- "Estafa virtual" no es una figura penal: la conducta suele encuadrarse en la estafa (art. 172) o en la defraudación informática (art. 173 inc. 16).
- En las normas del BCRA no hay una obligación general de devolver lo perdido; el único reintegro automático ante fraude hallado cubre las transferencias pull entre cuentas de un mismo titular.
- Desde el 1 de diciembre de 2026, la Comunicación "A" 8471 obliga a las entidades financieras a tener canales de denuncia de fraude y una base única de denuncias.
Quien busca "estafa virtual" casi siempre acaba de perder dinero o teme haberlo perdido. El Banco Central de la República Argentina (BCRA) adoptó la expresión en su comunicación al público; el Código Penal no la usa ni una vez.
Para el usuario es una estafa virtual; para los reclamos del BCRA, una "operación desconocida posiblemente fraudulenta"; para la justicia, una estafa o una defraudación informática; y para la entidad financiera, desde diciembre de 2026, una denuncia que va a una base única.
"Estafa virtual" es el nombre del usuario, no una figura penal
El Código Penal argentino no tipifica la "estafa virtual". Tiene la estafa del art. 172, para quien defraude "valiéndose de cualquier otro ardid o engaño", y los casos especiales del art. 173, entre ellos el inciso 15, la defraudación con tarjeta, y el 16, que la Ley 26.388 sumó en 2008 para quien defraude "mediante cualquier técnica de manipulación informática".
Si aplica el art. 172 o el 173 depende de si se engañó a una persona o se manipuló un sistema, y lo resuelve la justicia caso por caso. La pena es la misma.
La Unidad Fiscal Especializada en Ciberdelincuencia (UFECI) habla de "fraude en línea" y la Defensoría del Pueblo bonaerense, de "ciberestafa". El BCRA define las "estafas virtuales" como prácticas en las que las personas "son engañadas para revelar datos personales o financieros, autorizar operaciones o transferir fondos": incluye al usuario que operó él mismo, engañado, distinto de quien nunca hizo la operación.
Para la entidad, una estafa virtual parece una operación legítima
Para la entidad, la mayoría de las estafas virtuales parecen operaciones legítimas: la víctima entrega una clave, un código o una transferencia. Según el informe de protección de usuarios 2025 del BCRA, en los reclamos por operaciones desconocidas los usuarios son "inducidos, de manera cada vez más sofisticada, a entregar sus credenciales de acceso".
Las modalidades que nombran el BCRA y la UFECI:
- Falsos representantes que guían por teléfono a la víctima mientras opera, a veces con acceso remoto.
- Mensajes y llamadas que imitan a un banco o un organismo: phishing y smishing.
- La duplicación de la línea para entrar a las apps bancarias, o SIM swapping.
- Préstamos o beneficios falsos, y supuestas transferencias "por error" que piden devolver antes de verificar si el dinero se acreditó.
- La toma de una cuenta de WhatsApp para pedirles dinero a los contactos de la víctima.
Desde mediados de 2021, según la UFECI, bajó el acceso directo a cuentas y creció la transferencia voluntaria tras el mensaje de un supuesto conocido. Si el atacante ya controla el acceso, el caso es una toma de cuenta.
Para denunciar una estafa virtual, el primer paso es la entidad
En Argentina hay un camino administrativo, que empieza siempre en la entidad, y uno penal, que conviene iniciar en paralelo. El BCRA ordena el primero así:
- Comunícate de inmediato con el banco o la billetera para bloquear accesos y tarjetas, deja un reclamo formal y conserva el número que te asignan.
- Si pasan al menos 10 días hábiles sin solución, o la respuesta no te conforma, reclama en línea ante el BCRA con la opción "Reclamo por fraude o estafa".
- Adjunta la copia del reclamo, la respuesta si la hubo, el DNI y el detalle de las operaciones (fechas, montos, canales y tipo).
El BCRA atiende a usuarios que no operan con fines comerciales y, si el problema sigue, lo deriva a Defensa del Consumidor.
La denuncia por estafa virtual en sede penal se hace en una fiscalía, una comisaría o ante la UFECI. Qué fiscalía investiga depende de la jurisdicción; el directorio oficial de denuncias de argentina.gob.ar lista los canales.
Sobre la evidencia, argentina.gob.ar pide: "No borres ni destruyas la información relacionada con el hecho." Eso incluye capturas, números de teléfono, correos y comprobantes de transferencias, según la Defensoría del Pueblo bonaerense.
No hay una regla general que obligue al banco a devolver todo
En los textos del BCRA que revisamos no hay una obligación de devolver lo perdido en una estafa virtual. Sí hay plazo: según el texto ordenado de Protección de los Usuarios de Servicios Financieros, la entidad debe resolver todo reclamo en 10 días hábiles como máximo.
El reintegro del punto 2.3.5 cubre cargos mal cobrados, no el fraude, y el reintegro ante un desconocimiento vale solo para las transferencias pull entre cuentas de un mismo titular. La FAQ del BCRA sobre estafa virtual no menciona reintegro.
En octubre de 2024, según la reseña oficial del tribunal, la Cámara Segunda de Apelaciones en lo Civil y Comercial de La Plata confirmó la condena a un banco a reintegrar los fondos de una jubilada víctima de phishing, por "la pasividad del banco frente a las fallas de seguridad".
En marzo de 2025, la Cámara Federal de Resistencia confirmó por mayoría el rechazo de un reclamo, en una medida autosatisfactiva (una vía urgente con prueba limitada): el juzgado había concluido que "no se demuestra dónde estaría la falencia de la entidad bancaria".
En las dos pesa la prueba sobre cómo se hicieron las operaciones.
Desde diciembre de 2026, cada denuncia es un insumo regulado
Tres comunicaciones del BCRA de 2026 cambian lo que la entidad hace con cada denuncia, aunque el texto ordenado vigente de protección de usuarios no contiene la palabra "fraude":
- Comunicación "A" 8471, del 27 de agosto: un programa documentado de gestión del riesgo de fraude, con "canales de denuncia y los mecanismos de respuesta ante el fraude", y una base única de denuncias, con datos como "los montos reconocidos al cliente". Rige desde el 1 de diciembre de 2026 para las entidades financieras y por etapas hasta septiembre de 2027 para los proveedores de cuentas de pago.
- Comunicación "B" 13117: entidades y proveedores de cuentas de pago reportan a la Central de Prevención de Fraude "todos los eventos de fraude de sus clientes" y la consultan, también en el alta.
- Comunicación "A" 8473, del 3 de septiembre: un puntaje de riesgo de fraude por CUIL o CUIT, que elaboran los administradores de los esquemas de transferencias inmediatas con datos del BCRA y de esa central. Entidades y proveedores lo usan en las altas y al monitorear transferencias, de quien envía y de quien recibe (donde aparece la mula financiera); ninguna decisión puede fundarse solo en él.
Leídas juntas (la lectura es nuestra; ninguna de las tres normas lo formula), la denuncia de un usuario termina alimentando la prevención de todas las entidades.
Qué hace VU
Varias acciones que estas estafas necesitan (cambiar el contacto, agendar una cuenta nueva, pedir un préstamo preaprobado) son las que la Comunicación "A" 7783 obliga desde noviembre de 2023 a confirmar con autenticación multifactor o identificación digital, y para el alta no presencial exige prueba de vida.
La autenticación multifactor de VU ONE trabaja con siete factores. La capacidad de VU que aporta contexto sobre el dispositivo es Protege contra el fraude, con reconocimiento del equipo desde el que se opera a partir de señales de browser y de mobile. La decisión sobre qué hacer con esa señal, y el monitoreo de la operación, se resuelven en otra capa que VU no provee.
Desde diciembre de 2026, cada denuncia de estafa virtual es, para la entidad financiera, un registro que debe guardar como fraude y reportar a la Central de Prevención de Fraude.
agenda una conversación.
