Fraude bancario en Polonia: transacciones no autorizadas y cargos penales

El fraude bancario en Polonia consiste en conductas dirigidas a obtener ilícitamente dinero, acceso a una cuenta bancaria, un instrumento de pago, credenciales o datos de pago, normalmente mediante engaño, interferencia técnica, abuso de identidad o manipulación de la víctima o de los sistemas bancarios.

En la práctica, el fraude bancario incluye phishing, sitios web bancarios falsos, estafas con BLIK, ataques de SIM swap, malware, fraude por correo electrónico corporativo, fraude con tarjetas, transferencias no autorizadas y el uso de “mulas de dinero” para mover fondos robados. Para las empresas, el problema no se limita al importe perdido. También puede implicar interrupción de pagos, riesgos contables, alertas AML, responsabilidad de directivos, consecuencias laborales y daños reputacionales.

El derecho polaco trata estos casos en dos vías paralelas. La primera es la relación civil y regulatoria con el proveedor de servicios de pago, incluida la obligación del banco de evaluar si una transacción fue autorizada. La segunda es la responsabilidad penal de los autores y, en ocasiones, de las personas que ayudaron a recibir o transferir fondos robados.

Transacción no autorizada según la legislación polaca sobre servicios de pago

Una transacción no autorizada es una operación de pago ejecutada sin el consentimiento del ordenante. Conforme a la Ley polaca de Servicios de Pago, el consentimiento es una condición clave para la autorización de una operación de pago [1]. Si no hubo consentimiento, el ordenante puede solicitar el reembolso y la restitución del saldo de la cuenta.

La Ley de Servicios de Pago atribuye la carga de la prueba al proveedor de servicios de pago. El proveedor debe demostrar que la transacción fue autenticada, registrada correctamente, contabilizada y no afectada por un fallo técnico u otra deficiencia [1]. Es importante destacar que la autenticación por sí sola no prueba automáticamente que el ordenante autorizara la transacción, actuara de forma fraudulenta o incurriera en negligencia grave.

Como regla general, tras la notificación de una transacción no autorizada, el proveedor debe reembolsar el importe a más tardar al final del día hábil siguiente al día en que tuvo conocimiento de la transacción o fue notificado de ella. La ley permite rechazar el reembolso inmediato cuando el proveedor tenga motivos razonables y debidamente documentados para sospechar fraude y notifique por escrito a la autoridad competente de persecución penal [1].

Tres excepciones: cuándo los cargos por fraude bancario pueden trasladar el riesgo al cliente

En disputas relativas a transferencias no autorizadas, los bancos suelen analizar si la conducta del cliente encaja en las excepciones previstas por la ley. Estas tres excepciones deben distinguirse de la simple falta de cuidado o del mero hecho de que los delincuentes obtuvieran acceso a las credenciales.

• el ordenante actuó de forma fraudulenta;
• el ordenante incumplió intencionadamente una o varias obligaciones;
• el ordenante incumplió sus obligaciones como consecuencia de negligencia grave.

Fuera de estas excepciones, el ordenante aún puede asumir una responsabilidad limitada hasta el equivalente de 50 EUR en determinados casos relacionados con un instrumento de pago perdido, robado o apropiado indebidamente antes de la notificación, con sujeción a las exclusiones legales [1].

Estas excepciones dependen mucho de los hechos. Requieren analizar cómo se obtuvieron las credenciales, qué advertencias se mostraron, si se aplicó la autenticación reforzada del cliente, cómo reaccionó el cliente ante las alertas, si el dispositivo estaba comprometido y con qué rapidez se notificó la transferencia no autorizada.

El ordenante también debe notificar al proveedor sin demora indebida después de tener conocimiento de la transacción no autorizada. La Ley de Servicios de Pago establece un plazo máximo de notificación de 13 meses desde la fecha del cargo, salvo que el proveedor no haya proporcionado o puesto a disposición la información requerida sobre la transacción [1]. La demora puede afectar de forma significativa a la posición jurídica.

Cargos penales por fraude bancario en Polonia: clasificación jurídica

El fraude bancario en Polonia puede dar lugar a varios cargos penales conforme al Código Penal polaco. La clasificación depende del método utilizado y de las pruebas recopiladas. Un caso de phishing puede valorarse de forma distinta a un caso de malware, un esquema de factura falsa o una transferencia realizada por un empleado mediante un acceso obtenido ilícitamente.

• Estafa: el artículo 286 del Código Penal se aplica cuando el autor, con el fin de obtener un beneficio patrimonial, induce a otra persona a disponer de bienes de forma perjudicial mediante engaño, aprovechamiento de un error o incapacidad para comprender adecuadamente la acción [2].
• Fraude informático: el artículo 287 del Código Penal puede aplicarse a un delito de transferencia no autorizada que implique una influencia no autorizada sobre el tratamiento, la recopilación o la transmisión automática de datos, o la modificación, eliminación o introducción de un nuevo registro de datos informáticos para obtener un beneficio patrimonial o causar un daño [2].
• Acceso ilícito: el artículo 267 del Código Penal puede aplicarse cuando el autor obtiene acceso a información que no estaba destinada a él, incluso mediante la elusión de medidas de seguridad electrónicas [2].
• Daño a datos o interferencia en sistemas informáticos: los artículos 268a y 269a del Código Penal pueden ser relevantes cuando se modifican, bloquean, interrumpen o destruyen datos o sistemas [2].
• Blanqueo de capitales: el artículo 299 del Código Penal puede aplicarse cuando se reciben, transfieren u ocultan fondos procedentes de un delito, incluso a través de cuentas bancarias utilizadas por mulas de dinero [2].

Para los investigados, la cuestión clave no es solo la denominación legal del delito, sino también la intención, el papel dentro del esquema, el conocimiento del origen ilícito de los fondos y el flujo del dinero. Para las víctimas, la prioridad es conservar las pruebas y asegurar una posible recuperación.

Qué deben hacer las empresas tras un delito de transferencia no autorizada

El tiempo es crucial. Las primeras horas después de descubrir una transferencia no autorizada pueden determinar si los fondos se congelan antes de salir del sistema bancario. El caos interno también aumenta el riesgo de declaraciones contradictorias, pruebas incompletas y errores en la comunicación con el banco o las autoridades.

Por lo general, una empresa debe adoptar las siguientes medidas:

1. notificar inmediatamente al banco y solicitar el bloqueo, la revocación o la congelación de la transferencia, según el procedimiento bancario disponible;
2. asegurar registros, correos electrónicos, aprobaciones de pago, capturas de pantalla, datos de dispositivos y correspondencia interna;
3. cambiar credenciales y aislar los dispositivos potencialmente comprometidos;
4. verificar si el incidente activa obligaciones de notificación conforme a normas de protección de datos, AML, contractuales o sectoriales;
5. presentar una denuncia penal con pruebas que respalden la solicitud de actuación urgente;
6. realizar una revisión interna de los circuitos de aprobación, la conducta de los empleados y los controles técnicos.

Cuando el fraude involucró a empleados, proveedores o aprobaciones de la dirección, puede ser necesaria una auditoría forense interna. Debe distinguir los hechos de las suposiciones e identificar si la transacción fue resultado de ciberdelincuencia externa, abuso interno, negligencia, conflicto de intereses o una debilidad en los procedimientos de pago.

Riesgos empresariales más allá de los fondos robados

Las transacciones no autorizadas pueden afectar a los estados financieros, reclamaciones de seguros, relaciones con proveedores e informes al consejo de administración. Si la empresa es una entidad regulada o una institución obligada conforme a las normas AML, el incidente también puede requerir una evaluación en virtud de la Ley sobre Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo [3].

La dirección también debe considerar si los procedimientos internos eran adecuados. La falta de doble aprobación, límites de pago débiles, verificación deficiente de proveedores, personal sin formación o la falta de seguimiento de cambios legales y regulatorios pueden aumentar la exposición de la empresa. En algunos casos, el incidente puede pasar a formar parte de una revisión de cumplimiento más amplia.

Kopeć & Zaborowski (KKZ) asesora en aspectos penales, de cumplimiento normativo y litigiosos relacionados con delitos financieros, incluidas estafas, ciberdelincuencia y riesgos vinculados a AML. Hay materiales relacionados disponibles en las secciones del despacho sobre estafas, ciberdelincuencia y marco AML de Polonia.

Pruebas en disputas con bancos y en procesos penales

Las pruebas deben recopilarse de forma que sean útiles tanto en una reclamación contra el banco como en un proceso penal. Esto incluye confirmaciones bancarias, identificadores de transacción, registros de IP si están disponibles, notificaciones SMS o push, grabaciones de llamadas, encabezados de correos electrónicos, resultados de análisis de malware y registros internos de aprobación.

En disputas bancarias, las preguntas centrales son la autorización, la autenticación, la conducta del cliente y las obligaciones de seguridad del proveedor. En los procesos penales, el foco se desplaza hacia la identificación de los autores, el rastreo de los fondos y la prueba de los elementos del delito. Estas vías están conectadas, pero no son idénticas.

Este material tiene carácter informativo y no constituye asesoramiento jurídico. La evaluación correcta de los cargos por fraude bancario, la responsabilidad civil y las obligaciones de notificación depende de la situación fáctica, los documentos y las pruebas técnicas.

Asistencia legal en casos de fraude bancario

En asuntos relacionados con transferencias no autorizadas, phishing, ciberdelincuencia o sospechas de fraude financiero, a menudo resulta útil obtener una evaluación legal temprana antes de enviar declaraciones definitivas al banco o a las autoridades. Un abogado penalista puede ayudar a organizar las pruebas, evaluar posibles cargos y analizar los siguientes pasos procesales. Los datos de contacto están disponibles en https://criminallawpoland.com/contact/.

FAQ: Fraude bancario en Polonia: transacciones no autorizadas y cargos penales

¿Qué es el fraude bancario en Polonia?

El fraude bancario en Polonia es una conducta dirigida a obtener ilícitamente dinero, acceso bancario, credenciales de pago o datos de pago. Puede implicar engaño, intrusión informática, abuso de identidad, manipulación de aprobaciones de pago o blanqueo de fondos robados.

¿Toda transferencia no autorizada es un delito?

No automáticamente. Una transferencia no autorizada puede ser consecuencia de un delito, un error técnico, un error interno o una autorización discutida. La responsabilidad penal requiere probar los elementos legales, como engaño, acceso ilícito, manipulación informática o intención de obtener un beneficio patrimonial.

¿Cuándo debe un banco reembolsar una transacción no autorizada?

Como regla general, el proveedor debe reembolsar el importe al final del siguiente día hábil después de detectar o ser notificado de la transacción no autorizada. Esta regla está sujeta a condiciones legales, incluida la sospecha documentada de fraude comunicada a las autoridades de persecución penal [1].

¿Puede el banco rechazar el reembolso si el cliente hizo clic en un enlace de phishing?

Hacer clic en un enlace de phishing no prueba automáticamente negligencia grave o fraude. La evaluación depende de toda la situación fáctica, incluidas las advertencias, el método de autenticación, el comportamiento del cliente, la rapidez de la notificación y las medidas de seguridad aplicadas por el banco.

¿Qué cargos penales pueden aplicarse a un delito de transferencia no autorizada?

Dependiendo del método, los cargos pueden incluir estafa conforme al artículo 286, fraude informático conforme al artículo 287, acceso ilícito conforme al artículo 267, interferencia en datos o sistemas conforme a los artículos 268a o 269a, y blanqueo de capitales conforme al artículo 299 del Código Penal polaco [2].

¿Qué debe hacer primero una empresa tras detectar fraude bancario?

La empresa debe notificar inmediatamente al banco, solicitar el bloqueo urgente o la revocación de la transferencia, asegurar pruebas, aislar los dispositivos comprometidos y considerar la presentación de una denuncia penal. La comunicación interna debe estar controlada y basarse en hechos verificados.

Bibliografía

1. Ley de 19 de agosto de 2011 sobre Servicios de Pago, en particular los artículos 40, 42, 44, 45 y 46.
2. Ley de 6 de junio de 1997 – Código Penal, en particular los artículos 267, 268a, 269a, 286, 287 y 299.
3. Ley de 1 de marzo de 2018 sobre Prevención del Blanqueo de Capitales y de la Financiación del Terrorismo.
4. Directiva (UE) 2015/2366 del Parlamento Europeo y del Consejo, de 25 de noviembre de 2015, sobre servicios de pago en el mercado interior (PSD2).
5. Autoridad Polaca de Supervisión Financiera (KNF), advertencias públicas y comunicaciones relativas a amenazas cibernéticas y seguridad del mercado financiero.