Contenido
- Qué es una mula bancaria
- El eslabón visible de una estructura invisible
- La cuenta bancaria como instrumento de la estafa
- La mula como cooperador necesario
- El verdadero problema: la prueba del dolo
- Qué indicios pueden acreditar el conocimiento
- La STS 51/2026: cuando la cuenta forma parte del plan
- Cuando sólo se acredita imprudencia
- La alternativa del blanqueo de capitales
- Cuando la investigación sólo encuentra a la mula
- Conclusión
Una transferencia fraudulenta sale de la cuenta de la víctima. El dinero llega segundos después a otra cuenta. Su titular está perfectamente identificado. Poco después, los fondos se retiran en efectivo, se transfieren nuevamente o desaparecen a través de una cadena de operaciones.
El autor material del fraude informático, sin embargo, no aparece.
No se sabe necesariamente quién obtuvo las credenciales bancarias, quién manipuló el sistema, desde dónde se realizó la operación o quién diseñó la estructura defraudatoria.
Lo que sí aparece es una cuenta bancaria y una persona vinculada a ella.
Esa persona es lo que habitualmente se denomina una mula bancaria o money mule.
La figura plantea uno de los problemas más interesantes de la delincuencia patrimonial digital: determinar hasta qué punto la utilización de una cuenta para recibir dinero procedente de una estafa permite atribuir a su titular una participación dolosa en el delito.
Qué es una mula bancaria
La expresión «mula bancaria» no constituye una categoría jurídica autónoma del Código Penal.
Describe una función dentro de una determinada estructura económica: la persona cuya cuenta bancaria se utiliza para recibir, canalizar, retirar o transferir fondos procedentes de una actividad delictiva.
Las formas de captación pueden ser muy diferentes.
Existen personas integradas conscientemente en organizaciones dedicadas al fraude. Otras reciben una comisión por poner su cuenta a disposición de terceros. Algunas son captadas mediante supuestas ofertas de trabajo. También existen casos en los que alguien facilita su cuenta a un conocido que afirma necesitarla para recibir temporalmente un pago.
La apariencia externa puede ser muy similar.
El dinero entra en una cuenta y posteriormente sale.
Pero desde la perspectiva penal las situaciones pueden ser radicalmente distintas.
El eslabón visible de una estructura invisible
La delincuencia informática permite fragmentar extraordinariamente la ejecución de una estafa.
Una persona puede obtener las credenciales bancarias de la víctima. Otra puede realizar la manipulación informática. Una tercera puede proporcionar la cuenta receptora. Otra puede retirar el efectivo. Y otras personas pueden continuar trasladando el dinero hasta dificultar definitivamente su trazabilidad.
El problema probatorio aparece porque no todos esos participantes ofrecen la misma visibilidad.
El autor que ejecuta técnicamente el fraude puede operar desde otro país, emplear identidades falsas, comunicaciones cifradas, tarjetas telefónicas ajenas o diferentes mecanismos de ocultación.
La cuenta bancaria receptora, por el contrario, normalmente tiene un titular identificado.
Es frecuente, por ello, que cuando comienza la investigación penal la primera persona claramente individualizada sea precisamente la que ha recibido el dinero.
En ocasiones será además la única.
Pero la facilidad para identificar a una persona no determina por sí sola su responsabilidad penal.
La cuenta bancaria como instrumento de la estafa
La estafa informática se encuentra actualmente regulada en el artículo 249.1.a del Código Penal.
Su estructura es diferente de la estafa tradicional.
No resulta imprescindible que una persona sea engañada y, como consecuencia de ese error, realice voluntariamente un acto de disposición. En la estafa informática el desplazamiento patrimonial puede producirse directamente mediante la interferencia o manipulación de un sistema informático o mediante la utilización indebida de datos.
Pero toda transferencia necesita un destino.
Y ahí aparece la importancia de la cuenta bancaria utilizada por la organización.
Una cuenta facilitada previamente para recibir los fondos puede formar parte de la propia infraestructura necesaria para consumar la defraudación.
Por eso sería incorrecto afirmar, con carácter general, que quien no ejecuta personalmente el phishing, el acceso informático o la transferencia nunca puede responder por la estafa.
Puede responder.
La cuestión es determinar en qué concepto y con qué conocimiento participó en la operación.
La mula como cooperador necesario
El Derecho penal no exige que todos los participantes ejecuten personalmente la conducta nuclear descrita en el tipo.
Quien realiza una aportación imprescindible al plan criminal puede responder como cooperador necesario.
Esto tiene especial relevancia en las estafas bancarias.
Si antes de producirse la transferencia una persona proporciona conscientemente una cuenta para que el dinero obtenido mediante el fraude sea ingresado en ella, esa aportación puede integrarse en la propia ejecución de la estafa.
No es necesario que esa persona sepa programar, que conozca el método técnico empleado para obtener las credenciales de la víctima o que intervenga personalmente en la manipulación informática.
Tampoco tiene necesariamente que conocer la identidad de todos los integrantes de la organización.
Lo decisivo será que conozca los elementos esenciales de la operación y que aporte conscientemente su cuenta al mecanismo defraudatorio.
La diferencia es importante.
No hace falta ser el autor tecnológico de la estafa para responder penalmente por ella.
El verdadero problema: la prueba del dolo
A partir de aquí aparece la cuestión más compleja.
El titular de la cuenta puede reconocer que recibió el dinero. Puede incluso reconocer que posteriormente lo retiró o lo transfirió.
Lo que normalmente discutirá es aquello que conocía.
Puede afirmar que un tercero le pidió recibir temporalmente una transferencia. Que pensaba que se trataba del pago de una operación lícita. Que respondió a una oferta de trabajo. Que actuó por amistad. O que desconocía absolutamente la procedencia del dinero.
El dolo pertenece al ámbito interno de la persona y rara vez existe una prueba directa de su contenido.
Por ello, normalmente deberá acreditarse mediante indicios.
Y aquí se encuentra el verdadero centro del problema.
Una cosa es afirmar:
«El dinero procedente de la estafa llegó a su cuenta».
Y otra diferente:
«Sabía que su cuenta estaba siendo utilizada para recibir dinero obtenido fraudulentamente».
El primer hecho puede estar acreditado documentalmente por la entidad bancaria.
El segundo requiere una inferencia.
Qué indicios pueden acreditar el conocimiento
Que la prueba sea indiciaria no significa que tenga menor valor probatorio. Gran parte de los delitos económicos y tecnológicos se acreditan precisamente mediante indicios.
Pero normalmente será el conjunto de circunstancias el que permita reconstruir el conocimiento del acusado.
Entre otras, pueden resultar especialmente significativas:
- la apertura reciente de una cuenta destinada prácticamente de forma exclusiva a recibir los fondos;
- la entrega previa de los datos bancarios a quienes ejecutan la operación;
- la recepción de una comisión;
- la retirada inmediata del dinero;
- la transferencia de casi todo el importe a terceras personas;
- la existencia de comunicaciones con otros participantes;
- la reiteración de operaciones semejantes;
- el empleo de diferentes cuentas;
- la ausencia de una relación económica real que explique los movimientos;
- o la existencia de instrucciones dirigidas precisamente a dificultar el seguimiento del dinero.
Un solo indicio puede ser ambiguo.
Varios indicios concordantes pueden formar una estructura probatoria muy diferente.
Imaginemos a una persona que recibe 6.000 euros, retira inmediatamente 5.500, entrega esa cantidad a un tercero y conserva 500 euros.
La inferencia de que conocía el carácter anómalo de la operación puede adquirir una considerable intensidad.
Muy diferente puede ser el supuesto de quien recibe una única transferencia de 500 euros porque un conocido afirma tener temporalmente bloqueada su cuenta y posteriormente le entrega el dinero.
En ambos casos existe una cuenta receptora.
Pero la prueba del conocimiento puede ser completamente distinta.
La STS 51/2026: cuando la cuenta forma parte del plan
La Sentencia del Tribunal Supremo 51/2026, de 28 de enero, resulta especialmente significativa para comprender esta cuestión.
El Tribunal Supremo confirmó una condena en un supuesto en el que la aportación de la cuenta bancaria se había producido cuando el delito todavía no se había consumado.
La cuenta constituía el destino previamente dispuesto para recibir el dinero fraudulentamente extraído.
La relevancia de la resolución no está simplemente en que el acusado fuese titular de la cuenta.
La inferencia se construía sobre circunstancias adicionales: la aportación de la cuenta antes de la estafa, la recepción del dinero, la percepción de una comisión y la participación en la posterior circulación de los fondos.
En esas condiciones, la función de la denominada mula bancaria podía considerarse una cooperación necesaria de carácter doloso.
La sentencia refleja bien una idea esencial.
La persona que presta conscientemente la infraestructura bancaria necesaria para ejecutar la operación puede participar en la estafa aunque nunca haya realizado personalmente la manipulación informática.
Cuando sólo se acredita imprudencia
El escenario cambia cuando no puede acreditarse ese conocimiento.
La STS 224/2024, de 7 de marzo, examinó un supuesto en el que una persona había facilitado sus datos a un tercero, quien utilizó esos datos para abrir una cuenta que posteriormente recibió dinero procedente de una estafa.
Los hechos permitían formular un reproche de imprudencia.
El acusado podía haber sido mucho más cuidadoso.
Incluso podía sostenerse que debió representarse la posibilidad de que sus datos fueran utilizados fraudulentamente.
Pero el Tribunal Supremo introdujo una distinción decisiva.
La conducta constituía, en realidad, una cooperación imprudente a una estafa.
Y la estafa no contempla modalidad imprudente.
Conforme al artículo 12 del Código Penal, las acciones imprudentes únicamente se castigan cuando la ley así lo dispone.
Por tanto, existe una frontera que no puede desaparecer:
sospechar que una conducta es extraordinariamente imprudente no equivale necesariamente a demostrar que existió dolo.
La alternativa del blanqueo de capitales
Ante las dificultades para acreditar la participación dolosa en la estafa aparece frecuentemente otra calificación: el blanqueo de capitales.
El artículo 301 del Código Penal contempla tanto determinadas conductas dolosas como, en su apartado tercero, el blanqueo cometido por imprudencia grave.
Pero tampoco toda mula bancaria puede ser desplazada automáticamente hacia esta figura.
Existe una primera dificultad temporal.
Si la cuenta se proporciona antes de producirse la estafa precisamente para que pueda ejecutarse la transferencia, la conducta forma parte de la propia operación defraudatoria. No estamos necesariamente ante una actividad posterior destinada a blanquear el producto de un delito ya cometido.
Esta distinción fue especialmente relevante en la STS 224/2024.
Y existe además una segunda exigencia.
Para apreciar blanqueo imprudente no basta con afirmar de manera genérica que una persona «debería haber sospechado».
La STS 1064/2025, de 30 de diciembre, absolvió a dos acusados que habían recibido mediante Bizum cantidades procedentes de operaciones fraudulentas.
El Tribunal Supremo insistió en la necesidad de identificar concretamente cuál era el deber de cuidado incumplido y por qué, atendiendo a las circunstancias del caso, el sujeto estaba en condiciones de advertir el riesgo de procedencia delictiva del dinero.
La imprudencia penalmente relevante tampoco puede convertirse en una cláusula residual destinada a cubrir cualquier supuesto en el que no consiga acreditarse el dolo.
Cuando la investigación sólo encuentra a la mula
Existe, finalmente, una realidad práctica que explica buena parte de la dificultad de estos procedimientos.
En numerosas estafas informáticas nunca se identifica al autor tecnológico.
Puede desconocerse quién obtuvo las credenciales de la víctima, quién ejecutó materialmente la transferencia o desde qué lugar se organizó la operación.
La investigación puede terminar encontrando únicamente al titular de la cuenta receptora.
Desde una perspectiva de política criminal, la situación es problemática.
Si para condenar a la mula fuese imprescindible identificar previamente al autor de la manipulación informática, demostrar una comunicación directa entre ambos y reconstruir exhaustivamente el reparto interno de funciones, muchas estructuras fraudulentas resultarían prácticamente inmunes a la persecución penal.
Pero la respuesta tampoco puede consistir en establecer una regla inversa según la cual quien recibe el dinero debe presumirse participante consciente en la estafa.
El Derecho penal dispone precisamente de la prueba indiciaria para resolver esa tensión.
No es necesario conocer toda la organización.
No es imprescindible identificar a todos sus integrantes.
No es necesario que la mula conozca técnicamente cómo se produjo la manipulación.
Pero sí debe existir una base probatoria suficiente para concluir que conocía, al menos en sus elementos esenciales, que estaba aportando su cuenta a una operación delictiva.
La investigación puede no encontrar al hacker.
Eso no impide condenar al cooperador.
Lo que no permite es sustituir la prueba del conocimiento por la mera titularidad bancaria.
Conclusión
La denominada mula bancaria ocupa una posición singular dentro de la delincuencia patrimonial digital.
Con frecuencia es el participante más fácil de identificar y, en ocasiones, el único que llega a sentarse ante un tribunal.
Eso no significa que su función sea secundaria.
Una cuenta previamente proporcionada para recibir el producto de una estafa puede constituir una pieza imprescindible de la operación. Cuando su titular conoce esa finalidad y colabora conscientemente, puede responder como cooperador necesario aunque desconozca cómo se ejecutó técnicamente el fraude.
Pero la responsabilidad penal continúa siendo personal.
Entre acreditar que el dinero llegó a una determinada cuenta y acreditar que su titular conocía el origen y finalidad de la operación existe un espacio que debe cubrir la prueba.
Ese espacio puede llenarse mediante indicios: la apertura de la cuenta, las comunicaciones, las comisiones, la rapidez de las retiradas, la circulación posterior del dinero, la reiteración de operaciones y el resto de circunstancias concurrentes.
Cuando esos elementos forman una secuencia coherente, la inferencia de participación dolosa puede ser suficientemente sólida.
Cuando únicamente queda acreditada una actuación descuidada, el análisis deberá ser diferente.
Por eso la pregunta jurídicamente relevante no es simplemente si el acusado era una «mula bancaria».
La verdadera pregunta es otra:
¿qué sabía cuando puso su cuenta bancaria al servicio de la operación?
En esa respuesta se encuentra, muchas veces, la frontera entre la participación dolosa en una estafa informática, una eventual conducta de blanqueo y la ausencia de responsabilidad penal.
Be the first to comment