La Sala de lo Penal del Tribunal Supremo ha dictado una sentencia que no solo resuelve un conflicto de competencias entre dos juzgados, sino que aclara un principio clave para la lucha contra la ciberdelincuencia: no todos los fraudes informáticos son tan complejos como para que deban investigarse automáticamente en el domicilio del estafador. La historia, que comenzó con un SMS fraudulento y terminó con el vaciado de una cuenta bancaria de un ciudadano de Almería, sienta jurisprudencia para casos similares.
El origen del caso se remonta a agosto de 2023. Un hombre, natural y residente en la provincia de Almería, recibió un mensaje de texto en su teléfono móvil. El SMS, aparentemente de su entidad bancaria, le alertaba de que se había iniciado sesión en su cuenta desde un dispositivo desconocido. Inquieto, y siguiendo las instrucciones del mensaje, pulsó el enlace adjunto. Sin saberlo, acababa de caer en una sofisticada trampa de 'phishing'.
Tras introducir sus credenciales en la web falsa a la que le redirigió el enlace, los delincuentes obtuvieron acceso total a su cuenta corriente. El resultado fue inmediato: una transferencia no autorizada de **2000 euros** que desapareció de sus ahorros. La cuenta bancaria de destino, clave en la investigación, estaba domiciliada en Almería.
La víctima presentó denuncia en Salamanca, donde recibió el SMS y donde, técnicamente, se produjo la maniobra de engaño y la disposición del dinero. El Juzgado de Instrucción nº 4 de Salamanca inició las Diligencias Previas y, considerando que el rastro del dinero conducía a Almería, se inhibió a favor de los juzgados de esa provincia.
Sin embargo, el Juzgado de Instrucción nº 1 de Almería, al que le correspondió el caso por reparto, rechazó asumir la investigación. Alegó que no era competente. Ante este bloqueo, el juzgado salmantín elevó la cuestión de competencia al Tribunal Supremo para que fuera este quien decidiera qué órgano judicial debía llevar el caso.
El debate en el Supremo giró en torno a la jurisprudencia existente sobre delitos cometidos a través de internet. El Ministerio Fiscal, en sus alegaciones, recordó que la doctrina habitual para los fraudes complejos (como los que implican a múltiples provincias o países) aplica el criterio de la "ubicuidad" complementado con el de la "eficacia". Esto significa que, a menudo, es competente el juzgado del lugar donde el investigado reside o donde la investigación policial puede ser más efectiva, normalmente porque allí se encuentran las pruebas materiales.
No obstante, la Fiscalía argumentó, y el Supremo así lo ha refrendado, que este no era el caso. Se trataba de una estafa informática "de sencilla instrucción, sin una especial complejidad técnica y que no requiere de complejas diligencias de investigación". Al ser un caso aislado y con una metodología clara, primaban otros criterios.
En su Auto, el Tribunal Supremo, presidido por el magistrado Andrés Martínez Arrieta, falló a favor del Juzgado de Instrucción nº 4 de Salamanca. La Sala consideró que, en delitos de estafa, el criterio de la ubicuidad permite que sea competente cualquier lugar donde se haya desarrollado parte de la acción delictiva.
En este caso, en Salamanca se concentraron los elementos nucleares del delito: fue donde la víctima recibió el SMS fraudulento (el engaño), donde interactuó con el enlace malicioso y donde, en definitiva, se produjo el apoderamiento de los fondos. El hecho de que el dinero terminara en una cuenta de Almería, y de que el titular de esa cuenta residiera allí, no fue razón suficiente para desplazar la competencia, dada la falta de complejidad de la investigación.
Esta sentencia sienta un importante precedente. Aclara que la mera utilización de medios informáticos no implica que un delito sea automáticamente complejo y, por tanto, no justifica que la investigación deba realizarse siempre en el domicilio del posible estafador. Para casos de 'phishing' sencillos, como el que sufrió el almeriense, la competencia recaerá en el juzgado del lugar donde la víctima sufrió el engaño y la pérdida económica, lo que suele facilitar y agilizar el proceso para los perjudicados.
Mientras tanto, la investigación para encontrar a los responsables de la estafa y recuperar los 2000 euros sustraídos al ciudadano de Almería continuará su curso, pero ya no en su provincia, sino en los juzgados de Salamanca, desde donde se coordinarán los esfuerzos para dar con los autores de un timo que, por desgracia, se repite a diario.
Solo unos días después de resolver el conflicto entre los juzgados de Salamanca y Almería, la Sala de lo Penal del Tribunal Supremo ha dictado una nueva sentencia que refuerza de manera contundente su doctrina: los delitos de phishing o estafa bancaria de baja complejidad deben investigarse en el lugar donde la víctima recibe el engaño y sufre el perjuicio económico, y no necesariamente donde resida el titular de la cuenta receptora. Esta vez, el caso enfrentaba al Juzgado de Roquetas de Mar (Almería) y al de Instrucción nº 20 de Barcelona.
El modus operandi fue similar, pero con un componente de ingeniería social aún más acusado. Un ciudadano de Roquetas de Mar recibió en su teléfono un mensaje de texto que le alertaba de un inicio de sesión en su cuenta bancaria desde un nuevo dispositivo. El mensaje, como es habitual, incluía un enlace fraudulento. Tras interactuar con él, la víctima recibió dos nuevos mensajes y, finalmente, una llamada telefónica.
Al otro lado de la línea, una persona que se identificó como empleado de Unicaja Banco le informó de que habían intentado acceder a su cuenta desde Alicante. Para "protegerle" de cargos fraudulentos, el falso empleado le solicitó sus claves de acceso. La víctima, confiada, se las facilitó. El desenlace fue instantáneo: los delincuentes realizaron una transferencia inmediata de 600 euros desde su cuenta a otra en La Caixa, cuya titularidad recaía en una persona residente en Barcelona.
El Juzgado de Primera Instancia e Instrucción nº 1 de Roquetas de Mar, donde se interpuso la denuncia, incoó las diligencias previas. Al identificar que el dinero había terminado en una cuenta de Barcelona, se inhibió a favor de los juzgados de la ciudad condal. Sin embargo, el Juzgado de Instrucción nº 20 de Barcelona se declaró incompetente, lo que provocó que el juzgado almeriense elevara la cuestión de competencia al Tribunal Supremo.
El Ministerio Fiscal, representado en esta ocasión por la fiscal Olga Emma Sánchez Gómez, se mostró contundente en su informe. Solicitó que se atribuyera la competencia al juzgado de Roquetas de Mar, esgrimiendo los mismos argumentos que días antes habían prosperado en el caso de Salamanca: es el lugar donde se interpuso la denuncia, donde se produjo el engaño y donde la instrucción puede ser "más rápida y eficaz", además de favorecer el interés de la víctima al tramitarse la causa cerca de su domicilio.
El Tribunal Supremo, con el mismo ponente, Andrés Martínez Arrieta, falló de forma idéntica. En su fundamento jurídico, la Sala reitera la aplicación del criterio de la "ubicuidad", que permite juzgar el delito en cualquier lugar donde se haya desarrollado una parte de la acción delictiva.
La clave, una vez más, residió en la falta de complejidad de la investigación. Al no haber elementos que apuntasen a una trama compleja que implicara a múltiples territorios o requiriera de diligencias técnicas sofisticadas, el Supremo consideró que no había motivo para apartarse del juzgado que primero conoció de los hechos y donde la víctima sufrió directamente el delito.
"Procede atribuir la competencia al Juzgado de Primera Instancia e Instrucción n.º 1 de Roquetas de Mar (…), en cuyo partido judicial se han desarrollado los hechos objeto de la investigación, la percepción del engaño, el desplazamiento económico", zanjó el Auto.
Con esta segunda sentencia en menos de una semana, el Tribunal Supremo no deja lugar a dudas. Está estableciendo una línea jurisprudencial clara y favorable a las víctimas de estafas bancarias sencillas. Este criterio unificado evita la dilación de los procesos en conflictos de competencia y acerca la administración de justicia a los perjudicados, que ya no verán cómo sus casos se desplazan a otra provincia por la simple ubicación de una cuenta receptora.
Mientras las fuerzas de seguridad trabajan para desarticular las redes que están detrás de estos timos, la justicia ha sentado las bases para que la lucha legal contra el phishing sea más ágil y centrada en quien sufre el daño: la víctima que, desde la tranquilidad de su hogar, ve cómo su confianza es traicionada a través de una simple pantalla de móvil.