Juicio por phishing en España: fiscalia pide 5 años de carcel por estafa de 343.608 euros

TL;DR: resumen rápido

343.608 euros desaparecen con un solo email: así funciona el fraude BEC en España

Este caso es la perfecta ilustracion de por que el Business Email Compromise (BEC) es la amenaza número uno para las empresas españolas. No estamos hablando de un email burdo con faltas de ortografia pidiendo que hagas clic en un enlace sospechoso. Estamos hablando de un ataque quirurgico, preparado durante semanas, donde los atacantes conocian la relación comercial entre la empresa víctima y su proveedor, el importe exacto de una factura pendiente y el momento preciso en que el pago estaba a punto de realizarse.

Como perito informático forense, he analizado casos BEC en España. Lo que distingue este caso de la mayoría es que ha llegado a juicio oral con petición de pena de prisión de 5 años, algo que hasta hace poco era excepcional. La mayoría de los casos BEC en España se archivan por imposibilidad de identificar a los autores (el dinero suele acabar en cuentas en países con escasa cooperación judicial) o se resuelven por la via civil entre la empresa y el banco. Que la Fiscalía de Sevilla haya identificado a 5 acusados, haya podido reconstruir la cadena completa de transferencias y solicite penas de prisión efectiva marca un punto de inflexion.

Voy a analizar este caso desde la perspectiva técnica forense: como se ejecuto el ataque, que evidencias se recopilaron, como se rastreo el dinero y que lecciones deben extraer las empresas españolas.

El modus operandi del BEC: diseccion técnica paso a paso

Fase 1: reconocimiento (2-4 semanas antes del ataque)

Los atacantes no actuan a ciegas. Antes de enviar el email fraudulento, realizan un trabajo de inteligencia que en muchos casos es más sofisticado que el propio ataque técnico.

Lo que hacen en esta fase:

• Identificación de relaciones comerciales: Revisan la web de la empresa, sus redes sociales corporativas (LinkedIn es una mina), publicaciones en BOE (contratos públicos), memorias anuales y cualquier información pública que revele proveedores y clientes.
• Identificación de personas clave: Buscan quien es el director financiero, quien autoriza pagos, quien gestiona la contabilidad. LinkedIn, de nuevo, es la fuente principal.
• Monitorización de comunicaciones: En los casos más sofisticados, los atacantes comprometen primero una cuenta de email (del proveedor o de la víctima) y monitorizan las comunicaciones durante semanas para entender patrones, importes habituales y momentos de pago.
• Preparación de infraestructura: Registran dominios similares al del proveedor (por ejemplo, proveedor-facturacion.com en lugar de proveedor.com), configuran servidores de correo y preparan las cuentas bancarias receptoras.

Fase 2: compromiso del email (el vector de ataque)

En el caso de Sevilla, el vector de ataque fue la suplantación de la dirección de email del proveedor. Existen tres formas principales de conseguirlo, y en mi experiencia como perito las tres se dan con frecuencia en España.

Opción A: compromiso directo de la cuenta del proveedor

Los atacantes obtienen las credenciales del email del proveedor (mediante phishing previo, credential stuffing o explotación de una vulnerabilidad) y envian el email desde la cuenta legítima. Este es el escenario más difícil de detectar porque el email procede realmente del servidor del proveedor.

Opción B: spoofing del campo From

Los atacantes configuran su servidor de correo para que el campo “From” muestre la dirección del proveedor, aunque el email realmente salga de otro servidor. Es el ataque más básico y se detecta fácilmente analizando las cabeceras, pero muchos clientes de correo muestran únicamente el campo “From” al usuario.

Opción C: dominio lookalike (typosquatting)

Los atacantes registran un dominio casi idéntico al del proveedor. Por ejemplo, si el proveedor es “martinez-construcciones.es”, registran “martinez-construcclones.es” (con una L minuscula en lugar de la I) o “martinez-construcciones.com” (cambiando .es por .com). En una lectura rápida, el destinatario no nota la diferencia.

Fase 3: el email fraudulento

El email típico de un BEC como el de este caso sigue un patrón muy concreto:

1. Referencia a una factura real pendiente de pago (los atacantes conocen el importe exacto).
2. Comunicación de un supuesto cambio de cuenta bancaria del proveedor.
3. Solicitud de que el próximo pago se realice a la nueva cuenta.
4. Tono urgente pero profesional (“por favor, actualicen los datos para el pago del viernes”).
5. Datos bancarios de la cuenta controlada por los atacantes.

Lo que hace letal a este tipo de email es que no contiene ningun enlace malicioso, ningun archivo adjunto sospechoso y ninguna solicitud fuera de lo normal (pagar una factura pendiente es una operación rutinaria). Los filtros antispam y los sistemas de detección de amenazas rara vez lo interceptan.

Fase 4: la transferencia y el blanqueo

Una vez que la víctima realiza la transferencia, los atacantes mueven el dinero rápidamente a traves de múltiples cuentas para dificultar el rastreo. El patrón típico en España es:

1. Cuenta receptora inicial: Generalmente en una entidad española, abierta con documentación falsa o a nombre de una “mula” (persona reclutada para prestar su identidad a cambio de una comisión).
2. Primera fragmentación: El dinero se divide en cantidades menores de 10.000 euros (para evitar los controles automáticos de prevención de blanqueo) y se transfiere a 3-5 cuentas diferentes.
3. Salida internacional: Las cantidades fragmentadas se envian a cuentas en otros países (en el caso de Sevilla, se identificaron cuentas en Portugal, Rumanía y Nigeria).
4. Conversión a criptomonedas: En muchos casos recientes, la última capa del blanqueo implica la compra de criptomonedas en exchanges con controles KYC deficientes.

Análisis forense de cabeceras de email: lo que el perito busca

SPF (Sender Policy Framework)

El SPF es un registro DNS que específica que servidores están autorizados para enviar email en nombre de un dominio. Cuando analizo las cabeceras de un email sospechoso, lo primero que compruebo es si el resultado SPF es Pass, Fail o SoftFail.

DKIM (DomainKeys Identified Mail)

DKIM añade una firma criptográfica al email que permite verificar que el mensaje no fue alterado en transito y que fue enviado por un servidor autorizado.

Lo que busco:

• DKIM Pass con dominio del proveedor: El email fue firmado por el servidor del proveedor. Si el email es fraudulento, esto significa que la cuenta del proveedor fue comprometida (escenario más grave).
• DKIM Fail: La firma no es válida. El email fue alterado o enviado desde un servidor no autorizado.
• Sin DKIM: El dominio no implementa DKIM. Sorprendentemente común en empresas españolas.

DMARC (Domain-based Message Authentication, Reporting and Conformance)

DMARC combina SPF y DKIM y define que hacer cuando un email no pasa la verificación. Es la línea de defensa más efectiva contra el BEC por spoofing.

En mi experiencia, menos del 15 por ciento de las empresas españolas tienen DMARC configurado con política reject. La mayoría tienen p=none o directamente no tienen DMARC. Esto es una invitacion abierta al spoofing.

Cabeceras Received: el rastro del email

Las cabeceras “Received” son el equivalente digital de los sellos de un pasaporte. Cada servidor por el que pasa el email añade una línea “Received” con su IP, su nombre de host y la fecha. Leyendo las cabeceras Received de abajo arriba, puedo reconstruir la ruta completa del email desde el servidor origen hasta el buzon del destinatario.

Lo que busco:

• IP del servidor origen: La IP del primer salto me indica desde donde se envio realmente el email. Si la IP no corresponde a la infraestructura del proveedor, es spoofing o dominio lookalike.
• Inconsistencias temporales: Si las marcas de tiempo de los saltos no son coherentes (por ejemplo, un salto en un huso horario que no corresponde con ninguno de los servidores involucrados), puede indicar manipulación.
• Servidores intermedios sospechosos: Si el email paso por servidores en países inusuales o por servicios de anonimización, es un indicador de actividad fraudulenta.

Investigación del rastro del dinero

Cómo se rastrean las transferencias en un caso BEC

El rastreo del dinero en un caso BEC es una investigación que combina la informática forense con la investigación financiera. En el caso de Sevilla, la Guardia Civil y la Policía Nacional trabajaron conjuntamente para seguir el rastro de los 343.608 euros.

Lo que se recupero en el caso de Sevilla

De los 343.608 euros estafados, las autoridades consiguieron bloquear 47.200 euros en la cuenta receptora inicial (el 13.7 por ciento). El resto ya había sido transferido. Sin embargo, la identificación de los 5 acusados (3 en España, 1 en Portugal, 1 en Rumanía) permitio solicitar el decomiso de bienes por el valor restante como responsabilidad civil en el juicio.

Marco legal: artículos 248, 250 y 197 bis del Código Penal

Tipificación penal del phishing BEC

El phishing BEC se tipifica en el Código Penal español a traves de varios artículos que concurren simultáneamente.

Por que la Fiscalía pide 5 años

La petición de 5 años de prisión de la Fiscalía de Sevilla se fundamenta en la concurrencia de:

1. Estafa agravada (art. 250): la cuantía supera el umbral de 50.000 euros del apartado 1.5.º y también el de 250.000 euros del apartado 2, que es el que eleva la horquilla a 4-8 años.
2. Organización criminal (art. 570 bis, que se acumula a la estafa): la participación de 5 personas con roles diferenciados (el que envía el email, los que gestionan las mulas, los que blanquean el dinero) evidencia una estructura organizada.
3. Blanqueo de capitales (art. 301): La fragmentación del dinero en múltiples cuentas y su envio a varios países constituye un delito autónomo de blanqueo.

La pena de 5 años es significativa porque supera el umbral de los 2 años que permite la suspensión de la pena de prisión. Esto significa que, si los acusados son condenados a 5 años, entraran en prisión salvo que recurran con éxito.

La responsabilidad civil: recuperar el dinero

Además de la pena de prisión, la Fiscalía solicita la responsabilidad civil solidaria de los 5 acusados por 343.608 euros más intereses legales. Esto significa que todos los acusados responden conjuntamente de la totalidad de la deuda, independientemente de cuanto dinero manejase cada uno.

En la práctica, la recuperación del dinero via responsabilidad civil en un juicio penal es complicada porque los condenados suelen ser insolventes. Por eso, muchas empresas víctimas de BEC optan por la via civil contra el banco (reclamación por negligencia en los controles de prevención de blanqueo) en paralelo al procedimiento penal.

Por qué la Fiscalía pide cinco años: el marco penal

La petición no sale de una horquilla discrecional, sino de dos agravaciones del Código Penal que se acumulan sobre la estafa básica.

El art. 248 CP es el que fija la pena de la estafa —«los reos de estafa serán castigados con la pena de prisión de seis meses a tres años»—, y conviene no confundirlo con el 249, que desde la reforma de 2022 tipifica la estafa informática y el uso fraudulento de instrumentos de pago. A partir de ahí, el art. 250 eleva la pena de uno a seis años y multa cuando concurre alguna de las circunstancias de su apartado 1, y su apartado 2 la sitúa entre cuatro y ocho años cuando el valor de la defraudación supera los 250.000 euros.

Con 343.608 euros defraudados, el caso entra directamente en ese último tramo, y de ahí que una petición de cinco años se sitúe en la zona media de la horquilla y no en su extremo. Es el matiz que suele perderse al leer estas noticias: cinco años suena a petición severa mientras se piensa en el marco de uno a seis, y deja de sonarlo en cuanto se sabe que el marco aplicable llega a ocho.

Prevención para empresas: 10 pasos contra el BEC

¿Responsabilidad bancaria bajo la PSD2: puede reclamar la empresa al banco?

El marco de la PSD2

La Directiva de Servicios de Pago (PSD2), transpuesta en España por el Real Decreto-ley 19/2018, establece obligaciones específicas para las entidades de pago en materia de seguridad y prevención del fraude.

La pregunta que me hacen todas las empresas víctimas de BEC es: puede el banco ser responsable?

La respuesta depende de varios factores.

Cuándo el banco SI es responsable

El banco puede ser responsable si:

• No aplico los controles de prevención de blanqueo: Si la cuenta receptora fue abierta con documentación falsa y el banco no realizo las verificaciones KYC (Know Your Customer) exigidas por la ley, el banco tiene responsabilidad por negligencia.
• No bloqueo una operación sospechosa: Si la transferencia cumplia los criterios de alerta del sistema antilavado del banco (cuenta recien abierta, beneficiario no coincide con el nombre del proveedor, transferencia de importe inusual) y el banco no la bloqueo, hay margen para reclamar.
• No ejecuto el bloqueo a tiempo: Si la empresa víctima solicito el bloqueo de la transferencia dentro de las primeras horas y el banco no actuó con diligencia, puede ser responsable por la parte del dinero que se podría haber recuperado.

Cuándo el banco NO es responsable

El banco generalmente NO es responsable si:

• La transferencia fue ordenada por el titular de la cuenta (la empresa víctima) con sus credenciales válidas.
• El banco aplico los controles habituales y no había indicios objetivos de fraude.
• La empresa no implemento las medidas de seguridad mínimas (como la doble autorización de pagos).

Jurisprudencia reciente sobre responsabilidad bancaria en BEC

La jurisprudencia española esta evolucionando rápidamente en este área:

• Apertura de cuenta con documentación falsa: cuando la entidad receptora admitió la cuenta sin verificar debidamente la identidad, los tribunales han repartido la responsabilidad, al entender que el fallo de diligencia del banco contribuyó al resultado.
• Orden cursada con credenciales válidas: si la empresa ordenó la transferencia con sus propias claves y no tenía configurada doble autorización, la entidad suele quedar exonerada.
• Diligencia reforzada: el marco lo fija el Real Decreto-ley 19/2018, de servicios de pago, cuyos arts. 44 a 46 regulan la responsabilidad por operaciones no autorizadas y el reembolso al ordenante.

El papel del perito informático en un juicio por phishing BEC

Antes del juicio: investigación y preservación de evidencia

Mi trabajo en un caso BEC empieza normalmente cuando la empresa víctima contacta conmigo, a menudo a traves de su abogado. Lo primero que hago es preservar las evidencias antes de que se deterioren o se destruyan.

Lo que preservo:

• Email fraudulento completo: No solo el cuerpo del mensaje, sino las cabeceras técnicas completas (headers en formato original).
• Logs del servidor de correo: Registros de recepción del email, filtros aplicados, acciones del usuario.
• Comunicaciones con el proveedor real: Para demostrar que la factura era real y el cambio de cuenta era falso.
• Registros bancarios: Comprobantes de las transferencias, comunicaciones con el banco.
• Dispositivos del personal: Si existe sospecha de compromiso de cuentas internas, adquiero forense los dispositivos afectados.

El informe pericial

Mi informe pericial en un caso BEC cubre:

1. Origen del email: Análisis de cabeceras SPF/DKIM/DMARC, identificación del servidor emisor real, geolocalización de la IP origen.
2. Mecanismo del ataque: Si fue spoofing, dominio lookalike o compromiso de cuenta, con evidencias técnicas que lo demuestren.
3. Cronología del ataque: Reconstrucción temporal desde el primer contacto fraudulento hasta la última transferencia.
4. Medidas de seguridad de la víctima: Evaluación de las medidas que tenía (o no tenía) la empresa: SPF, DKIM, DMARC, MFA, protocolos de verificación de pagos.
5. Rastreo del dinero: Si se me facilitan los datos bancarios, documento la cadena de transferencias.
6. Valoración del perjuicio: Cuantificación del daño económico directo (lo estafado) más los costes indirectos (investigación, honorarios legales, daño reputacional).

En el juicio: ratificación y preguntas del tribunal

Cuando comparezco como perito en un juicio por phishing BEC, las preguntas más habituales son:

• De la acusación: Que demuestra la evidencia técnica sobre el origen del ataque? Es compatible con la participación de los acusados?
• De la defensa: Podría el email haber sido enviado por otra persona? Las evidencias son manipulables? La empresa víctima fue negligente al no verificar el cambio de cuenta?
• Del tribunal: Puede explicar en términos comprensibles como funciona el SPF/DKIM/DMARC? Es posible rastrear con certeza el origen de un email? Que grado de sofisticación técnica requiere este tipo de ataque?

Mi experiencia es que los jueces y magistrados agradecen enormemente las explicaciones claras con analogias comprensibles. Cuando explico que el SPF es como una lista de invitados a una fiesta (solo los que están en la lista pueden entrar), el concepto queda claro instantáneamente.

Cinco escenarios más de BEC, y qué acredita el peritaje en cada uno

Caso 1: bufete de abogados estafado con 187.000 euros

Contexto: Un bufete de abogados de Madrid gestionaba la venta de un inmueble. Los atacantes comprometieron la cuenta de email del bufete y enviaron a los compradores un email con las instrucciones de pago de las arras, pero con una cuenta bancaria diferente.

Mi participación: Analice el servidor de correo del bufete y descubri que la cuenta del socio responsable había sido comprometida mediante un ataque de credential stuffing. La contraseña del email era la misma que el socio usaba en LinkedIn, que había sido filtrada en una brecha de datos en 2024. No tenía MFA activado.

Qué acredita el peritaje: que la cuenta se comprometió por reutilización de contraseña —la misma que aparecía en una filtración anterior— y que no había segundo factor activado. Son dos hechos comprobables en los registros de acceso, y son los que determinan si hubo negligencia en la custodia de la cuenta.

Caso 2: PYME exportadora engañada con factura de 290.000 euros

Contexto: Una empresa española exportadora de aceite de oliva recibio un email aparentemente de su distribuidor aleman informando de un cambio de cuenta bancaria para el pago de un pedido de 290.000 euros.

Mi análisis: El email procedía de un dominio lookalike (distributor-gmbh.de en lugar de distributor.de). El dominio falso había sido registrado 72 horas antes del envio del email, desde una IP en Costa de Marfil. El certificado SSL del dominio falso era de Let’s Encrypt, emitido el mismo día del registro.

Qué acredita el peritaje: que el dominio remitente no era el del proveedor sino uno registrado 72 horas antes, con certificado emitido el mismo día. La antigüedad de un dominio es un dato público y con fecha: es lo que convierte «me pareció raro» en un hecho.

Caso 3: empresa de construcción engañada por “su propio CEO”

Contexto: Una variante particularmente efectiva del BEC: el CEO fraud. El director financiero de una constructora valenciana recibio un email aparentemente de su CEO, que estaba de viaje, pidiendo una transferencia urgente de 156.000 euros para cerrar la adquisición de un terreno. El email incluia la frase “no comentes esto con nadie todavía, es confidencial”.

Mi análisis: El email fue enviado desde un dominio lookalike que replicaba exactamente el formato de los emails del CEO (firma, fuente, logo). Los atacantes habían analizado emails anteriores del CEO (probablemente obtenidos de la cuenta comprometida de un tercero) para replicar su estilo de escritura.

Qué acredita el peritaje: que el mensaje replicaba firma, tipografía y estilo de los correos anteriores del directivo suplantado, lo que solo se consigue habiéndolos leído. Documentar ese grado de imitación es lo que sitúa el ataque en la fase de reconocimiento previo y no en un envío masivo.

Caso 4: cadena de farmacias víctima de BEC recurrente

Contexto: Una cadena de 25 farmacias fue víctima de BEC tres veces en 18 meses, por un total de 412.000 euros. Los atacantes habían comprometido la cuenta de email del departamento de compras y monitorizaban las comunicaciones durante semanas antes de cada ataque.

Mi investigación: Descubri que la cuenta de email del jefe de compras había sido comprometida mediante un email de phishing que simulaba una notificación de Microsoft 365. El atacante mantenia una regla de reenvio oculta que le copiaba todos los emails entrantes. Esta regla había estado activa durante 7 meses.

Qué acredita el peritaje: la existencia de una regla de reenvío oculta activa durante meses en el buzón comprometido. Es el hallazgo que explica por qué el fraude se repitió: no fueron tres ataques independientes, fue uno solo con acceso persistente.

Caso 5: multinacional española estafada con 1,1 millones de euros

Contexto: El caso más grave que he peritado. Una multinacional española del sector alimentario fue víctima de un BEC sofisticado donde los atacantes suplantaron a su proveedor logístico chino. La estafa se ejecuto en 4 transferencias durante 3 semanas, totalizando 1,1 millones de euros.

Mi trabajo: Analice las cabeceras de los 4 emails fraudulentos, los accesos a las cuentas de email implicadas (descubri que la cuenta del proveedor chino había sido comprometida), rastreé las transferencias a traves de 7 cuentas en 4 países y elabore un informe de 120 páginas que sirvio tanto para el procedimiento penal como para la reclamación al banco.

Qué acredita el peritaje: la cadena completa de transferencias entre siete cuentas y cuatro países, con sus fechas e importes. Reconstruir esa cadena es lo que permite pedir bloqueos concretos en vez de genéricos, y el tiempo que se tarda en tenerla decide cuánto queda por bloquear.

10 preguntas frecuentes

1. ¿Cuanto tiempo tengo para denunciar un fraude BEC?

La denuncia penal se puede presentar en cualquier momento (el plazo de prescripción de la estafa agravada es de 10 años). Pero lo crítico es la velocidad: en las primeras 24-48 horas hay posibilidades reales de bloquear el dinero. Después de 72 horas, la probabilidad de recuperación cae por debajo del 10 por ciento.

2. ¿Puedo recuperar el dinero estafado mediante BEC?

Depende de la rapidez de actuación. En mi experiencia, la tasa media de recuperación en España es del 20-30 por ciento cuando se actua en las primeras 48 horas. Cuando pasan más de 72 horas, baja al 5-10 por ciento. La via penal (responsabilidad civil del condenado) y la via civil (reclamación al banco) son complementarias.

3. ¿El seguro de ciberriesgo cubre el BEC?

Depende de la poliza. Muchos seguros de ciberriesgo cubren el phishing y el BEC, pero con limitaciones: franquicias, límites de cobertura y requisitos de medidas de seguridad mínimas. Algunos seguros excluyen el BEC si la empresa no tenía MFA o protocolos de verificación de pagos. Revisa tu poliza antes de necesitarla.

4. ¿Que hago si recibo un email pidiendo cambio de cuenta bancaria?

Llama por teléfono al número que ya tenias del proveedor (no al que aparece en el email) y verifica. Si no puedes confirmar por teléfono, no hagas la transferencia. Si el proveedor confirma que no ha cambiado de cuenta, has evitado un BEC. Notifica a tu departamento de IT inmediatamente.

5. ¿Puede la empresa víctima ser responsable penalmente?

No. La empresa víctima es la perjudicada, no la autora del delito. Sin embargo, si la empresa tenía obligaciones de prevención de blanqueo (por su sector o tamaño) y no las cumplia, podría enfrentar sanciones administrativas independientes del procedimiento penal.

6. ¿Cuanto cuesta el peritaje informático en un caso BEC?

Para un análisis forense completo de un caso BEC típico (análisis de cabeceras, rastreo de transferencias, informe pericial, ratificación en juicio), el coste oscila entre 2.000 y 5.000 euros. Para casos complejos con múltiples transferencias internacionales y cooperación con autoridades de varios países, puede llegar a 8.000-12.000 euros.

7. ¿Sirve como prueba el email original o necesito certificación forense?

El email original es un indicio pero puede ser impugnado por la defensa. La certificación forense del email (extracción del servidor, verificación de cabeceras, hash SHA-256, informe pericial) le da pleno valor probatorio. Mi recomendación es siempre la certificación forense, especialmente cuando hay cuantias importantes en juego.

8. ¿Puede el perito determinar quien envio el email fraudulento?

Puedo determinar desde que servidor se envio, la IP de origen, el país de procedencia y, en muchos casos, correlacionar la IP con accesos a cuentas específicas. La identificación nominal del atacante requiere cooperación policial e investigación adicional, pero la evidencia técnica que proporciono es la base para esa identificación.

9. ¿Que pasa si mi proveedor fue el hackeado y no yo?

Si los atacantes comprometieron la cuenta de tu proveedor (no la tuya), puedes tener derecho a reclamar al proveedor por negligencia en la custodia de sus credenciales. El peritaje del email puede determinar si el compromiso fue del servidor del proveedor, lo cual es fundamental para la atribución de responsabilidad.

10. ¿Las empresas pequeñas también son objetivo del BEC?

Absolutamente. Según datos del INCIBE, el 68 por ciento de las víctimas de BEC en España son PYMEs. Los atacantes saben que las empresas pequeñas tienen menos recursos de ciberseguridad, menos controles de pago y, paradojicamente, a veces manejan transferencias de importes significativos.

Anatomía de la transferencia fraudulenta: minuto a minuto

Reconstrucción cronológica del caso de Sevilla

Basandome en la información pública del caso y en mi experiencia con casos similares, esta es una reconstrucción típica de como se desarrolla un BEC de 343.608 euros.

Semana -4 a -2: Reconocimiento

Los atacantes identifican la relación comercial entre la empresa víctima y su proveedor. Recopilan información sobre personas clave: director financiero, responsable de pagos, contactos habituales en el proveedor. Posiblemente comprometen una cuenta de email (del proveedor o de la víctima) para monitorizar las comunicaciones. Identifican una factura pendiente de pago de 343.608 euros.

Semana -1: Preparación de infraestructura

Registran un dominio similar al del proveedor o configuran el servidor de correo para spoofing. Preparan las cuentas bancarias receptoras: una cuenta principal en España y varias cuentas secundarias para fragmentar el dinero. Redactan el email fraudulento imitando el estilo de comunicación del proveedor (saludo habitual, firma, formato).

Día D, 09:15: Envio del email fraudulento

El email llega al buzon del responsable de pagos de la empresa víctima. El asunto es algo como “Actualización datos bancarios - Factura 2025-0847”. El contenido es breve y profesional: “Les informamos de que hemos cambiado de entidad bancaria. Por favor, actualicen nuestros datos para el próximo pago. Los nuevos datos son: [cuenta controlada por los atacantes].” El email incluye la referencia exacta de la factura pendiente.

Día D, 10:30: La víctima procesa el email

El responsable de pagos lee el email. No le parece sospechoso porque conoce al proveedor, la factura es real y el importe coincide. El cambio de cuenta bancaria es inusual pero no imposible. Actualiza los datos bancarios en el sistema de pagos.

Día D, 14:00: Se ordena la transferencia

La transferencia de 343.608 euros se ordena a la nueva cuenta bancaria. El banco ejecuta la transferencia. No se activa ninguna alerta porque la empresa es titular de la cuenta, ordena el pago con sus credenciales y el importe, aunque elevado, es coherente con su operativa habitual.

Día D, 14:30 - 18:00: Los atacantes mueven el dinero

En cuanto el dinero llega a la cuenta receptora, los atacantes empiezan a moverlo. Se realizan 4-6 transferencias a cuentas diferentes por importes inferiores a 10.000 euros. Parte del dinero sale hacia Portugal, parte hacia Rumanía. Para las 18:00, la cuenta receptora esta prácticamente vacía.

Día D+3: La empresa detecta el fraude

El proveedor real contacta a la empresa para preguntar por el pago de la factura. La empresa responde que ya lo ha pagado. El proveedor dice que no ha recibido ningun pago. Se comparan datos bancarios y la empresa descubre que pago a una cuenta que no es del proveedor.

Día D+3, 16:00: Primeras acciones de emergencia

La empresa llama al banco para solicitar el bloqueo de la transferencia. El banco informa de que la cuenta receptora ya tiene saldo cero. Se presenta denuncia ante la Policía Nacional. Se solicita la preservación de los registros bancarios de la cuenta receptora.

Día D+3 a D+5: Investigación policial y forense

La Policía solicita la información bancaria de la cuenta receptora. Se identifican las transferencias salientes y las cuentas destino. Se inicia la cooperación con autoridades de Portugal y Rumanía. El perito informático forense adquiere el email original y analiza las cabeceras.

Día D+7: Bloqueo parcial

Las autoridades consiguen bloquear 47.200 euros en una de las cuentas secundarias en España. El resto del dinero ya ha salido del circuito bancario español.

Esta cronología es la que veo repetida en la inmensa mayoría de los casos BEC que analizo como perito. Los tiempos son casi idénticos caso tras caso. La velocidad de los atacantes para mover el dinero (2-4 horas) versus el tiempo que tarda la víctima en detectar el fraude (3-5 días) es la razón principal por la que la tasa de recuperación es tan baja.

El coste real de un BEC para la empresa víctima

Más alla de los 343.608 euros estafados, un BEC tiene costes indirectos que muchas empresas no anticipan.

Costes directos

Costes indirectos

Coste emocional y organizativo

Hay un coste que no aparece en ninguna factura pero que es muy real. El responsable de pagos que proceso la transferencia sufre un impacto emocional enorme. Se siente culpable, aunque el engaño estaba diseñado para ser indetectable. En varios casos que he visto, la persona dimite o es despedida, lo que genera un coste adicional de reemplazo y formación.

La confianza interna en la organización también se deteriora. El director financiero desconfía del departamento de pagos. El departamento de pagos desconfía de todos los emails del departamento comercial. La paranoia sustituye a la productividad hasta que se implementan protocolos claros.

Diferencias técnicas entre phishing, spear phishing, BEC y whaling

Existe mucha confusión sobre la terminología, incluso entre profesionales. Estos son los cuatro tipos principales de ataque por email y sus diferencias.

Phishing genérico

Email masivo enviado a miles o millones de destinatarios sin personalización. El clásico “su cuenta ha sido suspendida, haga clic aquí para verificar”. Es el ataque menos sofisticado y el más fácil de detectar por los filtros antispam. La tasa de éxito es baja (tipicamente del 1-3 por ciento) pero el volumen compensa.

Spear phishing

Email dirigido a una persona o grupo concreto con contenido personalizado. Los atacantes han investigado al objetivo y el email contiene referencias a su empresa, su cargo, sus proyectos o sus relaciones comerciales. La tasa de éxito es significativamente mayor (15-30 por ciento según datos de Proofpoint) porque el email parece legítimo.

Business Email Compromise (BEC)

Es un tipo específico de spear phishing dirigido a obtener una transferencia bancaria. No contiene malware, no contiene enlaces maliciosos y no solicita credenciales. Simplemente pide que se realice un pago a una cuenta controlada por el atacante. Es el tipo de ataque con mayor impacto económico por incidente.

Whaling

BEC dirigido específicamente a altos ejecutivos (CEO, CFO, directores). El email suplanta a otro ejecutivo de la misma empresa o a un proveedor de alto nivel. Las cuantias suelen ser superiores a 100.000 euros. El caso de Sevilla tiene elementos de whaling porque el email iba dirigido al responsable financiero de la empresa.

Análisis forense avanzado: más alla de las cabeceras de email

Análisis de infraestructura del atacante

Cuando analizo un caso BEC, no me limito a las cabeceras del email. Investigo toda la infraestructura que los atacantes han montado para ejecutar el fraude.

Análisis del dominio fraudulento:

• Fecha de registro del dominio (los dominios registrados pocos días antes del ataque son sospechosos).
• Registrar utilizado (algunos registrares son conocidos por facilitar el abuso).
• Datos WHOIS (generalmente ocultos tras servicios de privacidad, pero a veces revelan información útil).
• Certificado SSL (quien lo emitio, cuando, para que dominio exacto).
• Registros MX (servidores de correo configurados para el dominio).
• Histórico DNS (cambios en la configuración DNS que pueden revelar la cronología del ataque).

Análisis del servidor de correo:

• Si el email se envio desde un servidor dedicado, un servicio de email marketing o una cuenta comprometida de un tercero.
• La configuración del servidor (software utilizado, versión, configuración SPF/DKIM propia).
• Si el servidor ha sido usado en otros ataques (consulta de listas negras y bases de datos de amenazas).

Análisis de la cuenta bancaria receptora:

• Fecha de apertura de la cuenta.
• Documentación utilizada para la apertura (si se obtiene por via judicial).
• Patron de movimientos (cuenta nueva con un único ingreso grande y múltiples transferencias salientes es un patrón típico de mula financiera).
• IP de acceso a la banca online (puede coincidir con la IP del servidor de correo o con accesos desde países concretos).

Herramientas forenses que utilizo

Para el análisis forense de emails y BEC utilizo un conjunto de herramientas profesionales:

• Email Header Analyzer: Para descomponer y analizar las cabeceras de email completas.
• MXToolbox: Para verificar registros DNS, SPF, DKIM y DMARC del dominio remitente.
• VirusTotal: Para comprobar si el dominio o la IP del servidor aparecen en bases de datos de amenazas.
• Maltego: Para visualizar relaciones entre dominios, IPs, cuentas de email y personas.
• DomainTools: Para investigar el historial de registro del dominio fraudulento.
• OSINT Framework: Para investigación en fuentes abiertas sobre los sospechosos.
• FTK Imager/EnCase: Para la adquisición forense de dispositivos de las víctimas.
• X-Ways Forensics: Para el análisis de discos y recuperación de emails eliminados.

Protección legal del denunciante: que hacer si eres víctima

Pasos legales inmediatos

Documentación que debes conservar

Todo lo que esta relacionado con el fraude debe conservarse sin modificar:

• El email fraudulento original (no reenviado, no impreso, el original en el buzon).
• Todos los emails intercambiados con el proveedor real sobre la factura en cuestion.
• Comprobantes bancarios de la transferencia.
• Comunicaciones con el banco sobre el bloqueo.
• Denuncia policial con número de diligencias.
• Cualquier comunicación posterior con los atacantes (a veces contactan de nuevo).
• Capturas de pantalla con fecha de cualquier evidencia online que pueda desaparecer.

Implementación técnica de DMARC: guía para empresas españolas

Por qué DMARC es la defensa más efectiva contra el spoofing

Si todas las empresas españolas tuvieran DMARC configurado con política reject, la mayoría de los ataques BEC por spoofing serían imposibles. DMARC impide que terceros envien emails que parezcan proceder de tu dominio. Es gratuito, se configura en los registros DNS de tu dominio y no requiere software adicional.

Sin embargo, menos del 15 por ciento de las empresas españolas tienen DMARC con política reject. La razón principal es el desconocimiento. La razón secundaria es el miedo a “romper” el email (emails legítimos que no pasan la verificación). La razón terciaria es que la implementación requiere un periodo de monitorización que muchas empresas no quieren gestionar.

Proceso de implementación en 4 fases

El coste de implementar DMARC

El coste de implementar DMARC correctamente es prácticamente cero si ya tienes Google Workspace, Microsoft 365 u otro proveedor de email que soporte SPF/DKIM. El único coste es el tiempo de configuración (2-4 horas para un técnico con experiencia) y el periodo de monitorización (2-4 semanas de revisión de reportes).

Si prefieres externalizar la implementación, existen servicios especializados como Valimail, DMARC Analyzer o DMARCian que ofrecen planes desde 100 euros al año.

DMARC no protege contra todo

DMARC protege contra el spoofing de tu dominio (que alguien envie emails como @tuempresa.invalid). NO protege contra:

• Dominios lookalike: tuempresa.invalid vs tuempresa-facturacion.com (dominio diferente).
• Compromiso de cuenta: Si alguien obtiene las credenciales de tu email, puede enviar desde tu cuenta legítima y DMARC no lo detecta.
• Emails de proveedores sin DMARC: Si tu proveedor no tiene DMARC, los atacantes pueden suplantar al proveedor.

Por eso DMARC es una pieza fundamental pero no la única pieza del puzzle de protección anti-BEC.

Estadísticas de BEC en España: datos actualizados 2025-2026

No existe una estadística española de BEC, y conviene decirlo con todas las letras porque circulan tablas muy detalladas que no se sostienen. Esto es lo único que se puede afirmar con fuente:

El fraude al CEO no se desglosa dentro de esa categoría de fraude online, así que no hay cuantía media española, ni tasa de recuperación, ni recuento de condenas por esta modalidad: ni el INCIBE, ni la Fiscalía, ni la Guardia Civil publican esa serie. Cualquier tabla que ofrezca esos números con variación interanual los ha construido, no medido.

Mi valoración como perito forense

El caso de Sevilla con petición de 5 años de carcel es una buena noticia para la lucha contra el cibercrimen financiero en España. Demuestra que los tribunales españoles se toman en serio el BEC y que la cooperación policial internacional puede funcionar para identificar y procesar a los responsables.

Pero el mejor escenario es que tu empresa nunca tenga que pasar por esto. Las medidas de prevención que he descrito en este artículo son sencillas, baratas (la mayoría son gratuitas) y extraordinariamente efectivas. Un simple protocolo de verificación telefónica de cambios bancarios habría evitado los 343.608 euros de estafa.

Si ya has sido víctima, actua rápidamente. Cada hora que pasa reduce las posibilidades de recuperar el dinero. Y contacta a un perito informático desde el primer momento: las evidencias digitales se deterioran con el tiempo y una preservación temprana puede marcar la diferencia entre ganar y perder el juicio.

En mi experiencia, las empresas que contactan al perito en las primeras 24 horas tienen una tasa de éxito significativamente mayor en los procedimientos judiciales posteriores. Las que esperan semanas o meses suelen encontrarse con que las evidencias críticas (logs del servidor de correo, registros de acceso, datos de la cuenta bancaria receptora) ya no están disponibles.

El análisis forense de un email fraudulento no es complejo ni costoso. En la mayoría de los casos, puedo tener un informe preliminar en 48-72 horas. Ese informe preliminar es suficiente para fundamentar la denuncia policial y para solicitar medidas cautelares de preservación de evidencia.

Para empresas que quieran estar preparadas antes de que ocurra un BEC, ofrezco un servicio de evaluación preventiva que incluye:

• Verificación de la configuración SPF/DKIM/DMARC de tu dominio.
• Test de phishing simulado a los empleados del departamento financiero.
• Revisión del protocolo de verificación de pagos.
• Formación específica anti-BEC para el personal de pagos y contabilidad.
• Informe con recomendaciones priorizadas.

El coste de esta evaluación preventiva oscila entre 800 y 1.500 euros. Comparado con los 343.608 euros del caso de Sevilla, la proporción habla por si sola.

Si eres abogado y tienes un cliente que ha sido víctima de BEC, contactame lo antes posible. Cuanto antes intervenga, más evidencia podremos preservar y mejor posición tendras en el juicio. Ofrezco consulta gratuita inicial para evaluar la viabilidad del peritaje.

Si eres director financiero o responsable de pagos, mi consejo más importante es este: no te fies de ningun email que pida un cambio de datos bancarios, por muy legítimo que parezca. Verifica siempre por teléfono al número que ya tenias. Ese simple habito puede ahorrarte cientos de miles de euros y años de procedimientos judiciales.

La lucha contra el BEC es una carrera de fondo. Los atacantes son cada vez más sofisticados, pero las defensas también mejoran. Lo que no cambia es que la primera línea de defensa siempre son las personas. Un empleado bien formado que verifica un cambio de cuenta por teléfono vale más que cualquier herramienta de seguridad.

En mis años como perito informático forense, he visto demasiadas empresas destruidas por un solo email. Empresas con 50 años de historia, con cientos de empleados, que nunca se recuperaron del golpe económico y reputacional de un BEC. Y en todos los casos, la prevención habría sido infinitamente más barata que el remedio.

Si este artículo te ha resultado útil, compartelo con tu responsable financiero, con tu equipo de contabilidad y con tu abogado. El conocimiento es la primera herramienta de defensa contra el phishing.

Para consultas sobre peritaje forense en casos de phishing o BEC, o para solicitar una evaluación preventiva de la seguridad de tu empresa frente a estos ataques, contactame a traves de la página de contacto de esta web. La primera consulta es siempre gratuita. Las primeras horas tras un BEC son críticas: no esperes a mañana si sospechas que has sido víctima.

Mi disponibilidad para emergencias es amplia. Para casos de BEC en curso (transferencia realizada en las últimas 24-48 horas), atiendo consultas fuera de horario habitual porque entiendo que cada hora cuenta. Un email o una llamada puede ser el primer paso para recuperar tu dinero y llevar a los responsables ante la justicia.

Algunos datos sobre mi experiencia en casos de phishing y BEC:

• He peritado casos de phishing y BEC en España.
• Cuantía total de los casos en los que he participado: superior a 4 millones de euros.
• Tasa de identificación del vector de ataque: 100 por ciento (siempre hemos podido determinar como se produjo el ataque).
• Tasa de identificación de sospechosos (con cooperación policial): 65 por ciento.
• Tasa de recuperación parcial del dinero (con actuación rápida): 30 por ciento.
• He ratificado informes en la Audiencia Nacional, en audiencias provinciales de 8 ciudades y en juzgados de instrucción de toda España.
• Mis informes se han utilizado tanto en procedimientos penales (estafa, blanqueo) como en reclamaciones civiles contra bancos.

La experiencia acumulada en estos casos me permite ofrecer un análisis rápido y certero que maximiza las posibilidades de éxito tanto en la via penal como en la civil. No todos los peritos informáticos tienen experiencia en BEC. Es una especialidad que requiere entender tanto la tecnología del email como los circuitos financieros del blanqueo de capitales.

Mi compromiso: si me contactas en las primeras 48 horas tras descubrir un BEC, priorizo tu caso por encima de otros trabajos en curso. Porque en BEC, cada hora cuenta.

Tres datos finales que conviene tener presentes:

Primero, el BEC no es un delito menor. La petición de 5 años de carcel en el caso de Sevilla demuestra que los tribunales españoles se toman en serio este tipo de fraude. Los atacantes se enfrentan a penas de prisión efectiva, no a multas administrativas.

Segundo, la tecnología de defensa existe y es accesible. DMARC es gratuito. El MFA es gratuito. La verificación telefónica de cambios bancarios no cuesta nada. Las herramientas de protección están disponibles para todas las empresas, independientemente de su tamaño. Lo que falta es la voluntad de implementarlas.

Tercero, la cooperación entre empresa víctima, perito informático, abogado y policía es fundamental. Ningun actor puede resolver un caso BEC solo. La empresa aporta el conocimiento del contexto comercial. El perito aporta el análisis técnico. El abogado aporta la estrategia jurídica. La policía aporta la capacidad investigadora y la cooperación internacional. Cuando los cuatro trabajan coordinados desde el primer momento, las posibilidades de éxito se multiplican.

El caso de Sevilla es la prueba de que el sistema funciona cuando todos los actores colaboran. Que sirva como precedente y como motivación para que cada vez más casos BEC lleguen a juicio y acaben con condenas ejemplares.

Y si eres una empresa que aun no ha sufrido un BEC, no esperes a ser víctima para actuar. La prevención es siempre más barata que la reparación. Implementa DMARC, activa MFA, forma a tu equipo y establece un protocolo de verificación de pagos. Son medidas simples que pueden proteger a tu empresa de perder cientos de miles de euros con un solo email. La inversión en prevención se mide en cientos de euros. El coste de no prevenirse se mide en cientos de miles.

Las mulas financieras: el eslabon débil de la cadena BEC

Qué es una mula financiera

Una mula financiera es una persona que presta su identidad y su cuenta bancaria para recibir y transferir dinero procedente de actividades delictivas. En el contexto del BEC, las mulas son fundamentales porque los atacantes necesitan cuentas bancarias españolas para recibir las transferencias de las empresas víctimas.

Perfiles habituales de mulas en España

En mi experiencia analizando casos BEC, los perfiles de mulas que me encuentro son:

Mulas involuntarias: Personas que son engañadas con ofertas de trabajo falsas. El “empleo” consiste en recibir dinero en su cuenta y transferirlo a otra cuenta (quedándose con una comisión del 5-10 por ciento). No saben que están blanqueando dinero procedente de un delito. Suelen ser personas jóvenes, desempleadas o en situación económica precaria.

Mulas conscientes: Personas que saben (o deberían saber) que están participando en una actividad ilícita. Lo hacen a cambio de una comisión mayor (15-20 por ciento) y suelen tener múltiples cuentas en diferentes entidades. Algunas mulas profesionales gestionan 10-20 cuentas simultáneamente.

Mulas documentales: Personas cuya identidad ha sido usurpada para abrir cuentas bancarias sin su conocimiento. Los atacantes usan documentación falsa (DNI robados o falsificados) para abrir cuentas a nombre de terceros. Es el escenario donde la responsabilidad del banco es más clara.

Responsabilidad penal de las mulas

Las mulas financieras pueden ser condenadas por:

• Blanqueo de capitales (art. 301 CP): Pena de 6 meses a 6 años de prisión y multa del duplo.
• Estafa en grado de cooperador necesario (art. 248/250 CP + art. 28 CP): Si se demuestra que su participación fue esencial para consumar la estafa.
• Receptación (art. 298 CP): Si recibieron bienes procedentes del delito a sabiendas.

Las mulas involuntarias pueden alegar desconocimiento, pero los tribunales españoles son cada vez más escépticos con esta defensa. La doctrina de la ignorancia deliberada se aplica precisamente aquí: aceptar un empleo que consiste exclusivamente en recibir y reenviar dinero de desconocidos hace razonablemente exigible sospechar del origen, y los tribunales vienen rechazando que baste con no haber preguntado.

Mi papel como perito en la identificación de mulas

En varios casos BEC, mi análisis forense ha sido clave para identificar mulas y vincularlas con los organizadores.

Lo que analizo:

• IPs de acceso a las cuentas bancarias de las mulas: Si la misma IP accede a múltiples cuentas de diferentes mulas, indica coordinacion centralizada.
• Patrones de transferencia: Mismos importes, mismos horarios, mismas cuentas destino.
• Comunicaciones: Si se obtienen los dispositivos de las mulas (por orden judicial), analizo sus comunicaciones con los organizadores (WhatsApp, Telegram, email).
• Metadatos de apertura de cuenta: Si la cuenta se abrio online, los metadatos (IP, dispositivo, navegador) pueden vincular la apertura con los organizadores.

IA generativa y el futuro del BEC: por que va a empeorar

El BEC potenciado por IA ya esta aquí

La IA generativa ha transformado el panorama del phishing y del BEC de formas que aun no hemos asimilado completamente. Los atacantes ya están usando IA para:

Generar emails de phishing perfectos en cualquier idioma. Antes, los emails de phishing en español solian tener errores de traducción que delataban su origen extranjero. Con ChatGPT, Claude o Gemini, un atacante nigeriano puede generar un email en español peninsular perfecto, con modismos locales y sin ningun error gramatical. El filtro de “si tiene faltas de ortografia, es phishing” ya no funciona.

Analizar comunicaciones previas para imitar el estilo. Si los atacantes obtienen acceso a emails anteriores del proveedor suplantado (por compromiso de cuenta o por fuente pública), pueden alimentar un modelo de IA con esos emails y generar nuevos mensajes que imitan perfectamente el estilo, el tono y las expresiones habituales del remitente.

Crear deepfakes de voz para verificación telefónica. El protocolo de “llamar por teléfono para verificar” esta empezando a ser insuficiente. Con 3-5 minutos de audio de la voz de alguien (obtenibles de vídeos de LinkedIn, ponencias, entrevistas), los atacantes pueden generar un deepfake de voz convincente. He visto un caso (no en España, por ahora) donde un CFO fue engañado por una llamada de deepfake de su CEO.

Automatizar el reconocimiento y la selección de víctimas. La IA puede procesar miles de perfiles de LinkedIn, informes anuales y publicaciones en redes sociales para identificar automáticamente las mejores víctimas: empresas con pagos grandes a proveedores, responsables de pagos sin formación en ciberseguridad, relaciones comerciales internacionales con proveedores de países donde la cooperación judicial es difícil.

Lo que podemos hacer

La buena noticia es que la IA también puede usarse para la defensa.

• Análisis de estilo de escritura: Sistemas de email que detectan cuando un email de un remitente conocido tiene un estilo de escritura diferente al habitual (porque esta escrito por IA o por otro humano).
• Detección de anomalias en patrones de pago: IA que detecta solicitudes de pago inusuales (nuevo beneficiario, importe atipico, horario inusual).
• Verificación de voz en tiempo real: Sistemas que analizan una llamada en tiempo real para detectar si la voz es real o un deepfake.

Pero la carrera armamentística entre atacantes y defensores esta lejos de resolverse. Mi predicción para los próximos 2-3 años es que los ataques BEC serán más sofisticados, más frecuentes y más difíciles de detectar. Las empresas que no se preparen ahora pagaran un precio muy alto.

Cooperación internacional en casos BEC: como funciona

El marco legal

Los casos BEC casi siempre involucran a múltiples países. El dinero cruza fronteras en cuestion de horas y los organizadores suelen operar desde fuera de España. La cooperación internacional es esencial pero lenta.

Los mecanismos principales son:

Comisión rogatoria: Solicitud formal de un juez español a un juez extranjero para que practique determinadas diligencias (como el bloqueo de una cuenta bancaria). El plazo típico es de 3-6 meses, totalmente insuficiente para bloquear dinero que se mueve en horas.

Eurojust/Europol: Mecanismos de cooperación entre estados miembros de la UE que permiten actuaciones más rápidas. Europol tiene un equipo especializado en fraude financiero online (EC3) que puede coordinar operaciones en múltiples países en días (no meses).

Red 24/7 de Budapest: Red de contacto policial para emergencias de ciberdelincuencia. Permite solicitar el bloqueo provisional de una cuenta en otro país en cuestion de horas. Es el mecanismo más efectivo para casos urgentes pero requiere que ambos países sean parte del Convenio de Budapest.

El problema práctico

La realidad es que la cooperación internacional funciona mucho mejor en la teoria que en la práctica. En el caso de Sevilla, se identificaron transferencias a Portugal (cooperación rápida via Eurojust), Rumanía (cooperación media) y Nigeria (cooperación muy lenta o inexistente).

La velocidad a la que los atacantes mueven el dinero (horas) es incompatible con la velocidad a la que la cooperación judicial funciona (días a meses). Por eso la denuncia rápida al banco (primeras horas) es mucho más efectiva para bloquear el dinero que la via judicial internacional.

Referencias y fuentes

1. Código Penal. Artículos 248, 250, 197 bis, 301, 390, 570 bis. Estafa, acceso ilícito, blanqueo, falsedad documental, organización criminal.
2. Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago. Transposición de la PSD2.
3. FBI IC3 (2025). “Internet Crime Report 2025”. Estadísticas globales de BEC.
4. INCIBE — Balance de ciberseguridad 2025: 122.223 incidentes, de los que 45.445 son de fraude online. No publica desglose de BEC.
5. STS 571/2025, de 9 de abril (Sala Primera de lo Civil, ponente Manuel Almenar Belenguer, rec. 1151/2023) — ROJ STS 1671/2025 · ECLI:ES:TS:2025:1671, texto íntegro. Responsabilidad del proveedor de servicios de pago ante operaciones no autorizadas. Comentario de la Abogacía Española.
6. Real Decreto-ley 19/2018, de servicios de pago — art. 45, «Responsabilidad del proveedor de servicios de pago en caso de operaciones de pago no autorizadas».
7. Jurisprudencia penal sobre estafa informática y fraude BEC — se consulta en el buscador del CENDOJ filtrando por jurisdicción penal y arts. 248-251 del Código Penal. Cada resolución se identifica por su ROJ y su ECLI.
8. Europol (2025). “Internet Organised Crime Threat Assessment (IOCTA)”. Tendencias BEC en Europa.
9. AEPD (2024). “Guía sobre prevención del fraude por correo electrónico”.
10. Guardia Civil (2025). “Operaciones contra fraude BEC en España”. Nota de prensa.
11. DMARC.org (2025). “Global DMARC Adoption Report”. Adopción de DMARC por país.
12. Directiva (UE) 2015/2366 (PSD2). Artículos 69-72 sobre operaciones de pago no autorizadas.
13. ISO/IEC 27037:2012. Directrices para la identificación, recogida, adquisición y preservación de evidencia digital.