta transferencia, modificando para ello el número de IBAN del destinatario. Sintetiza a este respecto la relevante sentencia del Tribunal Supremo que reproducimos, "la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo, en el doble sentido de que, primero, notificada la existencia de una operación no autorizada o ejecutada incorrectamente, el proveedor debe responder salvo que acredite la existencia de fraude; y, segundo, cuando el usuario niegue haber autorizado la operación o alegue que ésta se ejecutó incorrectamente, corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave".

En efecto, la Ley de Servicios de Pago de 23 de noviembre de 2018 establece, en su artículo 43-1, que "el usuario de servicios de pago obtendrá la rectificación por parte del proveedor de servicios de pago de una operación de pago no autorizada",esto es, tendrá el derecho a obtener el abono de la cantidad que se le ha sustraído. Ahora bien, la propia Ley establece, a su vez, dos salvedades a este principio: la primera, en el artículo 46-1, cuando señala que el banco no será responsable si puede probar que el cliente incurrió en una negligencia grave en el cumplimiento de sus obligaciones; y la segunda, en el artículo 44-1, cuando dice que el banco no será responsable si puede probar que "la operación de pago fue autenticada, registrada con exactitud y contabilizada y no se vio afectada por un fallo técnico u otras deficiencias vinculadas al servicio de pago del que es responsable".

Y esta misma sentencia, respecto a la dificultad de poder controlar las transferencias a que alude la defensa del Banco de Santander, incluidas las internacionales, en las que el número de IBAN se corresponde con el titular de la cuenta, tal y como declararon los directores de las oficinas bancarias comparecidos como testigos, recuerda, no obstante, que "los avances de la tecnología actual hacen relativamente sencillo diseñar sistemas o aplicaciones informáticas idóneas para detectar ciertas anomalías en la prestación de los servicios de pago. Operaciones que, tratándose de empresas o sociedades con un concreto objeto social, pueden calificarse como ordinarias, deben inmediatamente levantar sospechas y dar lugar a una respuesta cuando afectan a personas físicas ajenas a tales actividades. A este respecto, sería suficiente un control automático de determinados factores, como el número y sucesión de operaciones, el intervalo en que se ejecutan, la hora del día, su importe, entidades de destino......para generar un aviso que reforzara los requisitos de confirmación y minimizara los posibles riesgos".

En este caso, de la lectura del Real Decreto 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, se infiere que la operativa llevada a cabo en la cuenta del Banco Santander debió haber sido identificada como operación susceptible de estar relacionada con el blanqueo de capitales y, por tanto, se debieron haber activado los mecanismos de la entidad y en particular, el bloqueo inmediato de la cuenta, pues resulta evidente que el titular de la misma no había declarado una actividad profesional relacionada con operaciones de comercio exterior -véase sino el formulario de información obligatoria al cliente que figura a los folios 212 y siguientes de la causa- y, desde luego, la naturaleza de los movimientos bancarios registrados en su cuenta y el reducido importe de sus operaciones debió alertar al banco de que una transferencia internacional de nada menos que 54.250 euros, ingresada en una cuenta que se encontraba en descubierto, figurando como destinatario una empresa distinta y no el titular, quien lleva a cabo a continuación sucesivos reintegros y disposiciones de sus fondos en apenas cinco días, podría resultar una actividad sospechosa y, de hecho, aunque de forma tardía, por parte del Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias se informa que fueron rechazadas automáticamente (al folio 430), lo que ciertamente no sucedió, pues los fondos finalmente desaparecieron de la cuenta de destino, pero revela cuanto menos la posibilidad de que disponía el Banco para bloquear la operación, lo que no hizo. De hecho, los responsables de las entidades bancarias comparecidos como testigos así vinieron a reconocerlo en la práctica, pues si bien declinaron que esa posibilidad pudiera recaer directamente en el director de la sucursal donde figura domiciliada la cuenta, no dudaron en reconocer al mismo tiempo que el departamento de control de fraude de la entidad puede activar las alertas en determinados casos, cuyo modo de hacerlo, sin embargo, no concretaron.

Debemos regresar en este punto necesariamente al contenido de la sentencia de esta misma Audiencia Provincial de Madrid de fecha 9 de diciembre de 2025 a la que antes aludimos y que, a diferencia de las invocadas por la defensa, acoge este mismo criterio en base a la normativa legal que estima de aplicación y pese a no hacer mención a ninguna de las sentencias del Tribunal Supremo antes referidas, la cual, aplicada al caso concreto que enjuiciamos, nos lleva a concluir que de haberse producido en tiempo y forma al bloqueo de la cuenta de Justino, la dinámica comisiva no se hubiera podido consumar ni habrían tenido lugar las disposiciones de fondos realizadas por éste en los días siguientes, pues de haber actuado el Banco de Santander de forma diligente, el dinero habría quedado cautelarmente bloqueado hasta que se presentase justificación de la operativa desarrollada.

No se olvide que, según el artículo 24-2 del Reglamento que desarrolla la referida Ley de Prevención del Blanqueo de Capitales, entre las operaciones susceptibles de estar relacionadas con dicho blanqueo, se incluyen aquéllas que no se corresponden a la actividad o antecedentes operativos del cliente, como es este el caso, pues si bien consta dedicado a la actividad del transporte, no figura que lleve a cabo operaciones de comercio exterior conforme figura en el PIOC y, en todo caso, de conformidad con esta misma Ley, de haber realizado algún tipo de seguimiento y verificación, la entidad podría haber constatado la transferencia de alto importe de la que figura como destinatario, pese a que su beneficiario era una tercera empresa que nada tenía que ver con éste, procediendo, siquiera cautelarmente, al bloqueo de la cuenta mientras verificaba la legalidad de la operación y en cuyo caso las disposiciones posteriores -más de veinte en apenas cinco días- no se hubiesen podido producir tampoco, pues de haberse hecho, el dinero habría quedado bloqueado hasta que presentase justificación de la operativa desarrollada. Todo ello determina la responsabilidad civil subsidiaria de la entidad bancaria en la comisión del delito por omisión de la normativa específica que le es de aplicación.

Sugerida, finalmente, por la defensa de la entidad bancaria, durante el trámite de informe y al final de su intervención aunque sin apoyo argumental alguno, la posible aplicación alternativa del principio de concurrencia de culpas dada la responsabilidad en la que, a su vez, habría incurrido la mercantil perjudicada al remitir la transferencia a una cuenta errónea, esta misma sentencia de la Audiencia Provincial de Madrid que citamos da cumplida respuesta también a la cuestión aquí planteada, recordando que en casos como el presente no se trata tanto de una cuestión de compensación de culpas, que tendría difícil encaje en los supuestos de un delito doloso como es la estafa, sino que el campo del artículo 114 del Código Penal que recoge tal posibilidad sería de aplicación solo en aquellos supuestos en los que la contribución de la víctima, no siendo causal, ni por tanto situarse en el resultado, puede tener alguna relevancia en materia indemnizatoria en virtud de la facultad discrecional que en relación a la responsabilidad civil otorga este artículo ( STS 623/2022 22 de junio; STS 440/2022 de 4 de mayo; STS 522/2017 de 6 de julio).

Pero, concluye esta sentencia, dicho precepto no es de aplicación para poder moderar la responsabilidad civil de la entidad bancaria en donde figuraba abierta la cuenta corriente del acusado y a donde se transfirió la suma de dinero bajo engaño, pues en nuestro ordenamiento jurídico la responsabilidad civil nacida de delito tiene un régimen especial y diferente del régimen general de la culpa extracontractual y, por tanto, hay que estar a lo dispuesto en el Código Penal y el artículo 114 es un precepto inescindible. La responsabilidad civil es estrictamente vicaria de la responsabilidad penal. En consecuencia, el responsable civil subsidiario responde de lo mismo que el responsable penal, Justino, aunque sólo en defecto de éste, de tal forma que no caben diferenciaciones en el alcance de sus respectivas responsabilidades civiles en virtud de factores como éste, pues, conforme a este criterio, la culpa de la víctima no tendría relevancia en relación a la conducta dolosa, pero si repartiría el daño en relación al tercero en caso de culpas concurrentes, no exigiéndose constatar, en concreto, la presencia de culpa de ese tercero civil responsable (por todas, STS 300/2014 de 1 de abril).

En definitiva, y a la vista de lo expuesto, no se trata que las entidades bancarias tengan que responder siempre y ante cualquier circunstancia ni tampoco que dichas entidades no experimenten ningún perjuicio como consecuencia de las actuaciones fraudulentas cometidas por terceros, sino que como operadores que desempeñan una actividad muy lucrativa, mientras los consumidores y usuarios se ven forzados a operar a través de plataformas digitales que generan un claro riesgo para la sociedad, estas entidades deben poner sus esfuerzos y recursos en prevenir el fraude e impedir que los defraudadores se valgan de sus servicios para cometer actos delictivos, debiendo responder cuando realmente se haya posibilitado la comisión del delito por un proceder negligente que haya supuesto la inobservancia de las normas de cuidado. Resulta obvio que la solución del problema pasa entonces necesariamente por un mayor desarrollo y una correcta implementación de sistemas de detección preventiva del fraude por parte de las entidades bancarias.

El Banco de Santander no aplicó las medidas que la Ley de Prevención del Blanqueo de Capitales establece en tanto en cuanto no verificó la actividad de la cuenta, no solicitó el origen de los fondos ni tampoco bloqueó las operaciones sospechosas, porque, según se escuda, no saltó la alarma, pero en la comunicación remitida al órgano judicial sí reconoce que fue rechazada la transferencia, lo que, aun cuando lamentablemente no es cierto ni evitó el desfalco, revela que pudo hacerlo. La negligencia bancaria en la prevención del blanqueo de capitales permitió la consumación del acto delictivo y aunque el regulador no haya intervenido, argumento utilizado asimismo por la defensa para eximirse de su particular responsabilidad, no por ello se ha de dejar de declarar su responsabilidad en el orden civil, siempre con carácter subsidiario al declarado penalmente responsable de estos hechos.

Por ello, finaliza esta sentencia diciendo que "está fuera de toda duda que las entidades bancarias juegan un rol esencial en la economía, posibilitando la realización de una larga lista de transacciones financieras de forma telemática y ágil, lo que permite que el dinero fluya entre los diferentes sectores con la consecuente generación de riqueza. Si bien, igual de claro resulta que las entidades bancarias desarrollan una actividad que entraña un elevado nivel de riesgo por cuanto ejercen como intermediarios y depositarios de los recursos económicos de las personas y de las empresas y a su vez los delincuentes se sirven de ellas para cometer estafas, como en este caso, recibiendo de manera indebida transferencias de fondos a una cuenta bancaria fruto de una estafa o engaño consiguiendo que el dinero defraudado pase por la citada cuenta bancaria antes de ser desviado hacia otros productos que dificultan su rastreo, como fue el caso.

Téngase en cuenta que las entidades bancarias desempeñan una actividad con ánimo de lucro y que sus consumidores y usuarios dependen de ellas para operar y no quedan excluidos del sistema financiero, pagando por sus servicios.

Las entidades bancarias han de cumplir, por tanto, con unas muy altas exigencias de seguridad en los sistemas de pago e intermediación financiera, con el objeto de minimizar al máximo e idealmente descartar el riesgo de la actividad que desempeñan, debiendo corresponder la confianza que depositan en ellos los consumidores y usuarios y responder cuando no han cumplido satisfactoriamente y tales exigencias de seguridad no han sido satisfechas, permitiendo la materialización del riesgo en el resultado".

SEXTO.-Por último, y con arreglo a lo dispuesto en el vigente artículo 123 del Código Penal, las costas procesales vienen impuestas por ley al declarado responsable criminalmente de estos hechos, incluidas las de la acusación particular.

Téngase en cuenta que, de acuerdo a una abundante doctrina jurisprudencial (por todas, Sentencias del Tribunal Supremo de 15 de septiembre de 1999, 25 de enero de 2001, 25 de octubre de 2006 y 15 de marzo de 2017), no consta que la mercantil querellante hubiera entorpecido el proceso ni formulado peticiones heterogéneas respecto de las conclusiones aceptadas en la sentencia, no pudiendo ser calificada su actuación como superflua, inútil o perturbadora, ni desde luego inadecuada desde el punto de vista procesal, en cuanto que se ha personado en la causa en el legítimo ejercicio de las acciones civiles y penales derivadas de estos hechos, solicitando de inicio idéntica pena y declaración de responsabilidad civil que el Ministerio Público, si bien reclama, además, la responsabilidad civil subsidiaria del "Banco de Santander, S.A.", que asimismo se acoge en el fallo.

Vistos los preceptos legales citados, sus concordantes y demás de general y pertinente aplicación,

PRIMERO.-Como resultado de las pruebas evacuadas en el transcurso de la vista oral, consistentes básicamente en la declaración del acusado y la testifical del responsable de la mercantil perjudicada, así como de los empleados y representantes de la entidad bancaria, junto con la documental incorporada a los autos, no subsiste ninguna duda de la participación de Justino en los hechos denunciados, quedando de este modo enervado su derecho a la presunción de inocencia y todo ello de acuerdo a una abundante doctrina jurisprudencial que, en interpretación del artículo 24 de la Constitución, declara reiteradamente que dicho derecho supone la necesidad de que durante el plenario, con publicidad, inmediación, contradicción y oralidad (por todas, STC 31/1981, reiterada y citada en muchas posteriores como la STC 118/1991 y la STC 124/1990), se aporten suficientes elementos de juicio para entender acreditados los hechos objeto de acusación mediante una auténtica prueba de cargo ( STC 70/1985, reiterada por la STC 98/1990), llegándose en este caso a la convicción de que el relato fáctico que integra el tipo penal de estafa por el que resulta condenado consta razonablemente acreditado.

Se estima acreditado, en efecto, sin ningún género de dudas, que los hechos resultan legalmente constitutivos de un delito de estafa informática del artículo 248, párrafos primero y segundo, apartado a) del Código Penal, en la redacción vigente a la fecha de los hechos y anterior, por tanto, a la modificación introducida por la Ley Orgánica 14/2022, de 22 de diciembre, en relación con el tipo agravado del artículo 250-1, apartado quinto, del mismo Texto sustantivo en cuanto que el valor de lo defraudado supera los cincuenta mil euros. De su análisis nos ocuparemos, sin embargo, más adelante una vez valorada la conducta típica en que incurre el acusado a la vista de la documental y testimonios vertidos, y de cuyo comportamiento punible dimana la declaración de responsabilidad civil subsidiaria de la entidad bancaria, quien invoca, como primer argumento de oposición, que, a causa de la imputación tardía de la acusación particular, no ha podido articular su defensa con todas las garantías, con infracción de sus derechos constitucionales.

Mas nada de eso se aprecia en este caso, pues con independencia de que no se mencionen qué diligencias concretas pudo haber interesado en fase de instrucción que le permitieran acreditar que los departamentos del banco encargados de estos controles habían actuado con la adecuada diligencia, lo que tampoco solicita para su práctica durante la celebración del juicio oral, la controversia suscitada carece, en cualquier caso, de recorrido procesal alguno al haber sido ya resuelta con reiteración por la jurisprudencia, descartándose que el hecho de que la exigencia de responsabilidad civil no se suscite hasta la redacción del escrito de acusación genere indefensión alguna, pues tras la apertura del juicio oral adquirió la plena condición de parte, sin restricción alguna, personándose con abogado y procurador. De ahí la necesidad de notificación del auto de apertura de juicio oral a la persona natural o jurídica que pudiera ser declarada responsable civil de los perjuicios ocasionados ( Sentencias del Tribunal Supremo de 21 de enero de 1994 y 13 de diciembre de 1991, y del Tribunal Constitucional de 11 de febrero de 1985). Y esta es precisamente la situación que aquí se produce, pues notificado el auto de apertura de juicio oral de fecha 18 de noviembre de 2025 (a los folios 512 y siguientes de las actuaciones), dicha entidad evacuó su escrito de defensa con todas las garantías legales, tras emplazarle y requerirle al pago de la fianza correspondiente, por lo que ningún tipo de indefensión pudiera derivarse de su incorporación tardía, sin olvidar que durante la fase de instrucción fue requerida en diversas ocasiones para la aportación de distinta documental, siendo los directores de las oficinas bancarias que tuvieron alguna relación con este asunto citados en su momento a declarar como testigos, por lo que es evidente que tenía conocimiento de la existencia del procedimiento seguido contra el titular de la cuenta bancaria, que tenia abierta en una de las sucursales del Banco de Santander.

Al respecto, una reciente sentencia del Tribunal Supremo de 19 de julio de 2021, al abordar la cuestión relativa a la responsabilidad civil subsidiaria derivada de la aplicación del artículo 120 del Código Penal de la que nos ocuparemos luego, recuerda expresamente que no resulta imprescindible que el auto de transformación del procedimiento abreviado incluya al eventual tercero responsable civil. Lo estrictamente necesario es que sea traído al proceso antes del juicio oral, sin que constituya un requisito indispensable ni su declaración en fase de instrucción ni una expresa constitución judicial anterior a la apertura del juicio oral.

Por lo demás, y dejando ya al margen esta cuestión de índole meramente formal, la declaración de Justino vertida con fines claramente exculpatorios durante el plenario, no logra eximirle de la responsabilidad penal pretendida vistos los documentos incorporados a la causa y el testimonio vertido por el responsable del departamento de cobros de la empresa austríaca perjudicada por el engaño. Así, reconoce el acusado que acudió personalmente a la oficina y suscribió con su firma el contrato de apertura de cuenta corriente necesaria para su actividad profesional, primero como trabajador por cuenta ajena y más adelante como autónomo, siendo necesario que facilitara tanto su número de móvil como su dirección de correo electrónico. Así se desprende también de la documentación remitida a requerimiento del órgano judicial, por parte de Adriana, responsable de la asesoría jurídica del banco, lo que ratifica durante el plenario (folios 212 a 224 de las actuaciones) y que contiene el "formulario de información obligatoria del cliente" (FIOC), la copia del contrato cuenta zero y tarjeta débito zero, junto con los movimientos existentes en la misma (folios 225 y siguientes). En dicho contrato, suscrito materialmente con su firma en la sucursal 5134 de la calle Alcalá, 445 de Madrid, constan efectivamente sus datos personales, teléfono y correo electrónico, así como la actividad declarada, junto con las condiciones y beneficios que se pudieran derivar de su apertura.

En todo caso, manifiesta haber tenido siempre en la cuenta un saldo reducido, sin grandes movimientos de dinero producto de su trabajo como transportista, existiendo un saldo deudor de 131,26 euros a la fecha de recibo de la transferencia, la cual, por importe de 54.250 euros, se ingresó en su cuenta con fecha 30 de junio de 2021, pero de la que afirma no tener ningún conocimiento, pues no consultaba, según él, la aplicación del banco por teléfono y ningún responsable le avisó, sin que cuando pidió explicaciones, se las dieron, informándole que su cuenta se encontraba intervenida y que le llegaría una notificación a casa, lo que nunca ocurrió. Tampoco tenía acceso, según afirma, a la aplicación "bizum". De ahí que desconozca quién pudo ser responsable de realizar la transferencia, así como las disposiciones llevadas a cabo en su cuenta en los cinco días posteriores al 30 de junio de 2021, ya que con su tarjeta solo retiraba lo imprescindible para sus gastos básicos. En consecuencia, se considera perjudicado también por lo sucedido, manifestando que abrió la cuenta en fecha que no puede precisar, pero en todo caso antes de la pandemia, la cual mantuvo operativa hasta enero del año 2022, que fue cuando, según cree recordar, le llamaron del banco para decirle que estaba intervenida. Reconoce, no obstante, que acudió a la policía al enterarse de que su cuenta había sido hackeada y en donde le dijeron que no podían hacer nada, si bien tuvo que cambiar su número de teléfono pues recibía mensajes de whatsapps reclamándole dinero. En la actualidad sigue trabajando como transportista para una empresa de paquetería y recibe el sueldo mínimo de 1.250 euros, viéndose obligado a vender su piso al no poder hacer frente al pago de la hipoteca, por lo que ahora vive solo ya que su pareja tuvo que regresar a su país para cuidar de sus padres, ocupando una habitación en régimen de alquiler.

La declaración de Miguel como responsable del departamento de clientes y encargado de la contabilidad y del departamento de pagos al extranjero en la empresa austríaca "Gebrüder Weiss GmbH" (en adelante, Gebrüder), corrobora, en cambio, el fraude cometido, pues en cuanto que dedicada al transporte internacional, mantenía relaciones comerciales desde el año 2017 con otra empresa lituana de nombre "Uab Tranita" (en adelante, Tranita), con quien cooperaban en la logística necesaria para el desarrollo de su actividad en países como Alemania y Finlandia, encargándose "Tranita", según consta en su querella, del pago de los fletes a través de la persona de contacto de nombre Eloisa, siendo, a su vez, Rebeca la encargada en la empresa "Gebrüder" de realizar los pagos una vez la primera se ponía en contacto con ella a través normalmente de correo electrónico para indicarle cuáles eran las cantidades pendientes de pago. Así, se dispuso una primera transferencia en fecha 8 de junio de 2021 por importe de 41.400 euros a una cuenta supuestamente facilitada por Eloisa tras indicarle ésta que las cuentas lituanas utilizadas anteriormente de forma exclusiva para realizar los pagos estaban bloqueadas y que el pago debía realizarse a partir de entonces a una cuenta española abierta en el Banco de Santander. Sin embargo, y tras insistir "Tranita" que no había recibido su importe, pues la transferencia se había realizado a una cuenta en dólares americanos, anunciándose por ello su devolución y que el nuevo pago debía realizarse a otra cuenta, en este caso en euros, dicha transferencia se hizo a una cuenta del Banco de Santander y, en concreto, según consta documentado, a la que figuraba abierta a nombre del acusado en la sucursal de la calle Alcalá, nº 445 de Madrid. De esta forma se transfirió la cantidad de 54.250 euros correspondientes a los 41.400 euros antes abonados pero que le iban a ser devueltos, más el importe de otras facturas vencidas hasta ese momento. Realizada la transferencia con fecha 28 de junio de 2021, constataron después que el dinero no había llegado a "Tranita" y al contactar con su banco, les informaron que ya no era posible recuperar su dinero, razón por la que formularon denuncia ante la Fiscalía de su país, de cuyo resultado nada saben y de ahí que reclamen su importe en este procedimiento.

Interrogado para que precise el origen de los pagos realizados, afirma que corresponden a facturas que, por importe de unos 2.500 euros, van acumulando y de ahí que las cantidades transferidas suelan ser muy elevadas. Para realizar los pagos, contactan por teléfono y, sobre todo, por correo electrónico con "Tranita", ya que es una empresa extranjera, ignorando al efectuar las transferencias que se trataba de una dirección de correo falsa, pues parecían mensajes auténticos procedentes de la cuenta habitual de Eloisa a través de la cual venían habitualmente contactando con dicha empresa desde el año 2017 sin problema alguno, no percatándose del fraude hasta que recibieron comunicación de "Tranita" reclamando su importe. En ese momento reunieron los correos que tenían y se pusieron en contacto con el departamento legal de la empresa y con los responsables de informática, constatando que su correo no había sido hackeado, sino que el que había sido pirateado era el correo electrónico de Eloisa, lo que permitió desviar los fondos a las cuentas españolas. Estos correos figuran incorporados a la causa, junto con el informe de detectives que acompañan con su querella, todos ellos traducidos al español (original a los folios 11 a 83, traducción a los folios 84 y siguientes). Con fecha 5 de julio de 2021 intentaron, a través de su banco, la devolución de las transferencias, pero les informaron que se trataba de un fraude y que todo dependía de lo que pudiera hacer la entidad bancaria donde se ingresó su importe y de que el dinero continuara todavía depositado en la cuenta de destino, lo que no sucedió.

A preguntas del Letrado del Banco de Santander, no fue posible, sin duda por las dificultades derivadas del empleo de un idioma extranjero, que el testigo concretara el volumen de negocios anual de "Gebrüder", pero precisa que su empresa dispone de un sistema de contabilidad muy detallado donde sus proveedores van unidos a un número y este número a una cuenta bancaria, facilitando el programa informático el detalle de los pagos. Insiste, en todo caso, que se hicieron las transferencias a cuentas españolas porque en ese momento desconocían que la dirección de correo de Eloisa hubiera sido manipulada. No le consta, sin embargo, que en su empresa exista ningún protocolo relativo a ataques informáticos o ciberseguridad, como desde luego ignora que exista una Directiva comunitaria, traspuesta al derecho austríaco en el año 2018, sobre suplantación de cuentas bancarias. Mas vuelve a insistir que se pusieron en contacto con "Tranita" al constatar el hackeado de la cuenta de correo de la empresa lituana y que dicha empresa formuló denuncia por tal motivo, desconociendo cuál fue su resultado.

A preguntas, por último, de la defensa del encausado, manifiesta que siendo "Tranita" una empresa con sede en Lituania, los pagos se hacían habitualmente a cuentas de su país, pero se cambió a una cuenta española las que las suyas les dijeron que habían sido bloqueadas, lo que no les extrañó, ya que su empresa trabaja con otras de diferentes países y disponen de una constelación de cuentas bancarias. Tampoco les llamó la atención que, tras efectuar una primera transferencia a una cuenta, les dijeran que al ser ésta en dólares estadounidenses, debían hacer el pago a otra en euros, insistiendo en que todo ello se debió a que el correo de Eloisa, su contacto en dicha empresa, había sido manipulado. Finalmente, manifiesta que la empresa "Gebrüder" tiene suscrita una póliza de seguros que cubre alguna de estas contingencias, pero solo para perjuicios que superan el millón de euros.

Por su parte, los testimonios vertidos por Celso y Pedro, directores de otras tantas sucursales de la entidad Banco de Santander en nuestro país, el último de ellos de la oficina de la calle Alcalá, nº 445 de Madrid en donde figura domiciliada la cuenta destinataria de la transferencia, sostienen que nada tiene que ver su Banco con la defraudación producida, pues con independencia de quien figure como beneficiario de la transferencia, lo relevante es el número de IBAN y si este está correcto, la transferencia opera directamente sin intervención alguna de los empleados de la sucursal. Solo si sobre una cuenta o una determinada operativa estuviese activada alguna alarma por parte de los departamentos centrales del Banco, es cuando estarían obligados a hacer alguna comprobación, ya que en los demás casos el control debe llevarlo a cabo el propio ordenante. Y lo mismo sucede cuando se trata de una transferencia internacional. Si bien ha asistido a cursos sobre prevención del fraude, nada tiene que ver con la operativa diaria del banco respecto a las trasferencias que se realizan, debiendo limitarse a comprobar la identidad de la persona y su actividad profesional en el momento de proceder a la apertura de la cuenta, pero sin que, salvo que exista algún aviso, se pueda bloquear la cuenta de ningún cliente.

El segundo de los testigos corrobora todo lo dicho por el anterior, si bien, en su calidad de director en su momento de la sucursal donde se abrió la cuenta destinataria de la transferencia, afirma haber constatado que se trataba de un contrato de cuenta corriente que se formalizó personalmente en la sede de dicha entidad con base a la documentación aportada por el interesado, ya que la Ley de Prevención del Blanqueo de Capitales obliga a comprobar el perfil del cliente. Le consta, en cualquier caso, que se encontraba operativa desde agosto del año 2020, aunque desconoce cuál pudiera ser su saldo habitual o si se hallaba al descubierto el día en que se llevó a cabo la transferencia, siendo habitual que si eso sucede, se realicen gestiones a este respecto con el cliente, pero insiste en que no se puede intervenir la operación si la transferencia se atiene a la normativa Sepa y el número de IBAN está correcto, existiendo un departamento de blanqueo en el banco que se encarga de detectar las actividades que pudieran resultar sospechosas, pues la propia oficina no dispone de capacidad para ello. Y aun cuando, según la Ley de Prevención de Blanqueo de Capitales, están obligados a activar alertas en caso de operaciones sospechosas, el encargado de llevar a cabo esos filtros no es la oficina sino el departamento de fraude creado por el Banco, por lo que si como es este el caso, se realiza la transferencia sin existir ningún aviso, entra directamente en la cuenta corriente del cliente sin posible control por su parte. Es después, si se detecta alguna irregularidad, cuando se inicia un procedimiento de comprobación por fraude a cargo del departamento correspondiente a fin de constatar, entre otras cosas, si el dinero salió ya de la cuenta. De lo ocurrido en este caso, solo se enteró cuando fue citado a declarar por primera vez por este asunto, y que no le consta que la transferencia en este caso hubiera sido rechazada automáticamente, tal y como al parecer se indica en la información remitida por la asesoría jurídica del Banco (folio 430).

A preguntas del Ministerio Fiscal, confirma que los documentos que se le exhiben se corresponden con el contrato de apertura de cuenta corriente con el acusado (folios 212 y siguientes), desconociendo si incluía la posibilidad de disponer de tarjeta, aunque asegura que todos los clientes tienen acceso a su cuenta a través de la aplicación bancaria y que aun cuando al folio 222 conste un máximo de retirada diaria de dinero con tarjeta de 600 euros, ese límite se puede modificar en cualquier momento. Desconoce, en cualquier caso, si los reintegros que, por importe de 1.000 euros, figuran en dicha cuenta se hicieron en el mismo cajero de la oficina o en otra. Por lo demás, cree que la cuenta "murió sola", pues no le consta que en ningún momento se pidiera su cancelación, desconociendo si alguien de la entidad se puso en contacto con el cliente por tal motivo, lo que personalmente no hizo. Reitera, por último, que las transferencias electrónicas en el marco Sepa no tienen ningún tipo de supervisión por la oficina y funcionan automáticamente sin ninguna intervención por su parte, ya que, conforme a la normativa PSD2 (regulación europea en los servicios de pagos digitales), el responsable de la transferencia es el propio ordenante, siendo facultad de cada oficina bancaria autorizar solo la apertura de una cuenta caso de que resulte acorde con la normativa y que ninguna oficina bancaria puede aperturar una cuenta por sí misma.

Por último, Adriana, letrada de los servicios jurídicos del Banco de Santander, ratifica las comunicaciones remitidas con su firma al órgano judicial, una de fecha 17 de diciembre de 2021 informando del titular de la cuenta y momento de apertura, la cual continuaba abierta (folios 199 y siguientes), y otra de 31 de octubre de 2023 en la que se comunica que las transferencias por importe de 41.000 euros y 54.250 euros figuran "rechazadas automáticamente", poniéndose en conocimiento del Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales con fecha 3 de septiembre de 2021 las dos operaciones aludidas (folios 430 y siguientes). Es evidente, sin embargo, el error cometido al respecto, aunque relevante por lo que luego se dirá en cuanto a la declaración de responsabilidad civil de la entidad bancaria, pues la transferencia de 54.250 euros figura efectivamente ingresada en la cuenta del acusado, al igual que no hay duda de las disposiciones realizadas a continuación.

SEGUNDO.-En definitiva, y como síntesis de lo hasta ahora expuesto, no hay duda que la mercantil "Gebrüder" llevó a cabo la transferencia, por el importe y en la fecha indicada, de la que debiera haber sido destinataria la empresa "Tranita", única que figuraba como beneficiaria y con la que mantenía relaciones comerciales -no consta que las tuviera con el encausado-, pero en la que, tras una manipulación llevada a cabo hackeando el correo electrónico de una empleada de esta última, se modificó el número de cuenta del destinatario, lo que permitió que fuera ingresado el dinero de forma ilícita a favor de Justino. Y aunque éste insista en que era ajeno a dicha operación fraudulenta, reconoce, cuanto menos, la apertura de la cuenta corriente con la información que el mismo facilitó y que disponía de pequeñas sumas a través de su tarjeta bancaria, manteniéndose informado de sus movimientos solo a través de las notificaciones por escrito. Pero si ello era así, no explica por qué justamente en el momento de recibir la transferencia por importe tan elevado, dejó de tener control sobre la misma, alegando no haber sido informado de ello por su banco, lo que resulta tanto más más inverosímil si con anterioridad al 30 de junio de 2021, fecha en la que consta ingresada la transferencia, no había advertido irregularidad alguna, como tampoco parece haberla detectado después, lo que, a nuestro criterio, resulta todavía más extraño, pues si se examinan los movimientos producidos a partir de entonces, dejando al margen las disposiciones de fondos realizadas de forma inmediata hasta el día 5 de julio de ese año directamente relacionados con dicho fraude, figuran distintos cargos por compras en establecimientos comerciales, recibos telefónicos, seguro de vehículos, transferencias bancarias y, sobre todo, distintos reintegros, también de 1.000 euros y a través de cajeros automáticos, sin que conste queja u oposición alguna por su parte, operando con normalidad incluso después de esa fecha y cuanto menos hasta el 15 de diciembre de 2021, no percatándose, según él, de lo ocurrido hasta que en enero de 2022 fue informado, según cree recordar, por el propio Banco (folios 225 a 256 de las actuaciones).

Por lo demás, la pasividad del Banco, que en septiembre de ese año informa al departamento correspondiente de la operación fraudulenta, esto es, más de dos meses después, así como del rechazo automático de la transferencia, resulta también clamorosa, especialmente cuando tras la transferencia internacional de elevado importe recibida, se llevan a cabo por el acusado, y en apenas cinco días, hasta un número aproximado de veinte operaciones distintas sobre una cuenta que hasta ese momento tenía movimientos de muy escasa cuantía y sin que tampoco conste que por el titular de la misma se hubiera llegado a formular ninguna denuncia, siendo ajeno, según él, a tal dinámica comisiva, lo que resulta inverosímil.

Pero es más, el día 9 de julio de 2021 vuelve a recibir en su cuenta otra transferencia próxima a los 4.000 euros y de la que si bien se desconoce el origen, pues resulta ajena a la operación aquí analizada, llama, en cualquier caso, la atención por cuanto tampoco se correspondería con lo declarado por éste sobre la retirada de pequeñas sumas de dinero para gastos corrientes cuando precisamente al día siguiente realiza tres reintegros sucesivos a través de cajero automático, por un importe respectivo de 1.000 euros cada uno -cabe suponer que ese era ya el nuevo límite máximo autorizado en su tarjeta para cada operación y no los 600 euros inicialmente autorizados-, sin que sobre ello ofrezca tampoco explicación alguna. No nos consta que se trate de una nueva operación ilícita, pero de nuevo revela su forma de proceder: tras un ingreso por un importe elevado, una nueva disposición de fondos elevada hasta dejar la cuenta prácticamente en descubierto. Y ello sin entrar a valorar el bizum sobre el que llama la atención el Ministerio Público y que, con fecha 4 de julio de 2021, se lleva a cabo por el concreto importe del saldo existente en la cuenta a ese momento, 670 euros. No parece una casualidad.

Extraña también, por último, que si en septiembre de 2021, que es cuando aparentemente el Banco de Santander detecta la irregularidad de la transferencia internacional realizada y, por tanto, se supone que es cuando debió contactar con el cliente -no al año siguiente cuando la cuenta deja de estar operativa, según declarado el acusado-, éste no hubiere formulado ninguna queja o denuncia, limitándose a reconocer en su declaración, aunque sin acreditarlo, que acudió a la policía solo cuando a través de su teléfono comenzó a recibir mensajes de un posible hackeo de su cuenta, lo que no consta, sino que mas bien pudiera ser que su conversación con algún agente se produjera, no por propia iniciativa, sino tras detectarse por el banco la operación fraudulenta realizada.

Los indicios que recaen, pues, sobre el acusado resultan ser más que evidentes y de la ausencia de cualquier tipo de explicación convincente por parte de éste, no cabe sino inferir su particular responsabilidad en los hechos. Y es que, en lo referente a una situación tan cuestionada como prestar cuentas bancarias propias para recibir transferencias, cualquier ciudadano medio ha de saber que se deben devolver las que no tienen ninguna relación con él, cosa que el acusado no hizo, entendiéndose, al descartar esta posibilidad, que conocía, en consecuencia, su procedencia ilícita (por todas, Sentencia del Tribunal Supremo de 19 de febrero de 2025).

En definitiva, la apreciación conjunta de todas estas pruebas, apreciadas conforme al criterio de libre arbitrio y valoración que prevé el artículo 741 de la Ley de Enjuiciamiento Criminal, lleva a este Tribunal a la firme convicción de que el relato fáctico que integra el delito de estafa por el que resulta acusado se encuentra razonablemente acreditado y ha quedado enervado el derecho a la presunción de inocencia que en principio le amparaba, lo que nos exime de entrar en el análisis de la figura alternativa por la que, en su defecto, se formula asimismo acusación. Debe aclararse, en cualquier caso, que en el delito de blanqueo de capitales por imprudencia del artículo 301, 1 y 3 del Código Penal, al igual que sucede con el delito de receptación del artículo 298 del mismo Texto sustantivo, no se exige un conocimiento pleno del ilícito patrimonial previo, sino que basta con conocer que los efectos, en este caso el dinero, procederían de algún delito patrimonial del que se aprovecha para obtener un lucro propio. Mas en este caso, el acusado participó de forma activa en el delito de estafa cometido, pues sin su intervención no se hubiere podido llevar a cabo la descapitalización de la empresa perjudicada. Ni que decir tiene que, caso de que se hubiera producido por error un ingreso por tan elevado importe -lo que tampoco asume-, lo procedente sería devolver la suma recibida, no efectuar múltiples reintegros y disposiciones de fondos hasta dejar su cuenta de nuevo prácticamente sin saldo, pues constatada la irregularidad de la transferencia recibida, por cuanto no figura éste como destinatario sino una empresa lituana, lo normal sería acudir al propio banco para informarse de lo sucedido y no esperar a que se pongan en contacto con él como sostiene y, desde luego, formular denuncia ante la policía. Nada de esto llevó a cabo, lo que se convierte en un indicio más de su comportamiento criminal.

TERCERO.-Así las cosas, y en directa relación con lo anterior, se estima que concurren los presupuestos que integran y definen el delito de estafa informática del artículo 248, apartados 1 y 2, del Código Penal, en su redacción vigente a la fecha de los hechos anterior a la reforma referida de diciembre de 2022, y de la que ha ser declarado responsable Justino, pues el engaño consistió en la manipulación falsaria, por sí mismo o con la intervención probable de un tercero -no consta que disponga de conocimientos informáticos suficientes, aunque su actividad de transportista no sea ajena al de las empresas afectadas-, del correo electrónico de la empresa beneficiaria de la transferencia, obteniendo un beneficio económico por importe de 54.250 euros, lo que lleva a subsumir los hechos a su vez, a efectos de penalidad, en la modalidad agravada del artículo 250 del mismo Código Penal, resultando, por lo demás, evidente el ánimo de lucro inherente al ilícito cometido.

Ha de tenerse en cuenta que, a la fecha de los hechos, en el número 1 se definía el tipo básico de la estafa y en el número 2 un tipo específico mediante la manipulación informática, de tal forma que en la dinámica comisiva que examinamos, se aprecian claramente dos fases, por un lado, la manipulación del correo electrónico del empleado de la empresa legítima destinataria del dinero mediante la creación de una cuenta de correo duplicada suplantando su identidad, lo que es conocido en el argot anglosajón como "spoofing", y la realización de la transferencia no consentida por el titular de la cuenta ordenante, y una segunda fase que consiste en la elección de una cuenta bancaria a la que se transfiere la cantidad fraudulentamente obtenida, con posterior retirada inmediata de su importe o su envío a terceras personas implicadas asimismo en el fraude cometido. Es cierto que en el curso de la instrucción no se ha podido llegar a conocer finalmente quien habría sido el destinatario de alguna de las transferencias realizadas por él dentro de los cinco días siguientes desde la cuenta del acusado, lo que no exime a éste, en cualquier caso, de su particular responsabilidad en los hechos en cuanto que titular de la cuenta corriente destinataria de la transferencia fraudulenta obtenida cuando ningún negocio o relación mercantil mantenía con la empresa perjudicada.

Esta arquitectura delictiva presenta, como se observa, unas claras similitudes con otra mucho más habitual conocida como "phishing", aunque en ésta la actividad delictiva se centra en engañar a los usuarios para que revelen información confidencial, mientras que el "spoofing" del que participa el acusado consiste en suplantar fuentes legítimas para ganarse la confianza de otro y obtener el acceso a información o datos relevantes, lo que en este caso permitió a los autores, el acusado por sí o con la intervención de terceros desconocidos, piratear la cuenta de correo de "Tranita" en las comunicaciones intercambiadas con "Gebrüder" y a cuyo departamento encargado del pago de las facturas pendientes lograron convencer para que la transferencia se hiciera a diferente cuenta de la habitual, aludiendo primero a que las anteriores se encontraban bloqueadas y después a la necesidad de que el pago se hiciera en una cuenta en euros y no en dólares. En definitiva, la habilidad desplegada por el autor permitió que el dinero transferido terminara en una cuenta corriente con domicilio en España cuando su verdadero destinatario había de ser una empresa lituana.

Lógicas resultan las dudas que en tal caso plantean las defensas sobre la existencia de un engaño personal directo y bastante en los responsables de "Gebrüder", tal y como exige el tipo, y a quien atribuyen falta de tutela sobre la transferencia realizada, mas no debemos olvidar que el delito se comete mediante una más que hábil manipulación informática y la propia sentencia del Tribunal Supremo de 20 de noviembre de 2001 se ha encargado de aclarar que "ello es así porque la asechanza a patrimonios ajenos realizados mediante manipulaciones informáticas actúa con automatismo en perjuicio de tercero, precisamente porque existe la manipulación informática y por ello no se exige el engaño personal".

Por lo demás, y aunque nada se ha dicho sobre los conocimientos informáticos de que pudiera disponer el acusado, quien de entrada afirmó no disponer de ninguna capacidad para poder consultar su cuenta a través de la aplicación bancaria fuera de la habitual comunicación escrita y a través de la extensión del correspondiente recibo, ello no obstante el Tribunal Supremo, en sentencia de 12 de junio de 2007, expone que en este tipo de delitos "se está ante un caso de delincuencia económica de tipo informático de naturaleza internacional en el que los recurrentes ocupan un nivel inferior y sólo tienen un conocimiento necesario para prestar su colaboración. La ignorancia del resto del operativo no borra ni disminuye su culpabilidad porque fueron conscientes de la antijuridicidad de su conducta, prestando su conformidad con un evidente ánimo de enriquecimiento, ya supieran, no quisieran saber (ignorancia deliberada), o les fuera indiferente el origen del dinero que en cantidad tan relevante recibieron. Lo relevante es que se beneficiaron con todo, o, más probablemente, en parte como "pago" de sus servicios. Es obvio que quienes prestaron su colaboración eficiente y causalmente relevante en una actividad antijurídica con pleno conocimiento y cobrando por ello no pueden ignorar indefensión alguna..... En la sociedad actual el acervo de conocimientos de cualquier persona de nivel cultural medio conoce y sabe de la ilicitud de una colaboración que se le pueda pedir del tipo de la que se observa en esta causa, y al respecto, hay que recordar que los recurrentes vivían en Madrid y no consta en los autos nada que pudiera ser sugestivo de un desconocimiento de la ilicitud de la colaboración que se le pedía, máxime cuando no se trataba de una colaboración gratuita sino que llevaba aneja un claro enriquecimiento personal".Doctrina que proclamada respecto a los delitos cometidos por los denominados "muleros", es de igual aplicación a los supuestos como el aquí descrito de suplantación de identidad para, a través de una manipulación informática, conseguir ser destinatario de la transferencia recibida y en la que otro figuraba como beneficiario.

Nos hallamos, pues, ante un supuesto claro de comisión por dolo directo, o cuanto menos eventual, pues la disposición de una cuenta a la que se destina la transferencia es un elemento necesario para la consumación de la estafa y la disposición inmediata de los fondos recibidos revela ese conocimiento, o al menos connivencia, para llevar a cabo el apoderamiento ilícito por parte del acusado. Por tanto, y aun en la hipótesis de que no hubiera participado en la manipulación informática y que sólo se limitara a recibir el dinero en su cuenta, de las pruebas evacuadas resulta fundada la inferencia que concluye que conocía toda la operativa de la que se enriqueció y a la que conscientemente hizo una aportación relevante, lo que abarca la totalidad de los elementos que conforman el delito de estafa informática (por todas, Sentencia del Tribunal Supremo de 2 de diciembre de 2014).

Por lo demás, y aunque por las defensas se alega que existe un cierto déficit en la instrucción al no haberse llevado a cabo gestiones sobre las investigaciones que hubieran podido llevarse a cabo en Lituania tras el hackeo cometido en el correo electrónico de "Tranita" que tiene su sede en ese país y, por tanto, se desconoce si ha podido ser averiguada la identidad de los presuntos autores de esta manipulación informática suplantando su identidad, como tampoco se han practicado gestiones para conocer cuál pudo ser el resultado de la denuncia que formuló la empresa austríaca ante la Fiscalía de su país, tal y como declaró el testigo en el plenario, no está de más recordar que en los delitos de estafa informática donde el dinero se mueve rápidamente o se extrae en lugares distintos al del engaño, la Sala de lo Penal del Tribunal Supremo (Autos de 20 de junio de 2012, 17 de noviembre de 2016 y 7 de julio de 2017, entre otros) prioriza en estos casos el criterio de la funcionalidad y eficacia en la investigación sobre el más general de la ubicuidad y, por tanto, resulta competente para conocer del asunto el órgano del lugar donde se creó la cuenta receptora o donde reside el presunto autor, o el del lugar donde se consuma el perjuicio patrimonial, en lugar del domicilio de la víctima, por lo que nada obsta a la condena del acusado por este ilícito en nuestro país, no existiendo constancia alguna que contra el mismo se siga procedimiento en ninguno de esos otros dos países, lo que no se ha acreditado.

CUARTO.-Entrando ya en la concreta individualización y determinación de la pena, no alegada la concurrencia de circunstancia modificativa de la responsabilidad criminal y aplicando los criterios de libre arbitrio que la ley concede a este Tribunal, se estima proporcionada y adecuada la imposición a Justino, por concurrencia de la modalidad agravada del artículo 250-1, apartado 5, del Código Penal al superar el límite de 50.000 euros establecido, la pena de dos años de prisión, inhabilitación especial para el ejercicio del derecho de sufragio pasivo durante el tiempo de la condena y multa de siete meses, con una cuota diaria de diez euros y responsabilidad personal subsidiaria en caso de impago conforme al artículo 53 del Código Penal.

Como se constata, tanto la pena la pena privativa de libertad como la extensión de la multa se sitúan algo por encima de su mínimo legal, aunque siempre dentro de su mitad inferior, pues dispone de antecedentes penales aunque no resulten computables a efectos de reincidencia, siendo la cantidad defraudada muy elevada y no habiendo mostrado signo alguno de arrepentimiento ni reconocido los hechos pese a las evidencias existentes en su contra. Por otra parte, la cuota de la multa se fija en una cantidad reducida de seis euros, próxima también al mínimo (en un umbral que oscila entre 2 y 400 euros diarios), pues manifiesta que continúa en la actualidad trabajando como transportista y que dispone de contrato indefinido, percibiendo un salario de unos 1.250 euros mensuales, sin que consten otras obligaciones ni cargas familiares conforme asimismo ha declarado. De hecho, su imposición por debajo podría suponer la pérdida de toda eficacia preventiva de la pena. En este sentido, el importe fijado se sitúa en el tramo inferior de dicho margen de aplicación de la cuota, ya que, como es lógico, la cuantía mínima debe reservarse, según indica reiterada jurisprudencia, a situaciones acreditadas de indigencia o miseria, de imposibilidad económica de hacer frente a un mínimo pago, por lo que en casos ordinarios en que no concurren dichas circunstancias extremas, resulta adecuada la imposición de una cuota prudencial situada en el tramo inferior, próxima al mínimo, como aquí sucede y que se estima adecuada a falta de una cumplida acreditación de su total ausencia de ingresos o medios económicos.

QUINTO.-En materia de responsabilidad civil y de acuerdo a lo previsto en el artículo 109, en relación con el artículo 116, ambos del Código Penal, declarada la responsabilidad criminal del acusado, éste deberá indemnizar a la mercantil "Gebrüder Weiss GmbH ", de conformidad con lo establecido en el artículo 110-3° del Código Penal, en la cantidad de 54. 250 euros, con declaración de responsabilidad civil subsidiaria, a tenor de lo previsto en el artículo 120-3° del mismo Código, de la sociedad "Banco de Santander, S.A".

La responsabilidad de esta última constituye motivo de controversia, sin embargo, para la defensa de dicha entidad, pues insiste, conforme a las manifestaciones vertidas por los respectivos directores de otras tantas sucursales bancarias que depusieron en el curso del plenario, que no se incumplió ninguna normativa, sino que, antes al contrario, la indicación correcta del número de IBAN excluye la posibilidad de cualquier posible control por parte del responsable de la oficina bancaria en donde se encuentra domiciliada la cuenta, habiendo actuado en todo momento conforme a los protocolos existentes en materia de prevención de blanqueo de capitales y de acuerdo con los sistemas de control aplicables al sistema financiero español, citando al respecto distintas sentencias de diferentes tribunales de nuestro país.

No podemos estar de acuerdo, sin embargo, con tal criterio, ciertamente controvertido, pero que desde luego no se corresponde con la posición expresada, entre otras, por esta misma Audiencia Provincial de Madrid, Sección 23, en su reciente sentencia de fecha 9 de diciembre de 2025, referida por cierto a esta misma entidad bancaria, pero que dicha parte no menciona aunque de su lectura se desprende que fue la misma dirección legal quien asumió la defensa en ese procedimiento. Y, sobre todo, no se corresponde con el reciente criterio establecido por el Tribunal Supremo, Sala Primera, Civil, en su sentencia de 9 de abril de 2025, que ha confirmado la responsabilidad de las entidades financieras ante fraudes cometidos mediante suplantación de identidad y operaciones no autorizadas, como el phishing, smishing o spoofing. Este pronunciamiento, a diferencia de otra inmediata anterior de 27 de marzo de 2025, que es la que reproduce alguna de las sentencias a que alude el Banco de Santander en defensa de su posición, refuerza la protección de los usuarios en el entorno digital y marca un hito en la interpretación de la normativa vigente en materia de pagos electrónicos viniendo a unificar un criterio interpretativo ciertamente disperso hasta la fecha. El Alto Tribunal, a partir de este fallo, responsabiliza a las entidades financieras de los fraudes por suplantación de identidad si no han aplicado protocolos de autenticación reforzada y no han logrado prevenir operaciones sospechosas (como transferencias inusuales), obligando al reembolso del dinero y, sobre todo, recordando que la carga de probar que hubo una "negligencia grave" por parte del consumidor recae íntegramente sobre la entidad bancaria.

No se olvide a este respecto que, según el artículo 120 del Código Penal, "son también responsables civilmente en defecto de los que lo sean criminalmente (...) 3º.- las personas naturales o jurídicas, en los casos de delitos cometidos en los establecimientos de los que sean titulares, cuando por parte de los que dirijan o administren, o de sus dependientes o empleados, se hayan infringido los reglamentos de policía o las disposiciones de la autoridad que estén relacionados con el hecho punible cometido, de modo que éste no se hubiera producido sin dicha infracción".

Pues bien, en relación a este precepto, la sentencia del Tribunal Supremo, Sala 2ª, de fecha 12 de febrero de 2020 ya nos recuerda que "no nos movemos aquí en el marco específico del derecho penal, sino precisamente en el del derecho civil resarcitorio de los perjuicios derivados de la infracción penal cometida. Se ejercita así una acción distinta, aunque acumulada al proceso penal por razones de utilidad y economía procesales, con la finalidad de satisfacer los legítimos derechos (civiles) de las víctimas; de modo que las acciones civiles no pierden su naturaleza propia por el hecho de ejercitarse ante la jurisdicción penal. Y ello hasta el punto de llegar a una cuasi-objetivación basada en la teoría del riesgo, o bien del aprovechamiento de la actividad que lo genera (cuius commoda eius incommoda). Y también nos hemos referido en otras ocasiones a que la evolución progresiva que ensancha este tipo de responsabilidad civil mediante la aplicación de la teoría del riesgo, aunque no permita hablar en sentido estricto de que en esta esfera impere un criterio de absoluta responsabilidad objetiva, sí puede decirse que prima o prevalece un criterio de "ponderado objetivismo" ( SSTS 108/2010, de 4 de abril ; 357/2013, de 29 de abril ; 64/2014, de 11 de febrero y 778/2015, de 18 de noviembre )".

Es por ello que, como también señala la sentencia de este mismo Alto Tribunal de 30 de enero de 2019, "los artículos 120 y 121 del Código penal recogen los supuestos de responsabilidad subsidiaria, esto es, de la responsabilidad que surge en defecto, total o parcial, de la principal. Son supuestos en los que la responsabilidad civil se exige a personas que no han participado en el delito, pero que, sin embargo, tienen una vinculación con los partícipes del hecho que genera una culpa in vigilando, (por ejemplo, este fundamento aparece claramente en el art. 120.1), in eligendo, o bien, una responsabilidad objetiva (los supuestos de los números 2, 3, 4 y 5 admiten ser interpretados conforme a una responsabilidad objetiva)."

De esta forma, y haciéndonos eco nuevamente de la sentencia antes referida de la Sala Civil de 9 de abril de 2025, conforme a lo dispuesto en la Ley de Servicios de Pago (Real Decreto-ley 19/2018), las entidades bancarias deben rectificar las operaciones no autorizadas por el usuario y, en consecuencia, restituir las cantidades sustraídas, salvo que puedan demostrar que el cliente ha actuado con negligencia grave o fraude. Es decir, la carga de la prueba recae en el banco, pero en este caso el Tribunal Supremo se puede decir que ha ido ahora mucho más allá al afirmar que no basta con cumplir formalmente con los protocolos técnicos (como la autenticación en dos pasos o los SMS de verificación), que es la tesis defendida por el Banco de Santander, sino que las entidades deben adoptar una actitud proactiva y diligente tanto en la prevención como en la respuesta a los fraudes. La sentencia consolida así una doctrina de responsabilidad cuasi-objetiva, en la que se impone al banco la obligación de garantizar la seguridad del canal digital, con independencia de si el ataque proviene de terceros. Este nuevo enfoque implica que, ante una operación no autorizada, el cliente solo necesita acreditar que actuó con la diligencia razonable, notificó el incidente con prontitud y custodió adecuadamente sus credenciales. En cambio, será la entidad financiera la que deba probar que hubo negligencia grave o intencionalidad por parte del usuario para eximirse de responsabilidad.

Cabe concluir, por tanto, que, a partir de ahora, conforme a la jurisprudencia del Tribunal Supremo citada, las entidades bancarias, en aquellos casos en que se ha producido alguno de los fraudes antes descritos, ya no pueden "escudarse" bajo el falso pretexto de que una operación de pago autenticada, registrada con exactitud y contabilizada es necesariamente "equivalente" a una operación de pago consentida por el usuario del servicio de pago, en este caso por la sociedad austríaca que realiza la transferencia a una cuenta corriente española y quien lleva a cabo una operación no consentida, o mejor dicho, viciada por la suplantación de identidad de la cuenta de correo del beneficiario de esta transferencia, modificando para ello el número de IBAN del destinatario. Sintetiza a este respecto la relevante sentencia del Tribunal Supremo que reproducimos, "la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo, en el doble sentido de que, primero, notificada la existencia de una operación no autorizada o ejecutada incorrectamente, el proveedor debe responder salvo que acredite la existencia de fraude; y, segundo, cuando el usuario niegue haber autorizado la operación o alegue que ésta se ejecutó incorrectamente, corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave".

En efecto, la Ley de Servicios de Pago de 23 de noviembre de 2018 establece, en su artículo 43-1, que "el usuario de servicios de pago obtendrá la rectificación por parte del proveedor de servicios de pago de una operación de pago no autorizada",esto es, tendrá el derecho a obtener el abono de la cantidad que se le ha sustraído. Ahora bien, la propia Ley establece, a su vez, dos salvedades a este principio: la primera, en el artículo 46-1, cuando señala que el banco no será responsable si puede probar que el cliente incurrió en una negligencia grave en el cumplimiento de sus obligaciones; y la segunda, en el artículo 44-1, cuando dice que el banco no será responsable si puede probar que "la operación de pago fue autenticada, registrada con exactitud y contabilizada y no se vio afectada por un fallo técnico u otras deficiencias vinculadas al servicio de pago del que es responsable".

Y esta misma sentencia, respecto a la dificultad de poder controlar las transferencias a que alude la defensa del Banco de Santander, incluidas las internacionales, en las que el número de IBAN se corresponde con el titular de la cuenta, tal y como declararon los directores de las oficinas bancarias comparecidos como testigos, recuerda, no obstante, que "los avances de la tecnología actual hacen relativamente sencillo diseñar sistemas o aplicaciones informáticas idóneas para detectar ciertas anomalías en la prestación de los servicios de pago. Operaciones que, tratándose de empresas o sociedades con un concreto objeto social, pueden calificarse como ordinarias, deben inmediatamente levantar sospechas y dar lugar a una respuesta cuando afectan a personas físicas ajenas a tales actividades. A este respecto, sería suficiente un control automático de determinados factores, como el número y sucesión de operaciones, el intervalo en que se ejecutan, la hora del día, su importe, entidades de destino......para generar un aviso que reforzara los requisitos de confirmación y minimizara los posibles riesgos".

En este caso, de la lectura del Real Decreto 304/2014, de 5 de mayo, por el que se aprueba el Reglamento de la Ley 10/2010, de 28 de abril, de prevención del blanqueo de capitales y de la financiación del terrorismo, se infiere que la operativa llevada a cabo en la cuenta del Banco Santander debió haber sido identificada como operación susceptible de estar relacionada con el blanqueo de capitales y, por tanto, se debieron haber activado los mecanismos de la entidad y en particular, el bloqueo inmediato de la cuenta, pues resulta evidente que el titular de la misma no había declarado una actividad profesional relacionada con operaciones de comercio exterior -véase sino el formulario de información obligatoria al cliente que figura a los folios 212 y siguientes de la causa- y, desde luego, la naturaleza de los movimientos bancarios registrados en su cuenta y el reducido importe de sus operaciones debió alertar al banco de que una transferencia internacional de nada menos que 54.250 euros, ingresada en una cuenta que se encontraba en descubierto, figurando como destinatario una empresa distinta y no el titular, quien lleva a cabo a continuación sucesivos reintegros y disposiciones de sus fondos en apenas cinco días, podría resultar una actividad sospechosa y, de hecho, aunque de forma tardía, por parte del Servicio Ejecutivo de la Comisión de Prevención del Blanqueo de Capitales e Infracciones Monetarias se informa que fueron rechazadas automáticamente (al folio 430), lo que ciertamente no sucedió, pues los fondos finalmente desaparecieron de la cuenta de destino, pero revela cuanto menos la posibilidad de que disponía el Banco para bloquear la operación, lo que no hizo. De hecho, los responsables de las entidades bancarias comparecidos como testigos así vinieron a reconocerlo en la práctica, pues si bien declinaron que esa posibilidad pudiera recaer directamente en el director de la sucursal donde figura domiciliada la cuenta, no dudaron en reconocer al mismo tiempo que el departamento de control de fraude de la entidad puede activar las alertas en determinados casos, cuyo modo de hacerlo, sin embargo, no concretaron.

Debemos regresar en este punto necesariamente al contenido de la sentencia de esta misma Audiencia Provincial de Madrid de fecha 9 de diciembre de 2025 a la que antes aludimos y que, a diferencia de las invocadas por la defensa, acoge este mismo criterio en base a la normativa legal que estima de aplicación y pese a no hacer mención a ninguna de las sentencias del Tribunal Supremo antes referidas, la cual, aplicada al caso concreto que enjuiciamos, nos lleva a concluir que de haberse producido en tiempo y forma al bloqueo de la cuenta de Justino, la dinámica comisiva no se hubiera podido consumar ni habrían tenido lugar las disposiciones de fondos realizadas por éste en los días siguientes, pues de haber actuado el Banco de Santander de forma diligente, el dinero habría quedado cautelarmente bloqueado hasta que se presentase justificación de la operativa desarrollada.

No se olvide que, según el artículo 24-2 del Reglamento que desarrolla la referida Ley de Prevención del Blanqueo de Capitales, entre las operaciones susceptibles de estar relacionadas con dicho blanqueo, se incluyen aquéllas que no se corresponden a la actividad o antecedentes operativos del cliente, como es este el caso, pues si bien consta dedicado a la actividad del transporte, no figura que lleve a cabo operaciones de comercio exterior conforme figura en el PIOC y, en todo caso, de conformidad con esta misma Ley, de haber realizado algún tipo de seguimiento y verificación, la entidad podría haber constatado la transferencia de alto importe de la que figura como destinatario, pese a que su beneficiario era una tercera empresa que nada tenía que ver con éste, procediendo, siquiera cautelarmente, al bloqueo de la cuenta mientras verificaba la legalidad de la operación y en cuyo caso las disposiciones posteriores -más de veinte en apenas cinco días- no se hubiesen podido producir tampoco, pues de haberse hecho, el dinero habría quedado bloqueado hasta que presentase justificación de la operativa desarrollada. Todo ello determina la responsabilidad civil subsidiaria de la entidad bancaria en la comisión del delito por omisión de la normativa específica que le es de aplicación.

Sugerida, finalmente, por la defensa de la entidad bancaria, durante el trámite de informe y al final de su intervención aunque sin apoyo argumental alguno, la posible aplicación alternativa del principio de concurrencia de culpas dada la responsabilidad en la que, a su vez, habría incurrido la mercantil perjudicada al remitir la transferencia a una cuenta errónea, esta misma sentencia de la Audiencia Provincial de Madrid que citamos da cumplida respuesta también a la cuestión aquí planteada, recordando que en casos como el presente no se trata tanto de una cuestión de compensación de culpas, que tendría difícil encaje en los supuestos de un delito doloso como es la estafa, sino que el campo del artículo 114 del Código Penal que recoge tal posibilidad sería de aplicación solo en aquellos supuestos en los que la contribución de la víctima, no siendo causal, ni por tanto situarse en el resultado, puede tener alguna relevancia en materia indemnizatoria en virtud de la facultad discrecional que en relación a la responsabilidad civil otorga este artículo ( STS 623/2022 22 de junio; STS 440/2022 de 4 de mayo; STS 522/2017 de 6 de julio).

Pero, concluye esta sentencia, dicho precepto no es de aplicación para poder moderar la responsabilidad civil de la entidad bancaria en donde figuraba abierta la cuenta corriente del acusado y a donde se transfirió la suma de dinero bajo engaño, pues en nuestro ordenamiento jurídico la responsabilidad civil nacida de delito tiene un régimen especial y diferente del régimen general de la culpa extracontractual y, por tanto, hay que estar a lo dispuesto en el Código Penal y el artículo 114 es un precepto inescindible. La responsabilidad civil es estrictamente vicaria de la responsabilidad penal. En consecuencia, el responsable civil subsidiario responde de lo mismo que el responsable penal, Justino, aunque sólo en defecto de éste, de tal forma que no caben diferenciaciones en el alcance de sus respectivas responsabilidades civiles en virtud de factores como éste, pues, conforme a este criterio, la culpa de la víctima no tendría relevancia en relación a la conducta dolosa, pero si repartiría el daño en relación al tercero en caso de culpas concurrentes, no exigiéndose constatar, en concreto, la presencia de culpa de ese tercero civil responsable (por todas, STS 300/2014 de 1 de abril).

En definitiva, y a la vista de lo expuesto, no se trata que las entidades bancarias tengan que responder siempre y ante cualquier circunstancia ni tampoco que dichas entidades no experimenten ningún perjuicio como consecuencia de las actuaciones fraudulentas cometidas por terceros, sino que como operadores que desempeñan una actividad muy lucrativa, mientras los consumidores y usuarios se ven forzados a operar a través de plataformas digitales que generan un claro riesgo para la sociedad, estas entidades deben poner sus esfuerzos y recursos en prevenir el fraude e impedir que los defraudadores se valgan de sus servicios para cometer actos delictivos, debiendo responder cuando realmente se haya posibilitado la comisión del delito por un proceder negligente que haya supuesto la inobservancia de las normas de cuidado. Resulta obvio que la solución del problema pasa entonces necesariamente por un mayor desarrollo y una correcta implementación de sistemas de detección preventiva del fraude por parte de las entidades bancarias.

El Banco de Santander no aplicó las medidas que la Ley de Prevención del Blanqueo de Capitales establece en tanto en cuanto no verificó la actividad de la cuenta, no solicitó el origen de los fondos ni tampoco bloqueó las operaciones sospechosas, porque, según se escuda, no saltó la alarma, pero en la comunicación remitida al órgano judicial sí reconoce que fue rechazada la transferencia, lo que, aun cuando lamentablemente no es cierto ni evitó el desfalco, revela que pudo hacerlo. La negligencia bancaria en la prevención del blanqueo de capitales permitió la consumación del acto delictivo y aunque el regulador no haya intervenido, argumento utilizado asimismo por la defensa para eximirse de su particular responsabilidad, no por ello se ha de dejar de declarar su responsabilidad en el orden civil, siempre con carácter subsidiario al declarado penalmente responsable de estos hechos.

Por ello, finaliza esta sentencia diciendo que "está fuera de toda duda que las entidades bancarias juegan un rol esencial en la economía, posibilitando la realización de una larga lista de transacciones financieras de forma telemática y ágil, lo que permite que el dinero fluya entre los diferentes sectores con la consecuente generación de riqueza. Si bien, igual de claro resulta que las entidades bancarias desarrollan una actividad que entraña un elevado nivel de riesgo por cuanto ejercen como intermediarios y depositarios de los recursos económicos de las personas y de las empresas y a su vez los delincuentes se sirven de ellas para cometer estafas, como en este caso, recibiendo de manera indebida transferencias de fondos a una cuenta bancaria fruto de una estafa o engaño consiguiendo que el dinero defraudado pase por la citada cuenta bancaria antes de ser desviado hacia otros productos que dificultan su rastreo, como fue el caso.

Téngase en cuenta que las entidades bancarias desempeñan una actividad con ánimo de lucro y que sus consumidores y usuarios dependen de ellas para operar y no quedan excluidos del sistema financiero, pagando por sus servicios.

Las entidades bancarias han de cumplir, por tanto, con unas muy altas exigencias de seguridad en los sistemas de pago e intermediación financiera, con el objeto de minimizar al máximo e idealmente descartar el riesgo de la actividad que desempeñan, debiendo corresponder la confianza que depositan en ellos los consumidores y usuarios y responder cuando no han cumplido satisfactoriamente y tales exigencias de seguridad no han sido satisfechas, permitiendo la materialización del riesgo en el resultado".

SEXTO.-Por último, y con arreglo a lo dispuesto en el vigente artículo 123 del Código Penal, las costas procesales vienen impuestas por ley al declarado responsable criminalmente de estos hechos, incluidas las de la acusación particular.

Téngase en cuenta que, de acuerdo a una abundante doctrina jurisprudencial (por todas, Sentencias del Tribunal Supremo de 15 de septiembre de 1999, 25 de enero de 2001, 25 de octubre de 2006 y 15 de marzo de 2017), no consta que la mercantil querellante hubiera entorpecido el proceso ni formulado peticiones heterogéneas respecto de las conclusiones aceptadas en la sentencia, no pudiendo ser calificada su actuación como superflua, inútil o perturbadora, ni desde luego inadecuada desde el punto de vista procesal, en cuanto que se ha personado en la causa en el legítimo ejercicio de las acciones civiles y penales derivadas de estos hechos, solicitando de inicio idéntica pena y declaración de responsabilidad civil que el Ministerio Público, si bien reclama, además, la responsabilidad civil subsidiaria del "Banco de Santander, S.A.", que asimismo se acoge en el fallo.

Vistos los preceptos legales citados, sus concordantes y demás de general y pertinente aplicación,