Phising. Calificación jurídica del mulero, estafa informática o delito de blanqueo de capitales ¿imprudente o doloso? El concepto de ignorancia deliberada

1. Calificación jurídica más apropiada para los muleros en comportamientos
de Phising: estafa o blanqueo ¿doloso o imprudente?
Concepto y algunos tipos de Phising
Los avances en las nuevas tecnologías han posibilitado la evolución de la banca hacia lo
que hoy día se conoce como banca online o electrónica. Estos progresos además de
implicar numerosas ventajas para los actores implicados en las transacciones también
han introducido un gran número de incertidumbres debidas a la falta de seguridad y de
conocimiento sobre el e-banking. Igualmente han surgido nuevas técnicas delictivas
cuyo objetivo es la transferencia de fondos desde una cuenta bancaria sin la autorización
del titular de la misma.
Entre las nuevas modalidades delictivas podemos encontrar el Phising,se trata de una
técnica delictiva que busca la obtención de forma engañosa y fraudulenta de los códigos
de usuario y contraseña de los clientes de banca online. Una vez obtenidos los códigos,
los delincuentes realizan transferencias económicas no consentidas por el titular a una
cuenta creada por un tercero, normalmente ajeno a la trama, que a su vez recibe los
fondos y los transfiere a un país que asegure la impunidad del desapoderamiento por no
contar con mecanismos jurídicos de cooperación judicial. La participación de dichos
terceros, denominados mulas o muleros, permite a la trama extraer los fondos
transferidos sin autorización del titular original sin levantar o suscitar sospechas de la
entidad bancaria de recepción de los mismos.
Formas de conseguir los códigos de usuario y contraseña: phising y pharming
Phising: la técnica de phising más conocida es el envío por parte de los delincuentes de
un mail a un cliente de banca online, en el correo aparece una imitación de la cabecera
del mensaje como si fuera la entidad bancaria del usuario, incluso utiliza mismos logos
y símbolos, en el mismo se pide al usuario que renueve sus claves de acceso
introduciéndolas en los apartados dispuestos para ello. Una vez introducida la
información los delincuentes aprovechan para realizar transferencias no autorizadas. La
finalidad de esta técnica es la obtención del login, password y firma electrónica del
usuario para posteriormente hacerse pasar por él ante la entidad bancaria online.

2. Otra técnica de phising muy utilizada es la instalación de troyanos, los autores del ilícito
acceden al ordenador de las víctimas con un programa o software aparentemente
inofensivo pero que al ejecutarlo instala en el ordenador un segundo programa, el
llamado troyano, éste permite realizar intrusiones o ataques contra el ordenador
afectado. El delincuente puede capturar todos los textos que el usuario introduzca
mediante el teclado o incluso mediante un teclado virtual (técnica de seguridad utilizada
en la banca electrónica que ya está superada por los delincuentes mediante el estudio del
movimiento del ratón) permitiendo a los infractores registrar las contraseñas
introducidas por el cliente del banco online. En muchas ocasiones se utilizan trojan
proxy, este tipo de troyano proporciona anonimato a los delincuentes ya que acceden a
internet y realizan las órdenes de transferencia desde el equipo de la víctima, dejando el
rastro de la dirección IP del equipo manipulado y no la original del delincuente.
Pharming: utilizan una página web casi idéntica a la de una entidad bancaria (web
spoofing) y la conectan a un servidor para que los usuarios del banco la utilicen como si
fuera la original, los clientes engañados y confiados introducen sus datos secretos que
son obtenidos por los delincuentes. Se trata de una modificación técnica de las
direcciones DNS del servidor informático o del archivo de host, tras esto quien solicita
una página web, normalmente de un banco online, ya sea mediante el tecleo de la
dirección, desde un buscador o desde favoritos, no accede a la web solicitada sino que
es redireccionada a la imitación de la web del banco, entregando voluntariamente las
claves de acceso al autor del ilícito.
La jurisprudencia ha llegado a un acuerdo unánime valorando esta modalidad delictiva
como estafa informática, art. 248.2 CP. A este respecto hay autores que sostienen que es
difícil considerar el phising como estafa informática, de acuerdo con el profesor Óscar
Morales García, la manipulación informática tiene que tener la finalidad de conseguir la
transferencia no consentida de activos patrimoniales, objeto que no se da en el phising
puesto que la manipulación busca la obtención de las claves de la cuenta, la
transferencia es posterior a dicha manipulación y podrá o no llegar a realizarse. La única
forma de incluir el phising como estafa informática es la interpretación analógica de
manipulación informática o artificio semejante. En todo caso, la manipulación se
produce en una etapa anterior a la transferencia no consentida de activos patrimoniales y
el resultado de la técnica suele ser la obtención de los códigos de usuario y contraseña.

3. Calificación Jurídica del mulero
El denominado mulero es la persona que controla la cuenta corriente a través de la que
circula el activo patrimonial transferido por parte de los delincuentes sin consentimiento
de su titular.
Normalmente el mulero no forma parte de la trama delictiva. La práctica consiste en
enviar una oferta de teletrabajo a la cuenta de correo electrónico de un usuario al que
ofrecen importantes remuneraciones económicas como retribución. El trabajo consiste
en recibir transferencias de dinero en una cuenta corriente abierta por el mulero, el
dinero se puede pensar que procede de actividades económicas legales realizadas en
España por la empresa que ofrece el empleo, una vez recibido el dinero tiene que retirar
el mismo restando una comisión para él y enviarlo mediante Western Union a otra
persona. Supuestamente todo el proceso se realiza para conseguir ventajas fiscales para
la empresa ofertante, sin embargo, el dinero proviene de transferencias realizadas sin el
consentimiento de los titulares de las cuentas iniciales, a quienes previamente les han
sustraído las claves de acceso mediante engaño.
La calificación de la conducta reprochable al mulero no está exenta de problemas, la
jurisprudencia no es unánime a la hora de catalogar su responsabilidad penal.Desde
hace unos años se han venido dictandovarias sentencias que se apoyan en diferentes
criterios, unas veces consideran tal conducta como estafa informática (art. 248.2 CP) y,
otras veces, como delito de blanqueo de capitales por imprudencia grave (art. 301.3
CP).Como ejemplo de esta falta de unanimidad se pueden mencionar la sentencia
adoptada por la Audiencia Provincial de Tenerife, que califica como estafa informática
la conducta del mulero, siguiendo los criterios establecidos por la sentencia del Tribunal
Supremo de 12 de junio de 2007. En el lado contrario se puede citar la sentencia
adoptada por la Audiencia Provincial de Málaga calificando la conducta del mulero
como delito de blanqueo de capitales por imprudencia grave. La primera sentencia
citada se dictó el 9 de diciembre de 2013, mientras la segunda es de 23 de octubre de
2013, ambas son muy recientes y muestran que a pesar de que el número de casos va en
aumento,debido a las circunstancias económicas actuales, los criterios siguen sin
unificarse creando una alarmante inseguridad jurídica.

4. Análisis de su calificación como estafa informática
El 248.2 CP relativo a la estafa informática castiga a quienes, valiéndose de alguna
manipulación informática o artificio semejante, consigan una transferencia no
consentida de cualquier activo patrimonial en perjuicio de tercero. Visto el artículo
parece difícil subsumir la conducta del mulero en la estafa informática, sin embargo, es
necesario realizar el análisis de distintas cuestiones.
La primera cuestión que hay que plantearse es sí los muleros son realmente
responsables, o, si por el contrario, su actuación está regida por el error, el
desconocimiento y el engaño quedando su conducta sin responsabilidad penal, la figura
de la estafa requiere de conciencia y voluntad de la acción engañosa. En la mayor parte
de los casos presentados antes los jueces y tribunales, los muleros alegan en su defensa
que han sido engañados y que ellos también son víctimas de los verdaderos
delincuentes. Los muleros realizan tareas de colaboración siendo utilizados por los
scammers,quienes para no venir al país y exponerse a una posible identificación utilizan
a éste tercero al que transfieren el dinero ilícitopara que posteriormente lo retire en
metálico y lo envíe a un país sin acuerdo de colaboración judicial, países como
Tayikistán o Ucrania.
El punto anterior tiene importancia ya que el delito de estafa informática previsto y
penado en el 248.2 CP requiere de la acreditación de un elemento intencional o doloso.
Suponiendo que la estafa informática sea la calificación correcta de la conducta del
mulero nos vamos a encontrar ante un problema de valor probatorio, habría que probar
que el mulero conoce de la ilicitud del dinero transferido a su cuenta y del perjuicio que
se le está causando a un tercero, asunto que no es tarea fácil ya que la mayoría de las
veces el mulero actúa mediante engaño y sin conocimiento acerca de la procedencia del
dinero.
Concepto de ignorancia deliberada
De las sentencias dictadas respecto del phising debemos considerar el concepto de
ignorancia deliberada que está siendo utilizado por jueces y tribunales para atribuir
responsabilidad penal al mulero. De acuerdo a las sentencias, cualquier persona de tipo
medio podría haber tenido sospechas sobre la licitud de la actividad o supuesto trabajo
que se le ofrecía por personas desconocidas, además, no es normal obtener tantos
beneficios por una actividad de tan escasa especialización y valor.De la inobservancia

5. del deber de cuidado se está deduciendo que en la actuación del mulero concurre un
dolo eventual, resulta tan obvio que la oferta puede ser ilícita que es muy difícil no
imaginar que el sujeto en algún momento tuvo dudas acerca de la procedencia del
dinero. Por tanto,se puede concluir que actúa con ignorancia deliberada la persona que
pudiendo y debiendo conocer no quiere saber.
La ignorancia deliberada es un concepto desconcertante, ¿Cómo se puede actuar con
dolo desde la ignorancia? En todo caso podríamos hablar de imprudencia o falta de
diligencia en la comprobación de la oferta pero no presuponer el dolo directo o eventual
que requiere la estafa informática. En muchos casos los muleros actúan bajo lo que en
apariencia es un contrato laboral legal, da igual incluso el nivel de estudios que tenga la
persona, las actuales consecuencias de la crisis económica hacen que haya personas a
quienes se le nubla el juicio hasta el punto de aceptar “cualquier cosa” ¿Qué tipo de
cautelas se le deben pedir a los desempleados? La oferta de empleo suele revestir una
apariencia de legalidad y suele encontrarse en sitios webs que ofrecen garantías, como
pueden ser buscadores de empleo, tales como www.infojobs.com o
www.infoempleo.com. Igualmente, si el mulero recibe la información por mail y decide
investigar sobre la empresa ofertante, en muchas ocasiones, se topa con una página web
creada por la falsa empresa donde ofrece información con el fin de engañar a los
visitantes. El hecho de que se pueda pensar que detrás de la oferta de empleo hay algo
turbio no puede considerarse como conocimiento efectivo de la ilicitud del dinero y del
perjuicio a un tercero. Para que exista el dolo no basta con que haya una ignorancia
deliberada, debe haber un acuerdo entre el mulero y los delincuentes, convirtiéndose
todos en una trama delictiva, si el mulero actúa sin conocimiento (no ha participado en
el plan) de que el dinero que le transfieren ha sido sustraído de un tercero no se le puede
culpar por estafa informática.
En conclusión, para que se pueda subsumir la conducta del mulero en la estafa
informática habría que acreditar que conoce del delito previo, del origen ilícito del
dinero recibido en su cuenta corriente y del perjuicio que está realizando a tercero ajeno.
Otra cuestión distinta e igualmente complicada versa sobre sí la conducta del mulero se
encuentra dentro de la estafa informática o sí, por el contrario,la realiza una vez el delito
ya se ha consumado. Los que defienden que no se puede englobar en la estafa
informática se apoyan en que el mulero no interviene en la manipulación informática,
que es la base de la defraudación del 248.2, no participadel artificio informático a través

6. del cual obtienen las claves de usuario y contraseña de la cuenta cliente del tercero
perjudicado, igualmente tampoco participa en la transferencia del dinero desde la cuenta
corriente inicial. El mulero participa en una actividad independiente y posterior a la
estafa informática.
La segunda posición defiende que la conducta del mulero es decisiva para la
consumación del delito, sostiene que la apertura de una cuenta corriente con la finalidad
exclusiva de ingresar el dinero procedente de la actividad ilícita es un acto clave para la
consumación del delito de estafa. En la mayoría de los casos, al delincuente no le
bastará con el conocimiento de las claves de acceso a la cuenta cliente, sino que
requerirá la transferencia del dinero a un sitio seguro.Esta postura es difícil de sostener,
primero, el mulero no abre la cuenta con la intención de que se transfieran fondos de
origen ilícito, y segundo, el art. 248.2 se introdujo en el Código Penal pensando en
tipificar como estafa los actos de apropiación de patrimonios ajenos realizados mediante
manipulaciones en máquinas, cajeros automáticos principalmente, la conducta engañosa
es hacerse pasar por quien no se es delante de la máquina en perjuicio de tercero, la
estafa informática termina con la sustracción del dinero ajeno, sin necesidad de la
transferencia o traslado del mismo a un sitio seguro. Por tanto, se puede pensar del
origen del 248.2 que la conducta de la estafa concluye cuando el dinero ha sido
sustraído, con lo cual todo acto posterior se considera como un acto independiente del
delito de estafa.
Análisis de su calificación como delito de receptación
Una parte de la doctrina sostiene que para el caso en que el mulero actúe con dolo su
conducta coincide con la tipificada en el art. 298 CP. El delito de receptación castiga a
quien con ánimo de lucro y con conocimiento de la comisión de un delito contra el
patrimonio o el orden socioeconómico, en el que no haya intervenido ni como autor ni
como cómplice, ayude a los responsables a aprovecharse de los efectos del mismo, o
reciba, adquiera u oculte tales efectos. Por tanto, si partimos de que el mulero actúa en
una segunda etapa del phising, posterior e independiente de la estafa informática, su
actividad encajaría con la tipificada en el 298 CP, siempre que se acredite tanto el ánimo
de lucro, no suele presentar problemas en la práctica, como el conocimiento efectivo de
la comisión de un delito contra el patrimonio de un tercero ajeno.

7. La intervención del mulero consiste en la recepción y posterior colocación del dinero en
países con los que no existen mecanismos de cooperación judicial. Ayuda a los
responsables de la estafa informática a aprovecharse de los efectos del delito, realizando
la transferencia del dinero ajeno a un tercer país, alejándolo del alcance de las
investigaciones judiciales y asegurando la impunidad de los delincuentes.
Análisis de su calificación como delito de blanqueo de capitales por
imprudencia grave
La actividad del mulero en el delito de phising es la recepción de transferencias de
dinero en su cuenta corriente para posteriormente realizarsu envío en metálico mediante
la Western Union a una tercera persona,quedándose con una comisión que en la mayoría
de los casos es de un 7%.
El art. 301 relativo al delito de blanqueo de capitales sanciona a quien adquiera, posea,
utilice, convierta, o transmita bienes, sabiendo (es decir, con conocimiento doloso) que
los mismos tienen su origen en un delito realizado por él o por cualquier tercera
persona, o realice cualquier otro acto para ocultar o encubrir su origen ilícito o para
ayudar a la persona que haya participado en la infracción o infracciones a eludir las
consecuencias legales de sus actos. Éste primer párrafo requiere que el sujeto conozca
de la actividad delictiva o realice actos para ocultar o encubrir su origen ilícito, es decir,
tiene que tener un conocimiento efectivo de la ilicitud de la actividad. Por tanto, no se le
pueden atribuir al mulero las sanciones de este primer apartado en los casos en que éste
actúe sin dolo.
Sin embargo, el párrafo 3º de dicho artículo 301 tipifica la conducta del primer apartado
para el caso de actuar con imprudencia grave. El legislador ha tipificado la actuación
con imprudencia grave al considerar que la misma es sancionable cuando la persona
incurre en una grave dejación del deber de diligencia exigible o esperable de cualquier
persona precavida.
No se plantean dudas sobre el encaje de la conducta del mulero en el 301.3 CP relativo
al delito de blanqueo de capitales por imprudencia grave. No resulta necesario que el
delito previo de estafa haya sido juzgado para condenar las acciones de blanqueo puesto
que haría imposible la práctica aplicación del 301 CP.

8. Bibliografía
Muñoz Cuesta, Francisco Javier: Estafa informática: introducción de datos falsos en
operaciones mercantiles vía internet. Revista Aranzadi Doctrinal número 1/2009
Morales García, Óscar: Derecho penal y sociedad de la información. Principios de
derecho de la sociedad de la información, coordinador, Miguel Peguera Poch, Aranzadi
2010
Velasco Núñez, Eloy: Estafa informática y banda organizada, phising, pharming,
smishing y “muleros”. La ley Penal, número 49, mayo 2008
Velasco Núñez, Eloy: Fraudes informáticos en red: del phising al pharming. La ley
Penal, número 37, abril 2007.
Bibliografía Jurisprudencial
Sentencia Audiencia Provincial de Tenerife de 9 de diciembre de 2013
Sentencia Audiencia Provincial de Málaga de 23 de octubre de 2013
Sentencia Audiencia Provincial de Barcelona de 8 de octubre de 2013
Sentencia Audiencia Provincial de Ávila de 18 de febrero de 2013