En síntesis. El fraude informático está tipificado en el art. 640-ter del Código Penal italiano (codice penale, c.p.): castiga a quien, alterando de cualquier modo el funcionamiento de un sistema informático o telemático, o interviniendo sin derecho sobre datos, informaciones o programas, obtiene para sí o para otros un provecho injusto con perjuicio ajeno. Es la figura penal de referencia para fenómenos como el phishing, el desvío de transferencias bancarias, los fraudes con tarjetas y la manipulación de sistemas de pago. Introducido por la L. 547/1993 (ley italiana sobre delitos informáticos), prevé penas de prisión y multa que se agravan cuando concurre, en particular, la suplantación de identidad digital.

Qué es el fraude informático

El art. 640-ter del Código Penal italiano reproduce la estructura de la estafa común (art. 640 c.p.), pero adaptada al entorno digital. Lo que en la estafa es el engaño a una persona, aquí es la manipulación de una máquina: el delito se comete

  • alterando de cualquier modo el funcionamiento de un sistema informático o telemático, o
  • interviniendo sin derecho, con cualquier modalidad, sobre datos, informaciones o programas contenidos en un sistema o pertenecientes al mismo,

con tal de procurar a sí mismo o a otros un provecho injusto (ingiusto profitto) en perjuicio de otro.

La diferencia esencial con la estafa tradicional es precisamente que aquí no se induce a error a un ser humano, sino que se interfiere en el proceso automatizado. Por eso el phishing (la captación fraudulenta de credenciales) y el uso posterior de esas credenciales para mover dinero suelen calificarse, según las modalidades, como fraude informático, eventualmente en concurso con otros delitos como el acceso abusivo a sistema informático (art. 615-ter) o el tratamiento ilícito de datos.

Fuentes normativas

  • Art. 640-ter del Código Penal italiano (codice penale) — fraude informático.
  • Art. 640 del Código Penal italiano — estafa común, figura de referencia estructural.
  • L. 547/1993 — ley italiana que introdujo los delitos informáticos en el Código Penal, incluido el art. 640-ter.
  • L. 48/2008 — ratificación del Convenio de Budapest sobre ciberdelincuencia y modificaciones del Código Penal y del Código Procesal Penal italianos.
  • L. 90/2024 — ley italiana en materia de ciberseguridad y delitos informáticos (en vigor desde el 17 de julio de 2024); su intervención principal recayó sobre otras figuras (en particular el acceso ilícito, art. 615-ter c.p.) y no modificó las penas del art. 640-ter c.p.
  • Art. 24-bis D.lgs. 231/2001 — los delitos informáticos como delitos antecedentes de la responsabilidad de la persona jurídica.

Phishing y suplantación de identidad digital

El fenómeno más extendido en la práctica es el phishing: el envío de mensajes (correos, SMS —el llamado smishing—, mensajes en aplicaciones) que imitan a entidades legítimas —bancos, plataformas de pago, administraciones— para inducir a la víctima a revelar credenciales, datos de tarjeta o claves de acceso. Una vez obtenidas las credenciales, los autores realizan transferencias, compras o desvíos de fondos manipulando los sistemas de pago.

El art. 640-ter prevé una agravante específica cuando el hecho se comete con robo o uso indebido de la identidad digital (furto o indebito utilizzo dell’identità digitale) en perjuicio de una o más personas. Esta circunstancia, introducida por el D.L. 93/2013 para responder a la difusión de los fraudes con suplantación, eleva la pena a prisión de dos a seis años y multa de 600 a 3.000 euros, y conlleva siempre la perseguibilidad de oficio.

Junto a esta agravante, el párrafo segundo del art. 640-ter castiga con prisión de uno a cinco años y multa de 309 a 1.549 euros el hecho cometido en perjuicio del Estado, de otro ente público o de la Unión Europea (art. 640, párrafo segundo, n.º 1 c.p.), el que produce una transferencia de dinero, de valor monetario o de moneda virtual, y el cometido con abuso de la cualidad de operador del sistema.

Las penas y el régimen procesal

La forma base del fraude informático se castiga con prisión de seis meses a tres años y multa (de 51 a 1.032 euros) y se persigue por regla general a instancia de parte (denuncia del perjudicado). En presencia de las circunstancias agravantes del párrafo segundo (perjuicio al Estado, a otro ente público o a la UE; transferencia de dinero, valor monetario o moneda virtual; abuso de la cualidad de operador del sistema: prisión de uno a cinco años y multa de 309 a 1.549 euros) o del robo o uso indebido de la identidad digital (prisión de dos a seis años y multa de 600 a 3.000 euros), la perseguibilidad pasa a ser de oficio. También se procede de oficio cuando concurren las agravantes comunes del art. 61 n.º 5 (aprovechamiento de circunstancias personales de la víctima, incluida la edad) o n.º 7 c.p. (daño patrimonial de especial gravedad).

En el plano patrimonial, el procedimiento suele ir acompañado de medidas cautelares reales (embargos preventivos) y del decomiso del provecho del delito, también por equivalente. Cuando el fraude se comete en interés o beneficio de una empresa, puede activarse además la responsabilidad de la persona jurídica conforme al D.lgs. 231/2001 (decreto legislativo italiano sobre la responsabilidad de los entes).

Estrategias de defensa

La defensa frente a una imputación por el art. 640-ter requiere intervenir tanto en el plano técnico como en el jurídico:

  • Reconstrucción del nexo causal. Demostrar que la alteración del sistema o la intervención sobre los datos no es atribuible al imputado, o que no produjo el provecho y el perjuicio exigidos por la norma.
  • Identificación del autor. En los fraudes en cadena es frecuente la confusión entre el autor del phishing, el titular de la cuenta de destino (a menudo un money mule o “mula” inconsciente) y el beneficiario final. Distinguir los papeles es decisivo.
  • Elemento subjetivo. Acreditar la falta de dolo o el desconocimiento del origen ilícito de los fondos, especialmente en el caso del intermediario que presta su cuenta.
  • Prueba digital. El examen forense de logs, direcciones IP, transacciones y cadena de custodia es central; los vicios en la adquisición de la prueba informática pueden minar la acusación.
  • Dimensión transnacional. Cuando los servidores, las cuentas o los autores se encuentran en el extranjero, entran en juego la competencia y la cooperación judicial internacional.

Preguntas frecuentes

¿En qué se diferencia el fraude informático de la estafa común? En la estafa común (art. 640 c.p.) se induce a error a una persona; en el fraude informático (art. 640-ter c.p.) se manipula el funcionamiento de un sistema informático o se interviene sin derecho sobre datos y programas. Cuando el engaño recae sobre un proceso automatizado y no sobre un ser humano, la figura aplicable es, por regla general, el fraude informático.

¿El phishing es siempre fraude informático? La captación fraudulenta de credenciales y su uso para desviar fondos suele calificarse como fraude informático, a menudo en concurso con otros delitos como el acceso abusivo a sistema informático (art. 615-ter) o el tratamiento ilícito de datos. La calificación exacta depende de las modalidades concretas de la conducta.

Recibí dinero en mi cuenta sin saber que procedía de un fraude, ¿soy responsable? La posición del intermediario inconsciente (la llamada “mula”) debe valorarse caso por caso. Es esencial acreditar la ausencia de dolo y el desconocimiento del origen ilícito de los fondos; según las circunstancias pueden plantearse imputaciones por fraude informático, receptación o blanqueo, por lo que la defensa temprana es importante.