¿Qué pasa si eres empresario, estás atendiendo distintos asuntos al mismo tiempo y recibes la llamada de un supuesto funcionario de tu banco indicándote que acaba de detectar movimientos sospechosos en tu cuenta empresarial?
Miras el identificador de llamadas de tu celular y figura el número que reconoces como perteneciente a tu entidad bancaria; incluso figura el nombre y la imagen del banco: todo parece normal.
El supuesto funcionario conoce algunos datos de tu cuenta y te informa que se ha detectado una actividad sospechosa. Luego te indica que, para protegerla, necesita realizar una «actualización de seguridad» y acceder de forma remota a tu computadora.
Preocupado por lo que podría ocurrir con el dinero de la empresa y convencido de que se trata de un procedimiento regular del banco, el empresario sigue las indicaciones y permite el acceso remoto a la computadora en la que realiza habitualmente las operaciones bancarias.
Minutos después, el supuesto funcionario le pide que le proporcione el código que aparece en el token para culminar con el procedimiento, y simplemente se lo da.
El supuesto funcionario, antes de terminar la llamada, le indica: «ya está todo resuelto. ¡Su equipo ha sido actualizado y su cuenta está segura!». Al cabo de unos minutos, recibe una nueva comunicación; sin embargo, esta vez sí es su banco.
El funcionario le pregunta si reconoce 16 movimientos bancarios por un monto de aproximadamente un cuarto de millón de soles, a lo que responde con un rotundo NO. Explica que minutos antes, otro supuesto funcionario de la misma entidad había accedido remotamente a su computadora y que, siguiendo sus indicaciones, le proporcionó el código que aparece en el token.
El funcionario, al escuchar dicha respuesta, le indica que el banco no realiza ese tipo de actualizaciones remotas, ni solicita contraseñas, claves o códigos de token. Ante esta situación, el empresario ingresa de inmediato a la cuenta empresarial y el saldo es cero.
¿Estamos ante un fraude informático o una estafa agravada?
La respuesta no depende únicamente de que los delincuentes hayan utilizado una computadora, una llamada telefónica o herramientas tecnológicas, ni de señalar de forma automática que ello constituye un fraude informático.
El delito de estafa y sus agravantes
En el delito de estafa, previsto en el artículo 196 del Código Penal, existe un elemento esencial: el engaño utilizado para inducir o mantener en error a una persona, logrando a partir de ello un beneficio ilícito y generando un perjuicio patrimonial.
Asimismo, existen determinados supuestos considerados como estafa agravada, previstos en el artículo 196-A del Código Penal. Entre ellos se encuentra la estafa que se realiza para sustraer o acceder a los datos de tarjetas de ahorro o crédito, o que se realiza mediante la manipulación de la imagen, voz, audio o movimiento corporal de terceros, utilizando inteligencia artificial o tecnologías análogas de forma que cause un perjuicio económico a la víctima.
En el ejemplo descrito existe precisamente toda una construcción orientada a generar confianza en la víctima: la aparente llamada del banco, la identificación como funcionario, el conocimiento de determinados datos, la supuesta alerta de seguridad y la urgencia de «proteger» la cuenta.
Es en ese escenario que el empresario, convencido de que efectivamente conversa con personal de su entidad bancaria, permite el acceso remoto a su computadora y proporciona información que posteriormente será utilizada para realizar operaciones que él nunca quiso efectuar.
Es decir, el engaño recae directamente sobre una persona y la mantiene en una falsa representación de la realidad. Esta es una característica relevante para diferenciar estos hechos del delito de fraude informático.
¿En qué se diferencia del fraude informático?
El delito de fraude informático se encuentra previsto en el artículo 8 de la Ley N.° 30096, Ley de Delitos Informáticos. Su núcleo se encuentra en la actuación ilegítima sobre los datos informáticos o sobre el funcionamiento de un sistema informático —mediante su introducción, alteración, borrado, supresión, clonación, suplantación de interfaces, interferencia o manipulación— con la finalidad de obtener un provecho ilícito en perjuicio de un tercero.
En consecuencia, la utilización de tecnología no determina por sí sola la calificación jurídica. Si el delincuente engaña directamente a la víctima para que esta entregue determinada información, autorice un acceso o realice una acción patrimonial que normalmente no habría realizado, estaremos ante elementos propios de una estafa agravada.
¿Cómo evitar convertirte en víctima?
No compartas información confidencial
Nunca compartas contraseñas, claves, token ni códigos de verificación con una persona que te contacte por teléfono, WhatsApp, correo electrónico o cualquier otro medio. Ninguna aparente situación de urgencia justifica el hecho de entregar información confidencial.
Desconfía de los accesos remotos y las «actualizaciones de seguridad»
Si alguien que afirma pertenecer a tu banco solicita instalar un programa, ingresar remotamente a tu computadora o realizar una supuesta «actualización de seguridad», interrumpe la comunicación y verifica directamente con la entidad bancaria a través de sus canales oficiales.
No confíes solo en el identificador de llamadas
No confíes únicamente en el número, nombre o imagen que aparece en el identificador de llamadas. Los delincuentes utilizan distintas herramientas tecnológicas para construir comunicaciones que aparentan ser legítimas.
Reconoce las señales de presión y urgencia
Desconfía especialmente cuando quien llama intenta generar miedo o urgencia con frases como «su cuenta está siendo atacada», «perderá su dinero», «debe actuar inmediatamente» o «necesitamos su código para bloquear la operación». Generar presión es precisamente una de las herramientas utilizadas para reducir la capacidad de reacción de la víctima.
¿Qué hacer si el dinero ya salió de la cuenta?
En este tipo de situaciones el tiempo es determinante. Comunícate de inmediato con el banco para bloquear accesos y reportar las operaciones no reconocidas. Conserva registros de llamadas, números telefónicos, mensajes, correos electrónicos, capturas de pantalla, constancias de operaciones y cualquier otra evidencia disponible.
Del mismo modo, formula tu denuncia en la comisaría más cercana del sector o ante el Ministerio Público, y evita manipular o eliminar información del equipo que usaste, ya que podría contener evidencia digital relevante para identificar cómo se produjo el acceso y reconstruir las operaciones realizadas.
Finalmente, es importante que busques asesoría legal especializada, ya que como víctima te asisten una serie de derechos que debes conocer y ejercer durante la investigación.