Te llega un SMS “del banco”, entras y la web parece idéntica. En minutos, alguien opera con tus claves, contrata un préstamo, vacía tu cuenta o compra con tu tarjeta. No es “solo” un engaño: es suplantación de identidad y suele ir unida a estafa informática.
En España, las estafas informáticas siguen siendo el grueso de la cibercriminalidad registrada: 327.856 hechos entre enero y septiembre de 2025 (+6,4% interanual), dentro de un total de 374.259 infracciones de cibercriminalidad (+8,0%).
Estas cifras explican por qué cada semana vemos casos de suplantación de bancos, marketplaces, empresas de mensajería o incluso de familiares por WhatsApp.
Te contamos a continuación cómo evitarlo o qué puedes hacer si has sido víctima.
1) Qué es la suplantación de identidad (y por qué casi nunca viene sola)
Qué entendemos por “suplantación de identidad”
En la práctica, hablamos de suplantación de identidad cuando un tercero se hace pasar por ti (o por una entidad de confianza) para conseguir un beneficio: acceso a cuentas, contratación de servicios, compras, transferencias o captación de datos.
Sin embargo, la “suplantación de identidad” no siempre es un delito autónomo. Al contrario, el 99% de las veces es el método para cometer otros delitos (estafa, acceso ilícito, descubrimiento de secretos, falsedad documental, etc.).
Formas frecuentes de suplantación de identidad en España
- Phishing (correo o SMS) y sus variantes, smishing y vishing. Un suplantador imita a tu banco y te empuja a “verificar” datos.
- SIM swapping: duplican tu SIM y reciben tus SMS de verificación.
- Cuenta “clonada” en WhatsApp/Instagram: piden dinero a tus contactos.
- Alta de créditos o micropréstamos con tus datos.
- Compras con tarjeta o con datos de tarjeta robados.
- Suplantación en plataformas de compraventa: el estafador usa identidades falsas para cobrar y desaparecer.
Cómo evitar ser víctima de suplantación de identidad
Nadie está completamente a salvo, pero sí puedes reducir drásticamente el riesgo de sufrir una suplantación de identidad si adoptas hábitos digitales seguros:
- Desconfía de la urgencia. Los mensajes que exigen actuar “en 5 minutos” suelen ser fraudulentos.
- No accedas a tu banco desde enlaces recibidos por SMS o email. Escribe siempre la dirección manualmente o usa la app oficial.
- Activa la verificación en dos pasos, o la autenticación multifactor. Refuerza la protección del acceso a tus cuentas
- Utiliza contraseñas únicas y robustas para banca, correo y redes sociales. El correo es la llave maestra de casi todo.
- Revisa tus movimientos bancarios con frecuencia. Detectar una operación sospechosa en horas marca la diferencia.
- Configura alertas de cargo inmediato en tu entidad financiera.
La prevención no elimina el riesgo, pero sí dificulta que el delincuente convierta una simple filtración de datos en una estafa consumada.
¿Qué dice la ley? delitos típicos cuando hay suplantación de identidad
Usurpación de estado civil
El Código Penal castiga al que usurpa el estado civil de otro con prisión de seis meses a tres años (Art. 401 C.P).
Pero no basta con “usar tu nombre” en un chat para configurar delito. El tipo penal suele exigir una suplantación con entidad suficiente, ligada a actos jurídicos o sociales relevantes.
Estafa “clásica” y estafa informática (arts. 248 y 249 CP)
Cuando la suplantación produce un desplazamiento patrimonial, entramos en el delito de estafa.
- Estafa (art. 248 CP): exige engaño bastante, error, acto de disposición y perjuicio, con ánimo de lucro. Pena general: 6 meses a 3 años (y si no supera 400 €, multa).
- Estafa informática (art. 249.1.a CP): cuando, con ánimo de lucro, se interfiere o manipulan datos o sistemas y se logra una transferencia no consentida de activo patrimonial. La pena es la misma que la estafa: 6 meses a 3 años.
Además, el art. 249 se enmarca en la adaptación del Derecho penal español al fraude con instrumentos de pago, en línea con la Directiva (UE) 2019/713, que impulsó una respuesta más homogénea en la Unión Europea frente a estos fraudes.
Descubrimiento de secretos y acceso ilícito a tus cuentas
Cuando el estafador entra en tu correo, tu banca online, tus redes sociales o tu nube, el problema no es solo económico. También afecta a tu intimidad y a tus datos personales. En estos casos, además de la estafa, suele aparecer un segundo frente penal: los delitos vinculados al descubrimiento y revelación de secretos.
El artículo 197 del Código Penal -dentro del ámbito de los delitos contra la intimidad y la propia imagen- castiga el acceso y la obtención de información sin autorización, así como la interceptación de comunicaciones o el apoderamiento de datos reservados, cuando el autor actúa sin consentimiento.
Qué hacer si han suplantado tu identidad: proceso práctico, paso a paso
1. Bloquea todo tipo de acceso
- Llama al banco y bloquea tarjetas y banca online.
- Cambia contraseñas desde un dispositivo seguro. Empieza por correo y banca.
- Activa doble factor, pero revisa si hay riesgo de SIM swapping (si tu móvil “se queda sin cobertura” de repente, sospecha).
2. Conserva la prueba como si fuera oro
Aquí se ganan o se pierden asuntos. Guarda:
- SMS, correos, enlaces, pantallazos, números, conversaciones.
- Extractos con horas exactas, conceptos y destinatarios.
- Emails del banco con alertas de seguridad.
- Si hubo llamada, anota fecha, duración y número.
3. Denuncia fundada
Presenta denuncia en Policía Nacional / Guardia Civil, aportando:
- relato cronológico,
- importe total,
- cuentas destino si constan,
- toda la evidencia digital.
En la estafa informática, la precisión técnica ayuda a que la investigación pida diligencias útiles (trazas, IP, identificación de titulares, etc.). En España existe un marco de investigación tecnológica en la LECrim que permite medidas para obtener y asegurar evidencia digital en procedimientos complejos.
4. Reclamación al banco: otra vía para recuperar lo que te han quitado
En paralelo a la investigación penal, conviene preparar la reclamación por operación no autorizada frente al banco. La experiencia demuestra que la entidad suele apoyarse en dos argumentos: “usted facilitó sus claves” o “la operación se autenticó correctamente”.
Ahí es donde muchos casos se pierden. Porque el debate no gira en torno a si el cliente introdujo un código, sino a cómo se produjo esa introducción y en qué contexto de suplantación.
Por eso es menester centrarse en hechos técnicos y verificables: la cadena completa de la suplantación, la técnica de ingeniería social empleada, el entorno digital en el que se captaron las credenciales y las circunstancias concretas de la autenticación.
Y, sobre todo, desplaza la carga hacia lo esencial: exigir a la entidad que acredite de forma técnica y documentada la supuesta negligencia grave del cliente, con trazabilidad íntegra de la operación y detalle de los sistemas de verificación utilizados.
5. Recuperación del dinero: estrategia penal + civil bien coordinada
En muchos casos, el objetivo real del cliente es doble:
- identificar a los autores (o su estructura), y
- Recuperar importes: responsabilidad civil derivada del delito, trazado de fondos, medidas cautelares, oficios a plataformas.
Una denuncia sin dirección suele quedarse en “autor desconocido”. Una denuncia con enfoque probatorio multiplica opciones.
Cómo puede ayudarte un abogado experto en estafas si han suplantado tu identidad
Si has sufrido suplantación de identidad, no necesitas a alguien que te recite artículos. Necesitas a quien convierta tu caso en prueba sólida y en reclamación viable.
Un abogado especializado aporta, de forma muy concreta:
- Calificación penal correcta (qué delitos concurren y por qué).
- Relato procesal que encaja con los elementos típicos de la estafa: engaño, error, acto de disposición y perjuicio.
- Plan de prueba: qué pedir, a quién, en qué momento y con qué finalidad (sin eso, el asunto se enfría).
- Estrategia para recuperar dinero, coordinando penal y reclamación frente a entidad/operadores cuando procede.
- Control del procedimiento: recursos, personación, impulso, solicitud de diligencias y oposición a archivos por falta de autor.
Si te han suplantado la identidad, haz esto ahora
Si quieres que lo tratemos como un asunto serio desde el minuto uno, prepara:
- extracto bancario con operaciones no autorizadas,
- pantallazos del SMS/correo y la web suplantada,
- tu denuncia (si ya la presentaste) o el relato cronológico.
Pide una valoración jurídica inmediata y orientada a recuperar tu dinero. Cuanto antes fijemos prueba y estrategia, menos margen tendrá el suplantador y más fuerza tendrá tu reclamación.