Phishing bancario y estafa informática en Costa Rica

El phishing bancario y la estafa informática son formas de fraude que suelen aprovechar correos, mensajes, llamadas o sitios web falsos para obtener claves, códigos de verificación o datos financieros. En Costa Rica, estas conductas pueden encajar en varios tipos penales del Código Penal y, según el caso, en delitos vinculados con la manipulación de sistemas o datos informáticos, además de figuras tradicionales como la estafa. La calificación jurídica depende mucho de cómo ocurrió el hecho: si hubo engaño a la persona, acceso no autorizado a una cuenta, suplantación de identidad, uso indebido de credenciales o alteración de información.

En la práctica, estos casos afectan con frecuencia cuentas bancarias, billeteras digitales, transferencias electrónicas y servicios de banca en línea. También pueden involucrar compras no autorizadas, apertura fraudulenta de cuentas, uso de tokens o códigos de un solo uso, y suplantación de entidades financieras para capturar datos sensibles. La respuesta jurídica en Costa Rica combina la vía penal, la posibilidad de reclamar daños y, en paralelo, gestiones con la entidad financiera para intentar frenar movimientos o reportar operaciones no reconocidas.

Qué se entiende por phishing bancario en Costa Rica

El phishing es una técnica de engaño digital mediante la cual una persona delincuente se hace pasar por un banco, una cooperativa, una financiera o incluso por una plataforma de pago para inducir a la víctima a revelar información confidencial. Puede presentarse por correo electrónico, mensajes de texto, enlaces a páginas clonadas, ventanas emergentes o llamadas en las que se solicita validar datos, contraseñas, PIN, coordenadas o códigos de autenticación.

Jurídicamente, el phishing no siempre se describe con un nombre único en el Código Penal, pero sus hechos suelen encajar en delitos como estafa, fraude informático, acceso indebido a sistemas, suplantación o manipulación de datos, según la dinámica concreta. La clave está en determinar si el autor obtuvo un beneficio patrimonial usando engaño o aprovechando vulnerabilidades tecnológicas, y si la víctima sufrió una disposición patrimonial perjudicial, como una transferencia o un cargo no autorizado.

Cómo se diferencia la estafa informática de la estafa tradicional

La estafa tradicional se centra en el engaño sobre una persona para que disponga voluntariamente de su patrimonio en perjuicio propio o de un tercero. La estafa informática, en cambio, suele implicar que el fraude se comete mediante sistemas, programas, datos o procesos automatizados, o que el resultado patrimonial se produce por una manipulación digital. En Costa Rica, esa diferencia importa porque el medio usado puede cambiar la forma de encuadrar el hecho y la prueba necesaria.

En un caso de phishing bancario, la frontera entre ambas figuras puede ser difusa. Si la víctima entrega sus credenciales porque creyó que hablaba con su banco, puede haber engaño propio de una estafa. Si además el autor entra al sistema y realiza una transacción no autorizada, aparecen componentes de acceso indebido o fraude informático. En ocasiones, un mismo caso reúne varios delitos o una sola calificación principal con hechos conexos.

Conductas que suelen tener relevancia penal

En Costa Rica, los hechos más frecuentes asociados al phishing bancario y a la estafa informática suelen incluir:

• Creación de páginas web o perfiles falsos que imitan a una entidad financiera.
• Envío de mensajes para capturar contraseñas, tokens o códigos de seguridad.
• Uso de credenciales robadas para ingresar a la banca en línea.
• Transferencias no autorizadas desde cuentas de la víctima.
• Solicitud de “verificación” de datos para luego vaciar cuentas o abrir productos financieros.
• Suplantación de identidad digital para contratar servicios, pedir créditos o cambiar datos de acceso.
• Manipulación de sistemas, enlaces, formularios o dispositivos para redirigir pagos.

No toda pérdida económica por internet implica automáticamente un delito informático específico. Puede haber también fallas de seguridad, errores del usuario o controversias contractuales con la entidad financiera. Por eso resulta importante analizar si existió una conducta dolosa, es decir, orientada a engañar o defraudar.

Marco legal aplicable en Costa Rica

El tratamiento jurídico de estos hechos se apoya principalmente en el Código Penal costarricense, que contiene la figura de la estafa y otras conductas patrimoniales, además de tipos relacionados con el uso indebido de medios informáticos cuando la conducta afecta sistemas, datos o comunicaciones. También pueden entrar en juego normas sobre privacidad, protección de datos y obligaciones contractuales entre cliente y entidad financiera, especialmente cuando se discute la responsabilidad por operaciones no reconocidas.

En materia financiera y de servicios electrónicos, no existe una respuesta automática igual para todos los casos. La valoración depende de factores como:

• si la operación fue autorizada por la persona titular;
• si hubo negligencia, engaño o acceso fraudulento;
• si se utilizaron mecanismos de autenticación reforzada;
• si el banco contaba con alertas de seguridad o medidas de detección;
• si la afectación fue por un delito de terceros o por una disputa civil/contractual.

La prueba digital suele ser decisiva: capturas de pantalla, registros de acceso, correos, mensajes, historial de transacciones, enlaces utilizados, datos del dispositivo y cualquier comunicación con la entidad financiera. Sin esa base, puede ser difícil sostener penalmente lo ocurrido o diferenciar un fraude de un error operativo.

Cuándo puede haber delito y cuándo no

Elementos que suelen analizarse para definir la responsabilidad

Cuando se examina un caso de phishing bancario o estafa informática, normalmente se revisa si hubo engaño bastante, ánimo de lucro y perjuicio patrimonial. En el ámbito informático, además, se valoran el acceso no autorizado, la alteración de datos, la interceptación de credenciales y la trazabilidad técnica de la operación.

También puede ser relevante si la víctima fue inducida a actuar mediante:

• urgencia artificial, como supuestas cuentas bloqueadas;
• mensajes con apariencia institucional;
• enlaces a formularios que copian la imagen del banco;
• falsos avisos de seguridad o premios;
• llamadas en las que se solicita un código “de confirmación”.

En estos casos, la persona investigadora o la fiscalía suelen intentar reconstruir la secuencia completa: primer contacto, obtención de datos, ingreso a la cuenta, movimiento de fondos y destino del dinero. Si el dinero fue dispersado mediante varias cuentas o plataformas, la trazabilidad puede complicarse, pero no desaparece la posible responsabilidad penal.

Prueba útil en casos de phishing bancario

La documentación y conservación de evidencia electrónica es uno de los puntos más importantes. En Costa Rica, la eficacia de la denuncia o de una eventual querella depende en buena medida de contar con elementos verificables. Conviene guardar:

• capturas de pantalla del mensaje, correo o sitio fraudulento;
• enlaces completos, si es posible;
• fechas y horas de recepción de los mensajes;
• comprobantes de transferencias o cargos no reconocidos;
• historial de accesos o notificaciones del banco;
• comunicaciones con la entidad financiera;
• datos de cuentas receptoras o referencias de pago;
• cualquier alerta de seguridad emitida por el sistema.

Si el fraude se produjo por llamada telefónica, también ayuda anotar el número desde el que se contactó, el contenido de la conversación y el momento en que se entregaron los datos. Cuando exista un enlace o archivo sospechoso, conviene no interactuar más con él y conservar la información sin alterar el dispositivo.

Qué pasos suelen seguirse en Costa Rica

Ante un hecho de esta naturaleza, suele ser útil actuar con rapidez. No existe una única ruta obligatoria, pero normalmente se combinan medidas de contención y denuncia. Las acciones inmediatas más habituales son:

• bloquear o cambiar claves y credenciales comprometidas;
• notificar a la entidad financiera sobre operaciones no reconocidas;
• revisar movimientos recientes y cuentas asociadas;
• reunir pruebas digitales sin borrar mensajes ni historiales;
• presentar la denuncia penal ante la autoridad competente;
• valorar asesoría legal para ordenar la evidencia y el reclamo.

En el plano penal, la denuncia permite que se investiguen los hechos y, si procede, se identifique a los responsables. En el plano bancario o civil, puede servir para discutir la imputación de la operación, la devolución de fondos o la distribución de riesgos conforme a las reglas contractuales y regulatorias aplicables.

Problemas frecuentes en la práctica

Uno de los obstáculos más comunes es la suplantación transnacional. Muchas campañas de phishing operan desde fuera del país o usan servidores, cuentas y billeteras dispersas, lo que vuelve más lenta la investigación. Otro problema es la rápida movilización del dinero, que puede pasar por varias cuentas intermedias en minutos u horas.

También es frecuente que existan dudas sobre si la víctima autorizó o no la transacción. Algunas defensas se apoyan en que la operación se realizó con credenciales válidas, pero eso no elimina por sí solo la posibilidad de fraude si las credenciales fueron obtenidas mediante engaño o robo. Del lado contrario, la falta de evidencia técnica puede dificultar demostrar que una tercera persona tomó el control real de la cuenta.

Un tercer obstáculo es la diferencia entre responsabilidad penal y responsabilidad contractual. Que un banco no reconozca de inmediato una reclamación no significa necesariamente que exista un delito consumado, pero tampoco significa que la persona usuaria deba asumir automáticamente toda la pérdida. La respuesta depende del análisis de autenticación, seguridad, trazabilidad y circunstancias concretas.

Diferencias con otras conductas cercanas

El phishing bancario suele confundirse con otras modalidades de fraude digital. Conviene distinguirlas porque no siempre se aplican las mismas normas ni la misma prueba.

Responsabilidad de terceros y complicidad

En algunos casos no solo responde quien ideó el fraude principal. También pueden aparecer personas que facilitan cuentas receptoras, prestan dispositivos, captan fondos o colaboran en la ocultación del dinero. La responsabilidad de partícipes dependerá del grado de conocimiento y de la contribución concreta al hecho.

Esto es especialmente importante en esquemas de “mulas” o intermediarios financieros, donde el dinero defraudado se transfiere a cuentas de terceros que luego lo retiran o lo reenvían. Si existe conocimiento de que el dinero proviene de una actividad ilícita, la valoración penal puede agravarse o abrir otros frentes de investigación.

Qué puede pedir la persona afectada

La persona perjudicada por phishing bancario o estafa informática puede buscar, según el caso, la investigación penal de los responsables y la recuperación de fondos mediante mecanismos bancarios o acciones legales complementarias. En sede penal, la pretensión principal es que se esclarezcan los hechos y se identifique a los autores. En sede civil o contractual, puede discutirse el resarcimiento de daños y la restitución de montos.

Es prudente tener presente que el éxito de cualquier reclamo depende de la prueba disponible, del rastro del dinero y de la respuesta de la entidad financiera ante el incidente. No siempre se logra recuperar la totalidad de lo perdido, sobre todo cuando el dinero se retiró rápidamente o se movió a estructuras difíciles de rastrear.

Aspectos preventivos con relevancia jurídica

La prevención no solo reduce el riesgo económico; también ayuda a fortalecer una eventual reclamación. Mantener activadas medidas de autenticación, revisar de forma periódica movimientos y no compartir claves ni códigos de un solo uso son prácticas básicas. Desde la perspectiva jurídica, la diligencia de la persona usuaria puede influir en la discusión sobre responsabilidad y en la valoración del caso.

También conviene desconfiar de enlaces urgentes, supuestos bloqueos inmediatos y solicitudes de validación por canales no habituales. Las entidades financieras legítimas no deberían pedir contraseñas completas o códigos de autenticación por medios inseguros. Cuando surja la duda, es preferible verificar por canales oficiales antes de entregar cualquier dato.

Qué puede pasar si el hecho no logra probarse como delito

Si no se logra demostrar la participación dolosa de un tercero, el caso puede quedar sin una imputación penal sólida o resolverse por otras vías. Eso no significa que la pérdida sea irrelevante, sino que la respuesta jurídica puede desplazarse hacia un conflicto de naturaleza contractual, administrativa o de consumo. En Costa Rica, la tipificación penal exige base probatoria suficiente; no basta con la sola existencia de un cargo desconocido.

Por eso, en casos de operaciones electrónicas no reconocidas, la reconstrucción de hechos y la preservación de evidencia suelen ser decisivas desde el primer momento. Cuanto más preciso sea el rastro documental y técnico, mayores serán las posibilidades de que el asunto se encauce correctamente en sede penal o en la discusión con la entidad financiera.