Sentencia Penal 99/2026 Audiencia Provincial Penal nº 3 de León, Rec. 60/2025 de 23 de febrero del 2026

PRIMERO.-Ya se ha dicho que el Mº Fiscalen el escrito de acusación pidió la condena de Jesús Manuel como autor de un delito de estafa informática del art. 249 1 a CP y alternativamente un delito de blanqueo de capitales en su modalidad imprudente del art. 301 1 y 3 CP -sin circunstancias- para quien pidió, para esta calificación la pena de 18 meses de prisión y accesoria y multa de 10.000 euros con responsabilidad personal subsidiaria en caso de impago (esto último lo modificó al pronunciarse sobre la elevación a definitivas de sus conclusiones provisionales que varió en el sentido que se acaba de indicar). Por su parte la acusación particular(ac 71) pidió la condena de Jesús Manuel, como autor de un delito de estafa agravada de los arts. 248, 249 1 a) y 250 CP -sin circunstancias-. La defensa pidió una sentencia absolutoria. Lo mismo pidió Bankinter respecto de la responsabilidad civil subsidiaria reclamada frente a dicha entidad bancaria.

SEGUNDO.-Se practicaron en el acto del juicio oral las pruebas propuestas por las partes y admitidas (interrogatorio del acusado, testifical y documental).

El acusadoen fase instructora (ver video de 28.11.2024) no quiso declarar.

En el acto del juicio -video 8 24- sostuvo (en resumen) que conoció a una persona, de la cual desconoce su nombre, y que le dijo que tenía que recibir un dinero de su madre y que, por razones que no acabó de explicar muy bien, dijo que él no podía dar su cuenta bancaria y le pidió el favor de que le facilitase su número de cuenta para que la madre (de ese interlocutor de nombre desconocido) le enviase el dinero. Le dio su número de cuenta (la del Banco de Sabadell NUM003 que dijo tenía abierta desde 2019 y allí le pagaban sus nóminas) y recibió un dinero (dijo). Admitió que él sacó 2.000 euros (de su mencionada cuenta) con su tarjeta pero que los demás reintegros los hizo esa persona (o personas pues en un momento habló en plural) que le cogieron su tarjeta y aunque el acusado estaba con ellos, consintió -por miedo dijo- en que hicieran esas operaciones. También fueron ellos los que dispusieron (con su tarjeta) de otros reintegros en un local de juegos a los que los acompañó con la intención de recuperar su tarjeta. Estaba con ellos y le obligaron a sacar el dinero. Dijo que no sabía quién era (el que le propuso facilitar su cuenta y luego se quedó con su tarjeta bancaria) pero que luego, por redes sociales, dijo que lo reconoció y ofreció (en el acto del juicio) enseñar esa fotografía.

La Sala no admitió esa posibilidad dado el estadio procesal en el que nos encontrábamos y sin olvidar que tuvo tiempo desde el principio de dar cuenta de ese hallazgo -bien a la Policía, bien en el Juzgado instructor- (obviamente sin perjuicio de que ejercite las acciones que tenga por conveniente para defender de lo que estime en orden a defender sus supuestos derechos). La Abogada de la defensa hizo constar su protesta. Insistimos en que ni era el momento procesal oportuno (al inicio del juicio sí se pueden presentar pruebas con las condiciones que señala la norma, pero no después) pero es que además ello -de ser cierto lo que decía el acusado- obligaría a iniciar una nueva investigación en orden a determinar qué participación pudiera haber tenido esa persona que -no se olvide- de la que sólo se tiene una imagen sin saber su nombre, dirección, etc., en los hechos.

El acusado -siguió diciendo- no percibió nada y se sintió perjudicado porque su cuenta fue bloqueada y no pudo cobrar unas indemnizaciones a las que tenía derecho (por un accidente laboral -que no justificó-). Reiteró que tenía miedo por las posibles represalias de esa persona (o personas) ya que vivía en su pueblo e incluso lo había visto alguna vez por la calle. Negó haber llamado por teléfono a la denunciante. De lo ocurrido se dio cuenta a los tres días al ver el estado de su cuenta -que se había quedado prácticamente a cero-. En suma, negó ser autor de los hechos imputados.

Belinda, presentó denuncia en Comisaría (ac 1). Declaró en fase instructora (ver video día 18.10.2024).

En el acto del juicio (video 26 18) dijo que recibió un mensaje en su teléfono móvil (sobre las 19.30 horas del 23 de diciembre de 2023) alertándole sobre que en su cuenta se está haciendo una transferencia en su cuenta y que si no había sido ella, y le indicaban que pinchase en un enlace. Lo hizo (no había hecho ninguna transferencia) y le hicieron una pregunta rara por lo que colgó. Acto seguido llamó al teléfono del Banco de atención del cliente. Un mensaje le indicó que el servicio no estaba operativo (sólo funcionaba de lunes a viernes). Al poco (una hora más tarde aproximadamente) recibió una llamada (la voz era de mujer) diciéndole que era empleada del Banco (Bankinter -que era el suyo-) y que le iban a ayudar sobre esa alerta. Le pidieron las coordenadas de la tarjeta (para operar on line) y ella las facilitó. Fueron varias veces las que la pidieron las coordenadas ya que eran ocho las transferencias realizadas. Se cortó la comunicación y volvió a llamar al banco, saliendo de nuevo la grabación diciendo que no estaba operativo el servicio de atención al cliente. Nerviosa accedió a su cuenta (con ayuda de su marido) y vieron que le habían quitado el dinero (unos seis mil y pico euros). Fue a denunciarlo y en la policía le dijeron que era mejor que lo documentase para mayor claridad. Así lo hizo y volvió al día siguiente a la Comisaría a formalizar la denuncia. Su hijo la ayudó para la denuncia (recopiló los mensajes recibidos).

Declaró también la inspectora jefe (del grupo de delitos tecnológicos) del Cuerpo Nacional de Policía NUM008 (video 46 04), quien ratificó lo que consta en el atestado policial (y el ampliatorio) y añadió que comprobaron la cuenta a la que fue el dinero de la denunciante y cuyo titular el Sr. Jesús Manuel. Recibieron imágenes del cajero (del que se sacó el dinero), que no son de cajeros frontales y vieron que era un individuo de complexión delgada, con gafas y una gorra, pero -aunque creían que sí era él-, no podían afirmar que fuese el acusado. Luego se hicieron dos pagos en locales de juego (de distintas localidades). Se hicieron con una tarjeta vinculada a la cuenta del acusado. En cuanto a los teléfonos usados no se pudieron localizar. Ellos siguen el rastro del dinero ya que se usan aplicaciones que enmascaran el número de teléfono desde el que -aparentemente- se llama. Puede ocurrir que parezca que se llamada desde el banco, pero en realidad eso no es así. En la cuenta del acusado, al final, no quedaba saldo (en realidad 0.29 euros).

Al ac 2 obra el atestado ampliatorio de Policía Nacional donde se da cuenta de que Jesús Manuel es el titular de la cuenta bancaria abierta en el Banco de Sabadell nº NUM003 abierta presencialmente en la oficina 0347 sita en la Carretera de Sabadell nº 1 de Rubí.

Se observa 1 reintegro en cajero automático NUM009 por importe de 1.000 euros realizado el 23 de diciembre.

1 reintegro en el mismo cajero y en la misma fecha por 200 euros.

4 compras con la tarjeta NUM009 por importes de 1008,06 euros por cada una de ellas el 26.12.2023 en GCB Barcelona).

2 compras con la tarjeta NUM009 por importe de 508,75 (el 26.12.2023 en Gavernia -Barcelona-) y 203,50 euros (en la misma fecha y la misma entidad).

1 compra con la tarjeta NUM009 por importe de 8.81 euros (el 26.12.2023 en Super Mundial Terrassa).

1 pago de bizum Alexander por importe de 20 euros.

La tarjeta de debido NUM004 está vinculada a la cuenta a la vista abierta en el Banco de Sabadell nº NUM003. Las compras realizadas en Gavernia Barcelona fueron presenciales -con lectura de chip- y el resto también presenciales con EMV contactless.

Sigue diciendo el atestado policial que Gavernia Barcelona (Recreativos electrónicos Pris S.A.) confirmó que el acusado estuvo dos veces en su local (Salón Ramblas) el 23.12.2023 realizando los dos cargos mencionados desde su cuenta.

Consta también -de la información de la entidad bancaria Banco Sabadell, folio 17 del atestado ampliatorio- que en la cuenta del acusado se recibieron el 26.12.2023:

1 bizun de Belinda de 1.000 euros.

1 bizun de Belinda de 948 euros.

9 transferencias de Belinda de 489,11 euros cada una.

En total 6.349,99 euros.

TERCERO.- Valoración de la prueba.Apreciando en conciencia las pruebas practicadas en el acto del juicio ( art. 741 LECrim. ), ha concluido que los hechos han ocurrido como se ha narrado en el apartado de hechos probados de esta resolución. La declaración de la Sra. Belinda ha sido firme, persistente y creíble y cuenta con el aval de la documental remitida por su entidad bancaria, Bankinter en la que ha quedado reflejado que, de su cuenta abierta en dicha entidad, IBAN NUM006, se realizaron fraudulentamente nueve transferencias de 489,11 euros cada una y dos operaciones de por importe -una de ellas- de 1.000 euros y la otra de 948 euros. Se trató de una operación de "phishing" en la que persona o personas desconocidas -en todo caso y como se verá con el concurso esencial del acusado- suplantaron la identidad del banco e hicieron creer a la Sra. Belinda que se estaba realizando una operación no autorizada en su cuenta, lo que la llevó, primero, a pulsar un enlace también fraudulento y -tras abandonar la operativa-, le llamaron por teléfono, completando la operación depredadora, simulando ser empleados del banco y convenciéndola para que facilitase sus claves secretas para -supuestamente- retrotraer operaciones indebidas y que en realidad eran maniobras para esquilmar su cuenta. Así consiguieron esas nueve transferencias y dos operaciones de que ya se han reseñado y que obra con detalle en el ac 3 del expediente digital (fase de instrucción).

La versión de los hechos del Sr. Jesús Manuel no es creíble. Para empezar, no quiso declarar en fase instructora. Ese es su derecho constitucional y no conlleva un juicio de culpabilidad, pero sí alerta sobre la veracidad de la historia que contó en el acto del juicio oral. En él dijo que conoció a una persona (o personas), el mismo día 23 de diciembre de 2023 quien le pidió el favor de que le facilitase su número de cuenta para recibir en ella un dinero que le iba a enviar un familiar. El -dijo- lo aceptó y recibió en su cuenta (no niega que sea el titular de la misma y añadió que la abrió en 2019 y en ella se le abona su salario) las cantidades ilícitamente transferidas desde la cuenta de Belinda que ya se han reseñado. Dijo -en el acto del juicio y no antes- que una vez que recibió el dinero en su cuenta sí hizo las dos extracciones en cajero (de 1.000 euros y 200 euros) pero que le cogieron (aquí habla en plural) su tarjeta ya que esa operación la hizo personalmente pero los otros (al menos dos, según su versión) esperaban fuera y se quedaron con su tarjeta y -dos días después- los acompañó a un salón de juegos (donde consta que se hicieron cargos tal y como aparece en el atestado policial - Gavernia Barcelona; Recreativos electrónicos Pris S.A.-). Dijo que le vaciaron su cuenta y que, al quedar bloqueada, no pudo percibir una indemnización por un accidente laboral (nada de esto lo justificó) y añadió que no lo denunció por miedo, señalando -ya en el acto del juicio- que tenía una fotografía de la persona que -según él- le sometió a ese engaño (que es lo que en definitiva quiso decir). Ya se ha explicado que la Sala indicó que no era posible atender a lo que pedía ya que, aparte de no ser el momento procesal oportuno (su Abogada pudo presentar ese supuesto documento al inicio del juicio), la exhibición de una fotografía de una persona desconocida (nunca dijo su nombre ni donde vivía o podía ser localizado) sobre la que nunca antes se había dicho nada ni se había formulado denuncia, no podía dinamitar el procedimiento con esa versión de los hechos novedosa. Desde luego pudo denunciar esa versión de lo ocurrido. No consta que estuviese privado de libertad ni que ese (o esos) sujeto lo controlase hasta el punto de no poder acudir a la Comisaría más próxima y más si -como dijo- fue con (ellos) al local de juego. La explicación de que quería recuperar su tarjeta tampoco es explicación suficiente. Si -como dijo- se habían quedado con ella, nada más sencillo que anularla para evitar cualquier operación fraudulenta. La Sala llega a la conclusión de que el acusado sabía que colaboraba (de forma esencial) en una operación ilícita (no es descartable que -como se apunta en el atestado- fuese pergeñada por banda o grupo criminal) donde se localizaba a la víctima propicia y se ponía en marcha el sistema de suplantación del banco convenciendo a la víctima (con artificio informático) de que quien llamaba (el número de teléfono -aparente- era el del banco) era la entidad bancaria y con la añagaza de supuestas operaciones fraudulentas que se querían evitar o corregir, se conseguía que la víctima, en este caso la Sra. Belinda, facilitase sus claves bancarias secretas (las coordenadas de seguridad) para conseguir ese desplazamiento patrimonial ilícito desde la cuenta de ella a la del acusado quien, no hay lugar a duda, hizo las dos extracciones admitidas y -también sin duda- las compras y demás operaciones con las que se aprovecharon de lo obtenido -delictivamente- de la cuenta de la víctima. No hay -insistimos- ningún dato que avale la versión del acusado ni que estuviese afectado de ese miedo al que aludió en el acto del juicio. En suma, ha quedado enervada la presunción de inocencia que le ampara y se justifica la condena como se dirá a continuación.

CUARTO.-Ya se ha dicho que la Fiscalíacalificó los hechos como constitutivos de un delito de estafa informática del art. 249 1 a CP y alternativamenteun delito de blanqueo de capitales en su modalidad imprudente del art. 301 1 y 3 CP -sin circunstancias- y que la acusación particular(ac 71) pidió la condena de Jesús Manuel, como autor de un delito de estafa agravada de los arts. 248, 249 1 a) y 250 CP -sin circunstancias-.

En cuanto al delito de estafa informática, ha señalado la jurisprudencia que ".. No exige la concurrencia de engaño pues la asechanza a patrimonios ajenos realizados mediante manipulaciones informáticas actúa con automatismo en perjuicio de tercero, precisamente porque existe la manipulación informática y por ello no se exige el engaño personal.."- SsTS 12.6.2007 y 20.11.2001- y añade que ".. Para que haya manipulación informática lo relevante es que la máquina, informática o mecánica, actúe a impulsos de una actuación ilegítima que bien puede consistir en la alteración de los elementos físicos o de aquéllos que permiten su programación, o bien por la introducción de datos falsos.." STS 17.12.2008. En cuanto al denominado "phishing" bancaria y la ignorancia deliberada como subespecie del dolo, la jurisprudencia mayoritaria considera que, en principio, no cabe alegar error de tipo por supuesto desconocimiento de lo origen de los fondos ya que ".. Se está ante un caso de delincuencia económica de equipo informático de naturaleza internacional en el que los recurrentes ocupar a un nivel inferior y sólo tienen un conocimiento necesario para prestar su colaboración, la ignorancia del resto del operativo no borran y disminuye su culpabilidad porqué fueron conscientes de la antijuridicidad de su conducta, prestando su conformidad con un evidente ánimo que enriquecimiento, ya supieran, no quisiera saber -ignorancia deliberada-, o les fue la indiferente el origen del dinero, que en cantidad tan relevante recibieron. Lo relevante es que se beneficiario con todo, o más probablemente, en parte como pago que sus servicios, es obvio que prestan su colaboración y eficiente y causalmente relevante en una actividad antijurídica con pleno conocimiento o y cobrando por ello no pueden ignorar indefensión alguna, por su parte la explicación que dieron de que no pensaban que le daba algo ilícito o es un angelismo que se desmorona por sí sólo. En la sociedad a actual el acervo de conocimientos de cualquier persona de nivel cultural medio conoce y sabe que y la ilicitud de una colaboración que se le pueda pedir que el tipo de la que se observa en esta causa.."- STS 12.6.2007-.

La Fiscalía acusa -de forma alternativa o subsidiaria- por delito de blanqueo de capitales por imprudencia grave. Sobre esta cuestión, en la STS 1064/2025 de 30 de diciembre (P. Excmo. Sánchez Melgar)se analiza el delito de blanqueo de capitales por imprudencia y se dijo: <<..Con respecto al primer gravamen, hemos de reiterar ( STS 21 de enero de 2021 ) que el injusto imprudente del delito de blanqueo reclama concretar o referenciar determinativamente el incumplimiento de dos deberes normativos principales relacionados en términos de interdependencia condicionada: uno, el deber de evitación del resultado de favorecer una precedente actividad delictiva mediante alguna de las acciones que se describen en el tipo objetivo del artículo 301.1° CP ; otro, el deber de activar los mecanismos instrumentales de comprobación, indagación y representación sobre el origen del bien o el dinero recibido.

Siendo el incumplimiento de este segundo requisito la consecuencia de una conducta gravemente descuidada del agente, la que da esencia al blanqueo imprudente (tipo, por lo demás, habitualmente doloso), pero que el legislador ha querido también incluir en él los comportamientos más indolentes, bajo la fórmula del blanqueo imprudente, incluyendo la gravedad en su conducta, y salvaguardando el bien jurídico protegido por la norma.

Ahora bien, como toda fórmula de injusto imprudente debe examinarse la capacidad individual del agente de advertir y evitar el peligro. Para responder penalmente por un delito imprudente, la persona debe no solo haber introducido un peligro no permitido que se encuentre dentro del ámbito de protección de la norma. Además, la creación del peligro no permitido y el nexo o conexión con el fin de protección, deberían haber sido advertidos subjetivamente por el autor y el resultado, en consecuencia, poder haber sido también evitable.

La imprudencia se determina, por tanto, con arreglo a un doble baremo: por un lado, debe preguntarse qué comportamiento era el objetivamente debido en una determinada situación de peligro de lesión del bien jurídico. Y, por otro, si este comportamiento puede ser exigido al autor atendidas sus características y capacidades individuales.

Lo anterior comporta, de forma necesaria, identificar los concretos deberes de previsibilidad que obligaban a quien introdujo el riesgo desaprobado y, desde luego, las condiciones personales y situacionales para cumplirlos.

Pero no solo. La exigencia típica de gravedad de la conducta imprudente exige una valoración cuantitativa y cualitativa del grado de incumplimiento para lo que resulta necesario atender tanto a los contenidos de los respectivos deberes relevantes y la eficacia causal de su incumplimiento en la producción del resultado como a las concretas y situacionales condiciones de exigibilidad -vid. al respecto, STS 997/2013, de 19 de diciembre , que analiza con detalle, desde la perspectiva de la exigibilidad individual, un supuesto de blanqueo de capitales imprudente-.

Lo que, insistimos, no puede hacerse desde una aproximación presuntiva y generalista. Lo prohíben los principios constitucionales de presunción de inocencia y de culpabilidad.

En el delito de blanqueo por imprudencia las preguntas sobre por qué el agente pudo prever, por qué hubiera podido y debido prever el resultado, deben responderse analizando todos los planos de imputación: el fáctico-causal y el normativo...

(..)En suma, lo que el legislador criminaliza es incumplir el deber de cuidado, y propiciar el camuflaje del dinero de procedencia delictiva, y todo ello, la mayor parte de las veces, mediante la obtención de una ventaja económica (sin embargo, no requerida en el tipo, ni doloso ni imprudente).

Ahora bien, una cosa es la ventaja económica que obtendrá el agente, no definido en el tipo, y otra la cuantificación de los capitales blanqueados, aspecto éste del que trataremos seguidamente.

TERCERO.- Con las consideraciones antedichas, veamos los hechos probados de la sentencia recurrida.

Se refiere primeramente la resolución judicial recurrida a lo sucedido entre los días 25 y 27 de mayo de 2018, a través de la aplicación Bizum, en cuya franja horaria personas desconocidas, con ánimo de obtener un beneficio ilícito, realizaron un total de seis transferencias por importe total de 2.740 euros con cargo a la cuenta bancaria NUM010 titularidad de Doña Lucía en el Banco Popular, previa activación de aquella aplicación mediante manipulación informática, sin su consentimiento. La perjudicada, Lucía fue íntegramente resarcida por parte de la entidad Banco Popular (hoy en día integrada en el Banco Santander).

Por otro lado, entre los días 25 y 26 de mayo de 2018, se efectuaron cuatro transferencias por importe cada una de ellas de 500 euros, a un número de teléfono móvil facilitado por el acusado Eulalio (nacido el NUM011 de 1999), teléfono vinculado a la cuenta NUM012 del Banco Sabadell, de la que era titular el propio acusado Sr. Eulalio. Llegado el lunes día 28 de mayo de 2018, el acusado Sr. Eulalio procedió a efectuar el reintegro en efectivo de los 2.000 euros transferidos a su cuenta.

El acusado Sr. Eulalio, movido por un fin económico, facilitó los datos necesarios para que los terceros desconocidos ejecutasen las transferencias, sin conocer ni representarse el origen delictivo del dinero que iban a recibir, pero infringiendo la diligencia mínima imprescindible. Al tiempo de comisión de los hechos el acusado tenía un trastorno sobre déficit intelectual, con una discapacidad reconocida del 37%, que solamente afectaba mínimamente a sus facultades intelectivas o volitivas y que no le impedían haber advertido el origen delictivo del dinero.

Por otro lado, el día 27 de mayo de 2018, a las 00:05:47 horas y a las 00:08:34 horas, se realizaron otras dos transferencias por importes de 500 y 240 euros, a un número de teléfono móvil facilitado por el acusado Julio (nacido el NUM013 de 1987), vinculado a la cuenta NUM014, de Caixa, cuyo titular es el acusado Sr. Pedro Francisco. Llegado el lunes día 28 de mayo de 2018, este acusado procedió a efectuar también el reintegro en efectivo de los 740 euros transferidos a su cuenta.

El acusado Sr. Pedro Francisco, movido por un fin económico, facilitó los datos necesarios para que los terceros desconocidos ejecutasen las transferencias, sin conocer ni representarse el origen delictivo del dinero que iban a recibir, pero -se dice- infringiendo la diligencia mínima imprescindible teniendo capacidad para ello.

Como vemos, ni en los hechos probados, ni en la fundamentación jurídica, se expone concretamente cuál fue la diligencia mínima imprescindible que ocasionó el delito y que constituye la infracción del deber de diligencia grave que exige el tipo penal.

Si no conocían el delito de donde procedían los bienes, al menos nada de ello se expone en los hechos probados, ni tampoco pudieron imaginarse tal procedencia delictiva (que en nuestro caso tampoco se explica), por no «conocer ni representarse el origen delictivo del dinero que iban a recibir», conforme se afirma en el factum, no puede cumplirse el requisito de la tipicidad de la conducta, base del principio de legalidad, pues lo único que se afirma es que prestaron sus teléfonos para recibir ciertas cantidades mediante Bizum que después retiraron de sus cuentas. Esto solo, es insuficiente para colmar las exigencias típicas del delito enjuiciado.

Así, en el caso de Eulalio, movido por un fin económico, facilitó los datos necesarios para que los terceros desconocidos ejecutasen las transferencias, sin conocer ni representarse el origen delictivo del dinero que iban a recibir, pero infringiendo la diligencia mínima imprescindible.

Como es de observar, en dicho supuesto, no se describe tal diligencia mínima exigible, en cantidades que son muy exiguas para la comisión de un delito de blanqueo de capitales, pues por «capitales» difícilmente puede comprenderse una suma de 2.000 euros (cuatro ingresos e 500 euros), y mucho menos en lo que concierne al Sr. Pedro Francisco, que son 740 euros.

La STS 224/2024, de 7 de marzo ,enfatiza que con la base que representa la terminología legal, blanqueo de capitales, que es la elegida como leyenda que encabeza el capítulo correspondiente del cuerpo normativo y la filosofía que inspira la represión de esas conductas (que tiene que ver con la protección del mercado y la economía, con el orden socioeconómico), se entiende bien que solo exista blanqueo punible cuando las cantidades o bienes manejados adquieran cierta significación.

No alcanza ese rango la cifra a que se refieren los hechos. Negocios de bagatela, de cuantía insignificante, no son típicos. Una lectura del precepto en clave teleológica, asentada en la dimensión socioeconómica del bien jurídico protegido, empuja a esa interpretación, en exégesis que se ve reforzada por el uso del término "capitales".

En esa dirección apuntaba la STS 809/2014, de 26 de noviembre ,recogiendo y recreando una vía ya insinuada en la STS 884/2012 de 8 de noviembre (se postula una "restricción teleológica, para considerar atípicos todos los objetos materiales de cuantía irrelevante, en virtud del principio de insignificancia, por su nula incidencia en el orden socioeconómico, así como en virtud de la inviabilidad de la absoluta exclusión de la actividad económica de cualquier ciudadano, que no puede serle privada las actividades de compra diaria para atender a las necesidades vitales cotidianas, de otro modo proscritas"). (..). La STS 501/2019 de 24 de octubre sostiene que "el blanqueo de capitales no es un delito de sospecha: exige como cualquier otro, prueba de la concurrencia de todos y cada uno de sus elementos típicos, entre los que se encuentra el origen criminal (y no meramente ilícito, ilegal o antijurídico) de los bienes".

En suma, es preciso referenciar con algún detalle la diligencia que debió desplegar el autor, lo que aquí no se describe de modo alguno en los hechos probados, y sabemos que esta Sala Casacional impide una labor de integración contra reo en los fundamentos jurídicos de la sentencia recurrida, ni se califica tampoco, en este caso, la gravedad de la conducta en función a la cantidad supuestamente blanqueada que, en ambos casos, es de mínima entidad, para el delito que se enjuicia (blanqueo de capitales), pues recordemos que no estamos en presencia de un delito patrimonial contra los perjudicados, sino de una infracción que debe afectar al bien jurídico protegido que lo es la regularidad de la economía en evitación del camuflaje u opacidad de ganancias procedentes de un delito, lo que aquí tampoco se describe en modo alguno, desconociéndose de qué delito proceden los bienes supuestamente blanqueados, ni su conexión con los acusados, razón por la cual el recurso será estimado, procediendo la absolución de ambos recurrentes...>>.Acaba casando y anulando la condena de la AP de Madrid (confirmada por el TSJM) y absolviendo a los recurrentes.

Es cierto que la frontera entre ambos tipos penales (estafa y blanqueo de capitales por imprudencia) es difusa (ver SAP de Oviedo de 18.2.2015 (Secc 8ª, Pte. Ilma. Sra. Fernández González) y que la calificación jurídica de la actividad llevada a cabo por las conocidas en el argot policial como "mulas" o "muleros" puede resultar controvertida, como puede comprobarse con un somero análisis de la copiosa jurisprudencia emanada al respecto; sin embargo no podemos olvidar que, si existen elementos de prueba suficientes del efectivo conocimiento por parte de quien actúa de esta manera en relación a lo acaecido en las primeras fases de la operación defraudatoria en las que no intervino personalmente, tal conducta constituirá una etapa más de dicha operación y, en consecuencia, integrará el delito de estafa.

El Tribunal Supremo -sigue diciendo la sentencia que mencionamos-, tras el dictado de resoluciones dispares, ha zanjado la cuestión en sus sentencias de fechas 25 de octubre de 2012 y 2 de diciembre de 2014 , indicando que la relevancia penal del actuar de la mula como delito de estafa informática, receptación o como delito de blanqueo de capitales imprudentes, deberá determinarse en atención a las circunstancias concurrentes en cada caso.

En la primera de las resoluciones mencionadas el alto tribunal afirma que "la calificación jurídica de los hechos como integrantes de un delito de estafa informática, receptación o blanqueo de capitales, obligará a analizar en qué medida el dolo de ese tercero, que hace posible el rendimiento del capital evadido, capta los elementos del tipo objetivo del delito de estafa. Abrir una cuenta corriente con el exclusivo objeto de ingresar el dinero del que se desapodera a la víctima, encierra un hecho decisivo para la consumación del delito de estafa, pues en la mayoría de los casos, al autor principal no le será suficiente con disponer de la información precisa sobre las claves personales para ejecutar el acto de desapoderamiento. Necesitará una cuenta corriente que no levante sospechas y que, mediante la extracción de las cantidades transferidas pueda llegar a obtener el beneficio económico perseguido. Precisamente por ello, la contribución de quien se presta interesadamente a convertirse en depositario momentáneo de los fondos sustraídos integrará de ordinario el delito de estafa. Pero para ello resultará indispensable claro es- que quede suficientemente acreditada su participación dolosa en el delito cuya secuencia inicial ejecuta un tercero, pero a la que coopera de forma decisiva".

En definitiva -continúa la SAP de Oviedo que citamos-, la calificación jurídica de los hechos como delito de estafa informática o blanqueo de capitales, depende de que se acredite o no que los acusados tenían pleno conocimiento del carácter fraudulento de las operaciones, bien por ser ellos quienes las efectuaron o por estar de acuerdo con el defraudador y al tanto de las maniobras realizadas, siendo los encargados de recibir y remitir los fondos recibidos. En este sentido se pronuncia la más reciente sentencia del Alto Tribunal, de fecha 17 de febrero de 2020 que, confirmando la Sentencia de instancia, condena a la mula por estafa porque entiende que ésta conocía el origen ilícito de las sumas que le habían sido transferidas directamente por las víctimas, y por tanto tenía conciencia sobre la antijuridicidad de su conducta.

También la SAP de Almería de 25.11.2025 (Secc. 3ª, Pte. Ilma. Sra. Balaguer Gutiérrez) indicó que: <<.. El Tribunal Supremo se ha pronunciado en el sentido de entender que la mula era autora de un delito de estafa en diversas resoluciones, entre otras podemos señalar las STS nº 533/2007 de 12 de junio , nº 556/2009 de 16 de marzo y el ATS 1548/2011 de 27 de octubre , en las que se considera que tanto la actuación del autor principal de la conducta delictiva como la de la mula merecen similar calificación jurídica como delito de estafa informática, puesto que realizan una actividad conjunta para conseguir la ejecución del desplazamiento patrimonial en perjuicio de un tercero en el que las mulas constituyen un elemento final para la consumación de la conducta delictiva, consumación que, contrariamente a lo que sostiene el apelante, se produciría en el momento en el que el dinero entra en la cuenta corriente del acusado, independientemente de cuando disponga de manera efectiva de él, puesto que desde ese momento está a su entera disposición y se ha ocasionado ya el perjuicio al tercero.

Frente a ello, existen otros pronunciamientos favorables a entender el actuar exclusivo de las mulas como delito de blanqueo de capitales imprudente previsto en el artículo 301.3 del Código Penal , razonando para ello que "se trata de obtener dinero mediante el fraudulento acceso a las claves bancarias de confiados usuarios de Internet y, a partir de ahí, buscar una fórmula que permita colocar esos remanentes dinerarios en un país seguro, a nombre de personas de difícil identificación por los agentes de policía del Estado en cuyo territorio se efectúa el acceso inconsentido a las cuentas de la víctima y las transferencias a terceros países. Es una actuación fraudulenta que tiene como destinatarios a usuarios de la banca informática cuyas claves personales se obtienen engañosamente, técnica denominada "phishing", porque parte de una acción de pesca de las claves que permiten el libre acceso a las cuentas del perjudicado. El tratamiento (...) Pero los supuestos de quienes se limitan a colocar en el extranjero los fondos, permaneciendo totalmente ajenos a la confabulación anterior que hace posible el conocimiento de las claves para el acceso a las cuentas del sujeto engañado, pueden perfectamente ser calificados como un delito de blanqueo de capitales, cometido por dolo eventual o incluso imprudente, tesis asumida en el presente caso por el Tribunal de instancia que debe ser respetada" ( STS 506/2015 de 27 de julio ).

El TS en Sentencia nº 834/2012 de 25 de octubre de 2012 y nº 664/2014 de 2 de diciembre solventa la cuestión indicando que la relevancia penal del actuar de la mula como delito de estafa informática, receptación o como delito de blanqueo de capitales imprudentes, deberá determinarse en atención a las circunstancias concurrentes en cada caso. En las resoluciones mencionadas el alto tribunal afirma que "la calificación jurídica de los hechos como integrantes de un delito de estafa informática, receptación o blanqueo de capitales, obligará a analizar en qué medida el dolo de ese tercero que hace posible el rendimiento del capital evadido, capta los elementos del tipo objetivo del delito de estafa. Abrir una cuenta corriente con el exclusivo objeto de ingresar el dinero del que se desapodera a la víctima, encierra un hecho decisivo para la consumación del delito de estafa, pues en la mayoría de los casos, al autor principal no le será suficiente con disponer de la información precisa sobre las claves personales para ejecutar el acto de desapoderamiento. Necesitará una cuenta corriente que no levante sospechas y que, mediante la extracción de las cantidades transferidas pueda llegar a obtener el beneficio económico perseguido. Precisamente por ello, la contribución de quien se presta interesadamente a convertirse en depositario momentáneo de los fondos sustraídos integrará de ordinario el delito de estafa. Pero para ello resultará indispensable claro es- que quede suficientemente acreditada su participación dolosa en el delito cuya secuencia inicial ejecuta un tercero, pero a la que coopera de forma decisiva".

De la jurisprudencia analizada se extrae que cuando queda acreditado que la mula tiene conocimiento de su condición de engranaje en el entramado criminal de la estafa su conducta ha de ser castigada como delito de estafa informática, tal es el caso del supuesto analizado por la STS nº 51/2020 de 17 de febrero que confirmando la Sentencia de instancia condena a la mula por estafa porque entiende que ésta conocía el origen ilícito de las sumas que le habían sido transferidas directamente por las víctimas, y por tanto tenía conciencia sobre la antijuridicidad de su conducta. En otros casos, cuando no es posible acreditar la conexión de la conducta de la mula con la del autor del delito de estafa, los Tribunales, por lo general, se suelen decantar por la calificación jurídica como delito de blanqueo de capitales de carácter imprudente del artículo 301.3 del Código Penal . Este criterio, que ha sido ampliamente seguido por Juzgado y Tribunales territoriales, es seguido también en las STS nº 987/2012 de 3 de diciembre y nº 506/2015 de 27 de julio , afirmando que "la inferencia que parte de las circunstancias en que el acusado recibe la propuesta y concluye que éste, no solamente debía tener sospechas de que le involucraban, de aceptar, en una estafa, sino que tal sospecha había de ser de muy alta intensidad, ni es acorde a lógica de manera necesaria, ni se trata de una inferencia concluyente e inequívoca. Sobre la intensidad de la sospecha, que la Sala de instancia afirma le era exigible al acusado, habrá de convenirse que en ningún caso alcanza el grado de objetividad, al margen de la credulidad del sujeto concreto, que la imputación del elemento subjetivo como dolo eventual exige. Podrá, en efecto, convenirse que un hombre medio prudente experimentaría la duda sobre legalidad de la propuesta recibida por el acusado. Pero el descuido consistente en no apurar la indagación sobre la naturaleza de la oferta recibida se sitúa en el ámbito de la imprudencia. No alcanza la objetividad de la previsibilidad sobre los datos de hecho que requiere el dolo eventual. La lectura de los mensajes cruzados con el autor de la oferta debilita la inferencia que asume la sentencia de instancia sobre la cognoscibilidad objetiva de su naturaleza delictiva. La afirmación del elemento subjetivo por la sentencia de instancia se desvía así del canon que sobre prueba indiciaria dejamos antes expuesto". Por su parte la STS nº 961/2021 de 1 de diciembre , confirma la Sentencia dictada por el tribunal de instancia, condenando a los acusados por delito de blanqueo de capitales doloso del art. 301.1 y 2, al estimar acreditada la previa comisión de un delito de estafa y su conocimiento por los acusados, pero no su participación en dicho fraude delictivo...>>.

En nuestro caso, por el análisis de la prueba realizado más arriba, concluimos que el Sr. Jesús Manuel era conocedor -y participó- en ese entramado criminal donde su papel -como cooperador necesario para el buen fin de la operación- era recibir los fondos detraídos de la cuenta de la Sra. Belinda para quedarse con ellos (sin descartar que los repartiera con terceros que eventualmente formaran parte del grupo). Ya se ha explicado que es inverosímil que conociera -como dijo- a una persona (de un día) y que consintiese en "prestar" su cuenta bancaria para recibir unos fondos que ni se sabe de donde venía ni de quien venía (en ningún momento aparece el nombre de la madre o de la persona que, según su versión, iba a transferir -a su cuenta- esos fondos destinados a ese "amigo" o "conocido" -de un día- ignoto. En suma, participó en la estafa en la forma dicha y con conocimiento ya inicial de la mecánica -y su papel- en la trama. Es claro que, ante la ausencia de prueba de que fue él quien creó el artificio informático y llamó a la víctima, sin embargo, sí participó como cooperador necesario en el entramado pergeñado para vaciar -al menos en parte- la cuenta de la víctima con el engaño ya descrito, con ánimo de lucro y que incorporó a su patrimonio. No hay indicio o prueba que permita optar por la calificación subsidiaria del Mº Fiscal de tratarse de un delito de blanqueo de capitales por imprudencia.

Lo que no compartimos es la tesis de la acusación particular de que el acusado ha cometido una estafa cualificada. Cita (además del art. 248 y 249 1 a), el art. 250 CP -calificación que no alteró en el acto del juicio ya que elevó a definitivas sus conclusiones provisionales-). Ni lo especificó en su calificación provisional ni lo justificó en momento ulterior. Por lo tanto, no cabe la condena en esos términos (genéricos) postulados por la acusación particular sin que, en consecuencia, pueda la Sala condenar por más o distinta calificación y pena al margen de lo postulado por la Fiscalía (lo que se analizará con más detalle a continuación, partiendo de que, como se ha dicho, la Sala considera que el acusado ha cometido un delito de estafa del art. 249.1 a) CP) .

QUINTO.- Autoría.Es autor de este delito ( art. 28 CP) el acusado Jesús Manuel como ya se ha justificado "ut supra" al ser conocedor del entramado utilizado para obtener fraudulentamente y con ánimo de lucro, fondos procedentes de la cuenta bancaria de la Sra. Belinda cooperando con los que lo idearon y llevaron a cabo, dispuso de dichos fondos en su beneficio una vez los recibió en su cuenta tal y como ya se ha explicado..

SEXTO.- Circunstancias modificativas de la responsabilidad criminal.No concurren. Se hizo una referencia (por el acusado que no por su representación legal) que actuó por miedo. Sin embargo no se ha acreditado que eso fuera así ni que se cumplieran las circunstancias exigidas en el art. 20.6 CP ni en la jurisprudencia que lo interpreta (ver STS 24.2.2000 y 11.3.2005 entre otras muchas.

SEPTIMO.- Pena.Como ya se ha indicado, la Fiscalía postula una pena de 18 meses de prisión en tanto que la acusación particular reclama 4 años de prisión y 8 meses de multa. El art. 249 CP castiga la estafa con una pena de 6 meses a 3 años de prisión. Señala el art. 248 CP que "..Para la fijación de la pena se tendrá en cuenta el importe de lo defraudado, el quebranto económico causado al perjudicado, las relaciones entre este y el defraudador, los medios empleados por este y cuantas otras circunstancias sirvan para valorar la gravedad de la infracción...". En este caso la perjudicada -que ninguna relación tenía con el acusado- sufrió un perjuicio económico de 6.349,99 euros, cantidad de relativa importancia en una economía media. De ahí que se estime ponderada la pena de 11 meses de prisión e inhabilitación especial del derecho de sufragio pasivo durante la condena.

OCTAVO.- Responsabilidad civil.Con arreglo a lo dispuesto en los arts. 109 y ss CP procede resolver sobre la responsabilidad civil reclamada. Como ya se ha dicho, la acusación particular reclama que Bankinter sea declarado responsable civil subsidiario.

Como se ha dicho, la Sra. Belinda -ante una inicial sospecha- hizo una llamada al banco para confirmar que la comunicación era auténtica, pero el banco -ese dia y a esa hora- no tenía operativo el sistema de respuesta (únicamente funcionaba de lunes a viernes y hasta una hora -la llamada se hizo algo más tarde de la finalización del servicio-). Alega que existía otro número de atención al cliente que estaba operativo a todas horas (figuraba en la página web del banco) y en todo caso, cita a su favor lo dispuesto en los arts. 40 y ss del RDL 19/2018 ya que fue la propia cliente quien facilitó los datos a quien indebidamente se lo pidió y el banco no podía (autorizados los pagos por ella) proceder a la retrocesión.

En la SAP de Madrid de 9.12.2025 (Scc. 30, Pte. Ilma Sra. Esteban Meilan) se sostiene que: <<..El artículo 120.3 del código penal habilita el llamamiento de las entidades bancarias al procedimiento penal, como posibles responsables civiles subsidiarias, cuando sus servicios de pagos por intermediación financiera hayan servido para la comisión de una estafa informática, debiendo haber detectado y paralizado la operación fraudulenta, cuando no lo hayan hecho por una inexistente o deficitaria aplicación de los sistemas de seguridad y control.

Nos encontramos ante un sofisticado delito de estafa, en el que se ha utilizado la banca on line y la informática para su comisión. Sin embargo, las acciones resarcitorias no pierden su naturaleza civil. Consecuentemente la petición de responsabilidad civil del banco, se trata de una responsabilidad civil cuasi objetiva con presunción de culpa, derivada del riesgo profesional generado, en este caso por las entidades bancarias y de su especial deber de garantía impuesto por la ley de tal forma que la infracción de los reglamentos de cuidado permite su instrumentación por parte del autor del delito y la comisión del ilícito penal (..) En nuestro ordenamiento jurídico la responsabilidad civil nacida de delito tiene un régimen especial y diferente del régimen general de la culpa extra contractual. (..)El responsable civil subsidiario responde de lo mismo que el responsable penal aunque sólo en defecto de este. No caben diferenciaciones en el alcance de sus respectivas responsabilidades civiles en virtud de factores como este (la culpa de la víctima no tendría relevancia en relación a la conducta dolosa, pero si repartiría el daño en relación al tercero cuando de culpas concurrentes). Y no se exige constatar en concreto la presencia de culpa de ese tercero civil responsable ( STS 300/2014 de 1 de abril )...Ahora bien, podemos afirmar que la doctrina jurisprudencial admite, que, de manera unánime, la responsabilidad civil subsidiaria de las entidades bancarias en aquellos supuestos en los que sus servicios han dado soporte a la comisión de una estafa " informática " sumado a que la existencia del engaño bastante propio de la misma, eliminará una hipotética diligencia de actuación del propio usuario perjudicado y aún más aun teniendo en cuenta la práctica supresión por el Tribunal Supremo del deber de autotutela de la víctima hacen del procedimiento penal una vía para ejercitar la acción civil de manera conjunta a la acción penal. Sin embargo, no se trata de que las entidades bancarias tengan que responder siempre y ante cualquier circunstancia y tampoco de que dichas entidades no experimenten ningún perjuicio como consecuencia de las actuaciones fraudulentas cometidas por terceros, sino de que como operadores que desempeñan una actividad muy lucrativa-mientras los consumidores y usuarios se ven forzados a operar a través de plataformas digitales, que genera un claro riesgo para la sociedad deben poner sus esfuerzos y recursos en prevenir el fraude e impedir que los defraudadores se valgan de sus servicios para cometer actos delictivos, debiendo responder sólo cuando realmente se haya posibilitado la comisión del delito por un proceder negligente que haya supuesto la inobservancia de las normas de cuidado. Resulta obvio que la solución del problema pasa necesariamente por un mayor desarrollo y una correcta implementación de sistemas de detección preventiva en fraude por parte de las entidades bancarias.

Así pues, los bancos están sujetos a estrictos deberes definidos en la ley 10/2010 de 28 de abril de prevención de blanqueo de capitales y de la financiación del terrorismo que incluye medidas de diligencia debida y obligaciones de información como identificar al titular real de las cuentas, verificar la naturaleza de las operaciones o bloquear transacciones sospechosas.(..) Téngase en cuenta que las entidades bancarias desempeñan una actividad con ánimo de lucro y que sus consumidores y usuarios dependen de ellas para operar y no quedan excluidos del sistema financiero, pagando por sus servicios.

Las entidades bancarias han de cumplir, por tanto, con unas muy altas exigencias de seguridad en los sistemas de pago e intermediación financiera, con el objeto de minimizar al máximo e idealmente descartar el riesgo de la actividad que desempeñan, debiendo corresponder la confianza que depositan en ellos los consumidores y usuarios y responder cuando no han cumplido satisfactoriamente y tales exigencias de seguridad no han sido satisfechas, permitiendo la materialización del riesgo en el resultado.

La doctrina jurisprudencial admite de manera unánime, la responsabilidad civil subsidiaria de las entidades bancarias en aquellos supuestos, en los que sus servicios han dado soporte a la comisión de una estafa. No se trata de que las entidades bancarias tengan que responder siempre y ante cualquier circunstancia, ni de que dichas entidades no experimenten ningún perjuicio como consecuencia de las actuaciones fraudulentas cometidas por terceros sino de que, como operadores que desempeñan una actividad muy lucrativa mientras los consumidores y usuarios se ven forzados a operar a través de plataformas digitales que genera un claro riesgo para la sociedad deben poner sus esfuerzos y recursos en prevenir el fraude impedir que los defraudadores se valgan de sus servicios para cometer actos delictivos, como es el caso, debiendo responder sólo cuando realmente si haya posibilitado la comisión del delito por un proceder negligente que haya supuesto la inobservancia de las normas de cuidado...>>.

Traemos a colación también la SAP de Valladolid de 8.10.2025 (Secc. 3ª, Pt. Ilmo. Sr. Muñiz Delgado) que, si bien se trata de un recurso sobre una sentencia de un juzgado de 1ª Instancia, analiza la cuestión de la responsabilidad civil subsidiaria de las entidades bancarias. Señala: <<..La sentencia del Tribunal Supremo nº 571/2025, de 9 de abril ,analiza un supuesto en el que la entidad bancaria recurrente sostenía que posiblemente se había producido una suplantación de identidad o «phishing», pero que las operaciones se autorizaron al haber cumplido el doble factor de autenticación, sin detectarse incidencia alguna, conforme a lo dispuesto en el art. 44 del RD-ley 19/2018 .Una vez acreditada la doble autenticación se alegaba no corresponde a la entidad bancaria determinar si las operaciones de pago cuestionadas las autentificó un cliente o un tercero que disponía de los datos, o incluso del dispositivo móvil utilizado, constando que en los contratos de banca digital y de cuenta corriente y/o depósitos se prevé expresamente que el Banco queda exenta de los perjuicios que se pudieran derivar por intromisiones ilegítimas de terceros en el sistema elegido por el cliente, fuera del control de la entidad bancaria. En esta STS nº 571/2025 se analiza ampliamente toda la normativa sobre la materia, para después referirse a lo que debe entenderse por "operaciones de pago no autorizadas", y por "fallos de seguridad", argumentando en el Fundamento de Derecho Segundo. 6: "En suma, la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo, en el doble sentido de que, primero, notificada la existencia de una operación no autorizada o ejecutada incorrectamente, el proveedor debe responder salvo que acredite la existencia de fraude; y, segundo, cuando el usuario niegue haber autorizado la operación o alegue que ésta se ejecutó incorrectamente, corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave. Profundizando en este último punto, la expresión «operaciones no autorizadas» incluye aquellas que se han iniciado con las claves de usuario y contraseña del usuario -necesarias para acceder al sistema de banca digital y confirmado mediante la inserción del SMS enviado por el propio sistema al dispositivo móvil facilitado por el usuario, siempre que éste niegue haberlas autorizado, en cuyo caso el banco deberá acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio que presta. A este respecto, la mención «deficiencia del servicio» no significa error o fallo del sistema informático o electrónico -posibilidad que estaría prevista en el concepto de «fallo técnico»-, sino que abarca cualquier falta de diligencia o mala praxis en la prestación del servicio, en el entendimiento de que el grado de diligencia exigible al proveedor de los servicios de pago no es el propio del buen padre de familia, sino que la naturaleza de la actividad y los riesgos que entraña el servicio que se presta, sobre todo en una relación empresario/consumidor, obliga a elevar el nivel de diligencia a un plano superior, como es el del ordenado y experto comerciante. Lógicamente, las buenas prácticas pasan por adoptar las medidas de seguridad necesarias para garantizar el correcto funcionamiento del sistema de servicios de pago, entre las cuales destacan las orientadas a detectar de forma automática la concurrencia de indicios de que puede tratarse de una operación anómala y generar una alerta o un bloqueo temporal (v.gr. reiteración de transferencias sin solución de continuidad, horario en que se producen, importe de las mismas, destinatarios, antecedentes en el uso de la cuenta...), o las dirigidas a incrementar el control y vigilancia cuando se han recibido noticias o alertas de un posible aumento del riesgo."

Como es público y pone de manifiesto la práctica diaria de los Tribunales, han proliferado en los últimos años las estafas con las que los delincuentes acceden a la banca digital de los clientes bancarios, engañando a estos para que les faciliten sus claves identificativas y de seguridad. El caso que nos ocupa es un ejemplo de la sofisticación que van alcanzando tales prácticas delictivas, con la utilización de complejos mecanismos o incluso la posible connivencia de un cooperador necesario cara a obtener información sobre datos personales y económicos de la víctima para así ganarse la confianza de esta y el acceso a sus claves de seguridad, tal y como queda de manifiesto en el relato de hechos anteriormente consignado. Resulta por tanto ciertamente difícil con tal operativa a un cliente bancario medio empleando una normal diligencia percatarse de que está siendo objeto de una estafa. Dado que se han generalizado el sistema bancario digital, la utilización de las tarjetas de crédito, las compras por internet, etc... sin la previa selección de los conocimientos y experiencia de la clientela y sin proporcionarle una específica formación al respecto, mas allá de posible acceso a una página web, nos encontramos con que a dicho sistema tiene acceso una generalidad de clientes con las evidentes y conocidas ventajas que ello comporta para la banca. No basta por tanto para prevenir tales fraudes con medidas genéricas de protección o avisos estereotipados de cuidado, puesto que la seguridad de las operaciones bancarias precisa de soluciones tecnológicas avanzadas a los efectos de garantizar tanto la autenticidad como la integridad y confidencialidad de los datos.

La normativa aplicable configura un sistema de responsabilidad cuasi objetiva de la entidad proveedora del servicio de pago, con inversión de la carga de la prueba, de manera que se presume ex lege la falta de autorización si el titular la niega, salvo que se prueba por parte de la entidad que el cliente ha actuado de forma fraudulenta o con negligencia grave a la hora de aplicar los medios de protección de seguridad personalizados o caso de no haber comunicado a la entidad el pago no autorizado en cuanto tenga conocimiento del mismo. Tal y como afirman las SSAP Oviedo de 11 de abril de 2024 , 21 de marzo de 2024 y 13 de diciembre de 2023 , dicho régimen está "sin duda inspirado en la idea de que los beneficios que comporta (tanto para el tráfico económico, como para la actividad del proveedor de los servicios) el avance tecnológico en los instrumentos de pago, debe estar justamente compensado con la protección reforzada de quien los emplea y se ve expuesto a actuaciones fraudulentas". En su consecuencia la diligencia que resulta exigible al Banco a la hora de gestionar dicha operativa digital y servicios de pago para evitar en lo posible la consumación de las múltiples estafas que vienen produciéndose, tal y como se consigna en la STS antes citada, no es solo la correspondiente a un buen padre de familia sino la de un ordenado y experto comerciante, implementando sistemas de seguridad que de forma automática detecten indicios de una posible utilización fraudulenta de los servicios de pago ante lo cual generen una alerta al cliente y/o el bloqueo de las operaciones que pudieran realizarse.

En su consecuencia para verse exenta de responsabilidad la entidad demandada debe probar no solo que las operaciones no se vieron afectadas por un fallo técnico, sino también que no se produjo una prestación defectuosa del servicio. El hecho de que la filtración o el conocimiento de las claves por el tercero no sea imputable a la entidad bancaria tampoco la libera de obligación de responder ni traslada al usuario la obligación de soportar las pérdidas, ya que el proveedor de servicios de pago, además de demostrar que el servicio se prestó correctamente -lo que como seguidamente veremos no sucedió-, debía acreditar la concurrencia de fraude o incumplimiento deliberado o gravemente negligente por parte del usuario. No se alega siquiera por el banco demandado que la actora pudiere haber incurrido en conducta fraudulenta o connivencia alguna con el estafador y como seguidamente se expondrá, dadas las circunstancias concurrentes, tampoco se acredita incurriera en negligencia grave incumpliendo las obligaciones que le correspondían de tomar las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas.

En efecto, aplicando la antes reproducida doctrina jurisprudencial al supuesto enjuiciado, es cierto que la actora facilitó al estafador los datos de su tarjeta del Banco de Santander y el acceso a su banca digital, lo que posibilitó que este realizase las cuatro compras cuyo importe se reclama. La negligencia grave del usuario como causa de exoneración de la entidad bancaria es tratada por la Directiva (UE) 2015/2366 en un sentido restrictivo. Según su considerando 72 "[a] la hora de evaluar la posible negligencia o la negligencia grave del usuario de servicios de pago, deben tomarse en consideración todas las circunstancias. Las pruebas de una presunta negligencia, y el grado de esta, deben evaluarse con arreglo a la normativa nacional. No obstante, si el concepto de negligencia supone un incumplimiento del deber de diligencia, la negligencia grave tiene que significar algo más que la mera negligencia, lo que entraña una conducta caracterizada por un grado significativo de falta de diligencia. Un ejemplo sería el guardar las credenciales usadas para la autorización de una operación de pago junto al instrumento de pago, en un formato abierto y fácilmente detectable para terceros". Ciertamente la usuaria en nuestro caso incurrió en una cierta negligencia al facilitar al estafador los datos que le permitieron el acceso a su banca digital, más consideramos que no puede calificarse como grave dicha negligencia pues ello fue como consecuencia de la confianza que este le generó al hacerse pasar por un empleado de su Compañía Telefónica a la que aquella había llamado poco tiempo antes, facilitándole una supuesta identidad y trasmitiéndole el conocimiento de datos personales de ella y de su contrato de teléfono. No alega ni acredita el Banco demandado que la actora previamente a estos hechos hubiera realizado a través de esta operativa compras de productos o en empresas similares a las que ejecutó el estafador. Tampoco compras de otro tipo de productos con esos elevados importes o con esa frecuencia en poco más de 7 horas, ni que previamente hubiera intentado ampliar el límite de disposición de la tarjeta o hubiera solicitado préstamos por los elevados importes antes consignados. De haber implementado el Banco un sistema de seguridad acorde al descrito por la citada doctrina jurisprudencial, es claro que ante un alta en el dispositivo seguro realizada sobre las 19,30 horas del día 11 de abril operando desde un teléfono móvil de una marca diferente al que utilizaba la clienta hoy demandante, la ampliación del límite dispositivo de la tarjeta, la posterior ejecución de compras en poco tiempo de las características, frecuencia e importe de las descritas, etc..., dicho sistema automáticamente habría bloqueado tales operaciones o hecho saltar una alarma paralizando su ejecución en tanto la titular de la tarjeta no confirmase su autorización, evitando así la consumación de la estafa... >>.

En nuestro caso, es de aplicación el art. 120.3 CP ya que es claro que no se ha acreditado que toda la responsabilidad en la operación recayese sobre la cliente del Banco (la Sra. Belinda) quien, a pesar de intentar contactar con el banco ante la inicial sospecha, Bankinter no disponía de forma clara -con la advertencia exigible a su clientela- de un sistema de evitación de esas operaciones y que no conjuraban el riesgo de operaciones fraudulentas al no arbitrar un sistema eficaz para ello, en las operaciones de sus clientes "on line" y en particular a la vista de lo exigido por la LO 10/2010 ya mencionada. De ahí que dicha entidad bancaria deba responsabilidad civilmente -si bien de forma subsidiaria- de la cantidad ilícitamente obtenida de la cuenta de la perjudicada.

NOVENO.-En lo relativo a las costas procesales, ya la añeja STS 168/2017 de 15 de marzo señaló que: "... Sts 168/17 de 15.3.2017 pese a la confusa regulación de las costas en el proceso penal, tanto la doctrina procesal cita actual como la jurisprudencia coinciden en destacar su naturaleza procesal, cuyo fundamento no es el punitivo sino el resarcimiento de los gastos procesales indebidamente soportados por la parte perjudicada por el proceso, bien sea la acusación particular, la privada o la acción civil que representan a la víctima o perjudicado por el delito y deben ser resarcidos de gastos ocasionados por la conducta criminal del condenado, bien el condenado absuelto en caso de acusaciones infundadas o temerarias ( art. 240.3 de la L.E.Criminal . Como señala expresamente la sentencia de 21 de febrero de 1995 que 'la condena en costas no se concibe ya como sanción sino como resarcimiento de gastos procesales".En consecuencia, con arreglo a lo dispuesto en los arts. 123 del C. Penal y 240 de la LECriminal, las costas se imponen al aquí condenado, incluidas las de la acusación particular, cuya actuación ha sido relevante.

No obstante, no procede su imposición al responsable civil subsidiario. La jurisprudencia tiene declarado que "..como principio general, que las costas no deben imponerse al responsable civil subsidiario. En la STS 413/2015, 30 de junio ,con cita de la STS 1074/2010, 21 de diciembre ,recordábamos que la condena en costas abarca a todos los copartícipes, nunca a los responsables civiles subsidiarios. La condena en costas, así lo impone el art. 123 del CP ,ha de ser impuesta al responsable criminalmente de un delito. En su caso, pueden ser imputadas al querellante o al actor civil: «...como responsable civil solo se puede responder de los daños y perjuicios directos ocasionados por los hechos delictivos, y de forma subsidiaria cuando concurren todos los elementos necesarios para declarar esta responsabilidad civil subsidiaria y nunca al pago de las costas. El responsable civil subsidiario no ha acudido al proceso de forma voluntaria, sino de manera forzosa al solicitar alguna de las partes la declaración exclusiva de su responsabilidad civil».

En el mismo sentido excluyente ver STSJ Castilla y León de 11.2.2025 (Pt. Ilma. Sra. Subiñas Castro).

Vistos los preceptos citados 248, 249 CP y demás de general y pertinente aplicación,

PRIMERO.-Ya se ha dicho que el Mº Fiscalen el escrito de acusación pidió la condena de Jesús Manuel como autor de un delito de estafa informática del art. 249 1 a CP y alternativamente un delito de blanqueo de capitales en su modalidad imprudente del art. 301 1 y 3 CP -sin circunstancias- para quien pidió, para esta calificación la pena de 18 meses de prisión y accesoria y multa de 10.000 euros con responsabilidad personal subsidiaria en caso de impago (esto último lo modificó al pronunciarse sobre la elevación a definitivas de sus conclusiones provisionales que varió en el sentido que se acaba de indicar). Por su parte la acusación particular(ac 71) pidió la condena de Jesús Manuel, como autor de un delito de estafa agravada de los arts. 248, 249 1 a) y 250 CP -sin circunstancias-. La defensa pidió una sentencia absolutoria. Lo mismo pidió Bankinter respecto de la responsabilidad civil subsidiaria reclamada frente a dicha entidad bancaria.

SEGUNDO.-Se practicaron en el acto del juicio oral las pruebas propuestas por las partes y admitidas (interrogatorio del acusado, testifical y documental).

El acusadoen fase instructora (ver video de 28.11.2024) no quiso declarar.

En el acto del juicio -video 8 24- sostuvo (en resumen) que conoció a una persona, de la cual desconoce su nombre, y que le dijo que tenía que recibir un dinero de su madre y que, por razones que no acabó de explicar muy bien, dijo que él no podía dar su cuenta bancaria y le pidió el favor de que le facilitase su número de cuenta para que la madre (de ese interlocutor de nombre desconocido) le enviase el dinero. Le dio su número de cuenta (la del Banco de Sabadell NUM003 que dijo tenía abierta desde 2019 y allí le pagaban sus nóminas) y recibió un dinero (dijo). Admitió que él sacó 2.000 euros (de su mencionada cuenta) con su tarjeta pero que los demás reintegros los hizo esa persona (o personas pues en un momento habló en plural) que le cogieron su tarjeta y aunque el acusado estaba con ellos, consintió -por miedo dijo- en que hicieran esas operaciones. También fueron ellos los que dispusieron (con su tarjeta) de otros reintegros en un local de juegos a los que los acompañó con la intención de recuperar su tarjeta. Estaba con ellos y le obligaron a sacar el dinero. Dijo que no sabía quién era (el que le propuso facilitar su cuenta y luego se quedó con su tarjeta bancaria) pero que luego, por redes sociales, dijo que lo reconoció y ofreció (en el acto del juicio) enseñar esa fotografía.

La Sala no admitió esa posibilidad dado el estadio procesal en el que nos encontrábamos y sin olvidar que tuvo tiempo desde el principio de dar cuenta de ese hallazgo -bien a la Policía, bien en el Juzgado instructor- (obviamente sin perjuicio de que ejercite las acciones que tenga por conveniente para defender de lo que estime en orden a defender sus supuestos derechos). La Abogada de la defensa hizo constar su protesta. Insistimos en que ni era el momento procesal oportuno (al inicio del juicio sí se pueden presentar pruebas con las condiciones que señala la norma, pero no después) pero es que además ello -de ser cierto lo que decía el acusado- obligaría a iniciar una nueva investigación en orden a determinar qué participación pudiera haber tenido esa persona que -no se olvide- de la que sólo se tiene una imagen sin saber su nombre, dirección, etc., en los hechos.

El acusado -siguió diciendo- no percibió nada y se sintió perjudicado porque su cuenta fue bloqueada y no pudo cobrar unas indemnizaciones a las que tenía derecho (por un accidente laboral -que no justificó-). Reiteró que tenía miedo por las posibles represalias de esa persona (o personas) ya que vivía en su pueblo e incluso lo había visto alguna vez por la calle. Negó haber llamado por teléfono a la denunciante. De lo ocurrido se dio cuenta a los tres días al ver el estado de su cuenta -que se había quedado prácticamente a cero-. En suma, negó ser autor de los hechos imputados.

Belinda, presentó denuncia en Comisaría (ac 1). Declaró en fase instructora (ver video día 18.10.2024).

En el acto del juicio (video 26 18) dijo que recibió un mensaje en su teléfono móvil (sobre las 19.30 horas del 23 de diciembre de 2023) alertándole sobre que en su cuenta se está haciendo una transferencia en su cuenta y que si no había sido ella, y le indicaban que pinchase en un enlace. Lo hizo (no había hecho ninguna transferencia) y le hicieron una pregunta rara por lo que colgó. Acto seguido llamó al teléfono del Banco de atención del cliente. Un mensaje le indicó que el servicio no estaba operativo (sólo funcionaba de lunes a viernes). Al poco (una hora más tarde aproximadamente) recibió una llamada (la voz era de mujer) diciéndole que era empleada del Banco (Bankinter -que era el suyo-) y que le iban a ayudar sobre esa alerta. Le pidieron las coordenadas de la tarjeta (para operar on line) y ella las facilitó. Fueron varias veces las que la pidieron las coordenadas ya que eran ocho las transferencias realizadas. Se cortó la comunicación y volvió a llamar al banco, saliendo de nuevo la grabación diciendo que no estaba operativo el servicio de atención al cliente. Nerviosa accedió a su cuenta (con ayuda de su marido) y vieron que le habían quitado el dinero (unos seis mil y pico euros). Fue a denunciarlo y en la policía le dijeron que era mejor que lo documentase para mayor claridad. Así lo hizo y volvió al día siguiente a la Comisaría a formalizar la denuncia. Su hijo la ayudó para la denuncia (recopiló los mensajes recibidos).

Declaró también la inspectora jefe (del grupo de delitos tecnológicos) del Cuerpo Nacional de Policía NUM008 (video 46 04), quien ratificó lo que consta en el atestado policial (y el ampliatorio) y añadió que comprobaron la cuenta a la que fue el dinero de la denunciante y cuyo titular el Sr. Jesús Manuel. Recibieron imágenes del cajero (del que se sacó el dinero), que no son de cajeros frontales y vieron que era un individuo de complexión delgada, con gafas y una gorra, pero -aunque creían que sí era él-, no podían afirmar que fuese el acusado. Luego se hicieron dos pagos en locales de juego (de distintas localidades). Se hicieron con una tarjeta vinculada a la cuenta del acusado. En cuanto a los teléfonos usados no se pudieron localizar. Ellos siguen el rastro del dinero ya que se usan aplicaciones que enmascaran el número de teléfono desde el que -aparentemente- se llama. Puede ocurrir que parezca que se llamada desde el banco, pero en realidad eso no es así. En la cuenta del acusado, al final, no quedaba saldo (en realidad 0.29 euros).

Al ac 2 obra el atestado ampliatorio de Policía Nacional donde se da cuenta de que Jesús Manuel es el titular de la cuenta bancaria abierta en el Banco de Sabadell nº NUM003 abierta presencialmente en la oficina 0347 sita en la Carretera de Sabadell nº 1 de Rubí.

Se observa 1 reintegro en cajero automático NUM009 por importe de 1.000 euros realizado el 23 de diciembre.

1 reintegro en el mismo cajero y en la misma fecha por 200 euros.

4 compras con la tarjeta NUM009 por importes de 1008,06 euros por cada una de ellas el 26.12.2023 en GCB Barcelona).

2 compras con la tarjeta NUM009 por importe de 508,75 (el 26.12.2023 en Gavernia -Barcelona-) y 203,50 euros (en la misma fecha y la misma entidad).

1 compra con la tarjeta NUM009 por importe de 8.81 euros (el 26.12.2023 en Super Mundial Terrassa).

1 pago de bizum Alexander por importe de 20 euros.

La tarjeta de debido NUM004 está vinculada a la cuenta a la vista abierta en el Banco de Sabadell nº NUM003. Las compras realizadas en Gavernia Barcelona fueron presenciales -con lectura de chip- y el resto también presenciales con EMV contactless.

Sigue diciendo el atestado policial que Gavernia Barcelona (Recreativos electrónicos Pris S.A.) confirmó que el acusado estuvo dos veces en su local (Salón Ramblas) el 23.12.2023 realizando los dos cargos mencionados desde su cuenta.

Consta también -de la información de la entidad bancaria Banco Sabadell, folio 17 del atestado ampliatorio- que en la cuenta del acusado se recibieron el 26.12.2023:

1 bizun de Belinda de 1.000 euros.

1 bizun de Belinda de 948 euros.

9 transferencias de Belinda de 489,11 euros cada una.

En total 6.349,99 euros.

TERCERO.- Valoración de la prueba.Apreciando en conciencia las pruebas practicadas en el acto del juicio ( art. 741 LECrim. ), ha concluido que los hechos han ocurrido como se ha narrado en el apartado de hechos probados de esta resolución. La declaración de la Sra. Belinda ha sido firme, persistente y creíble y cuenta con el aval de la documental remitida por su entidad bancaria, Bankinter en la que ha quedado reflejado que, de su cuenta abierta en dicha entidad, IBAN NUM006, se realizaron fraudulentamente nueve transferencias de 489,11 euros cada una y dos operaciones de por importe -una de ellas- de 1.000 euros y la otra de 948 euros. Se trató de una operación de "phishing" en la que persona o personas desconocidas -en todo caso y como se verá con el concurso esencial del acusado- suplantaron la identidad del banco e hicieron creer a la Sra. Belinda que se estaba realizando una operación no autorizada en su cuenta, lo que la llevó, primero, a pulsar un enlace también fraudulento y -tras abandonar la operativa-, le llamaron por teléfono, completando la operación depredadora, simulando ser empleados del banco y convenciéndola para que facilitase sus claves secretas para -supuestamente- retrotraer operaciones indebidas y que en realidad eran maniobras para esquilmar su cuenta. Así consiguieron esas nueve transferencias y dos operaciones de que ya se han reseñado y que obra con detalle en el ac 3 del expediente digital (fase de instrucción).

La versión de los hechos del Sr. Jesús Manuel no es creíble. Para empezar, no quiso declarar en fase instructora. Ese es su derecho constitucional y no conlleva un juicio de culpabilidad, pero sí alerta sobre la veracidad de la historia que contó en el acto del juicio oral. En él dijo que conoció a una persona (o personas), el mismo día 23 de diciembre de 2023 quien le pidió el favor de que le facilitase su número de cuenta para recibir en ella un dinero que le iba a enviar un familiar. El -dijo- lo aceptó y recibió en su cuenta (no niega que sea el titular de la misma y añadió que la abrió en 2019 y en ella se le abona su salario) las cantidades ilícitamente transferidas desde la cuenta de Belinda que ya se han reseñado. Dijo -en el acto del juicio y no antes- que una vez que recibió el dinero en su cuenta sí hizo las dos extracciones en cajero (de 1.000 euros y 200 euros) pero que le cogieron (aquí habla en plural) su tarjeta ya que esa operación la hizo personalmente pero los otros (al menos dos, según su versión) esperaban fuera y se quedaron con su tarjeta y -dos días después- los acompañó a un salón de juegos (donde consta que se hicieron cargos tal y como aparece en el atestado policial - Gavernia Barcelona; Recreativos electrónicos Pris S.A.-). Dijo que le vaciaron su cuenta y que, al quedar bloqueada, no pudo percibir una indemnización por un accidente laboral (nada de esto lo justificó) y añadió que no lo denunció por miedo, señalando -ya en el acto del juicio- que tenía una fotografía de la persona que -según él- le sometió a ese engaño (que es lo que en definitiva quiso decir). Ya se ha explicado que la Sala indicó que no era posible atender a lo que pedía ya que, aparte de no ser el momento procesal oportuno (su Abogada pudo presentar ese supuesto documento al inicio del juicio), la exhibición de una fotografía de una persona desconocida (nunca dijo su nombre ni donde vivía o podía ser localizado) sobre la que nunca antes se había dicho nada ni se había formulado denuncia, no podía dinamitar el procedimiento con esa versión de los hechos novedosa. Desde luego pudo denunciar esa versión de lo ocurrido. No consta que estuviese privado de libertad ni que ese (o esos) sujeto lo controlase hasta el punto de no poder acudir a la Comisaría más próxima y más si -como dijo- fue con (ellos) al local de juego. La explicación de que quería recuperar su tarjeta tampoco es explicación suficiente. Si -como dijo- se habían quedado con ella, nada más sencillo que anularla para evitar cualquier operación fraudulenta. La Sala llega a la conclusión de que el acusado sabía que colaboraba (de forma esencial) en una operación ilícita (no es descartable que -como se apunta en el atestado- fuese pergeñada por banda o grupo criminal) donde se localizaba a la víctima propicia y se ponía en marcha el sistema de suplantación del banco convenciendo a la víctima (con artificio informático) de que quien llamaba (el número de teléfono -aparente- era el del banco) era la entidad bancaria y con la añagaza de supuestas operaciones fraudulentas que se querían evitar o corregir, se conseguía que la víctima, en este caso la Sra. Belinda, facilitase sus claves bancarias secretas (las coordenadas de seguridad) para conseguir ese desplazamiento patrimonial ilícito desde la cuenta de ella a la del acusado quien, no hay lugar a duda, hizo las dos extracciones admitidas y -también sin duda- las compras y demás operaciones con las que se aprovecharon de lo obtenido -delictivamente- de la cuenta de la víctima. No hay -insistimos- ningún dato que avale la versión del acusado ni que estuviese afectado de ese miedo al que aludió en el acto del juicio. En suma, ha quedado enervada la presunción de inocencia que le ampara y se justifica la condena como se dirá a continuación.

CUARTO.-Ya se ha dicho que la Fiscalíacalificó los hechos como constitutivos de un delito de estafa informática del art. 249 1 a CP y alternativamenteun delito de blanqueo de capitales en su modalidad imprudente del art. 301 1 y 3 CP -sin circunstancias- y que la acusación particular(ac 71) pidió la condena de Jesús Manuel, como autor de un delito de estafa agravada de los arts. 248, 249 1 a) y 250 CP -sin circunstancias-.

En cuanto al delito de estafa informática, ha señalado la jurisprudencia que ".. No exige la concurrencia de engaño pues la asechanza a patrimonios ajenos realizados mediante manipulaciones informáticas actúa con automatismo en perjuicio de tercero, precisamente porque existe la manipulación informática y por ello no se exige el engaño personal.."- SsTS 12.6.2007 y 20.11.2001- y añade que ".. Para que haya manipulación informática lo relevante es que la máquina, informática o mecánica, actúe a impulsos de una actuación ilegítima que bien puede consistir en la alteración de los elementos físicos o de aquéllos que permiten su programación, o bien por la introducción de datos falsos.." STS 17.12.2008. En cuanto al denominado "phishing" bancaria y la ignorancia deliberada como subespecie del dolo, la jurisprudencia mayoritaria considera que, en principio, no cabe alegar error de tipo por supuesto desconocimiento de lo origen de los fondos ya que ".. Se está ante un caso de delincuencia económica de equipo informático de naturaleza internacional en el que los recurrentes ocupar a un nivel inferior y sólo tienen un conocimiento necesario para prestar su colaboración, la ignorancia del resto del operativo no borran y disminuye su culpabilidad porqué fueron conscientes de la antijuridicidad de su conducta, prestando su conformidad con un evidente ánimo que enriquecimiento, ya supieran, no quisiera saber -ignorancia deliberada-, o les fue la indiferente el origen del dinero, que en cantidad tan relevante recibieron. Lo relevante es que se beneficiario con todo, o más probablemente, en parte como pago que sus servicios, es obvio que prestan su colaboración y eficiente y causalmente relevante en una actividad antijurídica con pleno conocimiento o y cobrando por ello no pueden ignorar indefensión alguna, por su parte la explicación que dieron de que no pensaban que le daba algo ilícito o es un angelismo que se desmorona por sí sólo. En la sociedad a actual el acervo de conocimientos de cualquier persona de nivel cultural medio conoce y sabe que y la ilicitud de una colaboración que se le pueda pedir que el tipo de la que se observa en esta causa.."- STS 12.6.2007-.

La Fiscalía acusa -de forma alternativa o subsidiaria- por delito de blanqueo de capitales por imprudencia grave. Sobre esta cuestión, en la STS 1064/2025 de 30 de diciembre (P. Excmo. Sánchez Melgar)se analiza el delito de blanqueo de capitales por imprudencia y se dijo: <<..Con respecto al primer gravamen, hemos de reiterar ( STS 21 de enero de 2021 ) que el injusto imprudente del delito de blanqueo reclama concretar o referenciar determinativamente el incumplimiento de dos deberes normativos principales relacionados en términos de interdependencia condicionada: uno, el deber de evitación del resultado de favorecer una precedente actividad delictiva mediante alguna de las acciones que se describen en el tipo objetivo del artículo 301.1° CP ; otro, el deber de activar los mecanismos instrumentales de comprobación, indagación y representación sobre el origen del bien o el dinero recibido.

Siendo el incumplimiento de este segundo requisito la consecuencia de una conducta gravemente descuidada del agente, la que da esencia al blanqueo imprudente (tipo, por lo demás, habitualmente doloso), pero que el legislador ha querido también incluir en él los comportamientos más indolentes, bajo la fórmula del blanqueo imprudente, incluyendo la gravedad en su conducta, y salvaguardando el bien jurídico protegido por la norma.

Ahora bien, como toda fórmula de injusto imprudente debe examinarse la capacidad individual del agente de advertir y evitar el peligro. Para responder penalmente por un delito imprudente, la persona debe no solo haber introducido un peligro no permitido que se encuentre dentro del ámbito de protección de la norma. Además, la creación del peligro no permitido y el nexo o conexión con el fin de protección, deberían haber sido advertidos subjetivamente por el autor y el resultado, en consecuencia, poder haber sido también evitable.

La imprudencia se determina, por tanto, con arreglo a un doble baremo: por un lado, debe preguntarse qué comportamiento era el objetivamente debido en una determinada situación de peligro de lesión del bien jurídico. Y, por otro, si este comportamiento puede ser exigido al autor atendidas sus características y capacidades individuales.

Lo anterior comporta, de forma necesaria, identificar los concretos deberes de previsibilidad que obligaban a quien introdujo el riesgo desaprobado y, desde luego, las condiciones personales y situacionales para cumplirlos.

Pero no solo. La exigencia típica de gravedad de la conducta imprudente exige una valoración cuantitativa y cualitativa del grado de incumplimiento para lo que resulta necesario atender tanto a los contenidos de los respectivos deberes relevantes y la eficacia causal de su incumplimiento en la producción del resultado como a las concretas y situacionales condiciones de exigibilidad -vid. al respecto, STS 997/2013, de 19 de diciembre , que analiza con detalle, desde la perspectiva de la exigibilidad individual, un supuesto de blanqueo de capitales imprudente-.

Lo que, insistimos, no puede hacerse desde una aproximación presuntiva y generalista. Lo prohíben los principios constitucionales de presunción de inocencia y de culpabilidad.

En el delito de blanqueo por imprudencia las preguntas sobre por qué el agente pudo prever, por qué hubiera podido y debido prever el resultado, deben responderse analizando todos los planos de imputación: el fáctico-causal y el normativo...

(..)En suma, lo que el legislador criminaliza es incumplir el deber de cuidado, y propiciar el camuflaje del dinero de procedencia delictiva, y todo ello, la mayor parte de las veces, mediante la obtención de una ventaja económica (sin embargo, no requerida en el tipo, ni doloso ni imprudente).

Ahora bien, una cosa es la ventaja económica que obtendrá el agente, no definido en el tipo, y otra la cuantificación de los capitales blanqueados, aspecto éste del que trataremos seguidamente.

TERCERO.- Con las consideraciones antedichas, veamos los hechos probados de la sentencia recurrida.

Se refiere primeramente la resolución judicial recurrida a lo sucedido entre los días 25 y 27 de mayo de 2018, a través de la aplicación Bizum, en cuya franja horaria personas desconocidas, con ánimo de obtener un beneficio ilícito, realizaron un total de seis transferencias por importe total de 2.740 euros con cargo a la cuenta bancaria NUM010 titularidad de Doña Lucía en el Banco Popular, previa activación de aquella aplicación mediante manipulación informática, sin su consentimiento. La perjudicada, Lucía fue íntegramente resarcida por parte de la entidad Banco Popular (hoy en día integrada en el Banco Santander).

Por otro lado, entre los días 25 y 26 de mayo de 2018, se efectuaron cuatro transferencias por importe cada una de ellas de 500 euros, a un número de teléfono móvil facilitado por el acusado Eulalio (nacido el NUM011 de 1999), teléfono vinculado a la cuenta NUM012 del Banco Sabadell, de la que era titular el propio acusado Sr. Eulalio. Llegado el lunes día 28 de mayo de 2018, el acusado Sr. Eulalio procedió a efectuar el reintegro en efectivo de los 2.000 euros transferidos a su cuenta.

El acusado Sr. Eulalio, movido por un fin económico, facilitó los datos necesarios para que los terceros desconocidos ejecutasen las transferencias, sin conocer ni representarse el origen delictivo del dinero que iban a recibir, pero infringiendo la diligencia mínima imprescindible. Al tiempo de comisión de los hechos el acusado tenía un trastorno sobre déficit intelectual, con una discapacidad reconocida del 37%, que solamente afectaba mínimamente a sus facultades intelectivas o volitivas y que no le impedían haber advertido el origen delictivo del dinero.

Por otro lado, el día 27 de mayo de 2018, a las 00:05:47 horas y a las 00:08:34 horas, se realizaron otras dos transferencias por importes de 500 y 240 euros, a un número de teléfono móvil facilitado por el acusado Julio (nacido el NUM013 de 1987), vinculado a la cuenta NUM014, de Caixa, cuyo titular es el acusado Sr. Pedro Francisco. Llegado el lunes día 28 de mayo de 2018, este acusado procedió a efectuar también el reintegro en efectivo de los 740 euros transferidos a su cuenta.

El acusado Sr. Pedro Francisco, movido por un fin económico, facilitó los datos necesarios para que los terceros desconocidos ejecutasen las transferencias, sin conocer ni representarse el origen delictivo del dinero que iban a recibir, pero -se dice- infringiendo la diligencia mínima imprescindible teniendo capacidad para ello.

Como vemos, ni en los hechos probados, ni en la fundamentación jurídica, se expone concretamente cuál fue la diligencia mínima imprescindible que ocasionó el delito y que constituye la infracción del deber de diligencia grave que exige el tipo penal.

Si no conocían el delito de donde procedían los bienes, al menos nada de ello se expone en los hechos probados, ni tampoco pudieron imaginarse tal procedencia delictiva (que en nuestro caso tampoco se explica), por no «conocer ni representarse el origen delictivo del dinero que iban a recibir», conforme se afirma en el factum, no puede cumplirse el requisito de la tipicidad de la conducta, base del principio de legalidad, pues lo único que se afirma es que prestaron sus teléfonos para recibir ciertas cantidades mediante Bizum que después retiraron de sus cuentas. Esto solo, es insuficiente para colmar las exigencias típicas del delito enjuiciado.

Así, en el caso de Eulalio, movido por un fin económico, facilitó los datos necesarios para que los terceros desconocidos ejecutasen las transferencias, sin conocer ni representarse el origen delictivo del dinero que iban a recibir, pero infringiendo la diligencia mínima imprescindible.

Como es de observar, en dicho supuesto, no se describe tal diligencia mínima exigible, en cantidades que son muy exiguas para la comisión de un delito de blanqueo de capitales, pues por «capitales» difícilmente puede comprenderse una suma de 2.000 euros (cuatro ingresos e 500 euros), y mucho menos en lo que concierne al Sr. Pedro Francisco, que son 740 euros.

La STS 224/2024, de 7 de marzo ,enfatiza que con la base que representa la terminología legal, blanqueo de capitales, que es la elegida como leyenda que encabeza el capítulo correspondiente del cuerpo normativo y la filosofía que inspira la represión de esas conductas (que tiene que ver con la protección del mercado y la economía, con el orden socioeconómico), se entiende bien que solo exista blanqueo punible cuando las cantidades o bienes manejados adquieran cierta significación.

No alcanza ese rango la cifra a que se refieren los hechos. Negocios de bagatela, de cuantía insignificante, no son típicos. Una lectura del precepto en clave teleológica, asentada en la dimensión socioeconómica del bien jurídico protegido, empuja a esa interpretación, en exégesis que se ve reforzada por el uso del término "capitales".

En esa dirección apuntaba la STS 809/2014, de 26 de noviembre ,recogiendo y recreando una vía ya insinuada en la STS 884/2012 de 8 de noviembre (se postula una "restricción teleológica, para considerar atípicos todos los objetos materiales de cuantía irrelevante, en virtud del principio de insignificancia, por su nula incidencia en el orden socioeconómico, así como en virtud de la inviabilidad de la absoluta exclusión de la actividad económica de cualquier ciudadano, que no puede serle privada las actividades de compra diaria para atender a las necesidades vitales cotidianas, de otro modo proscritas"). (..). La STS 501/2019 de 24 de octubre sostiene que "el blanqueo de capitales no es un delito de sospecha: exige como cualquier otro, prueba de la concurrencia de todos y cada uno de sus elementos típicos, entre los que se encuentra el origen criminal (y no meramente ilícito, ilegal o antijurídico) de los bienes".

En suma, es preciso referenciar con algún detalle la diligencia que debió desplegar el autor, lo que aquí no se describe de modo alguno en los hechos probados, y sabemos que esta Sala Casacional impide una labor de integración contra reo en los fundamentos jurídicos de la sentencia recurrida, ni se califica tampoco, en este caso, la gravedad de la conducta en función a la cantidad supuestamente blanqueada que, en ambos casos, es de mínima entidad, para el delito que se enjuicia (blanqueo de capitales), pues recordemos que no estamos en presencia de un delito patrimonial contra los perjudicados, sino de una infracción que debe afectar al bien jurídico protegido que lo es la regularidad de la economía en evitación del camuflaje u opacidad de ganancias procedentes de un delito, lo que aquí tampoco se describe en modo alguno, desconociéndose de qué delito proceden los bienes supuestamente blanqueados, ni su conexión con los acusados, razón por la cual el recurso será estimado, procediendo la absolución de ambos recurrentes...>>.Acaba casando y anulando la condena de la AP de Madrid (confirmada por el TSJM) y absolviendo a los recurrentes.

Es cierto que la frontera entre ambos tipos penales (estafa y blanqueo de capitales por imprudencia) es difusa (ver SAP de Oviedo de 18.2.2015 (Secc 8ª, Pte. Ilma. Sra. Fernández González) y que la calificación jurídica de la actividad llevada a cabo por las conocidas en el argot policial como "mulas" o "muleros" puede resultar controvertida, como puede comprobarse con un somero análisis de la copiosa jurisprudencia emanada al respecto; sin embargo no podemos olvidar que, si existen elementos de prueba suficientes del efectivo conocimiento por parte de quien actúa de esta manera en relación a lo acaecido en las primeras fases de la operación defraudatoria en las que no intervino personalmente, tal conducta constituirá una etapa más de dicha operación y, en consecuencia, integrará el delito de estafa.

El Tribunal Supremo -sigue diciendo la sentencia que mencionamos-, tras el dictado de resoluciones dispares, ha zanjado la cuestión en sus sentencias de fechas 25 de octubre de 2012 y 2 de diciembre de 2014 , indicando que la relevancia penal del actuar de la mula como delito de estafa informática, receptación o como delito de blanqueo de capitales imprudentes, deberá determinarse en atención a las circunstancias concurrentes en cada caso.

En la primera de las resoluciones mencionadas el alto tribunal afirma que "la calificación jurídica de los hechos como integrantes de un delito de estafa informática, receptación o blanqueo de capitales, obligará a analizar en qué medida el dolo de ese tercero, que hace posible el rendimiento del capital evadido, capta los elementos del tipo objetivo del delito de estafa. Abrir una cuenta corriente con el exclusivo objeto de ingresar el dinero del que se desapodera a la víctima, encierra un hecho decisivo para la consumación del delito de estafa, pues en la mayoría de los casos, al autor principal no le será suficiente con disponer de la información precisa sobre las claves personales para ejecutar el acto de desapoderamiento. Necesitará una cuenta corriente que no levante sospechas y que, mediante la extracción de las cantidades transferidas pueda llegar a obtener el beneficio económico perseguido. Precisamente por ello, la contribución de quien se presta interesadamente a convertirse en depositario momentáneo de los fondos sustraídos integrará de ordinario el delito de estafa. Pero para ello resultará indispensable claro es- que quede suficientemente acreditada su participación dolosa en el delito cuya secuencia inicial ejecuta un tercero, pero a la que coopera de forma decisiva".

En definitiva -continúa la SAP de Oviedo que citamos-, la calificación jurídica de los hechos como delito de estafa informática o blanqueo de capitales, depende de que se acredite o no que los acusados tenían pleno conocimiento del carácter fraudulento de las operaciones, bien por ser ellos quienes las efectuaron o por estar de acuerdo con el defraudador y al tanto de las maniobras realizadas, siendo los encargados de recibir y remitir los fondos recibidos. En este sentido se pronuncia la más reciente sentencia del Alto Tribunal, de fecha 17 de febrero de 2020 que, confirmando la Sentencia de instancia, condena a la mula por estafa porque entiende que ésta conocía el origen ilícito de las sumas que le habían sido transferidas directamente por las víctimas, y por tanto tenía conciencia sobre la antijuridicidad de su conducta.

También la SAP de Almería de 25.11.2025 (Secc. 3ª, Pte. Ilma. Sra. Balaguer Gutiérrez) indicó que: <<.. El Tribunal Supremo se ha pronunciado en el sentido de entender que la mula era autora de un delito de estafa en diversas resoluciones, entre otras podemos señalar las STS nº 533/2007 de 12 de junio , nº 556/2009 de 16 de marzo y el ATS 1548/2011 de 27 de octubre , en las que se considera que tanto la actuación del autor principal de la conducta delictiva como la de la mula merecen similar calificación jurídica como delito de estafa informática, puesto que realizan una actividad conjunta para conseguir la ejecución del desplazamiento patrimonial en perjuicio de un tercero en el que las mulas constituyen un elemento final para la consumación de la conducta delictiva, consumación que, contrariamente a lo que sostiene el apelante, se produciría en el momento en el que el dinero entra en la cuenta corriente del acusado, independientemente de cuando disponga de manera efectiva de él, puesto que desde ese momento está a su entera disposición y se ha ocasionado ya el perjuicio al tercero.

Frente a ello, existen otros pronunciamientos favorables a entender el actuar exclusivo de las mulas como delito de blanqueo de capitales imprudente previsto en el artículo 301.3 del Código Penal , razonando para ello que "se trata de obtener dinero mediante el fraudulento acceso a las claves bancarias de confiados usuarios de Internet y, a partir de ahí, buscar una fórmula que permita colocar esos remanentes dinerarios en un país seguro, a nombre de personas de difícil identificación por los agentes de policía del Estado en cuyo territorio se efectúa el acceso inconsentido a las cuentas de la víctima y las transferencias a terceros países. Es una actuación fraudulenta que tiene como destinatarios a usuarios de la banca informática cuyas claves personales se obtienen engañosamente, técnica denominada "phishing", porque parte de una acción de pesca de las claves que permiten el libre acceso a las cuentas del perjudicado. El tratamiento (...) Pero los supuestos de quienes se limitan a colocar en el extranjero los fondos, permaneciendo totalmente ajenos a la confabulación anterior que hace posible el conocimiento de las claves para el acceso a las cuentas del sujeto engañado, pueden perfectamente ser calificados como un delito de blanqueo de capitales, cometido por dolo eventual o incluso imprudente, tesis asumida en el presente caso por el Tribunal de instancia que debe ser respetada" ( STS 506/2015 de 27 de julio ).

El TS en Sentencia nº 834/2012 de 25 de octubre de 2012 y nº 664/2014 de 2 de diciembre solventa la cuestión indicando que la relevancia penal del actuar de la mula como delito de estafa informática, receptación o como delito de blanqueo de capitales imprudentes, deberá determinarse en atención a las circunstancias concurrentes en cada caso. En las resoluciones mencionadas el alto tribunal afirma que "la calificación jurídica de los hechos como integrantes de un delito de estafa informática, receptación o blanqueo de capitales, obligará a analizar en qué medida el dolo de ese tercero que hace posible el rendimiento del capital evadido, capta los elementos del tipo objetivo del delito de estafa. Abrir una cuenta corriente con el exclusivo objeto de ingresar el dinero del que se desapodera a la víctima, encierra un hecho decisivo para la consumación del delito de estafa, pues en la mayoría de los casos, al autor principal no le será suficiente con disponer de la información precisa sobre las claves personales para ejecutar el acto de desapoderamiento. Necesitará una cuenta corriente que no levante sospechas y que, mediante la extracción de las cantidades transferidas pueda llegar a obtener el beneficio económico perseguido. Precisamente por ello, la contribución de quien se presta interesadamente a convertirse en depositario momentáneo de los fondos sustraídos integrará de ordinario el delito de estafa. Pero para ello resultará indispensable claro es- que quede suficientemente acreditada su participación dolosa en el delito cuya secuencia inicial ejecuta un tercero, pero a la que coopera de forma decisiva".

De la jurisprudencia analizada se extrae que cuando queda acreditado que la mula tiene conocimiento de su condición de engranaje en el entramado criminal de la estafa su conducta ha de ser castigada como delito de estafa informática, tal es el caso del supuesto analizado por la STS nº 51/2020 de 17 de febrero que confirmando la Sentencia de instancia condena a la mula por estafa porque entiende que ésta conocía el origen ilícito de las sumas que le habían sido transferidas directamente por las víctimas, y por tanto tenía conciencia sobre la antijuridicidad de su conducta. En otros casos, cuando no es posible acreditar la conexión de la conducta de la mula con la del autor del delito de estafa, los Tribunales, por lo general, se suelen decantar por la calificación jurídica como delito de blanqueo de capitales de carácter imprudente del artículo 301.3 del Código Penal . Este criterio, que ha sido ampliamente seguido por Juzgado y Tribunales territoriales, es seguido también en las STS nº 987/2012 de 3 de diciembre y nº 506/2015 de 27 de julio , afirmando que "la inferencia que parte de las circunstancias en que el acusado recibe la propuesta y concluye que éste, no solamente debía tener sospechas de que le involucraban, de aceptar, en una estafa, sino que tal sospecha había de ser de muy alta intensidad, ni es acorde a lógica de manera necesaria, ni se trata de una inferencia concluyente e inequívoca. Sobre la intensidad de la sospecha, que la Sala de instancia afirma le era exigible al acusado, habrá de convenirse que en ningún caso alcanza el grado de objetividad, al margen de la credulidad del sujeto concreto, que la imputación del elemento subjetivo como dolo eventual exige. Podrá, en efecto, convenirse que un hombre medio prudente experimentaría la duda sobre legalidad de la propuesta recibida por el acusado. Pero el descuido consistente en no apurar la indagación sobre la naturaleza de la oferta recibida se sitúa en el ámbito de la imprudencia. No alcanza la objetividad de la previsibilidad sobre los datos de hecho que requiere el dolo eventual. La lectura de los mensajes cruzados con el autor de la oferta debilita la inferencia que asume la sentencia de instancia sobre la cognoscibilidad objetiva de su naturaleza delictiva. La afirmación del elemento subjetivo por la sentencia de instancia se desvía así del canon que sobre prueba indiciaria dejamos antes expuesto". Por su parte la STS nº 961/2021 de 1 de diciembre , confirma la Sentencia dictada por el tribunal de instancia, condenando a los acusados por delito de blanqueo de capitales doloso del art. 301.1 y 2, al estimar acreditada la previa comisión de un delito de estafa y su conocimiento por los acusados, pero no su participación en dicho fraude delictivo...>>.

En nuestro caso, por el análisis de la prueba realizado más arriba, concluimos que el Sr. Jesús Manuel era conocedor -y participó- en ese entramado criminal donde su papel -como cooperador necesario para el buen fin de la operación- era recibir los fondos detraídos de la cuenta de la Sra. Belinda para quedarse con ellos (sin descartar que los repartiera con terceros que eventualmente formaran parte del grupo). Ya se ha explicado que es inverosímil que conociera -como dijo- a una persona (de un día) y que consintiese en "prestar" su cuenta bancaria para recibir unos fondos que ni se sabe de donde venía ni de quien venía (en ningún momento aparece el nombre de la madre o de la persona que, según su versión, iba a transferir -a su cuenta- esos fondos destinados a ese "amigo" o "conocido" -de un día- ignoto. En suma, participó en la estafa en la forma dicha y con conocimiento ya inicial de la mecánica -y su papel- en la trama. Es claro que, ante la ausencia de prueba de que fue él quien creó el artificio informático y llamó a la víctima, sin embargo, sí participó como cooperador necesario en el entramado pergeñado para vaciar -al menos en parte- la cuenta de la víctima con el engaño ya descrito, con ánimo de lucro y que incorporó a su patrimonio. No hay indicio o prueba que permita optar por la calificación subsidiaria del Mº Fiscal de tratarse de un delito de blanqueo de capitales por imprudencia.

Lo que no compartimos es la tesis de la acusación particular de que el acusado ha cometido una estafa cualificada. Cita (además del art. 248 y 249 1 a), el art. 250 CP -calificación que no alteró en el acto del juicio ya que elevó a definitivas sus conclusiones provisionales-). Ni lo especificó en su calificación provisional ni lo justificó en momento ulterior. Por lo tanto, no cabe la condena en esos términos (genéricos) postulados por la acusación particular sin que, en consecuencia, pueda la Sala condenar por más o distinta calificación y pena al margen de lo postulado por la Fiscalía (lo que se analizará con más detalle a continuación, partiendo de que, como se ha dicho, la Sala considera que el acusado ha cometido un delito de estafa del art. 249.1 a) CP) .

QUINTO.- Autoría.Es autor de este delito ( art. 28 CP) el acusado Jesús Manuel como ya se ha justificado "ut supra" al ser conocedor del entramado utilizado para obtener fraudulentamente y con ánimo de lucro, fondos procedentes de la cuenta bancaria de la Sra. Belinda cooperando con los que lo idearon y llevaron a cabo, dispuso de dichos fondos en su beneficio una vez los recibió en su cuenta tal y como ya se ha explicado..

SEXTO.- Circunstancias modificativas de la responsabilidad criminal.No concurren. Se hizo una referencia (por el acusado que no por su representación legal) que actuó por miedo. Sin embargo no se ha acreditado que eso fuera así ni que se cumplieran las circunstancias exigidas en el art. 20.6 CP ni en la jurisprudencia que lo interpreta (ver STS 24.2.2000 y 11.3.2005 entre otras muchas.

SEPTIMO.- Pena.Como ya se ha indicado, la Fiscalía postula una pena de 18 meses de prisión en tanto que la acusación particular reclama 4 años de prisión y 8 meses de multa. El art. 249 CP castiga la estafa con una pena de 6 meses a 3 años de prisión. Señala el art. 248 CP que "..Para la fijación de la pena se tendrá en cuenta el importe de lo defraudado, el quebranto económico causado al perjudicado, las relaciones entre este y el defraudador, los medios empleados por este y cuantas otras circunstancias sirvan para valorar la gravedad de la infracción...". En este caso la perjudicada -que ninguna relación tenía con el acusado- sufrió un perjuicio económico de 6.349,99 euros, cantidad de relativa importancia en una economía media. De ahí que se estime ponderada la pena de 11 meses de prisión e inhabilitación especial del derecho de sufragio pasivo durante la condena.

OCTAVO.- Responsabilidad civil.Con arreglo a lo dispuesto en los arts. 109 y ss CP procede resolver sobre la responsabilidad civil reclamada. Como ya se ha dicho, la acusación particular reclama que Bankinter sea declarado responsable civil subsidiario.

Como se ha dicho, la Sra. Belinda -ante una inicial sospecha- hizo una llamada al banco para confirmar que la comunicación era auténtica, pero el banco -ese dia y a esa hora- no tenía operativo el sistema de respuesta (únicamente funcionaba de lunes a viernes y hasta una hora -la llamada se hizo algo más tarde de la finalización del servicio-). Alega que existía otro número de atención al cliente que estaba operativo a todas horas (figuraba en la página web del banco) y en todo caso, cita a su favor lo dispuesto en los arts. 40 y ss del RDL 19/2018 ya que fue la propia cliente quien facilitó los datos a quien indebidamente se lo pidió y el banco no podía (autorizados los pagos por ella) proceder a la retrocesión.

En la SAP de Madrid de 9.12.2025 (Scc. 30, Pte. Ilma Sra. Esteban Meilan) se sostiene que: <<..El artículo 120.3 del código penal habilita el llamamiento de las entidades bancarias al procedimiento penal, como posibles responsables civiles subsidiarias, cuando sus servicios de pagos por intermediación financiera hayan servido para la comisión de una estafa informática, debiendo haber detectado y paralizado la operación fraudulenta, cuando no lo hayan hecho por una inexistente o deficitaria aplicación de los sistemas de seguridad y control.

Nos encontramos ante un sofisticado delito de estafa, en el que se ha utilizado la banca on line y la informática para su comisión. Sin embargo, las acciones resarcitorias no pierden su naturaleza civil. Consecuentemente la petición de responsabilidad civil del banco, se trata de una responsabilidad civil cuasi objetiva con presunción de culpa, derivada del riesgo profesional generado, en este caso por las entidades bancarias y de su especial deber de garantía impuesto por la ley de tal forma que la infracción de los reglamentos de cuidado permite su instrumentación por parte del autor del delito y la comisión del ilícito penal (..) En nuestro ordenamiento jurídico la responsabilidad civil nacida de delito tiene un régimen especial y diferente del régimen general de la culpa extra contractual. (..)El responsable civil subsidiario responde de lo mismo que el responsable penal aunque sólo en defecto de este. No caben diferenciaciones en el alcance de sus respectivas responsabilidades civiles en virtud de factores como este (la culpa de la víctima no tendría relevancia en relación a la conducta dolosa, pero si repartiría el daño en relación al tercero cuando de culpas concurrentes). Y no se exige constatar en concreto la presencia de culpa de ese tercero civil responsable ( STS 300/2014 de 1 de abril )...Ahora bien, podemos afirmar que la doctrina jurisprudencial admite, que, de manera unánime, la responsabilidad civil subsidiaria de las entidades bancarias en aquellos supuestos en los que sus servicios han dado soporte a la comisión de una estafa " informática " sumado a que la existencia del engaño bastante propio de la misma, eliminará una hipotética diligencia de actuación del propio usuario perjudicado y aún más aun teniendo en cuenta la práctica supresión por el Tribunal Supremo del deber de autotutela de la víctima hacen del procedimiento penal una vía para ejercitar la acción civil de manera conjunta a la acción penal. Sin embargo, no se trata de que las entidades bancarias tengan que responder siempre y ante cualquier circunstancia y tampoco de que dichas entidades no experimenten ningún perjuicio como consecuencia de las actuaciones fraudulentas cometidas por terceros, sino de que como operadores que desempeñan una actividad muy lucrativa-mientras los consumidores y usuarios se ven forzados a operar a través de plataformas digitales, que genera un claro riesgo para la sociedad deben poner sus esfuerzos y recursos en prevenir el fraude e impedir que los defraudadores se valgan de sus servicios para cometer actos delictivos, debiendo responder sólo cuando realmente se haya posibilitado la comisión del delito por un proceder negligente que haya supuesto la inobservancia de las normas de cuidado. Resulta obvio que la solución del problema pasa necesariamente por un mayor desarrollo y una correcta implementación de sistemas de detección preventiva en fraude por parte de las entidades bancarias.

Así pues, los bancos están sujetos a estrictos deberes definidos en la ley 10/2010 de 28 de abril de prevención de blanqueo de capitales y de la financiación del terrorismo que incluye medidas de diligencia debida y obligaciones de información como identificar al titular real de las cuentas, verificar la naturaleza de las operaciones o bloquear transacciones sospechosas.(..) Téngase en cuenta que las entidades bancarias desempeñan una actividad con ánimo de lucro y que sus consumidores y usuarios dependen de ellas para operar y no quedan excluidos del sistema financiero, pagando por sus servicios.

Las entidades bancarias han de cumplir, por tanto, con unas muy altas exigencias de seguridad en los sistemas de pago e intermediación financiera, con el objeto de minimizar al máximo e idealmente descartar el riesgo de la actividad que desempeñan, debiendo corresponder la confianza que depositan en ellos los consumidores y usuarios y responder cuando no han cumplido satisfactoriamente y tales exigencias de seguridad no han sido satisfechas, permitiendo la materialización del riesgo en el resultado.

La doctrina jurisprudencial admite de manera unánime, la responsabilidad civil subsidiaria de las entidades bancarias en aquellos supuestos, en los que sus servicios han dado soporte a la comisión de una estafa. No se trata de que las entidades bancarias tengan que responder siempre y ante cualquier circunstancia, ni de que dichas entidades no experimenten ningún perjuicio como consecuencia de las actuaciones fraudulentas cometidas por terceros sino de que, como operadores que desempeñan una actividad muy lucrativa mientras los consumidores y usuarios se ven forzados a operar a través de plataformas digitales que genera un claro riesgo para la sociedad deben poner sus esfuerzos y recursos en prevenir el fraude impedir que los defraudadores se valgan de sus servicios para cometer actos delictivos, como es el caso, debiendo responder sólo cuando realmente si haya posibilitado la comisión del delito por un proceder negligente que haya supuesto la inobservancia de las normas de cuidado...>>.

Traemos a colación también la SAP de Valladolid de 8.10.2025 (Secc. 3ª, Pt. Ilmo. Sr. Muñiz Delgado) que, si bien se trata de un recurso sobre una sentencia de un juzgado de 1ª Instancia, analiza la cuestión de la responsabilidad civil subsidiaria de las entidades bancarias. Señala: <<..La sentencia del Tribunal Supremo nº 571/2025, de 9 de abril ,analiza un supuesto en el que la entidad bancaria recurrente sostenía que posiblemente se había producido una suplantación de identidad o «phishing», pero que las operaciones se autorizaron al haber cumplido el doble factor de autenticación, sin detectarse incidencia alguna, conforme a lo dispuesto en el art. 44 del RD-ley 19/2018 .Una vez acreditada la doble autenticación se alegaba no corresponde a la entidad bancaria determinar si las operaciones de pago cuestionadas las autentificó un cliente o un tercero que disponía de los datos, o incluso del dispositivo móvil utilizado, constando que en los contratos de banca digital y de cuenta corriente y/o depósitos se prevé expresamente que el Banco queda exenta de los perjuicios que se pudieran derivar por intromisiones ilegítimas de terceros en el sistema elegido por el cliente, fuera del control de la entidad bancaria. En esta STS nº 571/2025 se analiza ampliamente toda la normativa sobre la materia, para después referirse a lo que debe entenderse por "operaciones de pago no autorizadas", y por "fallos de seguridad", argumentando en el Fundamento de Derecho Segundo. 6: "En suma, la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo, en el doble sentido de que, primero, notificada la existencia de una operación no autorizada o ejecutada incorrectamente, el proveedor debe responder salvo que acredite la existencia de fraude; y, segundo, cuando el usuario niegue haber autorizado la operación o alegue que ésta se ejecutó incorrectamente, corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave. Profundizando en este último punto, la expresión «operaciones no autorizadas» incluye aquellas que se han iniciado con las claves de usuario y contraseña del usuario -necesarias para acceder al sistema de banca digital y confirmado mediante la inserción del SMS enviado por el propio sistema al dispositivo móvil facilitado por el usuario, siempre que éste niegue haberlas autorizado, en cuyo caso el banco deberá acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio que presta. A este respecto, la mención «deficiencia del servicio» no significa error o fallo del sistema informático o electrónico -posibilidad que estaría prevista en el concepto de «fallo técnico»-, sino que abarca cualquier falta de diligencia o mala praxis en la prestación del servicio, en el entendimiento de que el grado de diligencia exigible al proveedor de los servicios de pago no es el propio del buen padre de familia, sino que la naturaleza de la actividad y los riesgos que entraña el servicio que se presta, sobre todo en una relación empresario/consumidor, obliga a elevar el nivel de diligencia a un plano superior, como es el del ordenado y experto comerciante. Lógicamente, las buenas prácticas pasan por adoptar las medidas de seguridad necesarias para garantizar el correcto funcionamiento del sistema de servicios de pago, entre las cuales destacan las orientadas a detectar de forma automática la concurrencia de indicios de que puede tratarse de una operación anómala y generar una alerta o un bloqueo temporal (v.gr. reiteración de transferencias sin solución de continuidad, horario en que se producen, importe de las mismas, destinatarios, antecedentes en el uso de la cuenta...), o las dirigidas a incrementar el control y vigilancia cuando se han recibido noticias o alertas de un posible aumento del riesgo."

Como es público y pone de manifiesto la práctica diaria de los Tribunales, han proliferado en los últimos años las estafas con las que los delincuentes acceden a la banca digital de los clientes bancarios, engañando a estos para que les faciliten sus claves identificativas y de seguridad. El caso que nos ocupa es un ejemplo de la sofisticación que van alcanzando tales prácticas delictivas, con la utilización de complejos mecanismos o incluso la posible connivencia de un cooperador necesario cara a obtener información sobre datos personales y económicos de la víctima para así ganarse la confianza de esta y el acceso a sus claves de seguridad, tal y como queda de manifiesto en el relato de hechos anteriormente consignado. Resulta por tanto ciertamente difícil con tal operativa a un cliente bancario medio empleando una normal diligencia percatarse de que está siendo objeto de una estafa. Dado que se han generalizado el sistema bancario digital, la utilización de las tarjetas de crédito, las compras por internet, etc... sin la previa selección de los conocimientos y experiencia de la clientela y sin proporcionarle una específica formación al respecto, mas allá de posible acceso a una página web, nos encontramos con que a dicho sistema tiene acceso una generalidad de clientes con las evidentes y conocidas ventajas que ello comporta para la banca. No basta por tanto para prevenir tales fraudes con medidas genéricas de protección o avisos estereotipados de cuidado, puesto que la seguridad de las operaciones bancarias precisa de soluciones tecnológicas avanzadas a los efectos de garantizar tanto la autenticidad como la integridad y confidencialidad de los datos.

La normativa aplicable configura un sistema de responsabilidad cuasi objetiva de la entidad proveedora del servicio de pago, con inversión de la carga de la prueba, de manera que se presume ex lege la falta de autorización si el titular la niega, salvo que se prueba por parte de la entidad que el cliente ha actuado de forma fraudulenta o con negligencia grave a la hora de aplicar los medios de protección de seguridad personalizados o caso de no haber comunicado a la entidad el pago no autorizado en cuanto tenga conocimiento del mismo. Tal y como afirman las SSAP Oviedo de 11 de abril de 2024 , 21 de marzo de 2024 y 13 de diciembre de 2023 , dicho régimen está "sin duda inspirado en la idea de que los beneficios que comporta (tanto para el tráfico económico, como para la actividad del proveedor de los servicios) el avance tecnológico en los instrumentos de pago, debe estar justamente compensado con la protección reforzada de quien los emplea y se ve expuesto a actuaciones fraudulentas". En su consecuencia la diligencia que resulta exigible al Banco a la hora de gestionar dicha operativa digital y servicios de pago para evitar en lo posible la consumación de las múltiples estafas que vienen produciéndose, tal y como se consigna en la STS antes citada, no es solo la correspondiente a un buen padre de familia sino la de un ordenado y experto comerciante, implementando sistemas de seguridad que de forma automática detecten indicios de una posible utilización fraudulenta de los servicios de pago ante lo cual generen una alerta al cliente y/o el bloqueo de las operaciones que pudieran realizarse.

En su consecuencia para verse exenta de responsabilidad la entidad demandada debe probar no solo que las operaciones no se vieron afectadas por un fallo técnico, sino también que no se produjo una prestación defectuosa del servicio. El hecho de que la filtración o el conocimiento de las claves por el tercero no sea imputable a la entidad bancaria tampoco la libera de obligación de responder ni traslada al usuario la obligación de soportar las pérdidas, ya que el proveedor de servicios de pago, además de demostrar que el servicio se prestó correctamente -lo que como seguidamente veremos no sucedió-, debía acreditar la concurrencia de fraude o incumplimiento deliberado o gravemente negligente por parte del usuario. No se alega siquiera por el banco demandado que la actora pudiere haber incurrido en conducta fraudulenta o connivencia alguna con el estafador y como seguidamente se expondrá, dadas las circunstancias concurrentes, tampoco se acredita incurriera en negligencia grave incumpliendo las obligaciones que le correspondían de tomar las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas.

En efecto, aplicando la antes reproducida doctrina jurisprudencial al supuesto enjuiciado, es cierto que la actora facilitó al estafador los datos de su tarjeta del Banco de Santander y el acceso a su banca digital, lo que posibilitó que este realizase las cuatro compras cuyo importe se reclama. La negligencia grave del usuario como causa de exoneración de la entidad bancaria es tratada por la Directiva (UE) 2015/2366 en un sentido restrictivo. Según su considerando 72 "[a] la hora de evaluar la posible negligencia o la negligencia grave del usuario de servicios de pago, deben tomarse en consideración todas las circunstancias. Las pruebas de una presunta negligencia, y el grado de esta, deben evaluarse con arreglo a la normativa nacional. No obstante, si el concepto de negligencia supone un incumplimiento del deber de diligencia, la negligencia grave tiene que significar algo más que la mera negligencia, lo que entraña una conducta caracterizada por un grado significativo de falta de diligencia. Un ejemplo sería el guardar las credenciales usadas para la autorización de una operación de pago junto al instrumento de pago, en un formato abierto y fácilmente detectable para terceros". Ciertamente la usuaria en nuestro caso incurrió en una cierta negligencia al facilitar al estafador los datos que le permitieron el acceso a su banca digital, más consideramos que no puede calificarse como grave dicha negligencia pues ello fue como consecuencia de la confianza que este le generó al hacerse pasar por un empleado de su Compañía Telefónica a la que aquella había llamado poco tiempo antes, facilitándole una supuesta identidad y trasmitiéndole el conocimiento de datos personales de ella y de su contrato de teléfono. No alega ni acredita el Banco demandado que la actora previamente a estos hechos hubiera realizado a través de esta operativa compras de productos o en empresas similares a las que ejecutó el estafador. Tampoco compras de otro tipo de productos con esos elevados importes o con esa frecuencia en poco más de 7 horas, ni que previamente hubiera intentado ampliar el límite de disposición de la tarjeta o hubiera solicitado préstamos por los elevados importes antes consignados. De haber implementado el Banco un sistema de seguridad acorde al descrito por la citada doctrina jurisprudencial, es claro que ante un alta en el dispositivo seguro realizada sobre las 19,30 horas del día 11 de abril operando desde un teléfono móvil de una marca diferente al que utilizaba la clienta hoy demandante, la ampliación del límite dispositivo de la tarjeta, la posterior ejecución de compras en poco tiempo de las características, frecuencia e importe de las descritas, etc..., dicho sistema automáticamente habría bloqueado tales operaciones o hecho saltar una alarma paralizando su ejecución en tanto la titular de la tarjeta no confirmase su autorización, evitando así la consumación de la estafa... >>.

En nuestro caso, es de aplicación el art. 120.3 CP ya que es claro que no se ha acreditado que toda la responsabilidad en la operación recayese sobre la cliente del Banco (la Sra. Belinda) quien, a pesar de intentar contactar con el banco ante la inicial sospecha, Bankinter no disponía de forma clara -con la advertencia exigible a su clientela- de un sistema de evitación de esas operaciones y que no conjuraban el riesgo de operaciones fraudulentas al no arbitrar un sistema eficaz para ello, en las operaciones de sus clientes "on line" y en particular a la vista de lo exigido por la LO 10/2010 ya mencionada. De ahí que dicha entidad bancaria deba responsabilidad civilmente -si bien de forma subsidiaria- de la cantidad ilícitamente obtenida de la cuenta de la perjudicada.

NOVENO.-En lo relativo a las costas procesales, ya la añeja STS 168/2017 de 15 de marzo señaló que: "... Sts 168/17 de 15.3.2017 pese a la confusa regulación de las costas en el proceso penal, tanto la doctrina procesal cita actual como la jurisprudencia coinciden en destacar su naturaleza procesal, cuyo fundamento no es el punitivo sino el resarcimiento de los gastos procesales indebidamente soportados por la parte perjudicada por el proceso, bien sea la acusación particular, la privada o la acción civil que representan a la víctima o perjudicado por el delito y deben ser resarcidos de gastos ocasionados por la conducta criminal del condenado, bien el condenado absuelto en caso de acusaciones infundadas o temerarias ( art. 240.3 de la L.E.Criminal . Como señala expresamente la sentencia de 21 de febrero de 1995 que 'la condena en costas no se concibe ya como sanción sino como resarcimiento de gastos procesales".En consecuencia, con arreglo a lo dispuesto en los arts. 123 del C. Penal y 240 de la LECriminal, las costas se imponen al aquí condenado, incluidas las de la acusación particular, cuya actuación ha sido relevante.

No obstante, no procede su imposición al responsable civil subsidiario. La jurisprudencia tiene declarado que "..como principio general, que las costas no deben imponerse al responsable civil subsidiario. En la STS 413/2015, 30 de junio ,con cita de la STS 1074/2010, 21 de diciembre ,recordábamos que la condena en costas abarca a todos los copartícipes, nunca a los responsables civiles subsidiarios. La condena en costas, así lo impone el art. 123 del CP ,ha de ser impuesta al responsable criminalmente de un delito. En su caso, pueden ser imputadas al querellante o al actor civil: «...como responsable civil solo se puede responder de los daños y perjuicios directos ocasionados por los hechos delictivos, y de forma subsidiaria cuando concurren todos los elementos necesarios para declarar esta responsabilidad civil subsidiaria y nunca al pago de las costas. El responsable civil subsidiario no ha acudido al proceso de forma voluntaria, sino de manera forzosa al solicitar alguna de las partes la declaración exclusiva de su responsabilidad civil».

En el mismo sentido excluyente ver STSJ Castilla y León de 11.2.2025 (Pt. Ilma. Sra. Subiñas Castro).

Vistos los preceptos citados 248, 249 CP y demás de general y pertinente aplicación,

PRIMERO.-Ya se ha dicho que el Mº Fiscalen el escrito de acusación pidió la condena de Jesús Manuel como autor de un delito de estafa informática del art. 249 1 a CP y alternativamente un delito de blanqueo de capitales en su modalidad imprudente del art. 301 1 y 3 CP -sin circunstancias- para quien pidió, para esta calificación la pena de 18 meses de prisión y accesoria y multa de 10.000 euros con responsabilidad personal subsidiaria en caso de impago (esto último lo modificó al pronunciarse sobre la elevación a definitivas de sus conclusiones provisionales que varió en el sentido que se acaba de indicar). Por su parte la acusación particular(ac 71) pidió la condena de Jesús Manuel, como autor de un delito de estafa agravada de los arts. 248, 249 1 a) y 250 CP -sin circunstancias-. La defensa pidió una sentencia absolutoria. Lo mismo pidió Bankinter respecto de la responsabilidad civil subsidiaria reclamada frente a dicha entidad bancaria.

SEGUNDO.-Se practicaron en el acto del juicio oral las pruebas propuestas por las partes y admitidas (interrogatorio del acusado, testifical y documental).

El acusadoen fase instructora (ver video de 28.11.2024) no quiso declarar.

En el acto del juicio -video 8 24- sostuvo (en resumen) que conoció a una persona, de la cual desconoce su nombre, y que le dijo que tenía que recibir un dinero de su madre y que, por razones que no acabó de explicar muy bien, dijo que él no podía dar su cuenta bancaria y le pidió el favor de que le facilitase su número de cuenta para que la madre (de ese interlocutor de nombre desconocido) le enviase el dinero. Le dio su número de cuenta (la del Banco de Sabadell NUM003 que dijo tenía abierta desde 2019 y allí le pagaban sus nóminas) y recibió un dinero (dijo). Admitió que él sacó 2.000 euros (de su mencionada cuenta) con su tarjeta pero que los demás reintegros los hizo esa persona (o personas pues en un momento habló en plural) que le cogieron su tarjeta y aunque el acusado estaba con ellos, consintió -por miedo dijo- en que hicieran esas operaciones. También fueron ellos los que dispusieron (con su tarjeta) de otros reintegros en un local de juegos a los que los acompañó con la intención de recuperar su tarjeta. Estaba con ellos y le obligaron a sacar el dinero. Dijo que no sabía quién era (el que le propuso facilitar su cuenta y luego se quedó con su tarjeta bancaria) pero que luego, por redes sociales, dijo que lo reconoció y ofreció (en el acto del juicio) enseñar esa fotografía.

La Sala no admitió esa posibilidad dado el estadio procesal en el que nos encontrábamos y sin olvidar que tuvo tiempo desde el principio de dar cuenta de ese hallazgo -bien a la Policía, bien en el Juzgado instructor- (obviamente sin perjuicio de que ejercite las acciones que tenga por conveniente para defender de lo que estime en orden a defender sus supuestos derechos). La Abogada de la defensa hizo constar su protesta. Insistimos en que ni era el momento procesal oportuno (al inicio del juicio sí se pueden presentar pruebas con las condiciones que señala la norma, pero no después) pero es que además ello -de ser cierto lo que decía el acusado- obligaría a iniciar una nueva investigación en orden a determinar qué participación pudiera haber tenido esa persona que -no se olvide- de la que sólo se tiene una imagen sin saber su nombre, dirección, etc., en los hechos.

El acusado -siguió diciendo- no percibió nada y se sintió perjudicado porque su cuenta fue bloqueada y no pudo cobrar unas indemnizaciones a las que tenía derecho (por un accidente laboral -que no justificó-). Reiteró que tenía miedo por las posibles represalias de esa persona (o personas) ya que vivía en su pueblo e incluso lo había visto alguna vez por la calle. Negó haber llamado por teléfono a la denunciante. De lo ocurrido se dio cuenta a los tres días al ver el estado de su cuenta -que se había quedado prácticamente a cero-. En suma, negó ser autor de los hechos imputados.

Belinda, presentó denuncia en Comisaría (ac 1). Declaró en fase instructora (ver video día 18.10.2024).

En el acto del juicio (video 26 18) dijo que recibió un mensaje en su teléfono móvil (sobre las 19.30 horas del 23 de diciembre de 2023) alertándole sobre que en su cuenta se está haciendo una transferencia en su cuenta y que si no había sido ella, y le indicaban que pinchase en un enlace. Lo hizo (no había hecho ninguna transferencia) y le hicieron una pregunta rara por lo que colgó. Acto seguido llamó al teléfono del Banco de atención del cliente. Un mensaje le indicó que el servicio no estaba operativo (sólo funcionaba de lunes a viernes). Al poco (una hora más tarde aproximadamente) recibió una llamada (la voz era de mujer) diciéndole que era empleada del Banco (Bankinter -que era el suyo-) y que le iban a ayudar sobre esa alerta. Le pidieron las coordenadas de la tarjeta (para operar on line) y ella las facilitó. Fueron varias veces las que la pidieron las coordenadas ya que eran ocho las transferencias realizadas. Se cortó la comunicación y volvió a llamar al banco, saliendo de nuevo la grabación diciendo que no estaba operativo el servicio de atención al cliente. Nerviosa accedió a su cuenta (con ayuda de su marido) y vieron que le habían quitado el dinero (unos seis mil y pico euros). Fue a denunciarlo y en la policía le dijeron que era mejor que lo documentase para mayor claridad. Así lo hizo y volvió al día siguiente a la Comisaría a formalizar la denuncia. Su hijo la ayudó para la denuncia (recopiló los mensajes recibidos).

Declaró también la inspectora jefe (del grupo de delitos tecnológicos) del Cuerpo Nacional de Policía NUM008 (video 46 04), quien ratificó lo que consta en el atestado policial (y el ampliatorio) y añadió que comprobaron la cuenta a la que fue el dinero de la denunciante y cuyo titular el Sr. Jesús Manuel. Recibieron imágenes del cajero (del que se sacó el dinero), que no son de cajeros frontales y vieron que era un individuo de complexión delgada, con gafas y una gorra, pero -aunque creían que sí era él-, no podían afirmar que fuese el acusado. Luego se hicieron dos pagos en locales de juego (de distintas localidades). Se hicieron con una tarjeta vinculada a la cuenta del acusado. En cuanto a los teléfonos usados no se pudieron localizar. Ellos siguen el rastro del dinero ya que se usan aplicaciones que enmascaran el número de teléfono desde el que -aparentemente- se llama. Puede ocurrir que parezca que se llamada desde el banco, pero en realidad eso no es así. En la cuenta del acusado, al final, no quedaba saldo (en realidad 0.29 euros).

Al ac 2 obra el atestado ampliatorio de Policía Nacional donde se da cuenta de que Jesús Manuel es el titular de la cuenta bancaria abierta en el Banco de Sabadell nº NUM003 abierta presencialmente en la oficina 0347 sita en la Carretera de Sabadell nº 1 de Rubí.

Se observa 1 reintegro en cajero automático NUM009 por importe de 1.000 euros realizado el 23 de diciembre.

1 reintegro en el mismo cajero y en la misma fecha por 200 euros.

4 compras con la tarjeta NUM009 por importes de 1008,06 euros por cada una de ellas el 26.12.2023 en GCB Barcelona).

2 compras con la tarjeta NUM009 por importe de 508,75 (el 26.12.2023 en Gavernia -Barcelona-) y 203,50 euros (en la misma fecha y la misma entidad).

1 compra con la tarjeta NUM009 por importe de 8.81 euros (el 26.12.2023 en Super Mundial Terrassa).

1 pago de bizum Alexander por importe de 20 euros.

La tarjeta de debido NUM004 está vinculada a la cuenta a la vista abierta en el Banco de Sabadell nº NUM003. Las compras realizadas en Gavernia Barcelona fueron presenciales -con lectura de chip- y el resto también presenciales con EMV contactless.

Sigue diciendo el atestado policial que Gavernia Barcelona (Recreativos electrónicos Pris S.A.) confirmó que el acusado estuvo dos veces en su local (Salón Ramblas) el 23.12.2023 realizando los dos cargos mencionados desde su cuenta.

Consta también -de la información de la entidad bancaria Banco Sabadell, folio 17 del atestado ampliatorio- que en la cuenta del acusado se recibieron el 26.12.2023:

1 bizun de Belinda de 1.000 euros.

1 bizun de Belinda de 948 euros.

9 transferencias de Belinda de 489,11 euros cada una.

En total 6.349,99 euros.

TERCERO.- Valoración de la prueba.Apreciando en conciencia las pruebas practicadas en el acto del juicio ( art. 741 LECrim. ), ha concluido que los hechos han ocurrido como se ha narrado en el apartado de hechos probados de esta resolución. La declaración de la Sra. Belinda ha sido firme, persistente y creíble y cuenta con el aval de la documental remitida por su entidad bancaria, Bankinter en la que ha quedado reflejado que, de su cuenta abierta en dicha entidad, IBAN NUM006, se realizaron fraudulentamente nueve transferencias de 489,11 euros cada una y dos operaciones de por importe -una de ellas- de 1.000 euros y la otra de 948 euros. Se trató de una operación de "phishing" en la que persona o personas desconocidas -en todo caso y como se verá con el concurso esencial del acusado- suplantaron la identidad del banco e hicieron creer a la Sra. Belinda que se estaba realizando una operación no autorizada en su cuenta, lo que la llevó, primero, a pulsar un enlace también fraudulento y -tras abandonar la operativa-, le llamaron por teléfono, completando la operación depredadora, simulando ser empleados del banco y convenciéndola para que facilitase sus claves secretas para -supuestamente- retrotraer operaciones indebidas y que en realidad eran maniobras para esquilmar su cuenta. Así consiguieron esas nueve transferencias y dos operaciones de que ya se han reseñado y que obra con detalle en el ac 3 del expediente digital (fase de instrucción).

La versión de los hechos del Sr. Jesús Manuel no es creíble. Para empezar, no quiso declarar en fase instructora. Ese es su derecho constitucional y no conlleva un juicio de culpabilidad, pero sí alerta sobre la veracidad de la historia que contó en el acto del juicio oral. En él dijo que conoció a una persona (o personas), el mismo día 23 de diciembre de 2023 quien le pidió el favor de que le facilitase su número de cuenta para recibir en ella un dinero que le iba a enviar un familiar. El -dijo- lo aceptó y recibió en su cuenta (no niega que sea el titular de la misma y añadió que la abrió en 2019 y en ella se le abona su salario) las cantidades ilícitamente transferidas desde la cuenta de Belinda que ya se han reseñado. Dijo -en el acto del juicio y no antes- que una vez que recibió el dinero en su cuenta sí hizo las dos extracciones en cajero (de 1.000 euros y 200 euros) pero que le cogieron (aquí habla en plural) su tarjeta ya que esa operación la hizo personalmente pero los otros (al menos dos, según su versión) esperaban fuera y se quedaron con su tarjeta y -dos días después- los acompañó a un salón de juegos (donde consta que se hicieron cargos tal y como aparece en el atestado policial - Gavernia Barcelona; Recreativos electrónicos Pris S.A.-). Dijo que le vaciaron su cuenta y que, al quedar bloqueada, no pudo percibir una indemnización por un accidente laboral (nada de esto lo justificó) y añadió que no lo denunció por miedo, señalando -ya en el acto del juicio- que tenía una fotografía de la persona que -según él- le sometió a ese engaño (que es lo que en definitiva quiso decir). Ya se ha explicado que la Sala indicó que no era posible atender a lo que pedía ya que, aparte de no ser el momento procesal oportuno (su Abogada pudo presentar ese supuesto documento al inicio del juicio), la exhibición de una fotografía de una persona desconocida (nunca dijo su nombre ni donde vivía o podía ser localizado) sobre la que nunca antes se había dicho nada ni se había formulado denuncia, no podía dinamitar el procedimiento con esa versión de los hechos novedosa. Desde luego pudo denunciar esa versión de lo ocurrido. No consta que estuviese privado de libertad ni que ese (o esos) sujeto lo controlase hasta el punto de no poder acudir a la Comisaría más próxima y más si -como dijo- fue con (ellos) al local de juego. La explicación de que quería recuperar su tarjeta tampoco es explicación suficiente. Si -como dijo- se habían quedado con ella, nada más sencillo que anularla para evitar cualquier operación fraudulenta. La Sala llega a la conclusión de que el acusado sabía que colaboraba (de forma esencial) en una operación ilícita (no es descartable que -como se apunta en el atestado- fuese pergeñada por banda o grupo criminal) donde se localizaba a la víctima propicia y se ponía en marcha el sistema de suplantación del banco convenciendo a la víctima (con artificio informático) de que quien llamaba (el número de teléfono -aparente- era el del banco) era la entidad bancaria y con la añagaza de supuestas operaciones fraudulentas que se querían evitar o corregir, se conseguía que la víctima, en este caso la Sra. Belinda, facilitase sus claves bancarias secretas (las coordenadas de seguridad) para conseguir ese desplazamiento patrimonial ilícito desde la cuenta de ella a la del acusado quien, no hay lugar a duda, hizo las dos extracciones admitidas y -también sin duda- las compras y demás operaciones con las que se aprovecharon de lo obtenido -delictivamente- de la cuenta de la víctima. No hay -insistimos- ningún dato que avale la versión del acusado ni que estuviese afectado de ese miedo al que aludió en el acto del juicio. En suma, ha quedado enervada la presunción de inocencia que le ampara y se justifica la condena como se dirá a continuación.

CUARTO.-Ya se ha dicho que la Fiscalíacalificó los hechos como constitutivos de un delito de estafa informática del art. 249 1 a CP y alternativamenteun delito de blanqueo de capitales en su modalidad imprudente del art. 301 1 y 3 CP -sin circunstancias- y que la acusación particular(ac 71) pidió la condena de Jesús Manuel, como autor de un delito de estafa agravada de los arts. 248, 249 1 a) y 250 CP -sin circunstancias-.

En cuanto al delito de estafa informática, ha señalado la jurisprudencia que ".. No exige la concurrencia de engaño pues la asechanza a patrimonios ajenos realizados mediante manipulaciones informáticas actúa con automatismo en perjuicio de tercero, precisamente porque existe la manipulación informática y por ello no se exige el engaño personal.."- SsTS 12.6.2007 y 20.11.2001- y añade que ".. Para que haya manipulación informática lo relevante es que la máquina, informática o mecánica, actúe a impulsos de una actuación ilegítima que bien puede consistir en la alteración de los elementos físicos o de aquéllos que permiten su programación, o bien por la introducción de datos falsos.." STS 17.12.2008. En cuanto al denominado "phishing" bancaria y la ignorancia deliberada como subespecie del dolo, la jurisprudencia mayoritaria considera que, en principio, no cabe alegar error de tipo por supuesto desconocimiento de lo origen de los fondos ya que ".. Se está ante un caso de delincuencia económica de equipo informático de naturaleza internacional en el que los recurrentes ocupar a un nivel inferior y sólo tienen un conocimiento necesario para prestar su colaboración, la ignorancia del resto del operativo no borran y disminuye su culpabilidad porqué fueron conscientes de la antijuridicidad de su conducta, prestando su conformidad con un evidente ánimo que enriquecimiento, ya supieran, no quisiera saber -ignorancia deliberada-, o les fue la indiferente el origen del dinero, que en cantidad tan relevante recibieron. Lo relevante es que se beneficiario con todo, o más probablemente, en parte como pago que sus servicios, es obvio que prestan su colaboración y eficiente y causalmente relevante en una actividad antijurídica con pleno conocimiento o y cobrando por ello no pueden ignorar indefensión alguna, por su parte la explicación que dieron de que no pensaban que le daba algo ilícito o es un angelismo que se desmorona por sí sólo. En la sociedad a actual el acervo de conocimientos de cualquier persona de nivel cultural medio conoce y sabe que y la ilicitud de una colaboración que se le pueda pedir que el tipo de la que se observa en esta causa.."- STS 12.6.2007-.

La Fiscalía acusa -de forma alternativa o subsidiaria- por delito de blanqueo de capitales por imprudencia grave. Sobre esta cuestión, en la STS 1064/2025 de 30 de diciembre (P. Excmo. Sánchez Melgar)se analiza el delito de blanqueo de capitales por imprudencia y se dijo: <<..Con respecto al primer gravamen, hemos de reiterar ( STS 21 de enero de 2021 ) que el injusto imprudente del delito de blanqueo reclama concretar o referenciar determinativamente el incumplimiento de dos deberes normativos principales relacionados en términos de interdependencia condicionada: uno, el deber de evitación del resultado de favorecer una precedente actividad delictiva mediante alguna de las acciones que se describen en el tipo objetivo del artículo 301.1° CP ; otro, el deber de activar los mecanismos instrumentales de comprobación, indagación y representación sobre el origen del bien o el dinero recibido.

Siendo el incumplimiento de este segundo requisito la consecuencia de una conducta gravemente descuidada del agente, la que da esencia al blanqueo imprudente (tipo, por lo demás, habitualmente doloso), pero que el legislador ha querido también incluir en él los comportamientos más indolentes, bajo la fórmula del blanqueo imprudente, incluyendo la gravedad en su conducta, y salvaguardando el bien jurídico protegido por la norma.

Ahora bien, como toda fórmula de injusto imprudente debe examinarse la capacidad individual del agente de advertir y evitar el peligro. Para responder penalmente por un delito imprudente, la persona debe no solo haber introducido un peligro no permitido que se encuentre dentro del ámbito de protección de la norma. Además, la creación del peligro no permitido y el nexo o conexión con el fin de protección, deberían haber sido advertidos subjetivamente por el autor y el resultado, en consecuencia, poder haber sido también evitable.

La imprudencia se determina, por tanto, con arreglo a un doble baremo: por un lado, debe preguntarse qué comportamiento era el objetivamente debido en una determinada situación de peligro de lesión del bien jurídico. Y, por otro, si este comportamiento puede ser exigido al autor atendidas sus características y capacidades individuales.

Lo anterior comporta, de forma necesaria, identificar los concretos deberes de previsibilidad que obligaban a quien introdujo el riesgo desaprobado y, desde luego, las condiciones personales y situacionales para cumplirlos.

Pero no solo. La exigencia típica de gravedad de la conducta imprudente exige una valoración cuantitativa y cualitativa del grado de incumplimiento para lo que resulta necesario atender tanto a los contenidos de los respectivos deberes relevantes y la eficacia causal de su incumplimiento en la producción del resultado como a las concretas y situacionales condiciones de exigibilidad -vid. al respecto, STS 997/2013, de 19 de diciembre , que analiza con detalle, desde la perspectiva de la exigibilidad individual, un supuesto de blanqueo de capitales imprudente-.

Lo que, insistimos, no puede hacerse desde una aproximación presuntiva y generalista. Lo prohíben los principios constitucionales de presunción de inocencia y de culpabilidad.

En el delito de blanqueo por imprudencia las preguntas sobre por qué el agente pudo prever, por qué hubiera podido y debido prever el resultado, deben responderse analizando todos los planos de imputación: el fáctico-causal y el normativo...

(..)En suma, lo que el legislador criminaliza es incumplir el deber de cuidado, y propiciar el camuflaje del dinero de procedencia delictiva, y todo ello, la mayor parte de las veces, mediante la obtención de una ventaja económica (sin embargo, no requerida en el tipo, ni doloso ni imprudente).

Ahora bien, una cosa es la ventaja económica que obtendrá el agente, no definido en el tipo, y otra la cuantificación de los capitales blanqueados, aspecto éste del que trataremos seguidamente.

TERCERO.- Con las consideraciones antedichas, veamos los hechos probados de la sentencia recurrida.

Se refiere primeramente la resolución judicial recurrida a lo sucedido entre los días 25 y 27 de mayo de 2018, a través de la aplicación Bizum, en cuya franja horaria personas desconocidas, con ánimo de obtener un beneficio ilícito, realizaron un total de seis transferencias por importe total de 2.740 euros con cargo a la cuenta bancaria NUM010 titularidad de Doña Lucía en el Banco Popular, previa activación de aquella aplicación mediante manipulación informática, sin su consentimiento. La perjudicada, Lucía fue íntegramente resarcida por parte de la entidad Banco Popular (hoy en día integrada en el Banco Santander).

Por otro lado, entre los días 25 y 26 de mayo de 2018, se efectuaron cuatro transferencias por importe cada una de ellas de 500 euros, a un número de teléfono móvil facilitado por el acusado Eulalio (nacido el NUM011 de 1999), teléfono vinculado a la cuenta NUM012 del Banco Sabadell, de la que era titular el propio acusado Sr. Eulalio. Llegado el lunes día 28 de mayo de 2018, el acusado Sr. Eulalio procedió a efectuar el reintegro en efectivo de los 2.000 euros transferidos a su cuenta.

El acusado Sr. Eulalio, movido por un fin económico, facilitó los datos necesarios para que los terceros desconocidos ejecutasen las transferencias, sin conocer ni representarse el origen delictivo del dinero que iban a recibir, pero infringiendo la diligencia mínima imprescindible. Al tiempo de comisión de los hechos el acusado tenía un trastorno sobre déficit intelectual, con una discapacidad reconocida del 37%, que solamente afectaba mínimamente a sus facultades intelectivas o volitivas y que no le impedían haber advertido el origen delictivo del dinero.

Por otro lado, el día 27 de mayo de 2018, a las 00:05:47 horas y a las 00:08:34 horas, se realizaron otras dos transferencias por importes de 500 y 240 euros, a un número de teléfono móvil facilitado por el acusado Julio (nacido el NUM013 de 1987), vinculado a la cuenta NUM014, de Caixa, cuyo titular es el acusado Sr. Pedro Francisco. Llegado el lunes día 28 de mayo de 2018, este acusado procedió a efectuar también el reintegro en efectivo de los 740 euros transferidos a su cuenta.

El acusado Sr. Pedro Francisco, movido por un fin económico, facilitó los datos necesarios para que los terceros desconocidos ejecutasen las transferencias, sin conocer ni representarse el origen delictivo del dinero que iban a recibir, pero -se dice- infringiendo la diligencia mínima imprescindible teniendo capacidad para ello.

Como vemos, ni en los hechos probados, ni en la fundamentación jurídica, se expone concretamente cuál fue la diligencia mínima imprescindible que ocasionó el delito y que constituye la infracción del deber de diligencia grave que exige el tipo penal.

Si no conocían el delito de donde procedían los bienes, al menos nada de ello se expone en los hechos probados, ni tampoco pudieron imaginarse tal procedencia delictiva (que en nuestro caso tampoco se explica), por no «conocer ni representarse el origen delictivo del dinero que iban a recibir», conforme se afirma en el factum, no puede cumplirse el requisito de la tipicidad de la conducta, base del principio de legalidad, pues lo único que se afirma es que prestaron sus teléfonos para recibir ciertas cantidades mediante Bizum que después retiraron de sus cuentas. Esto solo, es insuficiente para colmar las exigencias típicas del delito enjuiciado.

Así, en el caso de Eulalio, movido por un fin económico, facilitó los datos necesarios para que los terceros desconocidos ejecutasen las transferencias, sin conocer ni representarse el origen delictivo del dinero que iban a recibir, pero infringiendo la diligencia mínima imprescindible.

Como es de observar, en dicho supuesto, no se describe tal diligencia mínima exigible, en cantidades que son muy exiguas para la comisión de un delito de blanqueo de capitales, pues por «capitales» difícilmente puede comprenderse una suma de 2.000 euros (cuatro ingresos e 500 euros), y mucho menos en lo que concierne al Sr. Pedro Francisco, que son 740 euros.

La STS 224/2024, de 7 de marzo ,enfatiza que con la base que representa la terminología legal, blanqueo de capitales, que es la elegida como leyenda que encabeza el capítulo correspondiente del cuerpo normativo y la filosofía que inspira la represión de esas conductas (que tiene que ver con la protección del mercado y la economía, con el orden socioeconómico), se entiende bien que solo exista blanqueo punible cuando las cantidades o bienes manejados adquieran cierta significación.

No alcanza ese rango la cifra a que se refieren los hechos. Negocios de bagatela, de cuantía insignificante, no son típicos. Una lectura del precepto en clave teleológica, asentada en la dimensión socioeconómica del bien jurídico protegido, empuja a esa interpretación, en exégesis que se ve reforzada por el uso del término "capitales".

En esa dirección apuntaba la STS 809/2014, de 26 de noviembre ,recogiendo y recreando una vía ya insinuada en la STS 884/2012 de 8 de noviembre (se postula una "restricción teleológica, para considerar atípicos todos los objetos materiales de cuantía irrelevante, en virtud del principio de insignificancia, por su nula incidencia en el orden socioeconómico, así como en virtud de la inviabilidad de la absoluta exclusión de la actividad económica de cualquier ciudadano, que no puede serle privada las actividades de compra diaria para atender a las necesidades vitales cotidianas, de otro modo proscritas"). (..). La STS 501/2019 de 24 de octubre sostiene que "el blanqueo de capitales no es un delito de sospecha: exige como cualquier otro, prueba de la concurrencia de todos y cada uno de sus elementos típicos, entre los que se encuentra el origen criminal (y no meramente ilícito, ilegal o antijurídico) de los bienes".

En suma, es preciso referenciar con algún detalle la diligencia que debió desplegar el autor, lo que aquí no se describe de modo alguno en los hechos probados, y sabemos que esta Sala Casacional impide una labor de integración contra reo en los fundamentos jurídicos de la sentencia recurrida, ni se califica tampoco, en este caso, la gravedad de la conducta en función a la cantidad supuestamente blanqueada que, en ambos casos, es de mínima entidad, para el delito que se enjuicia (blanqueo de capitales), pues recordemos que no estamos en presencia de un delito patrimonial contra los perjudicados, sino de una infracción que debe afectar al bien jurídico protegido que lo es la regularidad de la economía en evitación del camuflaje u opacidad de ganancias procedentes de un delito, lo que aquí tampoco se describe en modo alguno, desconociéndose de qué delito proceden los bienes supuestamente blanqueados, ni su conexión con los acusados, razón por la cual el recurso será estimado, procediendo la absolución de ambos recurrentes...>>.Acaba casando y anulando la condena de la AP de Madrid (confirmada por el TSJM) y absolviendo a los recurrentes.

Es cierto que la frontera entre ambos tipos penales (estafa y blanqueo de capitales por imprudencia) es difusa (ver SAP de Oviedo de 18.2.2015 (Secc 8ª, Pte. Ilma. Sra. Fernández González) y que la calificación jurídica de la actividad llevada a cabo por las conocidas en el argot policial como "mulas" o "muleros" puede resultar controvertida, como puede comprobarse con un somero análisis de la copiosa jurisprudencia emanada al respecto; sin embargo no podemos olvidar que, si existen elementos de prueba suficientes del efectivo conocimiento por parte de quien actúa de esta manera en relación a lo acaecido en las primeras fases de la operación defraudatoria en las que no intervino personalmente, tal conducta constituirá una etapa más de dicha operación y, en consecuencia, integrará el delito de estafa.

El Tribunal Supremo -sigue diciendo la sentencia que mencionamos-, tras el dictado de resoluciones dispares, ha zanjado la cuestión en sus sentencias de fechas 25 de octubre de 2012 y 2 de diciembre de 2014 , indicando que la relevancia penal del actuar de la mula como delito de estafa informática, receptación o como delito de blanqueo de capitales imprudentes, deberá determinarse en atención a las circunstancias concurrentes en cada caso.

En la primera de las resoluciones mencionadas el alto tribunal afirma que "la calificación jurídica de los hechos como integrantes de un delito de estafa informática, receptación o blanqueo de capitales, obligará a analizar en qué medida el dolo de ese tercero, que hace posible el rendimiento del capital evadido, capta los elementos del tipo objetivo del delito de estafa. Abrir una cuenta corriente con el exclusivo objeto de ingresar el dinero del que se desapodera a la víctima, encierra un hecho decisivo para la consumación del delito de estafa, pues en la mayoría de los casos, al autor principal no le será suficiente con disponer de la información precisa sobre las claves personales para ejecutar el acto de desapoderamiento. Necesitará una cuenta corriente que no levante sospechas y que, mediante la extracción de las cantidades transferidas pueda llegar a obtener el beneficio económico perseguido. Precisamente por ello, la contribución de quien se presta interesadamente a convertirse en depositario momentáneo de los fondos sustraídos integrará de ordinario el delito de estafa. Pero para ello resultará indispensable claro es- que quede suficientemente acreditada su participación dolosa en el delito cuya secuencia inicial ejecuta un tercero, pero a la que coopera de forma decisiva".

En definitiva -continúa la SAP de Oviedo que citamos-, la calificación jurídica de los hechos como delito de estafa informática o blanqueo de capitales, depende de que se acredite o no que los acusados tenían pleno conocimiento del carácter fraudulento de las operaciones, bien por ser ellos quienes las efectuaron o por estar de acuerdo con el defraudador y al tanto de las maniobras realizadas, siendo los encargados de recibir y remitir los fondos recibidos. En este sentido se pronuncia la más reciente sentencia del Alto Tribunal, de fecha 17 de febrero de 2020 que, confirmando la Sentencia de instancia, condena a la mula por estafa porque entiende que ésta conocía el origen ilícito de las sumas que le habían sido transferidas directamente por las víctimas, y por tanto tenía conciencia sobre la antijuridicidad de su conducta.

También la SAP de Almería de 25.11.2025 (Secc. 3ª, Pte. Ilma. Sra. Balaguer Gutiérrez) indicó que: <<.. El Tribunal Supremo se ha pronunciado en el sentido de entender que la mula era autora de un delito de estafa en diversas resoluciones, entre otras podemos señalar las STS nº 533/2007 de 12 de junio , nº 556/2009 de 16 de marzo y el ATS 1548/2011 de 27 de octubre , en las que se considera que tanto la actuación del autor principal de la conducta delictiva como la de la mula merecen similar calificación jurídica como delito de estafa informática, puesto que realizan una actividad conjunta para conseguir la ejecución del desplazamiento patrimonial en perjuicio de un tercero en el que las mulas constituyen un elemento final para la consumación de la conducta delictiva, consumación que, contrariamente a lo que sostiene el apelante, se produciría en el momento en el que el dinero entra en la cuenta corriente del acusado, independientemente de cuando disponga de manera efectiva de él, puesto que desde ese momento está a su entera disposición y se ha ocasionado ya el perjuicio al tercero.

Frente a ello, existen otros pronunciamientos favorables a entender el actuar exclusivo de las mulas como delito de blanqueo de capitales imprudente previsto en el artículo 301.3 del Código Penal , razonando para ello que "se trata de obtener dinero mediante el fraudulento acceso a las claves bancarias de confiados usuarios de Internet y, a partir de ahí, buscar una fórmula que permita colocar esos remanentes dinerarios en un país seguro, a nombre de personas de difícil identificación por los agentes de policía del Estado en cuyo territorio se efectúa el acceso inconsentido a las cuentas de la víctima y las transferencias a terceros países. Es una actuación fraudulenta que tiene como destinatarios a usuarios de la banca informática cuyas claves personales se obtienen engañosamente, técnica denominada "phishing", porque parte de una acción de pesca de las claves que permiten el libre acceso a las cuentas del perjudicado. El tratamiento (...) Pero los supuestos de quienes se limitan a colocar en el extranjero los fondos, permaneciendo totalmente ajenos a la confabulación anterior que hace posible el conocimiento de las claves para el acceso a las cuentas del sujeto engañado, pueden perfectamente ser calificados como un delito de blanqueo de capitales, cometido por dolo eventual o incluso imprudente, tesis asumida en el presente caso por el Tribunal de instancia que debe ser respetada" ( STS 506/2015 de 27 de julio ).

El TS en Sentencia nº 834/2012 de 25 de octubre de 2012 y nº 664/2014 de 2 de diciembre solventa la cuestión indicando que la relevancia penal del actuar de la mula como delito de estafa informática, receptación o como delito de blanqueo de capitales imprudentes, deberá determinarse en atención a las circunstancias concurrentes en cada caso. En las resoluciones mencionadas el alto tribunal afirma que "la calificación jurídica de los hechos como integrantes de un delito de estafa informática, receptación o blanqueo de capitales, obligará a analizar en qué medida el dolo de ese tercero que hace posible el rendimiento del capital evadido, capta los elementos del tipo objetivo del delito de estafa. Abrir una cuenta corriente con el exclusivo objeto de ingresar el dinero del que se desapodera a la víctima, encierra un hecho decisivo para la consumación del delito de estafa, pues en la mayoría de los casos, al autor principal no le será suficiente con disponer de la información precisa sobre las claves personales para ejecutar el acto de desapoderamiento. Necesitará una cuenta corriente que no levante sospechas y que, mediante la extracción de las cantidades transferidas pueda llegar a obtener el beneficio económico perseguido. Precisamente por ello, la contribución de quien se presta interesadamente a convertirse en depositario momentáneo de los fondos sustraídos integrará de ordinario el delito de estafa. Pero para ello resultará indispensable claro es- que quede suficientemente acreditada su participación dolosa en el delito cuya secuencia inicial ejecuta un tercero, pero a la que coopera de forma decisiva".

De la jurisprudencia analizada se extrae que cuando queda acreditado que la mula tiene conocimiento de su condición de engranaje en el entramado criminal de la estafa su conducta ha de ser castigada como delito de estafa informática, tal es el caso del supuesto analizado por la STS nº 51/2020 de 17 de febrero que confirmando la Sentencia de instancia condena a la mula por estafa porque entiende que ésta conocía el origen ilícito de las sumas que le habían sido transferidas directamente por las víctimas, y por tanto tenía conciencia sobre la antijuridicidad de su conducta. En otros casos, cuando no es posible acreditar la conexión de la conducta de la mula con la del autor del delito de estafa, los Tribunales, por lo general, se suelen decantar por la calificación jurídica como delito de blanqueo de capitales de carácter imprudente del artículo 301.3 del Código Penal . Este criterio, que ha sido ampliamente seguido por Juzgado y Tribunales territoriales, es seguido también en las STS nº 987/2012 de 3 de diciembre y nº 506/2015 de 27 de julio , afirmando que "la inferencia que parte de las circunstancias en que el acusado recibe la propuesta y concluye que éste, no solamente debía tener sospechas de que le involucraban, de aceptar, en una estafa, sino que tal sospecha había de ser de muy alta intensidad, ni es acorde a lógica de manera necesaria, ni se trata de una inferencia concluyente e inequívoca. Sobre la intensidad de la sospecha, que la Sala de instancia afirma le era exigible al acusado, habrá de convenirse que en ningún caso alcanza el grado de objetividad, al margen de la credulidad del sujeto concreto, que la imputación del elemento subjetivo como dolo eventual exige. Podrá, en efecto, convenirse que un hombre medio prudente experimentaría la duda sobre legalidad de la propuesta recibida por el acusado. Pero el descuido consistente en no apurar la indagación sobre la naturaleza de la oferta recibida se sitúa en el ámbito de la imprudencia. No alcanza la objetividad de la previsibilidad sobre los datos de hecho que requiere el dolo eventual. La lectura de los mensajes cruzados con el autor de la oferta debilita la inferencia que asume la sentencia de instancia sobre la cognoscibilidad objetiva de su naturaleza delictiva. La afirmación del elemento subjetivo por la sentencia de instancia se desvía así del canon que sobre prueba indiciaria dejamos antes expuesto". Por su parte la STS nº 961/2021 de 1 de diciembre , confirma la Sentencia dictada por el tribunal de instancia, condenando a los acusados por delito de blanqueo de capitales doloso del art. 301.1 y 2, al estimar acreditada la previa comisión de un delito de estafa y su conocimiento por los acusados, pero no su participación en dicho fraude delictivo...>>.

En nuestro caso, por el análisis de la prueba realizado más arriba, concluimos que el Sr. Jesús Manuel era conocedor -y participó- en ese entramado criminal donde su papel -como cooperador necesario para el buen fin de la operación- era recibir los fondos detraídos de la cuenta de la Sra. Belinda para quedarse con ellos (sin descartar que los repartiera con terceros que eventualmente formaran parte del grupo). Ya se ha explicado que es inverosímil que conociera -como dijo- a una persona (de un día) y que consintiese en "prestar" su cuenta bancaria para recibir unos fondos que ni se sabe de donde venía ni de quien venía (en ningún momento aparece el nombre de la madre o de la persona que, según su versión, iba a transferir -a su cuenta- esos fondos destinados a ese "amigo" o "conocido" -de un día- ignoto. En suma, participó en la estafa en la forma dicha y con conocimiento ya inicial de la mecánica -y su papel- en la trama. Es claro que, ante la ausencia de prueba de que fue él quien creó el artificio informático y llamó a la víctima, sin embargo, sí participó como cooperador necesario en el entramado pergeñado para vaciar -al menos en parte- la cuenta de la víctima con el engaño ya descrito, con ánimo de lucro y que incorporó a su patrimonio. No hay indicio o prueba que permita optar por la calificación subsidiaria del Mº Fiscal de tratarse de un delito de blanqueo de capitales por imprudencia.

Lo que no compartimos es la tesis de la acusación particular de que el acusado ha cometido una estafa cualificada. Cita (además del art. 248 y 249 1 a), el art. 250 CP -calificación que no alteró en el acto del juicio ya que elevó a definitivas sus conclusiones provisionales-). Ni lo especificó en su calificación provisional ni lo justificó en momento ulterior. Por lo tanto, no cabe la condena en esos términos (genéricos) postulados por la acusación particular sin que, en consecuencia, pueda la Sala condenar por más o distinta calificación y pena al margen de lo postulado por la Fiscalía (lo que se analizará con más detalle a continuación, partiendo de que, como se ha dicho, la Sala considera que el acusado ha cometido un delito de estafa del art. 249.1 a) CP) .

QUINTO.- Autoría.Es autor de este delito ( art. 28 CP) el acusado Jesús Manuel como ya se ha justificado "ut supra" al ser conocedor del entramado utilizado para obtener fraudulentamente y con ánimo de lucro, fondos procedentes de la cuenta bancaria de la Sra. Belinda cooperando con los que lo idearon y llevaron a cabo, dispuso de dichos fondos en su beneficio una vez los recibió en su cuenta tal y como ya se ha explicado..

SEXTO.- Circunstancias modificativas de la responsabilidad criminal.No concurren. Se hizo una referencia (por el acusado que no por su representación legal) que actuó por miedo. Sin embargo no se ha acreditado que eso fuera así ni que se cumplieran las circunstancias exigidas en el art. 20.6 CP ni en la jurisprudencia que lo interpreta (ver STS 24.2.2000 y 11.3.2005 entre otras muchas.

SEPTIMO.- Pena.Como ya se ha indicado, la Fiscalía postula una pena de 18 meses de prisión en tanto que la acusación particular reclama 4 años de prisión y 8 meses de multa. El art. 249 CP castiga la estafa con una pena de 6 meses a 3 años de prisión. Señala el art. 248 CP que "..Para la fijación de la pena se tendrá en cuenta el importe de lo defraudado, el quebranto económico causado al perjudicado, las relaciones entre este y el defraudador, los medios empleados por este y cuantas otras circunstancias sirvan para valorar la gravedad de la infracción...". En este caso la perjudicada -que ninguna relación tenía con el acusado- sufrió un perjuicio económico de 6.349,99 euros, cantidad de relativa importancia en una economía media. De ahí que se estime ponderada la pena de 11 meses de prisión e inhabilitación especial del derecho de sufragio pasivo durante la condena.

OCTAVO.- Responsabilidad civil.Con arreglo a lo dispuesto en los arts. 109 y ss CP procede resolver sobre la responsabilidad civil reclamada. Como ya se ha dicho, la acusación particular reclama que Bankinter sea declarado responsable civil subsidiario.

Como se ha dicho, la Sra. Belinda -ante una inicial sospecha- hizo una llamada al banco para confirmar que la comunicación era auténtica, pero el banco -ese dia y a esa hora- no tenía operativo el sistema de respuesta (únicamente funcionaba de lunes a viernes y hasta una hora -la llamada se hizo algo más tarde de la finalización del servicio-). Alega que existía otro número de atención al cliente que estaba operativo a todas horas (figuraba en la página web del banco) y en todo caso, cita a su favor lo dispuesto en los arts. 40 y ss del RDL 19/2018 ya que fue la propia cliente quien facilitó los datos a quien indebidamente se lo pidió y el banco no podía (autorizados los pagos por ella) proceder a la retrocesión.

En la SAP de Madrid de 9.12.2025 (Scc. 30, Pte. Ilma Sra. Esteban Meilan) se sostiene que: <<..El artículo 120.3 del código penal habilita el llamamiento de las entidades bancarias al procedimiento penal, como posibles responsables civiles subsidiarias, cuando sus servicios de pagos por intermediación financiera hayan servido para la comisión de una estafa informática, debiendo haber detectado y paralizado la operación fraudulenta, cuando no lo hayan hecho por una inexistente o deficitaria aplicación de los sistemas de seguridad y control.

Nos encontramos ante un sofisticado delito de estafa, en el que se ha utilizado la banca on line y la informática para su comisión. Sin embargo, las acciones resarcitorias no pierden su naturaleza civil. Consecuentemente la petición de responsabilidad civil del banco, se trata de una responsabilidad civil cuasi objetiva con presunción de culpa, derivada del riesgo profesional generado, en este caso por las entidades bancarias y de su especial deber de garantía impuesto por la ley de tal forma que la infracción de los reglamentos de cuidado permite su instrumentación por parte del autor del delito y la comisión del ilícito penal (..) En nuestro ordenamiento jurídico la responsabilidad civil nacida de delito tiene un régimen especial y diferente del régimen general de la culpa extra contractual. (..)El responsable civil subsidiario responde de lo mismo que el responsable penal aunque sólo en defecto de este. No caben diferenciaciones en el alcance de sus respectivas responsabilidades civiles en virtud de factores como este (la culpa de la víctima no tendría relevancia en relación a la conducta dolosa, pero si repartiría el daño en relación al tercero cuando de culpas concurrentes). Y no se exige constatar en concreto la presencia de culpa de ese tercero civil responsable ( STS 300/2014 de 1 de abril )...Ahora bien, podemos afirmar que la doctrina jurisprudencial admite, que, de manera unánime, la responsabilidad civil subsidiaria de las entidades bancarias en aquellos supuestos en los que sus servicios han dado soporte a la comisión de una estafa " informática " sumado a que la existencia del engaño bastante propio de la misma, eliminará una hipotética diligencia de actuación del propio usuario perjudicado y aún más aun teniendo en cuenta la práctica supresión por el Tribunal Supremo del deber de autotutela de la víctima hacen del procedimiento penal una vía para ejercitar la acción civil de manera conjunta a la acción penal. Sin embargo, no se trata de que las entidades bancarias tengan que responder siempre y ante cualquier circunstancia y tampoco de que dichas entidades no experimenten ningún perjuicio como consecuencia de las actuaciones fraudulentas cometidas por terceros, sino de que como operadores que desempeñan una actividad muy lucrativa-mientras los consumidores y usuarios se ven forzados a operar a través de plataformas digitales, que genera un claro riesgo para la sociedad deben poner sus esfuerzos y recursos en prevenir el fraude e impedir que los defraudadores se valgan de sus servicios para cometer actos delictivos, debiendo responder sólo cuando realmente se haya posibilitado la comisión del delito por un proceder negligente que haya supuesto la inobservancia de las normas de cuidado. Resulta obvio que la solución del problema pasa necesariamente por un mayor desarrollo y una correcta implementación de sistemas de detección preventiva en fraude por parte de las entidades bancarias.

Así pues, los bancos están sujetos a estrictos deberes definidos en la ley 10/2010 de 28 de abril de prevención de blanqueo de capitales y de la financiación del terrorismo que incluye medidas de diligencia debida y obligaciones de información como identificar al titular real de las cuentas, verificar la naturaleza de las operaciones o bloquear transacciones sospechosas.(..) Téngase en cuenta que las entidades bancarias desempeñan una actividad con ánimo de lucro y que sus consumidores y usuarios dependen de ellas para operar y no quedan excluidos del sistema financiero, pagando por sus servicios.

Las entidades bancarias han de cumplir, por tanto, con unas muy altas exigencias de seguridad en los sistemas de pago e intermediación financiera, con el objeto de minimizar al máximo e idealmente descartar el riesgo de la actividad que desempeñan, debiendo corresponder la confianza que depositan en ellos los consumidores y usuarios y responder cuando no han cumplido satisfactoriamente y tales exigencias de seguridad no han sido satisfechas, permitiendo la materialización del riesgo en el resultado.

La doctrina jurisprudencial admite de manera unánime, la responsabilidad civil subsidiaria de las entidades bancarias en aquellos supuestos, en los que sus servicios han dado soporte a la comisión de una estafa. No se trata de que las entidades bancarias tengan que responder siempre y ante cualquier circunstancia, ni de que dichas entidades no experimenten ningún perjuicio como consecuencia de las actuaciones fraudulentas cometidas por terceros sino de que, como operadores que desempeñan una actividad muy lucrativa mientras los consumidores y usuarios se ven forzados a operar a través de plataformas digitales que genera un claro riesgo para la sociedad deben poner sus esfuerzos y recursos en prevenir el fraude impedir que los defraudadores se valgan de sus servicios para cometer actos delictivos, como es el caso, debiendo responder sólo cuando realmente si haya posibilitado la comisión del delito por un proceder negligente que haya supuesto la inobservancia de las normas de cuidado...>>.

Traemos a colación también la SAP de Valladolid de 8.10.2025 (Secc. 3ª, Pt. Ilmo. Sr. Muñiz Delgado) que, si bien se trata de un recurso sobre una sentencia de un juzgado de 1ª Instancia, analiza la cuestión de la responsabilidad civil subsidiaria de las entidades bancarias. Señala: <<..La sentencia del Tribunal Supremo nº 571/2025, de 9 de abril ,analiza un supuesto en el que la entidad bancaria recurrente sostenía que posiblemente se había producido una suplantación de identidad o «phishing», pero que las operaciones se autorizaron al haber cumplido el doble factor de autenticación, sin detectarse incidencia alguna, conforme a lo dispuesto en el art. 44 del RD-ley 19/2018 .Una vez acreditada la doble autenticación se alegaba no corresponde a la entidad bancaria determinar si las operaciones de pago cuestionadas las autentificó un cliente o un tercero que disponía de los datos, o incluso del dispositivo móvil utilizado, constando que en los contratos de banca digital y de cuenta corriente y/o depósitos se prevé expresamente que el Banco queda exenta de los perjuicios que se pudieran derivar por intromisiones ilegítimas de terceros en el sistema elegido por el cliente, fuera del control de la entidad bancaria. En esta STS nº 571/2025 se analiza ampliamente toda la normativa sobre la materia, para después referirse a lo que debe entenderse por "operaciones de pago no autorizadas", y por "fallos de seguridad", argumentando en el Fundamento de Derecho Segundo. 6: "En suma, la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo, en el doble sentido de que, primero, notificada la existencia de una operación no autorizada o ejecutada incorrectamente, el proveedor debe responder salvo que acredite la existencia de fraude; y, segundo, cuando el usuario niegue haber autorizado la operación o alegue que ésta se ejecutó incorrectamente, corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave. Profundizando en este último punto, la expresión «operaciones no autorizadas» incluye aquellas que se han iniciado con las claves de usuario y contraseña del usuario -necesarias para acceder al sistema de banca digital y confirmado mediante la inserción del SMS enviado por el propio sistema al dispositivo móvil facilitado por el usuario, siempre que éste niegue haberlas autorizado, en cuyo caso el banco deberá acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio que presta. A este respecto, la mención «deficiencia del servicio» no significa error o fallo del sistema informático o electrónico -posibilidad que estaría prevista en el concepto de «fallo técnico»-, sino que abarca cualquier falta de diligencia o mala praxis en la prestación del servicio, en el entendimiento de que el grado de diligencia exigible al proveedor de los servicios de pago no es el propio del buen padre de familia, sino que la naturaleza de la actividad y los riesgos que entraña el servicio que se presta, sobre todo en una relación empresario/consumidor, obliga a elevar el nivel de diligencia a un plano superior, como es el del ordenado y experto comerciante. Lógicamente, las buenas prácticas pasan por adoptar las medidas de seguridad necesarias para garantizar el correcto funcionamiento del sistema de servicios de pago, entre las cuales destacan las orientadas a detectar de forma automática la concurrencia de indicios de que puede tratarse de una operación anómala y generar una alerta o un bloqueo temporal (v.gr. reiteración de transferencias sin solución de continuidad, horario en que se producen, importe de las mismas, destinatarios, antecedentes en el uso de la cuenta...), o las dirigidas a incrementar el control y vigilancia cuando se han recibido noticias o alertas de un posible aumento del riesgo."

Como es público y pone de manifiesto la práctica diaria de los Tribunales, han proliferado en los últimos años las estafas con las que los delincuentes acceden a la banca digital de los clientes bancarios, engañando a estos para que les faciliten sus claves identificativas y de seguridad. El caso que nos ocupa es un ejemplo de la sofisticación que van alcanzando tales prácticas delictivas, con la utilización de complejos mecanismos o incluso la posible connivencia de un cooperador necesario cara a obtener información sobre datos personales y económicos de la víctima para así ganarse la confianza de esta y el acceso a sus claves de seguridad, tal y como queda de manifiesto en el relato de hechos anteriormente consignado. Resulta por tanto ciertamente difícil con tal operativa a un cliente bancario medio empleando una normal diligencia percatarse de que está siendo objeto de una estafa. Dado que se han generalizado el sistema bancario digital, la utilización de las tarjetas de crédito, las compras por internet, etc... sin la previa selección de los conocimientos y experiencia de la clientela y sin proporcionarle una específica formación al respecto, mas allá de posible acceso a una página web, nos encontramos con que a dicho sistema tiene acceso una generalidad de clientes con las evidentes y conocidas ventajas que ello comporta para la banca. No basta por tanto para prevenir tales fraudes con medidas genéricas de protección o avisos estereotipados de cuidado, puesto que la seguridad de las operaciones bancarias precisa de soluciones tecnológicas avanzadas a los efectos de garantizar tanto la autenticidad como la integridad y confidencialidad de los datos.

La normativa aplicable configura un sistema de responsabilidad cuasi objetiva de la entidad proveedora del servicio de pago, con inversión de la carga de la prueba, de manera que se presume ex lege la falta de autorización si el titular la niega, salvo que se prueba por parte de la entidad que el cliente ha actuado de forma fraudulenta o con negligencia grave a la hora de aplicar los medios de protección de seguridad personalizados o caso de no haber comunicado a la entidad el pago no autorizado en cuanto tenga conocimiento del mismo. Tal y como afirman las SSAP Oviedo de 11 de abril de 2024 , 21 de marzo de 2024 y 13 de diciembre de 2023 , dicho régimen está "sin duda inspirado en la idea de que los beneficios que comporta (tanto para el tráfico económico, como para la actividad del proveedor de los servicios) el avance tecnológico en los instrumentos de pago, debe estar justamente compensado con la protección reforzada de quien los emplea y se ve expuesto a actuaciones fraudulentas". En su consecuencia la diligencia que resulta exigible al Banco a la hora de gestionar dicha operativa digital y servicios de pago para evitar en lo posible la consumación de las múltiples estafas que vienen produciéndose, tal y como se consigna en la STS antes citada, no es solo la correspondiente a un buen padre de familia sino la de un ordenado y experto comerciante, implementando sistemas de seguridad que de forma automática detecten indicios de una posible utilización fraudulenta de los servicios de pago ante lo cual generen una alerta al cliente y/o el bloqueo de las operaciones que pudieran realizarse.

En su consecuencia para verse exenta de responsabilidad la entidad demandada debe probar no solo que las operaciones no se vieron afectadas por un fallo técnico, sino también que no se produjo una prestación defectuosa del servicio. El hecho de que la filtración o el conocimiento de las claves por el tercero no sea imputable a la entidad bancaria tampoco la libera de obligación de responder ni traslada al usuario la obligación de soportar las pérdidas, ya que el proveedor de servicios de pago, además de demostrar que el servicio se prestó correctamente -lo que como seguidamente veremos no sucedió-, debía acreditar la concurrencia de fraude o incumplimiento deliberado o gravemente negligente por parte del usuario. No se alega siquiera por el banco demandado que la actora pudiere haber incurrido en conducta fraudulenta o connivencia alguna con el estafador y como seguidamente se expondrá, dadas las circunstancias concurrentes, tampoco se acredita incurriera en negligencia grave incumpliendo las obligaciones que le correspondían de tomar las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas.

En efecto, aplicando la antes reproducida doctrina jurisprudencial al supuesto enjuiciado, es cierto que la actora facilitó al estafador los datos de su tarjeta del Banco de Santander y el acceso a su banca digital, lo que posibilitó que este realizase las cuatro compras cuyo importe se reclama. La negligencia grave del usuario como causa de exoneración de la entidad bancaria es tratada por la Directiva (UE) 2015/2366 en un sentido restrictivo. Según su considerando 72 "[a] la hora de evaluar la posible negligencia o la negligencia grave del usuario de servicios de pago, deben tomarse en consideración todas las circunstancias. Las pruebas de una presunta negligencia, y el grado de esta, deben evaluarse con arreglo a la normativa nacional. No obstante, si el concepto de negligencia supone un incumplimiento del deber de diligencia, la negligencia grave tiene que significar algo más que la mera negligencia, lo que entraña una conducta caracterizada por un grado significativo de falta de diligencia. Un ejemplo sería el guardar las credenciales usadas para la autorización de una operación de pago junto al instrumento de pago, en un formato abierto y fácilmente detectable para terceros". Ciertamente la usuaria en nuestro caso incurrió en una cierta negligencia al facilitar al estafador los datos que le permitieron el acceso a su banca digital, más consideramos que no puede calificarse como grave dicha negligencia pues ello fue como consecuencia de la confianza que este le generó al hacerse pasar por un empleado de su Compañía Telefónica a la que aquella había llamado poco tiempo antes, facilitándole una supuesta identidad y trasmitiéndole el conocimiento de datos personales de ella y de su contrato de teléfono. No alega ni acredita el Banco demandado que la actora previamente a estos hechos hubiera realizado a través de esta operativa compras de productos o en empresas similares a las que ejecutó el estafador. Tampoco compras de otro tipo de productos con esos elevados importes o con esa frecuencia en poco más de 7 horas, ni que previamente hubiera intentado ampliar el límite de disposición de la tarjeta o hubiera solicitado préstamos por los elevados importes antes consignados. De haber implementado el Banco un sistema de seguridad acorde al descrito por la citada doctrina jurisprudencial, es claro que ante un alta en el dispositivo seguro realizada sobre las 19,30 horas del día 11 de abril operando desde un teléfono móvil de una marca diferente al que utilizaba la clienta hoy demandante, la ampliación del límite dispositivo de la tarjeta, la posterior ejecución de compras en poco tiempo de las características, frecuencia e importe de las descritas, etc..., dicho sistema automáticamente habría bloqueado tales operaciones o hecho saltar una alarma paralizando su ejecución en tanto la titular de la tarjeta no confirmase su autorización, evitando así la consumación de la estafa... >>.

En nuestro caso, es de aplicación el art. 120.3 CP ya que es claro que no se ha acreditado que toda la responsabilidad en la operación recayese sobre la cliente del Banco (la Sra. Belinda) quien, a pesar de intentar contactar con el banco ante la inicial sospecha, Bankinter no disponía de forma clara -con la advertencia exigible a su clientela- de un sistema de evitación de esas operaciones y que no conjuraban el riesgo de operaciones fraudulentas al no arbitrar un sistema eficaz para ello, en las operaciones de sus clientes "on line" y en particular a la vista de lo exigido por la LO 10/2010 ya mencionada. De ahí que dicha entidad bancaria deba responsabilidad civilmente -si bien de forma subsidiaria- de la cantidad ilícitamente obtenida de la cuenta de la perjudicada.

NOVENO.-En lo relativo a las costas procesales, ya la añeja STS 168/2017 de 15 de marzo señaló que: "... Sts 168/17 de 15.3.2017 pese a la confusa regulación de las costas en el proceso penal, tanto la doctrina procesal cita actual como la jurisprudencia coinciden en destacar su naturaleza procesal, cuyo fundamento no es el punitivo sino el resarcimiento de los gastos procesales indebidamente soportados por la parte perjudicada por el proceso, bien sea la acusación particular, la privada o la acción civil que representan a la víctima o perjudicado por el delito y deben ser resarcidos de gastos ocasionados por la conducta criminal del condenado, bien el condenado absuelto en caso de acusaciones infundadas o temerarias ( art. 240.3 de la L.E.Criminal . Como señala expresamente la sentencia de 21 de febrero de 1995 que 'la condena en costas no se concibe ya como sanción sino como resarcimiento de gastos procesales".En consecuencia, con arreglo a lo dispuesto en los arts. 123 del C. Penal y 240 de la LECriminal, las costas se imponen al aquí condenado, incluidas las de la acusación particular, cuya actuación ha sido relevante.

No obstante, no procede su imposición al responsable civil subsidiario. La jurisprudencia tiene declarado que "..como principio general, que las costas no deben imponerse al responsable civil subsidiario. En la STS 413/2015, 30 de junio ,con cita de la STS 1074/2010, 21 de diciembre ,recordábamos que la condena en costas abarca a todos los copartícipes, nunca a los responsables civiles subsidiarios. La condena en costas, así lo impone el art. 123 del CP ,ha de ser impuesta al responsable criminalmente de un delito. En su caso, pueden ser imputadas al querellante o al actor civil: «...como responsable civil solo se puede responder de los daños y perjuicios directos ocasionados por los hechos delictivos, y de forma subsidiaria cuando concurren todos los elementos necesarios para declarar esta responsabilidad civil subsidiaria y nunca al pago de las costas. El responsable civil subsidiario no ha acudido al proceso de forma voluntaria, sino de manera forzosa al solicitar alguna de las partes la declaración exclusiva de su responsabilidad civil».

En el mismo sentido excluyente ver STSJ Castilla y León de 11.2.2025 (Pt. Ilma. Sra. Subiñas Castro).

Vistos los preceptos citados 248, 249 CP y demás de general y pertinente aplicación,

PRIMERO.-Ya se ha dicho que el Mº Fiscalen el escrito de acusación pidió la condena de Jesús Manuel como autor de un delito de estafa informática del art. 249 1 a CP y alternativamente un delito de blanqueo de capitales en su modalidad imprudente del art. 301 1 y 3 CP -sin circunstancias- para quien pidió, para esta calificación la pena de 18 meses de prisión y accesoria y multa de 10.000 euros con responsabilidad personal subsidiaria en caso de impago (esto último lo modificó al pronunciarse sobre la elevación a definitivas de sus conclusiones provisionales que varió en el sentido que se acaba de indicar). Por su parte la acusación particular(ac 71) pidió la condena de Jesús Manuel, como autor de un delito de estafa agravada de los arts. 248, 249 1 a) y 250 CP -sin circunstancias-. La defensa pidió una sentencia absolutoria. Lo mismo pidió Bankinter respecto de la responsabilidad civil subsidiaria reclamada frente a dicha entidad bancaria.

SEGUNDO.-Se practicaron en el acto del juicio oral las pruebas propuestas por las partes y admitidas (interrogatorio del acusado, testifical y documental).

El acusadoen fase instructora (ver video de 28.11.2024) no quiso declarar.

En el acto del juicio -video 8 24- sostuvo (en resumen) que conoció a una persona, de la cual desconoce su nombre, y que le dijo que tenía que recibir un dinero de su madre y que, por razones que no acabó de explicar muy bien, dijo que él no podía dar su cuenta bancaria y le pidió el favor de que le facilitase su número de cuenta para que la madre (de ese interlocutor de nombre desconocido) le enviase el dinero. Le dio su número de cuenta (la del Banco de Sabadell NUM003 que dijo tenía abierta desde 2019 y allí le pagaban sus nóminas) y recibió un dinero (dijo). Admitió que él sacó 2.000 euros (de su mencionada cuenta) con su tarjeta pero que los demás reintegros los hizo esa persona (o personas pues en un momento habló en plural) que le cogieron su tarjeta y aunque el acusado estaba con ellos, consintió -por miedo dijo- en que hicieran esas operaciones. También fueron ellos los que dispusieron (con su tarjeta) de otros reintegros en un local de juegos a los que los acompañó con la intención de recuperar su tarjeta. Estaba con ellos y le obligaron a sacar el dinero. Dijo que no sabía quién era (el que le propuso facilitar su cuenta y luego se quedó con su tarjeta bancaria) pero que luego, por redes sociales, dijo que lo reconoció y ofreció (en el acto del juicio) enseñar esa fotografía.

La Sala no admitió esa posibilidad dado el estadio procesal en el que nos encontrábamos y sin olvidar que tuvo tiempo desde el principio de dar cuenta de ese hallazgo -bien a la Policía, bien en el Juzgado instructor- (obviamente sin perjuicio de que ejercite las acciones que tenga por conveniente para defender de lo que estime en orden a defender sus supuestos derechos). La Abogada de la defensa hizo constar su protesta. Insistimos en que ni era el momento procesal oportuno (al inicio del juicio sí se pueden presentar pruebas con las condiciones que señala la norma, pero no después) pero es que además ello -de ser cierto lo que decía el acusado- obligaría a iniciar una nueva investigación en orden a determinar qué participación pudiera haber tenido esa persona que -no se olvide- de la que sólo se tiene una imagen sin saber su nombre, dirección, etc., en los hechos.

El acusado -siguió diciendo- no percibió nada y se sintió perjudicado porque su cuenta fue bloqueada y no pudo cobrar unas indemnizaciones a las que tenía derecho (por un accidente laboral -que no justificó-). Reiteró que tenía miedo por las posibles represalias de esa persona (o personas) ya que vivía en su pueblo e incluso lo había visto alguna vez por la calle. Negó haber llamado por teléfono a la denunciante. De lo ocurrido se dio cuenta a los tres días al ver el estado de su cuenta -que se había quedado prácticamente a cero-. En suma, negó ser autor de los hechos imputados.

Belinda, presentó denuncia en Comisaría (ac 1). Declaró en fase instructora (ver video día 18.10.2024).

En el acto del juicio (video 26 18) dijo que recibió un mensaje en su teléfono móvil (sobre las 19.30 horas del 23 de diciembre de 2023) alertándole sobre que en su cuenta se está haciendo una transferencia en su cuenta y que si no había sido ella, y le indicaban que pinchase en un enlace. Lo hizo (no había hecho ninguna transferencia) y le hicieron una pregunta rara por lo que colgó. Acto seguido llamó al teléfono del Banco de atención del cliente. Un mensaje le indicó que el servicio no estaba operativo (sólo funcionaba de lunes a viernes). Al poco (una hora más tarde aproximadamente) recibió una llamada (la voz era de mujer) diciéndole que era empleada del Banco (Bankinter -que era el suyo-) y que le iban a ayudar sobre esa alerta. Le pidieron las coordenadas de la tarjeta (para operar on line) y ella las facilitó. Fueron varias veces las que la pidieron las coordenadas ya que eran ocho las transferencias realizadas. Se cortó la comunicación y volvió a llamar al banco, saliendo de nuevo la grabación diciendo que no estaba operativo el servicio de atención al cliente. Nerviosa accedió a su cuenta (con ayuda de su marido) y vieron que le habían quitado el dinero (unos seis mil y pico euros). Fue a denunciarlo y en la policía le dijeron que era mejor que lo documentase para mayor claridad. Así lo hizo y volvió al día siguiente a la Comisaría a formalizar la denuncia. Su hijo la ayudó para la denuncia (recopiló los mensajes recibidos).

Declaró también la inspectora jefe (del grupo de delitos tecnológicos) del Cuerpo Nacional de Policía NUM008 (video 46 04), quien ratificó lo que consta en el atestado policial (y el ampliatorio) y añadió que comprobaron la cuenta a la que fue el dinero de la denunciante y cuyo titular el Sr. Jesús Manuel. Recibieron imágenes del cajero (del que se sacó el dinero), que no son de cajeros frontales y vieron que era un individuo de complexión delgada, con gafas y una gorra, pero -aunque creían que sí era él-, no podían afirmar que fuese el acusado. Luego se hicieron dos pagos en locales de juego (de distintas localidades). Se hicieron con una tarjeta vinculada a la cuenta del acusado. En cuanto a los teléfonos usados no se pudieron localizar. Ellos siguen el rastro del dinero ya que se usan aplicaciones que enmascaran el número de teléfono desde el que -aparentemente- se llama. Puede ocurrir que parezca que se llamada desde el banco, pero en realidad eso no es así. En la cuenta del acusado, al final, no quedaba saldo (en realidad 0.29 euros).

Al ac 2 obra el atestado ampliatorio de Policía Nacional donde se da cuenta de que Jesús Manuel es el titular de la cuenta bancaria abierta en el Banco de Sabadell nº NUM003 abierta presencialmente en la oficina 0347 sita en la Carretera de Sabadell nº 1 de Rubí.

Se observa 1 reintegro en cajero automático NUM009 por importe de 1.000 euros realizado el 23 de diciembre.

1 reintegro en el mismo cajero y en la misma fecha por 200 euros.

4 compras con la tarjeta NUM009 por importes de 1008,06 euros por cada una de ellas el 26.12.2023 en GCB Barcelona).

2 compras con la tarjeta NUM009 por importe de 508,75 (el 26.12.2023 en Gavernia -Barcelona-) y 203,50 euros (en la misma fecha y la misma entidad).

1 compra con la tarjeta NUM009 por importe de 8.81 euros (el 26.12.2023 en Super Mundial Terrassa).

1 pago de bizum Alexander por importe de 20 euros.

La tarjeta de debido NUM004 está vinculada a la cuenta a la vista abierta en el Banco de Sabadell nº NUM003. Las compras realizadas en Gavernia Barcelona fueron presenciales -con lectura de chip- y el resto también presenciales con EMV contactless.

Sigue diciendo el atestado policial que Gavernia Barcelona (Recreativos electrónicos Pris S.A.) confirmó que el acusado estuvo dos veces en su local (Salón Ramblas) el 23.12.2023 realizando los dos cargos mencionados desde su cuenta.

Consta también -de la información de la entidad bancaria Banco Sabadell, folio 17 del atestado ampliatorio- que en la cuenta del acusado se recibieron el 26.12.2023:

1 bizun de Belinda de 1.000 euros.

1 bizun de Belinda de 948 euros.

9 transferencias de Belinda de 489,11 euros cada una.

En total 6.349,99 euros.

TERCERO.- Valoración de la prueba.Apreciando en conciencia las pruebas practicadas en el acto del juicio ( art. 741 LECrim. ), ha concluido que los hechos han ocurrido como se ha narrado en el apartado de hechos probados de esta resolución. La declaración de la Sra. Belinda ha sido firme, persistente y creíble y cuenta con el aval de la documental remitida por su entidad bancaria, Bankinter en la que ha quedado reflejado que, de su cuenta abierta en dicha entidad, IBAN NUM006, se realizaron fraudulentamente nueve transferencias de 489,11 euros cada una y dos operaciones de por importe -una de ellas- de 1.000 euros y la otra de 948 euros. Se trató de una operación de "phishing" en la que persona o personas desconocidas -en todo caso y como se verá con el concurso esencial del acusado- suplantaron la identidad del banco e hicieron creer a la Sra. Belinda que se estaba realizando una operación no autorizada en su cuenta, lo que la llevó, primero, a pulsar un enlace también fraudulento y -tras abandonar la operativa-, le llamaron por teléfono, completando la operación depredadora, simulando ser empleados del banco y convenciéndola para que facilitase sus claves secretas para -supuestamente- retrotraer operaciones indebidas y que en realidad eran maniobras para esquilmar su cuenta. Así consiguieron esas nueve transferencias y dos operaciones de que ya se han reseñado y que obra con detalle en el ac 3 del expediente digital (fase de instrucción).

La versión de los hechos del Sr. Jesús Manuel no es creíble. Para empezar, no quiso declarar en fase instructora. Ese es su derecho constitucional y no conlleva un juicio de culpabilidad, pero sí alerta sobre la veracidad de la historia que contó en el acto del juicio oral. En él dijo que conoció a una persona (o personas), el mismo día 23 de diciembre de 2023 quien le pidió el favor de que le facilitase su número de cuenta para recibir en ella un dinero que le iba a enviar un familiar. El -dijo- lo aceptó y recibió en su cuenta (no niega que sea el titular de la misma y añadió que la abrió en 2019 y en ella se le abona su salario) las cantidades ilícitamente transferidas desde la cuenta de Belinda que ya se han reseñado. Dijo -en el acto del juicio y no antes- que una vez que recibió el dinero en su cuenta sí hizo las dos extracciones en cajero (de 1.000 euros y 200 euros) pero que le cogieron (aquí habla en plural) su tarjeta ya que esa operación la hizo personalmente pero los otros (al menos dos, según su versión) esperaban fuera y se quedaron con su tarjeta y -dos días después- los acompañó a un salón de juegos (donde consta que se hicieron cargos tal y como aparece en el atestado policial - Gavernia Barcelona; Recreativos electrónicos Pris S.A.-). Dijo que le vaciaron su cuenta y que, al quedar bloqueada, no pudo percibir una indemnización por un accidente laboral (nada de esto lo justificó) y añadió que no lo denunció por miedo, señalando -ya en el acto del juicio- que tenía una fotografía de la persona que -según él- le sometió a ese engaño (que es lo que en definitiva quiso decir). Ya se ha explicado que la Sala indicó que no era posible atender a lo que pedía ya que, aparte de no ser el momento procesal oportuno (su Abogada pudo presentar ese supuesto documento al inicio del juicio), la exhibición de una fotografía de una persona desconocida (nunca dijo su nombre ni donde vivía o podía ser localizado) sobre la que nunca antes se había dicho nada ni se había formulado denuncia, no podía dinamitar el procedimiento con esa versión de los hechos novedosa. Desde luego pudo denunciar esa versión de lo ocurrido. No consta que estuviese privado de libertad ni que ese (o esos) sujeto lo controlase hasta el punto de no poder acudir a la Comisaría más próxima y más si -como dijo- fue con (ellos) al local de juego. La explicación de que quería recuperar su tarjeta tampoco es explicación suficiente. Si -como dijo- se habían quedado con ella, nada más sencillo que anularla para evitar cualquier operación fraudulenta. La Sala llega a la conclusión de que el acusado sabía que colaboraba (de forma esencial) en una operación ilícita (no es descartable que -como se apunta en el atestado- fuese pergeñada por banda o grupo criminal) donde se localizaba a la víctima propicia y se ponía en marcha el sistema de suplantación del banco convenciendo a la víctima (con artificio informático) de que quien llamaba (el número de teléfono -aparente- era el del banco) era la entidad bancaria y con la añagaza de supuestas operaciones fraudulentas que se querían evitar o corregir, se conseguía que la víctima, en este caso la Sra. Belinda, facilitase sus claves bancarias secretas (las coordenadas de seguridad) para conseguir ese desplazamiento patrimonial ilícito desde la cuenta de ella a la del acusado quien, no hay lugar a duda, hizo las dos extracciones admitidas y -también sin duda- las compras y demás operaciones con las que se aprovecharon de lo obtenido -delictivamente- de la cuenta de la víctima. No hay -insistimos- ningún dato que avale la versión del acusado ni que estuviese afectado de ese miedo al que aludió en el acto del juicio. En suma, ha quedado enervada la presunción de inocencia que le ampara y se justifica la condena como se dirá a continuación.

CUARTO.-Ya se ha dicho que la Fiscalíacalificó los hechos como constitutivos de un delito de estafa informática del art. 249 1 a CP y alternativamenteun delito de blanqueo de capitales en su modalidad imprudente del art. 301 1 y 3 CP -sin circunstancias- y que la acusación particular(ac 71) pidió la condena de Jesús Manuel, como autor de un delito de estafa agravada de los arts. 248, 249 1 a) y 250 CP -sin circunstancias-.

En cuanto al delito de estafa informática, ha señalado la jurisprudencia que ".. No exige la concurrencia de engaño pues la asechanza a patrimonios ajenos realizados mediante manipulaciones informáticas actúa con automatismo en perjuicio de tercero, precisamente porque existe la manipulación informática y por ello no se exige el engaño personal.."- SsTS 12.6.2007 y 20.11.2001- y añade que ".. Para que haya manipulación informática lo relevante es que la máquina, informática o mecánica, actúe a impulsos de una actuación ilegítima que bien puede consistir en la alteración de los elementos físicos o de aquéllos que permiten su programación, o bien por la introducción de datos falsos.." STS 17.12.2008. En cuanto al denominado "phishing" bancaria y la ignorancia deliberada como subespecie del dolo, la jurisprudencia mayoritaria considera que, en principio, no cabe alegar error de tipo por supuesto desconocimiento de lo origen de los fondos ya que ".. Se está ante un caso de delincuencia económica de equipo informático de naturaleza internacional en el que los recurrentes ocupar a un nivel inferior y sólo tienen un conocimiento necesario para prestar su colaboración, la ignorancia del resto del operativo no borran y disminuye su culpabilidad porqué fueron conscientes de la antijuridicidad de su conducta, prestando su conformidad con un evidente ánimo que enriquecimiento, ya supieran, no quisiera saber -ignorancia deliberada-, o les fue la indiferente el origen del dinero, que en cantidad tan relevante recibieron. Lo relevante es que se beneficiario con todo, o más probablemente, en parte como pago que sus servicios, es obvio que prestan su colaboración y eficiente y causalmente relevante en una actividad antijurídica con pleno conocimiento o y cobrando por ello no pueden ignorar indefensión alguna, por su parte la explicación que dieron de que no pensaban que le daba algo ilícito o es un angelismo que se desmorona por sí sólo. En la sociedad a actual el acervo de conocimientos de cualquier persona de nivel cultural medio conoce y sabe que y la ilicitud de una colaboración que se le pueda pedir que el tipo de la que se observa en esta causa.."- STS 12.6.2007-.

La Fiscalía acusa -de forma alternativa o subsidiaria- por delito de blanqueo de capitales por imprudencia grave. Sobre esta cuestión, en la STS 1064/2025 de 30 de diciembre (P. Excmo. Sánchez Melgar)se analiza el delito de blanqueo de capitales por imprudencia y se dijo: <<..Con respecto al primer gravamen, hemos de reiterar ( STS 21 de enero de 2021 ) que el injusto imprudente del delito de blanqueo reclama concretar o referenciar determinativamente el incumplimiento de dos deberes normativos principales relacionados en términos de interdependencia condicionada: uno, el deber de evitación del resultado de favorecer una precedente actividad delictiva mediante alguna de las acciones que se describen en el tipo objetivo del artículo 301.1° CP ; otro, el deber de activar los mecanismos instrumentales de comprobación, indagación y representación sobre el origen del bien o el dinero recibido.

Siendo el incumplimiento de este segundo requisito la consecuencia de una conducta gravemente descuidada del agente, la que da esencia al blanqueo imprudente (tipo, por lo demás, habitualmente doloso), pero que el legislador ha querido también incluir en él los comportamientos más indolentes, bajo la fórmula del blanqueo imprudente, incluyendo la gravedad en su conducta, y salvaguardando el bien jurídico protegido por la norma.

Ahora bien, como toda fórmula de injusto imprudente debe examinarse la capacidad individual del agente de advertir y evitar el peligro. Para responder penalmente por un delito imprudente, la persona debe no solo haber introducido un peligro no permitido que se encuentre dentro del ámbito de protección de la norma. Además, la creación del peligro no permitido y el nexo o conexión con el fin de protección, deberían haber sido advertidos subjetivamente por el autor y el resultado, en consecuencia, poder haber sido también evitable.

La imprudencia se determina, por tanto, con arreglo a un doble baremo: por un lado, debe preguntarse qué comportamiento era el objetivamente debido en una determinada situación de peligro de lesión del bien jurídico. Y, por otro, si este comportamiento puede ser exigido al autor atendidas sus características y capacidades individuales.

Lo anterior comporta, de forma necesaria, identificar los concretos deberes de previsibilidad que obligaban a quien introdujo el riesgo desaprobado y, desde luego, las condiciones personales y situacionales para cumplirlos.

Pero no solo. La exigencia típica de gravedad de la conducta imprudente exige una valoración cuantitativa y cualitativa del grado de incumplimiento para lo que resulta necesario atender tanto a los contenidos de los respectivos deberes relevantes y la eficacia causal de su incumplimiento en la producción del resultado como a las concretas y situacionales condiciones de exigibilidad -vid. al respecto, STS 997/2013, de 19 de diciembre , que analiza con detalle, desde la perspectiva de la exigibilidad individual, un supuesto de blanqueo de capitales imprudente-.

Lo que, insistimos, no puede hacerse desde una aproximación presuntiva y generalista. Lo prohíben los principios constitucionales de presunción de inocencia y de culpabilidad.

En el delito de blanqueo por imprudencia las preguntas sobre por qué el agente pudo prever, por qué hubiera podido y debido prever el resultado, deben responderse analizando todos los planos de imputación: el fáctico-causal y el normativo...

(..)En suma, lo que el legislador criminaliza es incumplir el deber de cuidado, y propiciar el camuflaje del dinero de procedencia delictiva, y todo ello, la mayor parte de las veces, mediante la obtención de una ventaja económica (sin embargo, no requerida en el tipo, ni doloso ni imprudente).

Ahora bien, una cosa es la ventaja económica que obtendrá el agente, no definido en el tipo, y otra la cuantificación de los capitales blanqueados, aspecto éste del que trataremos seguidamente.

TERCERO.- Con las consideraciones antedichas, veamos los hechos probados de la sentencia recurrida.

Se refiere primeramente la resolución judicial recurrida a lo sucedido entre los días 25 y 27 de mayo de 2018, a través de la aplicación Bizum, en cuya franja horaria personas desconocidas, con ánimo de obtener un beneficio ilícito, realizaron un total de seis transferencias por importe total de 2.740 euros con cargo a la cuenta bancaria NUM010 titularidad de Doña Lucía en el Banco Popular, previa activación de aquella aplicación mediante manipulación informática, sin su consentimiento. La perjudicada, Lucía fue íntegramente resarcida por parte de la entidad Banco Popular (hoy en día integrada en el Banco Santander).

Por otro lado, entre los días 25 y 26 de mayo de 2018, se efectuaron cuatro transferencias por importe cada una de ellas de 500 euros, a un número de teléfono móvil facilitado por el acusado Eulalio (nacido el NUM011 de 1999), teléfono vinculado a la cuenta NUM012 del Banco Sabadell, de la que era titular el propio acusado Sr. Eulalio. Llegado el lunes día 28 de mayo de 2018, el acusado Sr. Eulalio procedió a efectuar el reintegro en efectivo de los 2.000 euros transferidos a su cuenta.

El acusado Sr. Eulalio, movido por un fin económico, facilitó los datos necesarios para que los terceros desconocidos ejecutasen las transferencias, sin conocer ni representarse el origen delictivo del dinero que iban a recibir, pero infringiendo la diligencia mínima imprescindible. Al tiempo de comisión de los hechos el acusado tenía un trastorno sobre déficit intelectual, con una discapacidad reconocida del 37%, que solamente afectaba mínimamente a sus facultades intelectivas o volitivas y que no le impedían haber advertido el origen delictivo del dinero.

Por otro lado, el día 27 de mayo de 2018, a las 00:05:47 horas y a las 00:08:34 horas, se realizaron otras dos transferencias por importes de 500 y 240 euros, a un número de teléfono móvil facilitado por el acusado Julio (nacido el NUM013 de 1987), vinculado a la cuenta NUM014, de Caixa, cuyo titular es el acusado Sr. Pedro Francisco. Llegado el lunes día 28 de mayo de 2018, este acusado procedió a efectuar también el reintegro en efectivo de los 740 euros transferidos a su cuenta.

El acusado Sr. Pedro Francisco, movido por un fin económico, facilitó los datos necesarios para que los terceros desconocidos ejecutasen las transferencias, sin conocer ni representarse el origen delictivo del dinero que iban a recibir, pero -se dice- infringiendo la diligencia mínima imprescindible teniendo capacidad para ello.

Como vemos, ni en los hechos probados, ni en la fundamentación jurídica, se expone concretamente cuál fue la diligencia mínima imprescindible que ocasionó el delito y que constituye la infracción del deber de diligencia grave que exige el tipo penal.

Si no conocían el delito de donde procedían los bienes, al menos nada de ello se expone en los hechos probados, ni tampoco pudieron imaginarse tal procedencia delictiva (que en nuestro caso tampoco se explica), por no «conocer ni representarse el origen delictivo del dinero que iban a recibir», conforme se afirma en el factum, no puede cumplirse el requisito de la tipicidad de la conducta, base del principio de legalidad, pues lo único que se afirma es que prestaron sus teléfonos para recibir ciertas cantidades mediante Bizum que después retiraron de sus cuentas. Esto solo, es insuficiente para colmar las exigencias típicas del delito enjuiciado.

Así, en el caso de Eulalio, movido por un fin económico, facilitó los datos necesarios para que los terceros desconocidos ejecutasen las transferencias, sin conocer ni representarse el origen delictivo del dinero que iban a recibir, pero infringiendo la diligencia mínima imprescindible.

Como es de observar, en dicho supuesto, no se describe tal diligencia mínima exigible, en cantidades que son muy exiguas para la comisión de un delito de blanqueo de capitales, pues por «capitales» difícilmente puede comprenderse una suma de 2.000 euros (cuatro ingresos e 500 euros), y mucho menos en lo que concierne al Sr. Pedro Francisco, que son 740 euros.

La STS 224/2024, de 7 de marzo ,enfatiza que con la base que representa la terminología legal, blanqueo de capitales, que es la elegida como leyenda que encabeza el capítulo correspondiente del cuerpo normativo y la filosofía que inspira la represión de esas conductas (que tiene que ver con la protección del mercado y la economía, con el orden socioeconómico), se entiende bien que solo exista blanqueo punible cuando las cantidades o bienes manejados adquieran cierta significación.

No alcanza ese rango la cifra a que se refieren los hechos. Negocios de bagatela, de cuantía insignificante, no son típicos. Una lectura del precepto en clave teleológica, asentada en la dimensión socioeconómica del bien jurídico protegido, empuja a esa interpretación, en exégesis que se ve reforzada por el uso del término "capitales".

En esa dirección apuntaba la STS 809/2014, de 26 de noviembre ,recogiendo y recreando una vía ya insinuada en la STS 884/2012 de 8 de noviembre (se postula una "restricción teleológica, para considerar atípicos todos los objetos materiales de cuantía irrelevante, en virtud del principio de insignificancia, por su nula incidencia en el orden socioeconómico, así como en virtud de la inviabilidad de la absoluta exclusión de la actividad económica de cualquier ciudadano, que no puede serle privada las actividades de compra diaria para atender a las necesidades vitales cotidianas, de otro modo proscritas"). (..). La STS 501/2019 de 24 de octubre sostiene que "el blanqueo de capitales no es un delito de sospecha: exige como cualquier otro, prueba de la concurrencia de todos y cada uno de sus elementos típicos, entre los que se encuentra el origen criminal (y no meramente ilícito, ilegal o antijurídico) de los bienes".

En suma, es preciso referenciar con algún detalle la diligencia que debió desplegar el autor, lo que aquí no se describe de modo alguno en los hechos probados, y sabemos que esta Sala Casacional impide una labor de integración contra reo en los fundamentos jurídicos de la sentencia recurrida, ni se califica tampoco, en este caso, la gravedad de la conducta en función a la cantidad supuestamente blanqueada que, en ambos casos, es de mínima entidad, para el delito que se enjuicia (blanqueo de capitales), pues recordemos que no estamos en presencia de un delito patrimonial contra los perjudicados, sino de una infracción que debe afectar al bien jurídico protegido que lo es la regularidad de la economía en evitación del camuflaje u opacidad de ganancias procedentes de un delito, lo que aquí tampoco se describe en modo alguno, desconociéndose de qué delito proceden los bienes supuestamente blanqueados, ni su conexión con los acusados, razón por la cual el recurso será estimado, procediendo la absolución de ambos recurrentes...>>.Acaba casando y anulando la condena de la AP de Madrid (confirmada por el TSJM) y absolviendo a los recurrentes.

Es cierto que la frontera entre ambos tipos penales (estafa y blanqueo de capitales por imprudencia) es difusa (ver SAP de Oviedo de 18.2.2015 (Secc 8ª, Pte. Ilma. Sra. Fernández González) y que la calificación jurídica de la actividad llevada a cabo por las conocidas en el argot policial como "mulas" o "muleros" puede resultar controvertida, como puede comprobarse con un somero análisis de la copiosa jurisprudencia emanada al respecto; sin embargo no podemos olvidar que, si existen elementos de prueba suficientes del efectivo conocimiento por parte de quien actúa de esta manera en relación a lo acaecido en las primeras fases de la operación defraudatoria en las que no intervino personalmente, tal conducta constituirá una etapa más de dicha operación y, en consecuencia, integrará el delito de estafa.

El Tribunal Supremo -sigue diciendo la sentencia que mencionamos-, tras el dictado de resoluciones dispares, ha zanjado la cuestión en sus sentencias de fechas 25 de octubre de 2012 y 2 de diciembre de 2014 , indicando que la relevancia penal del actuar de la mula como delito de estafa informática, receptación o como delito de blanqueo de capitales imprudentes, deberá determinarse en atención a las circunstancias concurrentes en cada caso.

En la primera de las resoluciones mencionadas el alto tribunal afirma que "la calificación jurídica de los hechos como integrantes de un delito de estafa informática, receptación o blanqueo de capitales, obligará a analizar en qué medida el dolo de ese tercero, que hace posible el rendimiento del capital evadido, capta los elementos del tipo objetivo del delito de estafa. Abrir una cuenta corriente con el exclusivo objeto de ingresar el dinero del que se desapodera a la víctima, encierra un hecho decisivo para la consumación del delito de estafa, pues en la mayoría de los casos, al autor principal no le será suficiente con disponer de la información precisa sobre las claves personales para ejecutar el acto de desapoderamiento. Necesitará una cuenta corriente que no levante sospechas y que, mediante la extracción de las cantidades transferidas pueda llegar a obtener el beneficio económico perseguido. Precisamente por ello, la contribución de quien se presta interesadamente a convertirse en depositario momentáneo de los fondos sustraídos integrará de ordinario el delito de estafa. Pero para ello resultará indispensable claro es- que quede suficientemente acreditada su participación dolosa en el delito cuya secuencia inicial ejecuta un tercero, pero a la que coopera de forma decisiva".

En definitiva -continúa la SAP de Oviedo que citamos-, la calificación jurídica de los hechos como delito de estafa informática o blanqueo de capitales, depende de que se acredite o no que los acusados tenían pleno conocimiento del carácter fraudulento de las operaciones, bien por ser ellos quienes las efectuaron o por estar de acuerdo con el defraudador y al tanto de las maniobras realizadas, siendo los encargados de recibir y remitir los fondos recibidos. En este sentido se pronuncia la más reciente sentencia del Alto Tribunal, de fecha 17 de febrero de 2020 que, confirmando la Sentencia de instancia, condena a la mula por estafa porque entiende que ésta conocía el origen ilícito de las sumas que le habían sido transferidas directamente por las víctimas, y por tanto tenía conciencia sobre la antijuridicidad de su conducta.

También la SAP de Almería de 25.11.2025 (Secc. 3ª, Pte. Ilma. Sra. Balaguer Gutiérrez) indicó que: <<.. El Tribunal Supremo se ha pronunciado en el sentido de entender que la mula era autora de un delito de estafa en diversas resoluciones, entre otras podemos señalar las STS nº 533/2007 de 12 de junio , nº 556/2009 de 16 de marzo y el ATS 1548/2011 de 27 de octubre , en las que se considera que tanto la actuación del autor principal de la conducta delictiva como la de la mula merecen similar calificación jurídica como delito de estafa informática, puesto que realizan una actividad conjunta para conseguir la ejecución del desplazamiento patrimonial en perjuicio de un tercero en el que las mulas constituyen un elemento final para la consumación de la conducta delictiva, consumación que, contrariamente a lo que sostiene el apelante, se produciría en el momento en el que el dinero entra en la cuenta corriente del acusado, independientemente de cuando disponga de manera efectiva de él, puesto que desde ese momento está a su entera disposición y se ha ocasionado ya el perjuicio al tercero.

Frente a ello, existen otros pronunciamientos favorables a entender el actuar exclusivo de las mulas como delito de blanqueo de capitales imprudente previsto en el artículo 301.3 del Código Penal , razonando para ello que "se trata de obtener dinero mediante el fraudulento acceso a las claves bancarias de confiados usuarios de Internet y, a partir de ahí, buscar una fórmula que permita colocar esos remanentes dinerarios en un país seguro, a nombre de personas de difícil identificación por los agentes de policía del Estado en cuyo territorio se efectúa el acceso inconsentido a las cuentas de la víctima y las transferencias a terceros países. Es una actuación fraudulenta que tiene como destinatarios a usuarios de la banca informática cuyas claves personales se obtienen engañosamente, técnica denominada "phishing", porque parte de una acción de pesca de las claves que permiten el libre acceso a las cuentas del perjudicado. El tratamiento (...) Pero los supuestos de quienes se limitan a colocar en el extranjero los fondos, permaneciendo totalmente ajenos a la confabulación anterior que hace posible el conocimiento de las claves para el acceso a las cuentas del sujeto engañado, pueden perfectamente ser calificados como un delito de blanqueo de capitales, cometido por dolo eventual o incluso imprudente, tesis asumida en el presente caso por el Tribunal de instancia que debe ser respetada" ( STS 506/2015 de 27 de julio ).

El TS en Sentencia nº 834/2012 de 25 de octubre de 2012 y nº 664/2014 de 2 de diciembre solventa la cuestión indicando que la relevancia penal del actuar de la mula como delito de estafa informática, receptación o como delito de blanqueo de capitales imprudentes, deberá determinarse en atención a las circunstancias concurrentes en cada caso. En las resoluciones mencionadas el alto tribunal afirma que "la calificación jurídica de los hechos como integrantes de un delito de estafa informática, receptación o blanqueo de capitales, obligará a analizar en qué medida el dolo de ese tercero que hace posible el rendimiento del capital evadido, capta los elementos del tipo objetivo del delito de estafa. Abrir una cuenta corriente con el exclusivo objeto de ingresar el dinero del que se desapodera a la víctima, encierra un hecho decisivo para la consumación del delito de estafa, pues en la mayoría de los casos, al autor principal no le será suficiente con disponer de la información precisa sobre las claves personales para ejecutar el acto de desapoderamiento. Necesitará una cuenta corriente que no levante sospechas y que, mediante la extracción de las cantidades transferidas pueda llegar a obtener el beneficio económico perseguido. Precisamente por ello, la contribución de quien se presta interesadamente a convertirse en depositario momentáneo de los fondos sustraídos integrará de ordinario el delito de estafa. Pero para ello resultará indispensable claro es- que quede suficientemente acreditada su participación dolosa en el delito cuya secuencia inicial ejecuta un tercero, pero a la que coopera de forma decisiva".

De la jurisprudencia analizada se extrae que cuando queda acreditado que la mula tiene conocimiento de su condición de engranaje en el entramado criminal de la estafa su conducta ha de ser castigada como delito de estafa informática, tal es el caso del supuesto analizado por la STS nº 51/2020 de 17 de febrero que confirmando la Sentencia de instancia condena a la mula por estafa porque entiende que ésta conocía el origen ilícito de las sumas que le habían sido transferidas directamente por las víctimas, y por tanto tenía conciencia sobre la antijuridicidad de su conducta. En otros casos, cuando no es posible acreditar la conexión de la conducta de la mula con la del autor del delito de estafa, los Tribunales, por lo general, se suelen decantar por la calificación jurídica como delito de blanqueo de capitales de carácter imprudente del artículo 301.3 del Código Penal . Este criterio, que ha sido ampliamente seguido por Juzgado y Tribunales territoriales, es seguido también en las STS nº 987/2012 de 3 de diciembre y nº 506/2015 de 27 de julio , afirmando que "la inferencia que parte de las circunstancias en que el acusado recibe la propuesta y concluye que éste, no solamente debía tener sospechas de que le involucraban, de aceptar, en una estafa, sino que tal sospecha había de ser de muy alta intensidad, ni es acorde a lógica de manera necesaria, ni se trata de una inferencia concluyente e inequívoca. Sobre la intensidad de la sospecha, que la Sala de instancia afirma le era exigible al acusado, habrá de convenirse que en ningún caso alcanza el grado de objetividad, al margen de la credulidad del sujeto concreto, que la imputación del elemento subjetivo como dolo eventual exige. Podrá, en efecto, convenirse que un hombre medio prudente experimentaría la duda sobre legalidad de la propuesta recibida por el acusado. Pero el descuido consistente en no apurar la indagación sobre la naturaleza de la oferta recibida se sitúa en el ámbito de la imprudencia. No alcanza la objetividad de la previsibilidad sobre los datos de hecho que requiere el dolo eventual. La lectura de los mensajes cruzados con el autor de la oferta debilita la inferencia que asume la sentencia de instancia sobre la cognoscibilidad objetiva de su naturaleza delictiva. La afirmación del elemento subjetivo por la sentencia de instancia se desvía así del canon que sobre prueba indiciaria dejamos antes expuesto". Por su parte la STS nº 961/2021 de 1 de diciembre , confirma la Sentencia dictada por el tribunal de instancia, condenando a los acusados por delito de blanqueo de capitales doloso del art. 301.1 y 2, al estimar acreditada la previa comisión de un delito de estafa y su conocimiento por los acusados, pero no su participación en dicho fraude delictivo...>>.

En nuestro caso, por el análisis de la prueba realizado más arriba, concluimos que el Sr. Jesús Manuel era conocedor -y participó- en ese entramado criminal donde su papel -como cooperador necesario para el buen fin de la operación- era recibir los fondos detraídos de la cuenta de la Sra. Belinda para quedarse con ellos (sin descartar que los repartiera con terceros que eventualmente formaran parte del grupo). Ya se ha explicado que es inverosímil que conociera -como dijo- a una persona (de un día) y que consintiese en "prestar" su cuenta bancaria para recibir unos fondos que ni se sabe de donde venía ni de quien venía (en ningún momento aparece el nombre de la madre o de la persona que, según su versión, iba a transferir -a su cuenta- esos fondos destinados a ese "amigo" o "conocido" -de un día- ignoto. En suma, participó en la estafa en la forma dicha y con conocimiento ya inicial de la mecánica -y su papel- en la trama. Es claro que, ante la ausencia de prueba de que fue él quien creó el artificio informático y llamó a la víctima, sin embargo, sí participó como cooperador necesario en el entramado pergeñado para vaciar -al menos en parte- la cuenta de la víctima con el engaño ya descrito, con ánimo de lucro y que incorporó a su patrimonio. No hay indicio o prueba que permita optar por la calificación subsidiaria del Mº Fiscal de tratarse de un delito de blanqueo de capitales por imprudencia.

Lo que no compartimos es la tesis de la acusación particular de que el acusado ha cometido una estafa cualificada. Cita (además del art. 248 y 249 1 a), el art. 250 CP -calificación que no alteró en el acto del juicio ya que elevó a definitivas sus conclusiones provisionales-). Ni lo especificó en su calificación provisional ni lo justificó en momento ulterior. Por lo tanto, no cabe la condena en esos términos (genéricos) postulados por la acusación particular sin que, en consecuencia, pueda la Sala condenar por más o distinta calificación y pena al margen de lo postulado por la Fiscalía (lo que se analizará con más detalle a continuación, partiendo de que, como se ha dicho, la Sala considera que el acusado ha cometido un delito de estafa del art. 249.1 a) CP) .

QUINTO.- Autoría.Es autor de este delito ( art. 28 CP) el acusado Jesús Manuel como ya se ha justificado "ut supra" al ser conocedor del entramado utilizado para obtener fraudulentamente y con ánimo de lucro, fondos procedentes de la cuenta bancaria de la Sra. Belinda cooperando con los que lo idearon y llevaron a cabo, dispuso de dichos fondos en su beneficio una vez los recibió en su cuenta tal y como ya se ha explicado..

SEXTO.- Circunstancias modificativas de la responsabilidad criminal.No concurren. Se hizo una referencia (por el acusado que no por su representación legal) que actuó por miedo. Sin embargo no se ha acreditado que eso fuera así ni que se cumplieran las circunstancias exigidas en el art. 20.6 CP ni en la jurisprudencia que lo interpreta (ver STS 24.2.2000 y 11.3.2005 entre otras muchas.

SEPTIMO.- Pena.Como ya se ha indicado, la Fiscalía postula una pena de 18 meses de prisión en tanto que la acusación particular reclama 4 años de prisión y 8 meses de multa. El art. 249 CP castiga la estafa con una pena de 6 meses a 3 años de prisión. Señala el art. 248 CP que "..Para la fijación de la pena se tendrá en cuenta el importe de lo defraudado, el quebranto económico causado al perjudicado, las relaciones entre este y el defraudador, los medios empleados por este y cuantas otras circunstancias sirvan para valorar la gravedad de la infracción...". En este caso la perjudicada -que ninguna relación tenía con el acusado- sufrió un perjuicio económico de 6.349,99 euros, cantidad de relativa importancia en una economía media. De ahí que se estime ponderada la pena de 11 meses de prisión e inhabilitación especial del derecho de sufragio pasivo durante la condena.

OCTAVO.- Responsabilidad civil.Con arreglo a lo dispuesto en los arts. 109 y ss CP procede resolver sobre la responsabilidad civil reclamada. Como ya se ha dicho, la acusación particular reclama que Bankinter sea declarado responsable civil subsidiario.

Como se ha dicho, la Sra. Belinda -ante una inicial sospecha- hizo una llamada al banco para confirmar que la comunicación era auténtica, pero el banco -ese dia y a esa hora- no tenía operativo el sistema de respuesta (únicamente funcionaba de lunes a viernes y hasta una hora -la llamada se hizo algo más tarde de la finalización del servicio-). Alega que existía otro número de atención al cliente que estaba operativo a todas horas (figuraba en la página web del banco) y en todo caso, cita a su favor lo dispuesto en los arts. 40 y ss del RDL 19/2018 ya que fue la propia cliente quien facilitó los datos a quien indebidamente se lo pidió y el banco no podía (autorizados los pagos por ella) proceder a la retrocesión.

En la SAP de Madrid de 9.12.2025 (Scc. 30, Pte. Ilma Sra. Esteban Meilan) se sostiene que: <<..El artículo 120.3 del código penal habilita el llamamiento de las entidades bancarias al procedimiento penal, como posibles responsables civiles subsidiarias, cuando sus servicios de pagos por intermediación financiera hayan servido para la comisión de una estafa informática, debiendo haber detectado y paralizado la operación fraudulenta, cuando no lo hayan hecho por una inexistente o deficitaria aplicación de los sistemas de seguridad y control.

Nos encontramos ante un sofisticado delito de estafa, en el que se ha utilizado la banca on line y la informática para su comisión. Sin embargo, las acciones resarcitorias no pierden su naturaleza civil. Consecuentemente la petición de responsabilidad civil del banco, se trata de una responsabilidad civil cuasi objetiva con presunción de culpa, derivada del riesgo profesional generado, en este caso por las entidades bancarias y de su especial deber de garantía impuesto por la ley de tal forma que la infracción de los reglamentos de cuidado permite su instrumentación por parte del autor del delito y la comisión del ilícito penal (..) En nuestro ordenamiento jurídico la responsabilidad civil nacida de delito tiene un régimen especial y diferente del régimen general de la culpa extra contractual. (..)El responsable civil subsidiario responde de lo mismo que el responsable penal aunque sólo en defecto de este. No caben diferenciaciones en el alcance de sus respectivas responsabilidades civiles en virtud de factores como este (la culpa de la víctima no tendría relevancia en relación a la conducta dolosa, pero si repartiría el daño en relación al tercero cuando de culpas concurrentes). Y no se exige constatar en concreto la presencia de culpa de ese tercero civil responsable ( STS 300/2014 de 1 de abril )...Ahora bien, podemos afirmar que la doctrina jurisprudencial admite, que, de manera unánime, la responsabilidad civil subsidiaria de las entidades bancarias en aquellos supuestos en los que sus servicios han dado soporte a la comisión de una estafa " informática " sumado a que la existencia del engaño bastante propio de la misma, eliminará una hipotética diligencia de actuación del propio usuario perjudicado y aún más aun teniendo en cuenta la práctica supresión por el Tribunal Supremo del deber de autotutela de la víctima hacen del procedimiento penal una vía para ejercitar la acción civil de manera conjunta a la acción penal. Sin embargo, no se trata de que las entidades bancarias tengan que responder siempre y ante cualquier circunstancia y tampoco de que dichas entidades no experimenten ningún perjuicio como consecuencia de las actuaciones fraudulentas cometidas por terceros, sino de que como operadores que desempeñan una actividad muy lucrativa-mientras los consumidores y usuarios se ven forzados a operar a través de plataformas digitales, que genera un claro riesgo para la sociedad deben poner sus esfuerzos y recursos en prevenir el fraude e impedir que los defraudadores se valgan de sus servicios para cometer actos delictivos, debiendo responder sólo cuando realmente se haya posibilitado la comisión del delito por un proceder negligente que haya supuesto la inobservancia de las normas de cuidado. Resulta obvio que la solución del problema pasa necesariamente por un mayor desarrollo y una correcta implementación de sistemas de detección preventiva en fraude por parte de las entidades bancarias.

Así pues, los bancos están sujetos a estrictos deberes definidos en la ley 10/2010 de 28 de abril de prevención de blanqueo de capitales y de la financiación del terrorismo que incluye medidas de diligencia debida y obligaciones de información como identificar al titular real de las cuentas, verificar la naturaleza de las operaciones o bloquear transacciones sospechosas.(..) Téngase en cuenta que las entidades bancarias desempeñan una actividad con ánimo de lucro y que sus consumidores y usuarios dependen de ellas para operar y no quedan excluidos del sistema financiero, pagando por sus servicios.

Las entidades bancarias han de cumplir, por tanto, con unas muy altas exigencias de seguridad en los sistemas de pago e intermediación financiera, con el objeto de minimizar al máximo e idealmente descartar el riesgo de la actividad que desempeñan, debiendo corresponder la confianza que depositan en ellos los consumidores y usuarios y responder cuando no han cumplido satisfactoriamente y tales exigencias de seguridad no han sido satisfechas, permitiendo la materialización del riesgo en el resultado.

La doctrina jurisprudencial admite de manera unánime, la responsabilidad civil subsidiaria de las entidades bancarias en aquellos supuestos, en los que sus servicios han dado soporte a la comisión de una estafa. No se trata de que las entidades bancarias tengan que responder siempre y ante cualquier circunstancia, ni de que dichas entidades no experimenten ningún perjuicio como consecuencia de las actuaciones fraudulentas cometidas por terceros sino de que, como operadores que desempeñan una actividad muy lucrativa mientras los consumidores y usuarios se ven forzados a operar a través de plataformas digitales que genera un claro riesgo para la sociedad deben poner sus esfuerzos y recursos en prevenir el fraude impedir que los defraudadores se valgan de sus servicios para cometer actos delictivos, como es el caso, debiendo responder sólo cuando realmente si haya posibilitado la comisión del delito por un proceder negligente que haya supuesto la inobservancia de las normas de cuidado...>>.

Traemos a colación también la SAP de Valladolid de 8.10.2025 (Secc. 3ª, Pt. Ilmo. Sr. Muñiz Delgado) que, si bien se trata de un recurso sobre una sentencia de un juzgado de 1ª Instancia, analiza la cuestión de la responsabilidad civil subsidiaria de las entidades bancarias. Señala: <<..La sentencia del Tribunal Supremo nº 571/2025, de 9 de abril ,analiza un supuesto en el que la entidad bancaria recurrente sostenía que posiblemente se había producido una suplantación de identidad o «phishing», pero que las operaciones se autorizaron al haber cumplido el doble factor de autenticación, sin detectarse incidencia alguna, conforme a lo dispuesto en el art. 44 del RD-ley 19/2018 .Una vez acreditada la doble autenticación se alegaba no corresponde a la entidad bancaria determinar si las operaciones de pago cuestionadas las autentificó un cliente o un tercero que disponía de los datos, o incluso del dispositivo móvil utilizado, constando que en los contratos de banca digital y de cuenta corriente y/o depósitos se prevé expresamente que el Banco queda exenta de los perjuicios que se pudieran derivar por intromisiones ilegítimas de terceros en el sistema elegido por el cliente, fuera del control de la entidad bancaria. En esta STS nº 571/2025 se analiza ampliamente toda la normativa sobre la materia, para después referirse a lo que debe entenderse por "operaciones de pago no autorizadas", y por "fallos de seguridad", argumentando en el Fundamento de Derecho Segundo. 6: "En suma, la responsabilidad del proveedor de los servicios de pago, en los casos de operaciones no autorizadas o ejecutadas incorrectamente, tiene carácter cuasi objetivo, en el doble sentido de que, primero, notificada la existencia de una operación no autorizada o ejecutada incorrectamente, el proveedor debe responder salvo que acredite la existencia de fraude; y, segundo, cuando el usuario niegue haber autorizado la operación o alegue que ésta se ejecutó incorrectamente, corresponde al proveedor acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio, sin que el simple registro de la operación baste para demostrar que fue autorizada ni que el usuario ha actuado de manera fraudulenta o incumplido deliberadamente o por negligencia grave. Profundizando en este último punto, la expresión «operaciones no autorizadas» incluye aquellas que se han iniciado con las claves de usuario y contraseña del usuario -necesarias para acceder al sistema de banca digital y confirmado mediante la inserción del SMS enviado por el propio sistema al dispositivo móvil facilitado por el usuario, siempre que éste niegue haberlas autorizado, en cuyo caso el banco deberá acreditar que la operación de pago fue autenticada, registrada con exactitud y contabilizada, y que no se vio afectada por un fallo técnico u otra deficiencia del servicio que presta. A este respecto, la mención «deficiencia del servicio» no significa error o fallo del sistema informático o electrónico -posibilidad que estaría prevista en el concepto de «fallo técnico»-, sino que abarca cualquier falta de diligencia o mala praxis en la prestación del servicio, en el entendimiento de que el grado de diligencia exigible al proveedor de los servicios de pago no es el propio del buen padre de familia, sino que la naturaleza de la actividad y los riesgos que entraña el servicio que se presta, sobre todo en una relación empresario/consumidor, obliga a elevar el nivel de diligencia a un plano superior, como es el del ordenado y experto comerciante. Lógicamente, las buenas prácticas pasan por adoptar las medidas de seguridad necesarias para garantizar el correcto funcionamiento del sistema de servicios de pago, entre las cuales destacan las orientadas a detectar de forma automática la concurrencia de indicios de que puede tratarse de una operación anómala y generar una alerta o un bloqueo temporal (v.gr. reiteración de transferencias sin solución de continuidad, horario en que se producen, importe de las mismas, destinatarios, antecedentes en el uso de la cuenta...), o las dirigidas a incrementar el control y vigilancia cuando se han recibido noticias o alertas de un posible aumento del riesgo."

Como es público y pone de manifiesto la práctica diaria de los Tribunales, han proliferado en los últimos años las estafas con las que los delincuentes acceden a la banca digital de los clientes bancarios, engañando a estos para que les faciliten sus claves identificativas y de seguridad. El caso que nos ocupa es un ejemplo de la sofisticación que van alcanzando tales prácticas delictivas, con la utilización de complejos mecanismos o incluso la posible connivencia de un cooperador necesario cara a obtener información sobre datos personales y económicos de la víctima para así ganarse la confianza de esta y el acceso a sus claves de seguridad, tal y como queda de manifiesto en el relato de hechos anteriormente consignado. Resulta por tanto ciertamente difícil con tal operativa a un cliente bancario medio empleando una normal diligencia percatarse de que está siendo objeto de una estafa. Dado que se han generalizado el sistema bancario digital, la utilización de las tarjetas de crédito, las compras por internet, etc... sin la previa selección de los conocimientos y experiencia de la clientela y sin proporcionarle una específica formación al respecto, mas allá de posible acceso a una página web, nos encontramos con que a dicho sistema tiene acceso una generalidad de clientes con las evidentes y conocidas ventajas que ello comporta para la banca. No basta por tanto para prevenir tales fraudes con medidas genéricas de protección o avisos estereotipados de cuidado, puesto que la seguridad de las operaciones bancarias precisa de soluciones tecnológicas avanzadas a los efectos de garantizar tanto la autenticidad como la integridad y confidencialidad de los datos.

La normativa aplicable configura un sistema de responsabilidad cuasi objetiva de la entidad proveedora del servicio de pago, con inversión de la carga de la prueba, de manera que se presume ex lege la falta de autorización si el titular la niega, salvo que se prueba por parte de la entidad que el cliente ha actuado de forma fraudulenta o con negligencia grave a la hora de aplicar los medios de protección de seguridad personalizados o caso de no haber comunicado a la entidad el pago no autorizado en cuanto tenga conocimiento del mismo. Tal y como afirman las SSAP Oviedo de 11 de abril de 2024 , 21 de marzo de 2024 y 13 de diciembre de 2023 , dicho régimen está "sin duda inspirado en la idea de que los beneficios que comporta (tanto para el tráfico económico, como para la actividad del proveedor de los servicios) el avance tecnológico en los instrumentos de pago, debe estar justamente compensado con la protección reforzada de quien los emplea y se ve expuesto a actuaciones fraudulentas". En su consecuencia la diligencia que resulta exigible al Banco a la hora de gestionar dicha operativa digital y servicios de pago para evitar en lo posible la consumación de las múltiples estafas que vienen produciéndose, tal y como se consigna en la STS antes citada, no es solo la correspondiente a un buen padre de familia sino la de un ordenado y experto comerciante, implementando sistemas de seguridad que de forma automática detecten indicios de una posible utilización fraudulenta de los servicios de pago ante lo cual generen una alerta al cliente y/o el bloqueo de las operaciones que pudieran realizarse.

En su consecuencia para verse exenta de responsabilidad la entidad demandada debe probar no solo que las operaciones no se vieron afectadas por un fallo técnico, sino también que no se produjo una prestación defectuosa del servicio. El hecho de que la filtración o el conocimiento de las claves por el tercero no sea imputable a la entidad bancaria tampoco la libera de obligación de responder ni traslada al usuario la obligación de soportar las pérdidas, ya que el proveedor de servicios de pago, además de demostrar que el servicio se prestó correctamente -lo que como seguidamente veremos no sucedió-, debía acreditar la concurrencia de fraude o incumplimiento deliberado o gravemente negligente por parte del usuario. No se alega siquiera por el banco demandado que la actora pudiere haber incurrido en conducta fraudulenta o connivencia alguna con el estafador y como seguidamente se expondrá, dadas las circunstancias concurrentes, tampoco se acredita incurriera en negligencia grave incumpliendo las obligaciones que le correspondían de tomar las medidas razonables a fin de proteger sus credenciales de seguridad personalizadas.

En efecto, aplicando la antes reproducida doctrina jurisprudencial al supuesto enjuiciado, es cierto que la actora facilitó al estafador los datos de su tarjeta del Banco de Santander y el acceso a su banca digital, lo que posibilitó que este realizase las cuatro compras cuyo importe se reclama. La negligencia grave del usuario como causa de exoneración de la entidad bancaria es tratada por la Directiva (UE) 2015/2366 en un sentido restrictivo. Según su considerando 72 "[a] la hora de evaluar la posible negligencia o la negligencia grave del usuario de servicios de pago, deben tomarse en consideración todas las circunstancias. Las pruebas de una presunta negligencia, y el grado de esta, deben evaluarse con arreglo a la normativa nacional. No obstante, si el concepto de negligencia supone un incumplimiento del deber de diligencia, la negligencia grave tiene que significar algo más que la mera negligencia, lo que entraña una conducta caracterizada por un grado significativo de falta de diligencia. Un ejemplo sería el guardar las credenciales usadas para la autorización de una operación de pago junto al instrumento de pago, en un formato abierto y fácilmente detectable para terceros". Ciertamente la usuaria en nuestro caso incurrió en una cierta negligencia al facilitar al estafador los datos que le permitieron el acceso a su banca digital, más consideramos que no puede calificarse como grave dicha negligencia pues ello fue como consecuencia de la confianza que este le generó al hacerse pasar por un empleado de su Compañía Telefónica a la que aquella había llamado poco tiempo antes, facilitándole una supuesta identidad y trasmitiéndole el conocimiento de datos personales de ella y de su contrato de teléfono. No alega ni acredita el Banco demandado que la actora previamente a estos hechos hubiera realizado a través de esta operativa compras de productos o en empresas similares a las que ejecutó el estafador. Tampoco compras de otro tipo de productos con esos elevados importes o con esa frecuencia en poco más de 7 horas, ni que previamente hubiera intentado ampliar el límite de disposición de la tarjeta o hubiera solicitado préstamos por los elevados importes antes consignados. De haber implementado el Banco un sistema de seguridad acorde al descrito por la citada doctrina jurisprudencial, es claro que ante un alta en el dispositivo seguro realizada sobre las 19,30 horas del día 11 de abril operando desde un teléfono móvil de una marca diferente al que utilizaba la clienta hoy demandante, la ampliación del límite dispositivo de la tarjeta, la posterior ejecución de compras en poco tiempo de las características, frecuencia e importe de las descritas, etc..., dicho sistema automáticamente habría bloqueado tales operaciones o hecho saltar una alarma paralizando su ejecución en tanto la titular de la tarjeta no confirmase su autorización, evitando así la consumación de la estafa... >>.

En nuestro caso, es de aplicación el art. 120.3 CP ya que es claro que no se ha acreditado que toda la responsabilidad en la operación recayese sobre la cliente del Banco (la Sra. Belinda) quien, a pesar de intentar contactar con el banco ante la inicial sospecha, Bankinter no disponía de forma clara -con la advertencia exigible a su clientela- de un sistema de evitación de esas operaciones y que no conjuraban el riesgo de operaciones fraudulentas al no arbitrar un sistema eficaz para ello, en las operaciones de sus clientes "on line" y en particular a la vista de lo exigido por la LO 10/2010 ya mencionada. De ahí que dicha entidad bancaria deba responsabilidad civilmente -si bien de forma subsidiaria- de la cantidad ilícitamente obtenida de la cuenta de la perjudicada.

NOVENO.-En lo relativo a las costas procesales, ya la añeja STS 168/2017 de 15 de marzo señaló que: "... Sts 168/17 de 15.3.2017 pese a la confusa regulación de las costas en el proceso penal, tanto la doctrina procesal cita actual como la jurisprudencia coinciden en destacar su naturaleza procesal, cuyo fundamento no es el punitivo sino el resarcimiento de los gastos procesales indebidamente soportados por la parte perjudicada por el proceso, bien sea la acusación particular, la privada o la acción civil que representan a la víctima o perjudicado por el delito y deben ser resarcidos de gastos ocasionados por la conducta criminal del condenado, bien el condenado absuelto en caso de acusaciones infundadas o temerarias ( art. 240.3 de la L.E.Criminal . Como señala expresamente la sentencia de 21 de febrero de 1995 que 'la condena en costas no se concibe ya como sanción sino como resarcimiento de gastos procesales".En consecuencia, con arreglo a lo dispuesto en los arts. 123 del C. Penal y 240 de la LECriminal, las costas se imponen al aquí condenado, incluidas las de la acusación particular, cuya actuación ha sido relevante.

No obstante, no procede su imposición al responsable civil subsidiario. La jurisprudencia tiene declarado que "..como principio general, que las costas no deben imponerse al responsable civil subsidiario. En la STS 413/2015, 30 de junio ,con cita de la STS 1074/2010, 21 de diciembre ,recordábamos que la condena en costas abarca a todos los copartícipes, nunca a los responsables civiles subsidiarios. La condena en costas, así lo impone el art. 123 del CP ,ha de ser impuesta al responsable criminalmente de un delito. En su caso, pueden ser imputadas al querellante o al actor civil: «...como responsable civil solo se puede responder de los daños y perjuicios directos ocasionados por los hechos delictivos, y de forma subsidiaria cuando concurren todos los elementos necesarios para declarar esta responsabilidad civil subsidiaria y nunca al pago de las costas. El responsable civil subsidiario no ha acudido al proceso de forma voluntaria, sino de manera forzosa al solicitar alguna de las partes la declaración exclusiva de su responsabilidad civil».

En el mismo sentido excluyente ver STSJ Castilla y León de 11.2.2025 (Pt. Ilma. Sra. Subiñas Castro).

Vistos los preceptos citados 248, 249 CP y demás de general y pertinente aplicación,