Estafa según el artículo 248 del Código Penal: guía para víctimas (2026)

Si has sido víctima de una estafa (online o presencial) y estás buscando saber qué dice exactamente el art. 248 del Código Penal y qué hacer ahora, esta guía te explica el marco legal en lenguaje accesible y los pasos concretos para las primeras 24 horas. No es asesoramiento jurídico — para tu caso concreto consulta con un abogado. Sí es la información técnica y procesal que un perito informático considera relevante para que tu denuncia tenga la máxima fuerza probatoria.

Tabla de contenidos

1. Qué dice exactamente el art. 248 CP
2. Tipos de estafa que cubre el Código Penal español
3. Qué NO cubre el art. 248 CP
4. Pasos primeras 24 horas tras descubrir la estafa
5. Cuándo el peritaje informático es decisivo
6. Escenario ilustrativo: estafa BEC y peritaje de correo
7. Preguntas frecuentes

1. Qué dice exactamente el art. 248 CP

El artículo 248 del Código Penal español (Ley Orgánica 10/1995), en su redacción vigente tras la LO 1/2026, de 8 de abril, define y castiga la estafa así —el texto consolidado del BOE es la fuente que manda—:

Artículo 248.

Cometen estafa los que, con ánimo de lucro, utilizaren engaño bastante para producir error en otro, induciéndolo a realizar un acto de disposición en perjuicio propio o ajeno.

Los reos de estafa serán castigados con la pena de prisión de seis meses a tres años. Para la fijación de la pena se tendrá en cuenta el importe de lo defraudado, el quebranto económico causado al perjudicado, las relaciones entre este y el defraudador, los medios empleados por este y cuantas otras circunstancias sirvan para valorar la gravedad de la infracción.

Si la cuantía de lo defraudado no excediere de 400 euros, se impondrá la pena de multa de uno a tres meses, salvo si concurriere alguna de las circunstancias del artículo 250.

La reforma de 2022 (LO 14/2022) reservó el art. 248 a la estafa clásica (engaño a una persona), con su pena y el umbral de 400 €: las modalidades que antes figuraban en el derogado art. 248.2 —manipulación informática y uso fraudulento de tarjetas— pasaron al art. 249 (ver más abajo). La LO 1/2026 añadió después una regla de agravación por multirreincidencia; su tenor íntegro debe consultarse en el consolidado del BOE.

Los elementos de la estafa clásica (art. 248)

Para que una conducta sea estafa penal deben concurrir, además del ánimo de lucro (que se explica más abajo), tres elementos objetivos. La jurisprudencia del Tribunal Supremo es constante en su definición —por todas, la STS 831/2015, de 29 de diciembre (ECLI:ES:TS:2015:5608)—:

1. Engaño bastante — la conducta del autor debe ser objetivamente apta para inducir a error a una persona de diligencia media. Un engaño tan burdo que cualquiera lo detectaría no sería “bastante”. Ahora bien, la exigencia se modula según la víctima: la jurisprudencia atiende a las circunstancias concretas de quien sufre el engaño, de modo que lo que resultaría burdo para una persona con soltura digital puede ser suficiente frente a una víctima especialmente vulnerable por edad o desconocimiento técnico.

2. Error inducido en la víctima — la víctima debe creer falsamente algo a consecuencia del engaño. Si la víctima no cree el engaño y aun así dispone del dinero por otra razón (lástima, presión emocional sin engaño objetivo), no hay estafa.

3. Disposición patrimonial perjudicial — la víctima debe realizar un acto que disminuye su patrimonio (o el de un tercero a quien representa) como consecuencia directa del error. Sin perjuicio económico no hay estafa consumada (sí puede haber tentativa).

Ánimo de lucro

El art. 248 exige también ánimo de lucro del autor — es decir, intención de obtener beneficio económico propio o ajeno. Este elemento subjetivo debe acreditarse en juicio, aunque en la práctica se infiere de los hechos cuando el resultado de la conducta es la obtención de un beneficio económico no debido (no requiere prueba directa de la intención, basta la inferencia razonable).

2. Tipos de estafa que cubre el Código Penal español

Estafa básica (art. 248 CP)

Pena: prisión de 6 meses a 3 años (art. 248 CP); si lo defraudado no excede de 400 €, multa de uno a tres meses (delito leve), salvo que concurra alguna agravante del art. 250.

Ejemplos clásicos: vendedor que cobra y no entrega, profesional que cobra por servicio que sabe imposible, estafador que finge ser quien no es para conseguir transferencia.

Estafa agravada (art. 250 CP)

Pena: prisión 1 a 6 años + multa 6 a 12 meses (art. 250.1); y prisión de 4 a 8 años + multa de 12 a 24 meses cuando lo defraudado supera los 250.000 € o concurren las combinaciones del art. 250.2. Aplican cuando concurre alguna de estas circunstancias:

• Recae sobre cosas de primera necesidad, viviendas u otros bienes de reconocida utilidad social (250.1.1.º).
• Se perpetra abusando de firma de otro, o sustrayendo, ocultando o inutilizando proceso, expediente, protocolo o documento público u oficial (250.1.2.º).
• Recae sobre bienes que integren el patrimonio artístico, histórico, cultural o científico (250.1.3.º).
• Reviste especial gravedad por la entidad del perjuicio o la situación económica en que deja a la víctima (250.1.4.º), o el valor de lo defraudado supera los 50.000 € o afecta a un elevado número de personas (250.1.5.º).
• Se cometa abusando de relaciones personales existentes entre víctima y defraudador, o aprovechando éste su credibilidad empresarial o profesional (250.1.6.º).
• Se cometa estafa procesal —manipular las pruebas en un procedimiento judicial para inducir a error al juez— (250.1.7.º).

Estafa informática (art. 249.1.a CP)

El subtipo más relevante para casos digitales. El art. 249.1.a se aplica cuando la manipulación informática o un artificio semejante consigue una transferencia patrimonial no consentida — no a todo fraude por el mero hecho de usar tecnología. Las técnicas siguientes describen el cómo del engaño; que encajen en el art. 248 o en el 249.1.a depende de cómo se ejecutó la disposición patrimonial:

• Phishing bancario (correo o SMS aparentando ser del banco para que la víctima entregue credenciales).
• Smishing (phishing por SMS — Correos, AEAT, banco).
• Vishing (phishing por voz — falso operador del banco).
• Business Email Compromise (BEC) — fraude del CEO o del proveedor por email comprometido o suplantado.
• Manipulación de banca online — acceso no autorizado a cuenta para transferir.
• Falsos comercios online — webs aparentemente de comercio que cobran y no entregan.
• Fraude de soporte técnico — falso técnico que toma control remoto del PC para robar.

La pena de la estafa informática es la misma que la básica (6 meses-3 años) o la agravada del art. 250 (1-6 años en el art. 250.1; hasta 4-8 años en el art. 250.2 cuando lo defraudado supera 250.000 €), según importe y circunstancias.

Estafa con tarjetas (art. 249.1.b CP)

Quien usa tarjetas de crédito/débito, cheques de viaje o sus datos para operar en perjuicio del titular. Cubre clonación de tarjeta, uso de datos robados en compras online, etc.

3. Qué NO cubre el art. 248 CP

Esta es la parte que la mayoría de víctimas pasan por alto y que los abogados deben gestionar con expectativas realistas. NO toda pérdida económica por engaño es estafa penal.

Casos que SUELEN ser solo civiles (no estafa penal)

• Incumplimiento contractual sin engaño previo: el proveedor cobró y entregó tarde / mal / parcialmente. Si NO hubo engaño en el momento del contrato (es decir, el proveedor SÍ pretendía cumplir cuando cobró pero luego no pudo o no quiso), es incumplimiento civil → reclamar por vía civil/mercantil, NO denuncia penal.

• Mala calidad del servicio o producto: pagaste por algo y lo recibido no era como esperabas. No es estafa salvo que se demuestre que el vendedor sabía desde el principio que el producto era radicalmente distinto a lo prometido.

• Riesgo asumido en inversión: invertiste en un proyecto que se hundió por mala gestión / mala suerte. No es estafa salvo que se acredite que los gestores ya sabían desde el principio que el proyecto era inviable y captaron tu inversión bajo engaño.

• Deuda no pagada: te debe dinero y no te paga. Es civil (procedimiento monitorio o ejecutivo), no estafa penal salvo que se demuestre que el deudor te engañó al adquirir la deuda con intención de no pagar nunca.

• Mero error o malentendido: ambas partes interpretaron diferente el contrato. Reclamación civil, no penal.

Casos que pueden ser otro delito (no estafa pero sí penal)

• Apropiación indebida (art. 253 CP): cuando alguien recibe legítimamente bienes/dinero (por contrato, depósito, mandato) y luego se apropia indebidamente. Diferencia clave con estafa: no hay engaño previo, el acceso al bien fue legítimo.

• Administración desleal (art. 252 CP): gestor que perjudica al patrimonio que administra excediendo sus facultades.

• Estafa procesal (art. 250.1.7º CP): estafa cometida en el seno de un procedimiento judicial mediante simulación de pleito o documentos falsos.

• Falsedad documental (arts. 390-399 CP): falsificación de documentos con intención fraudulenta — puede concurrir con estafa.

• Delitos contra el mercado y consumidores (arts. 282-289 CP): publicidad engañosa, fraude en alimentos, etc.

Por qué importa la calificación

La calificación correcta como estafa o como otro delito determina:

• Pena aplicable (la estafa puede llegar a 8 años; la apropiación indebida, hasta 6 años; el incumplimiento civil, sin pena).
• Plazo de prescripción (5 años delito menos grave, 10 años delito grave en general — art. 131 CP).
• Vía procesal (penal vs civil — la civil suele ser más rápida pero el atestado penal sirve también para acción civil derivada).
• Posibilidad de medidas cautelares (embargo preventivo en penal antes de sentencia).

Por eso antes de denunciar conviene consultar con abogado penalista — una calificación incorrecta puede llevar al sobreseimiento y obligar a empezar de cero por vía civil con la prescripción ya corrida.

4. Pasos primeras 24 horas tras descubrir la estafa

Las primeras 24 horas son críticas, especialmente si hubo transferencia bancaria. Cada hora cuenta para recuperar dinero y para preservar evidencia técnica.

Paso 1 — NO destruir evidencia (los primeros 5 minutos)

• NO borres emails, SMS, WhatsApps, capturas de pantalla, justificantes bancarios.
• NO respondas al estafador con amenazas o reproches (puede destruir tu propia posición procesal).
• NO transfieras más dinero aunque te diga que es para “verificar” o “desbloquear” lo anterior. Es escalada típica.
• NO formatees ni resetees el dispositivo donde llegó el mensaje.

Paso 2 — Si hubo transferencia: llamar al banco INMEDIATAMENTE

Paso 3 — Preservar evidencia técnica (10-30 min)

Si el engaño llegó por canal digital (email, SMS, WhatsApp, web), conserva el original con su SHA-256:

• Email: exportar el .eml original (Outlook → “Ver origen del mensaje” → guardar; Gmail → “Mostrar original” → “Descargar”). Calcular shasum -a 256 email.eml.
• SMS: capturas de pantalla del SMS completo (incluyendo número remitente). NO borrar el SMS del móvil.
• WhatsApp: NO borrar el chat, NO reenviar (modifica metadatos). Documentar nombre y número del remitente.
• Web fraudulenta: capturar la URL completa, hacer screenshot, guardar el HTML si tienes herramienta (single-file o similar). Si la web sigue accesible, el perito puede capturarla profesionalmente.
• Documentos PDF/Word recibidos: guardar tal cual, calcular SHA-256.

Paso 4 — Denuncia formal (mismo día o al siguiente)

Dos cuerpos especializados en delitos informáticos en España:

Qué llevar a la denuncia:

• DNI y datos personales completos.
• Pendrive USB con .eml originales + SHA-256 + capturas + justificantes bancarios.
• Cronología documentada (qué pasó, cuándo, qué hiciste).
• Si tienes peritaje preliminar (no obligatorio), llevarlo.

Paso 5 — Considerar peritaje informático (24-72 h)

No siempre es necesario, pero es muy recomendable cuando:

• El importe en disputa es alto en relación con el coste del peritaje (a mayor cuantía, más se justifica la pericia).
• Hay disputa con el banco emisor sobre su deber de diligencia.
• Hay disputa sobre origen real del email/web fraudulenta (proveedor real vs suplantador).
• Caso con repercusión que va a juicio civil/penal extenso.
• Necesitas acreditar técnicamente la manipulación informática (posible estafa del art. 249.1.a CP, según cómo se ejecutara el pago).

Para BEC específicamente, ver la guía qué hacer si recibes email BEC y la guía técnica de análisis forense de email.

Paso 6 — Abogado penalista (24-72 h)

En casos de cierta cuantía o complejidad jurídica (varias víctimas, organización delictiva, transfronterizo) conviene abogado especializado en derecho penal económico desde el inicio. La denuncia genérica sin asistencia letrada es legítima pero menos eficaz.

5. Cuándo el peritaje informático es decisivo

El peritaje informático convierte una sospecha (subjetiva) en prueba técnica que el tribunal valora conforme a la sana crítica (art. 348 LEC), aportada como dictamen pericial (arts. 335 y ss. LEC; arts. 456-485 LECrim) y, para la evidencia electrónica, al amparo del art. 326.3 LEC. Es decisivo cuando:

• Hay manipulación informática que acreditar (posible art. 249.1.a CP, según cómo se ejecutara el pago) — phishing, suplantación de dominio, BEC, fraude en banca electrónica.
• El banco niega responsabilidad alegando autorización del cliente — el peritaje puede demostrar que la “autorización” fue resultado de manipulación.
• Hay disputa con un proveedor sobre si fue origen del fraude (vendor fraud) o víctima también de takeover.
• Se necesita acreditar cronología del incidente (cuándo se manipuló qué, en qué orden).
• Conviene documentar el análisis de forma reproducible (buena práctica de la ISO/IEC 27042), para que un tercero pueda repetirlo.

Casos donde el peritaje aporta poco:

• Fraude obvio reconocido por el atacante (poco frecuente).
• Importe muy bajo donde el coste del peritaje supera el potencial recupero.
• Sin evidencia digital preservada — si se borraron los emails/SMS/justificantes, el peritaje no puede reconstruirlos en la mayoría de casos.

6. Escenario ilustrativo: estafa BEC y peritaje de correo

Calificación jurídica posible

Cuando se engaña a quien paga para que ordene ella misma la transferencia (creyendo el cambio de IBAN), el supuesto encaja sobre todo en la estafa del art. 248 CP (engaño bastante que induce el acto de disposición). El art. 249.1.a se reserva a la manipulación informática que consigue una transferencia no consentida; cuál aplica depende de cómo se ejecutó el pago y de los hechos que se acrediten. Si el importe es elevado, pueden concurrir las agravantes del art. 250 CP.

Procedimiento técnico aplicado

Lo que el peritaje aportó procesalmente

• Documentación técnica de que el email no era auténtico — un indicio del engaño, que el tribunal valora junto con el resto de la prueba (no acredita por sí solo la calificación penal).
• Documentación reproducible del análisis (versión exacta de dkimpy, comandos ejecutados, hashes), siguiendo la buena práctica de reproducibilidad de la ISO/IEC 27042.
• Identificación de qué SÍ se acreditó (manipulación + email no auténtico) y qué NO (identidad jurídica del autor real, valoración del juez con la prueba técnica + investigación policial).

Qué suele venir después

En un supuesto así, el material preservado permite sostener la denuncia penal y la reclamación civil frente al banco emisor por su deber de diligencia en una operación atípica. El proveedor suplantado —también víctima si su correo fue comprometido— refuerza la seguridad de su correo corporativo (MFA, revisión de reglas de reenvío, formación). El resultado concreto depende del caso y del criterio judicial: este escenario ilustra el método, no un procedimiento real.

Para detalles específicos según tipo de estafa: BEC (Business Email Compromise), smishing bancario, phishing AEAT/Hacienda, estafas Google Drive/OneDrive o el servicio de análisis de fraudes.

7. Preguntas frecuentes

¿Cuál es la pena por estafa según el art. 248 CP?

Pena base (art. 248 CP): prisión 6 meses a 3 años; si lo defraudado no excede de 400 €, multa de uno a tres meses (delito leve, que prescribe al año). Si concurren agravantes del art. 250 CP (importe superior a 50.000 €, vivienda o cosa de primera necesidad, abuso de relaciones o credibilidad profesional, estafa procesal, entre otras), la pena es de 1 a 6 años + multa 6 a 12 meses (art. 250.1) y llega a 4-8 años cuando lo defraudado supera 250.000 € (art. 250.2). La estafa informática del art. 249.1.a CP se castiga con la misma escala según importe y agravantes.

¿Cuándo prescribe el delito de estafa en España?

Conforme al art. 131 CP, el plazo se fija por la pena máxima. La estafa leve (hasta 400 €) prescribe al año; la básica del art. 248 (6 meses a 3 años), a los 5 años; y la agravada del art. 250, a los 10 años cuando su pena máxima supera los 5 años (el art. 250.2 llega a 8 años). El plazo se cuenta desde el día que se cometió el delito o, en delitos continuados, desde la última infracción.

¿Puedo recuperar el dinero si he sido víctima de estafa online?

Depende de la rapidez y del canal. Si fue transferencia bancaria, actuar de inmediato es decisivo: cuanto antes se avise al banco, más margen hay para pedir la retención o el recall de la operación mientras queden fondos. Pasado ese tiempo, depende de si el banco receptor logra congelar los fondos antes de que se muevan. Denunciar cuanto antes y dar copia al banco refuerza la reclamación, pero no activa por sí solo un procedimiento bancario internacional. La vía civil paralela contra el banco emisor (alegando incumplimiento del deber de diligencia) puede recuperar parte aunque la investigación penal tarde años. Recuperar el dinero nunca es seguro: depende del estado de la operación y de la jurisdicción del receptor.

¿Es obligatorio denunciar una estafa o puedo ir directamente por vía civil?

No es obligatorio denunciar penalmente — puedes optar solo por vía civil. Pero es altamente recomendable denunciar primero porque: (1) la denuncia activa la investigación penal y consta ante el banco para intentar recuperar el dinero, (2) el atestado y posibles diligencias del juez de instrucción son prueba aprovechable en la posterior reclamación civil, (3) la vía penal puede acumular la responsabilidad civil derivada del delito (art. 109 CP), aunque el perjudicado también puede reservarla para la jurisdicción civil —la elección depende del caso—. Salvo casos muy específicos (importe pequeño, atacante claramente identificado y con patrimonio conocido), la denuncia penal añade valor.

¿Qué tipo de evidencia técnica acepta el juez en delitos de estafa informática?

El juez valora el dictamen pericial junto con el resto de la prueba (art. 348 LEC, sana crítica); ninguna norma técnica basta por sí sola para su admisión. Ahora bien, seguir la cadena de custodia de la ISO/IEC 27037 y elaborar el dictamen conforme a la UNE 197001:2019, firmado por perito bajo promesa de objetividad (art. 335.2 LEC), refuerza su trazabilidad y solvencia. Para email: .eml original con SHA-256 + verificación DKIM contra DNS público + análisis de cabeceras Received: —un FAIL de DKIM debe correlacionarse con SPF/DMARC, el selector y la fecha de la clave y toda la cadena, no basta por sí solo—. Para SMS/WhatsApp: extracción forense del dispositivo origen + SHA-256 de la base de datos. Para webs: captura HTML autosuficiente + SHA-256 + acta notarial si es URL pública. Las capturas de pantalla simples son admisibles pero impugnables — fortalecen el caso pero no deberían ser la única prueba.

¿Cuánto cuesta un peritaje informático para acreditar estafa?

Depende del canal del fraude (email vs SMS vs web vs combinado), volumen de evidencia, complejidad técnica (DKIM directo vs cadenas ARC, dispositivos múltiples) y plazo. En digitalperito.es se hace presupuesto a medida tras valoración inicial gratuita del caso. Solicita valoración aquí describiendo qué pasó, qué evidencia tienes preservada y qué necesitas acreditar.

Referencias y fuentes

• Ley Orgánica 10/1995 (Código Penal) — Título XIII, Capítulo VI (arts. 248-251 estafa). https://www.boe.es/eli/es/lo/1995/11/23/10/con
• LO 14/2022, de 22 de diciembre — de transposición de directivas europeas y otras disposiciones para la adaptación de la legislación penal al ordenamiento de la UE; entre otras materias, reordenó los arts. 248-249 CP. https://www.boe.es/eli/es/lo/2022/12/22/14
• LO 1/2026, de 8 de abril — reforma del Código Penal en materia de multirreincidencia; modifica, entre otros, el art. 248. https://www.boe.es/eli/es/lo/2026/04/08/1
• Ley de Enjuiciamiento Criminal (LECrim) — arts. 456-485 prueba pericial. https://www.boe.es/eli/es/rd/1882/09/14/(1)/con
• Ley 1/2000 de Enjuiciamiento Civil (LEC) — art. 326 (fuerza probatoria de documentos privados; su apartado 3 remite a la prueba electrónica), arts. 335-352 (prueba pericial). https://www.boe.es/eli/es/l/2000/01/07/1/con
• STS 831/2015, Sala de lo Penal, de 29 de diciembre de 2015 (recurso 772/2015; ROJ STS 5608/2015; ECLI:ES:TS:2015:5608) — doctrina sobre el engaño bastante y los elementos del tipo del art. 248 CP. PDF de la resolución
• Departamento Contra el Cibercrimen — Guardia Civil (antes GDT). https://www.guardiacivil.es/es/tramites/denuncias/
• Policía Nacional — Denuncia delitos informáticos. https://www.policia.es/
• INCIBE-CERT — Centro de Respuesta a Incidentes de Seguridad. https://www.incibe.es/incibe-cert
• OSI — Oficina de Seguridad del Internauta. https://www.osi.es/
• AEPD — Agencia Española de Protección de Datos. https://www.aepd.es/
• Ministerio del Interior — Estadísticas de cibercriminalidad. https://estadisticasdecriminalidad.ses.mir.es/
• ISO/IEC 27037:2012 — Identification, collection, acquisition and preservation of digital evidence. https://www.iso.org/standard/44381.html
• UNE 197001:2019 — Criterios generales para la elaboración de informes periciales. https://www.une.org/encuentra-tu-norma/busca-tu-norma/norma?c=N0062378