Cae desde Terrassa una red de ciberestafas bancarias: qué puede reclamar la víctima de un «smishing»
La Guardia Civil ha desarticulado una organización dedicada a las ciberestafas bancarias que operaba desde un call center instalado en Terrassa. La investigación, bautizada como operación Ibermellow y coordinada desde Huesca, se ha saldado con 29 detenidos y 57 investigados repartidos por decenas de provincias españolas, a quienes se atribuyen presuntos delitos de estafa, blanqueo de capitales y pertenencia a organización criminal. El importe defraudado supera el millón de euros.
El dispositivo que afectó a Terrassa se produjo el pasado mes de marzo, dentro de la primera fase de la operación, con entradas y registros simultáneos en domicilios y locales de Badalona, Terrassa, Carabanchel (Madrid) y Cartagena (Murcia). Según el relato policial, en esa actuación se desactivó el centro de operaciones de la red —con capacidad para emitir más de 100.000 SMS falsos por hora— y se intervinieron 365 tarjetas SIM, 176 tarjetas bancarias, 70 teléfonos móviles, 95 máquinas de envío masivo de mensajes y cerca de 57.500 euros en efectivo. Todas las personas detenidas o investigadas están amparadas por la presunción de inocencia mientras no recaiga sentencia firme.
Smishing y vishing: el fraude en dos fases
El patrón descrito por los investigadores combina dos técnicas conocidas. Primero, un SMS masivo suplantando la imagen de una entidad bancaria alerta a la víctima de un cargo elevado en su cuenta y le facilita un teléfono para detener la operación (smishing). Cuando la persona llama, un interlocutor que se presenta como gestor del banco, y que maneja datos personales obtenidos previamente, le induce a ordenar transferencias o incluso a contratar préstamos personales que después se desvían (vishing). El dinero se movía a continuación por una maraña de cuentas y se retiraba en efectivo mediante «mulas económicas». Los agentes han identificado por ahora 43 víctimas directas y han recuperado más de 250.000 euros.
Qué dimensión jurídica tiene para el afectado
Más allá del procedimiento penal, este tipo de fraude abre una vía civil frente a la entidad bancaria. La normativa española de servicios de pago —el Real Decreto-ley 19/2018— parte de la regla de que, ante una operación de pago no autorizada, el proveedor de servicios de pago debe devolver el importe de inmediato, salvo que acredite fraude o negligencia grave del usuario. La discusión práctica suele girar, precisamente, en torno a si el titular actuó o no con negligencia grave y a si el banco desplegó los mecanismos de autenticación reforzada exigibles. Es un terreno en el que la carga de la prueba y los plazos de notificación resultan determinantes, y en el que conviene el asesoramiento de un profesional de derecho bancario.
En paralelo, la persona perjudicada puede personarse como acusación particular en la causa penal para reclamar la responsabilidad civil derivada del delito, un trámite que aconseja el acompañamiento de un especialista en derecho penal. Las autoridades recuerdan las pautas básicas de prevención: no pulsar enlaces incluidos en SMS de alerta bancaria, no instalar aplicaciones recomendadas por esa vía y verificar cualquier aviso llamando al canal oficial del banco o acudiendo presencialmente a una oficina, teniendo presente que ninguna entidad solicita claves ni PIN por teléfono.
Fuente: Diari de Terrassa (15 de septiembre de 2026).
