Doble Victimizacion en Ciberestafas

La estafa después de la estafa: que es la doble victimización

En abril de 2025, la Policía Nacional y la Guardia Civil desarticularon en España la red CoinBlack-Wendimine, que había estafado 19 millones de euros a 208 víctimas con falsas inversiones en criptomonedas promocionadas mediante vídeos de famosos manipulados con IA. La red operaba desde call centers en Bulgaria y Chipre, contactando a personas que ya habían perdido dinero en pig butchering o esquemas de inversión falsos. Les ofrecian “recuperar sus fondos” a cambio de tasas administrativas, impuestos de desbloqueo y comisiones de abogados. Ninguna víctima recupero un solo euro. Muchas perdieron más dinero que en la estafa original.

Cómo perito informático forense, he analizado más de una docena de casos de doble victimización en los últimos dos años. Lo que más impacta es la precisión quirurgica del engaño: los estafadores conocen el importe exacto perdido, la plataforma donde se produjo el fraude y hasta el nombre del supuesto asesor que les atendio. Esa información no es fruto del azar. Proviene de bases de datos de víctimas que se compran y venden en foros de la dark web por entre 5 y 50 euros por registro.

Cómo funciona la doble victimización: las 3 fases del fraude

Fase 1: Adquisición de datos de víctimas (semanas 1-4)

El punto de partida de toda operación de doble victimización es la lista de víctimas. Los delincuentes obtienen estos datos de tres fuentes principales:

1. Bases de datos internas de la estafa original: Cuando la misma organización criminal (o una filial) ejecuto la primera estafa, ya dispone de nombres, teléfonos, emails e importes perdidos
2. Compra de “sucker lists” en la dark web: Listas de víctimas verificadas que se venden en mercados cómo Génesis Market o Russian Market por entre 5 y 50 euros por registro, con datos cómo nombre, teléfono, importe perdido, plataforma usada y nivel de sofisticación de la víctima
3. Scraping de foros de víctimas y redes sociales: Las víctimas que publican su experiencia en foros cómo Reddit, Forocoches o grupos de Facebook de estafas cripto proporcionan involuntariamente datos que los estafadores recopilan de forma automatizada

Formato típico de una “sucker list”:

Fase 2: Contacto y construcción de confianza (semanas 4-8)

Los estafadores utilizan perfiles altamente elaborados para establecer contacto. Los cinco canales más frecuentes son:

1. Llamada telefónica fría: Un “agente de Europol” o “abogado especializado en fraude cripto” llama informando de que se han incautado fondos de la plataforma que estafo a la víctima
2. Email con documentación oficial falsificada: Correos con logotipos de Europol, FCA (Financial Conduct Authority), CNMV o bufetes de abogados reales, incluyendo números de expediente falsos
3. Anuncios en Google y redes sociales: “Has sido víctima de una estafa cripto? Recupera tu dinero. Consulta gratuita” con landing pages profesionales
4. Contacto via WhatsApp o Telegram: Mensajes directos citando datos específicos de la estafa original para generar credibilidad
5. Formularios web de “reclamación”: Sitios que imitan a reguladores financieros donde la víctima introduce sus datos voluntariamente

Ejemplo real de email fraudulento (caso analizado en mi despacho, datos anonimizados):

De: recovery.unit@europol-fraud-division.eu
Asunto: Caso REF-2025/ES/47829 - Fondos incautados a CryptoFX Pro

Estimada Sra. Garcia:

La Division de Cibercrimen de Europol, en coordinacion con la Guardia Civil
y la CNMV, ha completado la Operación SILVER GATE contra la plataforma
CryptoFX Pro. Se han incautado activos por valor de 23.4 millones de euros.

Según nuestros registros, usted realizo inversiones por valor de 47.200 euros
que son elegibles para reembolso completo.

Para proceder a la devolucion, necesitamos que:
1. Verifique su identidad (copia DNI + justificante bancario)
2. Abone la tasa administrativa de tramitacion: 1.850 euros
3. Firme el formulario de reclamación adjunto

Plazo máximo: 15 días habiles desde la recepción de este email.

[Documento PDF adjunto: "Formulario_Reclamacion_Europol_2025.pdf"]

Por que funciona: La víctima reconoce el nombre de la plataforma y el importe exacto. El email utiliza lenguaje jurídico creíble, cita operaciones policiales reales (o inventadas de forma plausible) y establece urgencia con un plazo.

Fase 3: Extracción de fondos (semanas 8-16+)

Una vez que la víctima acepta cooperar, los pagos se escalan progresivamente:

Cada pago genera una nueva “complicacion” que requiere otro desembolso. El ciclo continua hasta que la víctima se queda sin fondos o detecta el fraude.

Técnicas de manipulación psicológica: la ingeniería emocional del recovery fraud

La doble victimización no es un fraude genérico. Es un ataque de ingeniería social diseñado específicamente para explotar el estado emocional de alguien que ya ha sido estafado. En mi experiencia analizando estos casos, los call centers utilizan manuales de manipulación que aplican técnicas documentadas en la literatura de psicología del fraude.

Las 7 técnicas de manipulación más frecuentes

Escalada gradual: el principio del pie en la puerta

Los call centers aplican sistematicamente el principio del pie en la puerta (foot-in-the-door technique, Freedman y Fraser, 1966): comienzan con una solicitud pequeña (rellenar un formulario gratuito) y escalan progresivamente:

1. Formulario gratuito: “Solo necesitamos sus datos para verificar que es elegible para el reembolso”
2. Documento de identidad: “Para confirmar su identidad, envie copia de su DNI”
3. Primer pago pequeño: “Solo 185 euros de tasa de verificación, reembolsable con los fondos”
4. Segundo pago mayor: “1.850 euros de tasa administrativa, obligatoria por normativa europea”
5. Tercer pago aun mayor: “3.200 euros de impuesto de desbloqueo del país donde están los fondos”

Cada paso incrementa el compromiso psicológico de la víctima. Una vez que ha proporcionado su DNI y ha pagado 185 euros, abandonar significa aceptar que también eso fue una estafa. La mente busca coherencia: “ya que he pagado 185, tiene sentido pagar 1.850 para recuperar 47.000”.

Perfiles de víctimas: quien cae en la doble victimización

Aquí figuraba una tabla de cinco perfiles de víctima con su porcentaje —34 %, 28 %, 18 %, 12 % y 8 %— y un importe medio de la segunda estafa para cada uno, atribuida al National Fraud Intelligence Bureau británico y a INCIBE. Se retira, y conviene explicar por qué, porque la ficha parecía sólida:

• Ninguno de los dos organismos publica ese dato. El NFIB registra denuncias en el Reino Unido, no perfila a las víctimas españolas de revictimización; e INCIBE gestiona incidentes: no encuesta ni elabora perfiles socioeconómicos.
• El importe medio de la segunda estafa por perfil no lo tiene nadie. Haría falta que cada víctima denunciara las dos estafas y que alguien las vinculara.
• Y el detalle que la delata: esos cinco porcentajes son exactamente los mismos —34, 28, 18, 12 y 8— que los de otra tabla de este sitio que ya se retiró por fabricada, en un artículo sobre registro de jornada y atribuida a InfoJobs. El mismo esqueleto numérico reaparece con otro tema y otra fuente.

Lo que sí se sostiene, y es lo que importa para reconocer el riesgo, no necesita porcentajes: quien ha perdido dinero en una estafa es un objetivo preferente para la segunda, y el factor que más pesa no es la edad ni la profesión, sino la combinación de pérdida grande, vergüenza y aislamiento — porque es la que empuja a buscar una salida rápida sin consultarlo con nadie. Los estafadores compran listas de víctimas precisamente por eso.

Factores de vulnerabilidad psicológica

En los casos que he analizado cómo perito, he identificado cuatro factores que incrementan dramaticamente la probabilidad de caer en la doble victimización:

1. Pérdida de ahorros vitales: Cuando la primera estafa se llevo ahorros de jubilacion, herencia o fondo de emergencia, la desesperacion anula el pensamiento crítico. He visto víctimas que vendieron propiedades para pagar “tasas de recuperación”
2. Aislamiento informativo: Víctimas que no han contado a nadie que fueron estafadas. Sin un interlocutor externo que cuestione la lógica de pagar para recuperar, la víctima queda sola frente al manipulador
3. Baja alfabetización digital: No entender cómo funcionan las criptomonedas, las transferencias internacionales o los procesos judiciales hace que cualquier explicación técnica suene creíble
4. Experiencia previa con “sistemas que funcionan”: Personas que han tenido experiencias positivas con reclamaciones (seguros, devoluciones bancarias) extrapolan esa confianza a contextos fraudulentos

Caso 1: Profesora valenciana estafada dos veces (pig butchering + recovery fraud)

En un caso que analice durante 2025 (datos anonimizados por protección de la víctima), documente la siguiente secuencia:

Primera estafa (pig butchering): La víctima perdio 47.200 euros en una plataforma de inversión en criptomonedas tras 4 meses de relación con un supuesto trader en Telegram. La plataforma desaparecio de la noche a la mañana.

Segunda estafa (recovery fraud, 3 meses después):

• Contacto via llamada telefónica: “agente de la División de Cibercrimen de Europol”
• Conocía el importe exacto perdido y el nombre de la plataforma
• Envio email con “expediente de incautación” y documentos con sellos de Europol
• Solicito 3 pagos sucesivos: 1.850 euros (tasa administrativa), 3.200 euros (impuesto desbloqueo) y 4.500 euros (comisión del abogado internacional)
• Total segunda estafa: 9.550 euros
• Total perdido: 56.750 euros

Hallazgos periciales: El análisis de cabeceras de email revelo que los correos de “Europol” procedian de un servidor en Bulgaria (mismo país del call center de la estafa original). Los metadatos del PDF del “expediente” mostraban que fue creado con la misma versión de Adobe Acrobat y la misma plantilla utilizada en documentos de la primera estafa. La wallet de Bitcoin proporcionada para el “impuesto de desbloqueo” había recibido fondos de la plataforma original, cerrando el circulo probatorio.

Caso 2: PYME madrileña estafada por BEC y luego por “abogado internacional”

Primera estafa (BEC, enero 2025): Una empresa de importacion de Madrid perdio 68.000 euros en un fraude BEC cuando un atacante intercepto la comunicación por email con un proveedor chino y modifico el número de cuenta bancaria de destino. El pago se desvio a una cuenta mula en Lituania.

Segunda estafa (recovery fraud, abril 2025): Un supuesto “bufete internacional especializado en fraude comercial” contacto al CEO por LinkedIn. El perfil del “abogado” era sofisticado: 500+ conexiones, publicaciones sobre ciberseguridad, recomendaciones de perfiles que parecian reales. El bufete afirmo tener un acuerdo con la Fiscalía lituana para la incautación de fondos y solicito:

• 2.400 euros de “apertura de expediente y traducción jurada”
• 5.800 euros de “depósito cautelar exigido por la Fiscalía lituana”
• 3.200 euros de “tasa de repatriacion de fondos UE”
• Total segunda estafa: 11.400 euros

Hallazgos periciales: El análisis del perfil de LinkedIn revelo que la foto era generada por IA (artefactos en las orejas y fondo inconsistente detectados con herramientas de análisis forense multimedia). El dominio web del bufete fue registrado 45 días antes del primer contacto. El certificado SSL del sitio web era un Let’s Encrypt gratuito (no inválido, pero atipico para un bufete internacional). Las cuentas bancarias proporcionadas para los pagos estaban a nombre de sociedades limitadas registradas en Bulgaria, el mismo país de origen de la red COINBLACK.

Impacto total: 79.400 euros perdidos. La empresa tuvo que despedir a 2 empleados para absorber las pérdidas.

Caso 3: Jubilado andaluz y la estafa de la CNMV falsa

Primera estafa (plataforma de trading falsa, septiembre 2024): Un jubilado de 72 años de Almería invirtio 23.500 euros en una plataforma de trading de forex que le mostraba rentabilidades ficticias del 30% mensual. Cuando intento retirar fondos, la plataforma bloqueo su cuenta y dejo de responder.

Segunda estafa (falsa CNMV, febrero 2025): Recibio una llamada de una persona que se identifico cómo “inspector de la Comisión Nacional del Mercado de Valores” asignado a la investigación de la plataforma. El falso inspector:

• Conocía el nombre de la plataforma, el importe invertido y la fecha del último intento de retirada
• Envio un correo desde cnmv-recuperaciones@cnmv-es.org (dominio falso, similar al real cnmv.es)
• Adjunto un “certificado de registro de víctima” con número de expediente, sello de la CNMV y firma digital falsificada
• Explico que la CNMV había “bloqueado los activos de la plataforma en un exchange custodiado en Suiza”
• Solicito 1.200 euros de “tasa de conversión a euros” y 2.800 euros de “comisión del exchange suizo”
• Total segunda estafa: 4.000 euros

Hallazgos periciales: Las cabeceras del email mostraban que el servidor de origen era un VPS en Ucrania. El PDF del “certificado” contenia metadatos que indicaban creación con Canva (herramienta de diseño gráfico, no software de la CNMV). El número de teléfono desde el que llamaron estaba registrado en un servicio VoIP rumano. La CNMV confirmo que nunca contacta a inversores para solicitar pagos y público una alerta específica sobre esta modalidad de fraude en su web.

Nota del caso: Este jubilado había sido estafado una tercera vez antes de que su hija descubriera la situación. Un tercer grupo, haciéndose pasar por “la Interpol”, le solicito otros 1.800 euros. Total acumulado entre las tres estafas: 29.300 euros, la mayor parte de su ahorro vital.

La operación CoinBlack-Wendimine, y por qué importa aquí

En abril de 2025, la Policía Nacional y la Guardia Civil desarticularon en España una red que había estafado 19 millones de euros a 208 víctimas mediante falsas inversiones en criptomonedas. La investigación arrancó con la denuncia de una víctima en Granada que había perdido 624.000 euros.

El señuelo eran vídeos de personas conocidas manipulados con inteligencia artificial que promocionaban la falsa plataforma de inversión, y el cabecilla manejaba más de 50 identidades falsas.

Fuentes: nota de la Policía Nacional · Ministerio del Interior.

Tabla de red flags: cómo identificar una estafa de recuperación de fondos

Marco legal: cómo se tipifica la doble victimización en España

Artículo 248 del Código Penal: estafa agravada

La doble victimización se tipifica cómo estafa agravada bajo el artículo 248 y siguientes del Código Penal:

1. Estafa básica (art. 248 CP): Pena de prisión de 6 meses a 3 años por engaño bastante que produzca error en otro, induciéndole a realizar acto de disposición en perjuicio propio o ajeno
2. Agravante por cuantía o número de afectados (art. 250.1.5 CP): cuando lo defraudado supera 50.000 euros o el fraude alcanza a un elevado número de personas, la pena sube a 1-6 años de prisión y multa de 6-12 meses
3. Especial gravedad por la situación en que queda la víctima (art. 250.1.4 CP): el art. 250 no recoge una agravante autónoma de vulnerabilidad, pero sí atiende a la entidad del perjuicio y a la situación en que el fraude deja a la víctima o a su familia, que es donde encaja el aprovechamiento del estado emocional de quien ya fue estafado
4. Grupo criminal u organización criminal (arts. 570 bis y ter CP): Cuando opera una estructura organizada (call centers), las penas se agravan considerablemente

Marco aplicable: no existe un pronunciamiento que cree una agravante específica para el fraude sobre quien ya fue víctima. Lo que sí puede concurrir son las agravantes generales: el art. 250.1.4.º CP —estafa de especial gravedad «atendiendo a la entidad del perjuicio y a la situación económica en que deje a la víctima o a su familia»— y el abuso de superioridad del art. 22.2.ª CP, cuando el autor se aprovecha de una circunstancia que debilita la defensa de la víctima.

Otros tipos penales aplicables

Marco europeo: Directiva 2012/29/UE

La Directiva 2012/29/UE del Parlamento Europeo establece normas mínimas sobre los derechos, el apoyo y la protección de las víctimas de delitos. Su artículo 18 obliga a los Estados miembros a garantizar protección contra la victimización secundaria y reiterada. España transpuso esta Directiva mediante la Ley 4/2015 del Estatuto de la víctima del delito (BOE 28 abril 2015), cuyo artículo 19 recoge expresamente la protección frente a la victimización secundaria, que incluye la doble victimización por estafa.

Cómo documenta el perito forense la cadena de doble victimización

En mi experiencia cómo perito informático, documentar la doble victimización requiere un enfoque específico que conecte ambas estafas cómo parte de una cadena probatoria única. El proceso que sigo es:

Herramientas forenses que utilizo en casos de doble victimización

Guía de prevención: 10 reglas para evitar la doble victimización

Preguntas relacionadas

¿Las víctimas de doble victimización pueden recuperar su dinero?

La recuperación es posible pero difícil. Depende de la velocidad de la denuncia (las primeras 72 horas son críticas para bloquear fondos bancarios), del método de pago utilizado (las transferencias SEPA son más rastreables que las criptomonedas) y de la cooperación internacional. En los casos que he analizado, la recuperación parcial es posible cuando se actúa con rapidez y se aporta evidencia digital forense sólida, pero nunca es lo habitual. La operación CoinBlack-Wendimine, de la Policía Nacional, logró la incautación de 4,5 millones de euros, pero la devolución a víctimas aun esta en proceso judicial. Para transferencias bancarias dentro de la UE, el protocolo de retrocesión bancaria (a través del banco emisor y receptor) tiene mayor probabilidad de éxito si se activa en las primeras 48 horas.

¿Cómo saben los estafadores que fui víctima de una estafa previa?

Las bases de datos de víctimas (conocidas como sucker lists) se comercializan activamente en foros de la dark web. Contienen nombre, teléfono, email, importe perdido y hasta el nivel de “cooperación” de la víctima. Los precios oscilan entre 5 y 50 euros por registro. En algunos casos, la misma organización criminal que ejecutó la primera estafa opera la segunda bajo una identidad diferente, utilizando directamente su propia base de datos de clientes. Ninguna fuente pública cuantifica qué proporción de víctimas recibe después contacto de un falso recuperador: ni el Crypto Crime Report 2025 de Chainalysis ni el Internet Crime Report 2024 del IC3 publican esa métrica. Lo que sí está documentado es el mercado que la hace posible: las sucker lists se compran y se revenden.

¿Puedo denunciar una doble victimización si me da verguenza haber caido dos veces?

Si. La denuncia es completamente confidencial y los cuerpos de seguridad están formados para tratar a las víctimas sin juicio. La doble victimización explota sesgos psicológicos documentados: no es una cuestion de inteligencia ni de ingenuidad. Aportar la denuncia con un informe pericial que documente la cadena de fraude (primera estafa conectada con la segunda) fortalece significativamente el caso. La Ley 4/2015 del Estatuto de la víctima del delito garantiza expresamente la protección de la dignidad de la víctima durante todo el proceso.

¿Cuál es la diferencia entre recovery room fraud y advance fee fraud?

El recovery room fraud es una modalidad específica de advance fee fraud (fraude de pago anticipado). Mientras que el advance fee fraud es genérico (cualquier estafa que pida un pago previo para un beneficio futuro, como la carta nigeriana o la herencia del príncipe), el recovery room fraud se dirige exclusivamente a víctimas de estafas previas con la promesa de recuperar fondos. Conocer el importe exacto perdido y el nombre de la plataforma donde ocurrió es lo que hace creíble al segundo estafador, aunque no existe una tasa de conversión publicada que permita compararlo con el fraude de pago anticipado genérico: el IC3 no desglosa el recovery fraud como categoría propia en su informe de 2024.

¿Qué papel tiene el perito informático en estos casos?

El perito informático forense cumple tres funciones clave: primero, documenta técnicamente la cadena de fraude conectando ambas estafas mediante análisis de cabeceras de email, trazabilidad blockchain e infraestructura compartida. Segundo, preserva la evidencia digital conforme a los estándares ISO 27037 para que sea admisible en juicio. Tercero, elabora el informe pericial que el abogado utiliza tanto en la denuncia penal cómo en la reclamación civil de daños y perjuicios. En casos internacionales, el informe pericial es fundamental para las comisiones rogatorias que solicitan cooperación judicial de otros países.

¿Existe alguna entidad legítima que ayude a recuperar dinero de ciberestafas?

Si, pero son entidades públicas y no cobran por su servicio. En España: la Policía Nacional (Brigada Central de Investigación Tecnológica), la Guardia Civil (Departamento Contra el Cibercrimen, antes GDT), INCIBE (línea 017) y la CNMV (para fraudes de inversión). A nivel europeo, Europol coordina operaciones contra el ciberfraude pero nunca contacta directamente a víctimas. Cualquier empresa privada que prometa “recuperar tu dinero” a cambio de un pago anticipado debe tratarse con extrema cautela: verifica su existencia real, busca opiniones en internet y consulta con un abogado antes de pagar.

Conceptos relacionados

• Pig Butchering: Estafa romantica-inversión cripto, frecuente primera fase
• Ingeniería Social: Base de todas las técnicas de manipulación
• Blockchain Forense: Trazabilidad de pagos en criptomonedas
• BEC (Business Email Compromise): Otra modalidad de estafa por suplantación
• Cabeceras de Email: Clave para rastrear el origen real de los correos
• Cadena de Custodia: Protocolo para preservar la evidencia digital

Referencias y fuentes

1. Policía Nacional. Operación CoinBlack-Wendimine — desarticulación de una red de estafa con criptomonedas en España. La operación es de la Policía Nacional, no de Europol: en el fraude investigado los estafadores suplantaban a agentes de Europol durante la fase de falsa «recuperación de fondos», y esa suplantación se ha citado por error como si Europol dirigiera la operación. Verificar el detalle en la sala de prensa de la Policía Nacional antes de citar cifras.
2. FBI / IC3. Internet Crime Report 2024 — PDF oficial. El informe no publica ninguna tasa de conversión de recovery fraud; su dato sobre recuperación es el del Recovery Asset Team: 3.020 solicitudes por 848,4 M$, con 469,1 M$ bloqueados en las 2.651 domésticas (66% de éxito).
3. Chainalysis. Crypto Crime Report 2025 — chainalysis.com. Aporta el volumen ilícito. Ojo con la cifra de 2024: el informe de 2025 la situó en 40.900 M$ y el de 2026 la ha revisado a 57.200 M$, porque Chainalysis sigue atribuyendo direcciones hacia atrás. Para 2025 su cifra es de 154.000 M$, un 162 % más, no métricas de revictimización.
4. INCIBE. Balance de Ciberseguridad 2025 — 122.223 incidentes gestionados (+26 %). El Balance no desglosa por modalidad de fraude, de modo que ninguna cifra por tipología procede de él.
5. Action Fraud / NFIB (City of London Police). Warning: Fraudsters send out letters claiming to be from the National Fraud Intelligence Bureau. actionfraud.police.uk — alerta real de fraude de recuperación que suplanta al propio NFIB. El NFIB recibe y analiza denuncias; no publica informes de investigación con título.
6. CNMV. Advertencias sobre entidades no autorizadas. cnmv.es — complementarias: la guía sobre chiringuitos financieros y el decálogo del inversor. Teléfono del inversor: 900 535 015.
7. Código Penal (LO 10/1995). Arts. 248, 250, 390, 402, 570 bis y ter. boe.es
8. Ley 4/2015, de 27 de abril, del Estatuto de la víctima del delito. Art. 19 (protección victimización secundaria). boe.es
9. Directiva 2012/29/UE del Parlamento Europeo y del Consejo. Art. 18 (protección victimización reiterada). eur-lex.europa.eu
10. Freedman, J.L. y Fraser, S.C. (1966). “Compliance without pressure: the foot-in-the-door technique”. Journal of Personality and Social Psychology, 4(2), 195-202
11. Código Penal, art. 250.1.4.º (estafa de especial gravedad por la situación en que deja a la víctima) y art. 22.2.ª (abuso de superioridad).
12. Tribunal Supremo. (2025). STS 629/2025 (Sala de lo Penal). Doctrina sobre prueba digital y sana crítica. CENDOJ

Aviso legal: Este artículo analiza la doble victimización en ciberestafas con finalidad informativa y educativa. Los casos descritos están anonimizados para proteger la identidad de las víctimas. No constituye asesoramiento jurídico. Las estadísticas proceden de las fuentes citadas.

Sobre el autor: Jonathan Izquierdo, perito informático forense, ex-CTO y 5× AWS Certified, con metodología de trabajo basada en ISO 27037. Especializado en documentación de cadenas de fraude y trazabilidad de fondos en criptomonedas para procedimientos penales en toda España.

Última actualización: 16 de marzo de 2026 Categoría: Ciberataques Código: ATK-030

Has sido víctima de una estafa y alguien te promete recuperar el dinero? Contacta con un perito informático forense antes de realizar ningún pago. Analizamos las comunicaciones, documentamos la cadena de fraude y elaboramos el informe pericial para tu denuncia.