Fraude con tarjetas de crédito y carding en Polonia: consecuencias

El fraude con tarjetas de crédito en Polonia consiste en el uso, la obtención, la copia o la manipulación no autorizados de datos de tarjetas de pago con el fin de obtener dinero, bienes, servicios u otro beneficio económico. En la práctica jurídica, este término puede abarcar el robo físico de tarjetas, las transacciones en línea no autorizadas, los retiros en cajeros automáticos, el phishing, el skimming de tarjetas y el uso de datos de tarjetas robadas.

El carding es un término más específico, utilizado principalmente en casos de ciberdelincuencia. Generalmente se refiere al comercio, la comprobación o el uso ilegal de datos de tarjetas de pago, obtenidos a menudo mediante filtraciones de datos, campañas de phishing, malware, tiendas online comprometidas o dispositivos de skimming. No es necesario que se haya robado físicamente la tarjeta para que pueda surgir responsabilidad penal.

Cómo se persiguen el fraude en los pagos y el carding en Polonia

La legislación polaca no contempla un único delito independiente denominado «fraude con tarjetas de crédito» o «carding». La fiscalía califica los hechos en función del método empleado, la intención del sospechoso, la escala de la actividad y las consecuencias económicas. Según las circunstancias del caso, pueden aplicarse de forma acumulativa o alternativa varias disposiciones del Código Penal.

Las bases jurídicas más habituales incluyen:

• Estafa, conforme al artículo 286 § 1 del Código Penal: cuando una persona engaña a otra con el fin de obtener un beneficio económico ilícito. La pena es de prisión de 6 meses a 8 años.[1]
• Fraude informático, conforme al artículo 287 § 1 del Código Penal: cuando una persona interfiere en el tratamiento automatizado de datos, modifica datos o afecta a un sistema informático para obtener un beneficio económico ilícito o causar un perjuicio. La pena es de prisión de 3 meses a 5 años.[1]
• Robo de una tarjeta de pago, conforme al artículo 278 § 5 del Código Penal: las disposiciones sobre robo también se aplican a la sustracción de una tarjeta de pago u otro instrumento que autorice la retirada de efectivo en un cajero automático.[1]
• Acceso no autorizado a sistemas informáticos, conforme al artículo 267 del Código Penal: relevante, por ejemplo, cuando los datos de una tarjeta se obtienen mediante la intrusión en una cuenta, un buzón de correo o un sistema de pagos.[1]
• Posesión o distribución de herramientas y datos de acceso, conforme al artículo 269b del Código Penal: disposición potencialmente aplicable a equipos de skimming, malware, contraseñas, códigos u otros datos que permitan el acceso no autorizado a sistemas de información protegidos.[1]
• Falsificación de un instrumento de pago, conforme al artículo 310 del Código Penal: aplicable cuando se falsifican o alteran tarjetas de pago u otros instrumentos de pago. Se trata de un delito grave, castigado con pena de prisión de 5 a 25 años.[1]

Por regla general, una tarjeta de pago se considera un instrumento de pago conforme a la Ley de Servicios de Pago. Por ello, su uso no autorizado puede tener simultáneamente consecuencias penales, civiles, bancarias y de cumplimiento normativo.[2]

Skimming de tarjetas y carding: por qué importa el método utilizado

El skimming de tarjetas suele consistir en copiar los datos de una tarjeta mediante un dispositivo instalado en un cajero automático, un terminal de pago u otra infraestructura comprometida. Los delincuentes también pueden utilizar cámaras ocultas o falsos teclados superpuestos para capturar códigos PIN. En los casos más sofisticados, el skimming se combina con malware, herramientas de acceso remoto o el uso de sistemas de comercios comprometidos.

El carding suele presentar una estructura más distribuida. Un grupo puede obtener los datos de las tarjetas, otro comprobar si estas continúan activas y otro realizar compras online, retiros de efectivo o transferencias. Posteriormente, los beneficios económicos pueden transferirse a través de cuentas de intermediarios, activos virtuales, instrumentos de prepago o negocios aparentemente legítimos.

Esta estructura plantea importantes dificultades probatorias. Los investigadores suelen examinar direcciones IP, identificadores de dispositivos, historiales de inicio de sesión, patrones de transacciones, registros de comunicaciones, movimientos de cuentas bancarias, direcciones de envío y datos recuperados de dispositivos electrónicos. En los casos transfronterizos, puede ser necesario obtener pruebas de entidades de pago, plataformas online y proveedores de servicios extranjeros.

Tres aspectos que requieren una valoración independiente

1. La posesión de datos de tarjetas no siempre basta para demostrar un fraude de pago consumado. La fiscalía debe acreditar el origen de los datos, la finalidad de su posesión y el conocimiento e intención de la persona implicada. No obstante, la tentativa puede ser punible conforme a los artículos 13 y 14 del Código Penal si la conducta se dirige directamente a la comisión de un delito.[1]
2. Una transacción no autorizada no identifica automáticamente al autor. Un pago impugnado puede derivarse de phishing, malware, toma de control de cuentas, una vulneración del comercio o el uso indebido por una persona cercana al titular de la tarjeta. Las pruebas técnicas y el contexto de la transacción son esenciales.
3. No todo pago con tarjeta impugnado genera responsabilidad penal para el titular. La responsabilidad del cliente frente al proveedor de servicios de pago se evalúa conforme a la Ley de Servicios de Pago y depende de las circunstancias, incluido si el cliente actuó intencionadamente o con negligencia grave.[2]

Consecuencias para los sospechosos en procedimientos por carding

Un procedimiento penal por carding puede dar lugar a detención, embargo de cuentas bancarias, registros de viviendas y locales comerciales, incautación de dispositivos electrónicos y restricciones de contacto con determinadas personas. En casos que involucren grupos organizados, un elevado volumen de transacciones o actividad internacional, la investigación puede ser llevada a cabo por unidades policiales y fiscales especializadas.

Una condena puede conllevar pena de prisión, multa, decomiso de los beneficios y de los dispositivos utilizados para cometer el delito, así como la obligación de reparar el daño. Cuando los fondos se transfieren a través de múltiples cuentas o se presentan como ingresos legítimos, la fiscalía también puede investigar un posible blanqueo de capitales conforme al artículo 299 del Código Penal.[1]

Para propietarios y directivos de empresas, las acusaciones pueden afectar al acceso a servicios bancarios, procesadores de pagos, procedimientos de contratación pública y relaciones comerciales. Un proceso penal pendiente también puede desencadenar investigaciones internas, conflictos contractuales, cuestiones laborales y obligaciones de notificación.

Respuesta empresarial ante una sospecha de fraude en los pagos

Una empresa que detecte transacciones sospechosas con tarjeta debe actuar con rapidez, pero de forma proporcionada. La primera prioridad es detener nuevas pérdidas y preservar las pruebas. Eliminar registros, restablecer sistemas sin documentar las actuaciones o interrogar informalmente a empleados puede dificultar los procedimientos posteriores.

Las medidas iniciales recomendadas incluyen:

• bloquear las tarjetas, cuentas, enlaces de pago y sesiones de usuario comprometidos;
• asegurar los registros de transacciones, registros del servidor, historiales de acceso, correspondencia y grabaciones de videovigilancia;
• notificar al banco, la entidad de pago o el procesador de pagos conforme al procedimiento aplicable;
• evaluar si pueden haberse visto comprometidos datos de clientes o datos personales;
• llevar a cabo una revisión interna documentada de los derechos de acceso, las relaciones con proveedores y los procesos de aprobación;
• considerar la presentación de una denuncia penal cuando exista una sospecha fundada de delito.

La respuesta también debe tener en cuenta las consecuencias regulatorias y contractuales. Una empresa que procese pagos con tarjeta puede necesitar revisar sus controles de seguridad, sus procedimientos de respuesta ante incidentes y sus obligaciones frente a clientes y socios comerciales. Los riesgos más amplios de fraude pueden requerir una revisión forense y medidas de cumplimiento normativo, especialmente cuando el incidente indique una conducta indebida interna o deficiencias en los controles financieros. Las cuestiones relacionadas se analizan en los materiales de KKZ sobre estafas, ciberdelincuencia y cumplimiento de la normativa contra el blanqueo de capitales.

Por qué es importante una evaluación jurídica temprana

En los casos de fraude en los pagos, la distinción entre víctima, testigo, empleado con acceso a sistemas y presunto participante puede cambiar rápidamente. Antes de presentar declaraciones, informes internos o notificaciones a las autoridades, es importante evaluar cuidadosamente las pruebas, el papel de cada persona y las disposiciones legales aplicables.

Kopeć & Zaborowski (KKZ) asesora a empresas y particulares en procedimientos penales relacionados con delitos económicos, pruebas digitales, riesgos de fraude y gestión de crisis. La estrategia jurídica debe abordar tanto el proceso penal como las consecuencias operativas para la empresa.

Este material tiene carácter informativo y no constituye asesoramiento jurídico. Cada caso requiere una evaluación de sus hechos específicos, de las pruebas disponibles y de la fase procesal en la que se encuentre.

Cuando un caso de fraude en los pagos o carding plantee cuestiones de derecho penal, puede resultar útil consultar el caso con un abogado y obtener una evaluación de la situación. Una consulta temprana puede ayudar a identificar posibles medidas procesales, actuaciones para preservar pruebas y riesgos empresariales.

Preguntas frecuentes – Fraude con tarjetas de crédito y carding en Polonia

¿Es ilegal el carding en Polonia?

Sí. El carding puede constituir fraude informático, estafa, acceso no autorizado a sistemas informáticos, posesión de datos de acceso ilícitos u otros delitos previstos en el Código Penal. La calificación jurídica exacta depende de la conducta y de las pruebas disponibles.

¿Cuál es la pena por fraude con tarjetas de crédito en Polonia?

Depende de la calificación jurídica. La estafa conforme al artículo 286 § 1 se castiga con prisión de 6 meses a 8 años, mientras que el fraude informático conforme al artículo 287 § 1 conlleva una pena de 3 meses a 5 años. La falsificación de instrumentos de pago puede dar lugar a una pena de prisión de 5 a 25 años.[1]

¿Se persigue el skimming de tarjetas como un delito independiente?

El skimming de tarjetas no es un delito único con una denominación independiente. Puede perseguirse conforme a las disposiciones relativas a delitos informáticos, datos de acceso ilícitos, estafa, robo o falsificación de instrumentos de pago, según la forma en que se hayan utilizado el dispositivo y los datos copiados.

¿Puede un empleado ser responsable de un fraude en los pagos cometido mediante los sistemas de la empresa?

Sí, si las pruebas demuestran una participación intencionada, acceso no autorizado, manipulación de transacciones o ayuda a los autores. El mero acceso a los sistemas de la empresa no basta para establecer responsabilidad penal.

¿Qué debe hacer una empresa después de descubrir pagos no autorizados con tarjeta?

La empresa debe bloquear los accesos, preservar los datos relevantes, ponerse en contacto con el proveedor de servicios de pago, documentar el incidente y evaluar si es necesaria una denuncia penal, una investigación interna o una respuesta ante un incidente de datos personales.

¿Puede una víctima recuperar el dinero perdido por fraude con tarjeta?

La recuperación depende de las circunstancias de la transacción, del procedimiento del proveedor de servicios de pago, de la rapidez de la notificación y de las pruebas disponibles. El procedimiento penal también puede incluir una orden de reparación del daño, pero ello depende del resultado del caso.

Bibliografía

• [1] Ley de 6 de junio de 1997 – Código Penal, en particular los artículos 13, 14, 267, 269b, 278 § 5, 286, 287, 299 y 310, ISAP: Dz.U. de 1997, núm. 88, partida 553, con sus modificaciones posteriores.
• [2] Ley de 19 de agosto de 2011 sobre Servicios de Pago, ISAP: Dz.U. de 2011, núm. 199, partida 1175, con sus modificaciones posteriores.
• [3] CERT Polska, Informe anual 2023, Instituto Nacional de Investigación NASK.