Intel·ligència artificial i estafes en línia

Hi ha un gest que repetim constantment: agafar el mòbil un moment per comprovar un missatge, buscar alguna cosa a internet o interactuar a les xarxes socials. Però la veritat és que aquest moment sovint s'allarga, fent que la conversa es trenqui i, de sobte, la persona amb qui parlem es queda parlant sola. Aquest és el fenomen conegut com a 'phubbing' (un portmanteau de 'phone' i 'snubbing'), i els terapeutes el descriuen com una font de conflicte cada cop més comuna, ja que s'ha convertit en una forma quotidiana de desconnexió emocional.

El que és preocupant és que aquesta escena aparentment inofensiva explica molt millor que cap gràfic per què les estafes digitals estan vivint una edat d'or. El problema no és la tecnologia en si, sinó l'hàbit: hem après a reaccionar a una notificació com un reflex condicionat, a confiar en el que apareix a la pantalla, a acceptar com a vàlid tot allò que sona familiar i a respondre ràpidament quan algú ens pressiona. I és aquí on els ciberdelinqüents han trobat la gallina dels ous d'or.

És important tenir en compte que el nivell de sofisticació tecnològica dels ciberdelinqüents és realment d'avantguarda, com ho demostra 'EncroChat', un sistema de comunicació xifrat que utilitzava el crim organitzat per a activitats delictives, amb servidors a França i dispositius modificats que en dificultaven la intervenció amb mètodes tradicionals.

Aquest sistema es va acabar desactivant gràcies a una investigació complexa que va implicar la instal·lació —amb autorització judicial francesa— d'una aplicació de tipus «cavall de Troia» mitjançant una actualització simulada, que va afectar desenes de milers d'usuaris en nombrosos països, i els resultats es van compartir entre els estats a través de la cooperació internacional; la qual va necessitar la confirmació de la legalitat de les accions realitzades, tal com va analitzar la Sala Penal del Tribunal Suprem en la Sentència (Plenari) 854/2025, de 16 d'octubre.

En aquest context, la intel·ligència artificial (IA) ha ajudat a perfeccionar aquests fraus; tot i que la IA no ha inventat l'engany, la fa més barata, l'escala i la fa més creïble, de manera que l'estafa deixa de ser una activitat manual i es converteix en un procés automatitzat que permet dur a terme les estafes a gran escala industrial. Allò que abans requeria temps i un cert grau d'habilitat per imitar, redactar i manipular, ara es pot fer amb IA en molt poc temps i amb un realisme tal que la víctima sovint no pot sospitar a temps.

Una de les tècniques habituals que utilitzen els ciberdelinqüents és el 'voice hacking', que consisteix a clonar la veu d'una persona a partir de petits fragments d'àudio, generant missatges tan realistes que la víctima creu que són d'algú que coneix (un familiar, un cap, etc.), que els demana que facin un pagament urgent o que proporcionin informació sensible, apel·lant a les emocions associades a un ésser estimat o a l'autoritat d'un superior. I ningú no n'és immune, com ho demostra el que va passar el febrer de 2025, quan es va intentar estafar diversos sacerdots de Segòvia imitant la veu del nou bisbe, demanant-los que fessin una transferència de 2.200 euros per poder accedir a una suposada herència de 40.000 euros que una dona volia donar a la parròquia.

Tot i que els casos de 'phishing' existeixen des de fa temps, l'adveniment de la IA ha afegit una nova dimensió, ja que permet processar dades robades (nom, número de telèfon, data de naixement, adreça, números de compte, etc.) per dissenyar campanyes de 'phishing' personalitzades i llançar onades massives de correu brossa i trucades fraudulentes.

I, tot i que això sempre ha estat motiu de preocupació, aquest nou escenari significa que esdeveniments com la notícia que va aparèixer als mitjans l'abril de 2025 (posteriorment desmentida) sobre una possible filtració de la llista Robinson (una llista de persones que han optat per no rebre publicitat) – la qual cosa hauria significat que les dades de més de 600.000 persones podrien haver estat a la dark web – fa sonar totes les alarmes.

Una altra tàctica especialment perjudicial consisteix a intentar enganyar des d'un canal que la víctima havia considerat digne de confiança. Un exemple recurrent és el 'suplantament d'SMS' (SMS spoofing), que consisteix a enviar missatges de text falsos en els quals s'ha suplantat l'identificador de l'emissor, de manera que el missatge apareix dins del mateix fil de conversa que els missatges de text legítims, la qual cosa fa que la víctima cregui que es troba en un entorn de confiança.

La sentència 142/2024 del 21 de març del Jutjat Provincial d'Astúries es va pronunciar sobre aquest assumpte, declarant un banc responsable d'ordres de pagament no autoritzades efectuades mitjançant 'suplantació d'SMS' (SMS spoofing), i va ordenar que es retornés l'import sostret. La decisió es va basar en el fet que el banc no va poder demostrar que hi hagués hagut una negligència greu per part del client; en les deficiències del sistema de seguretat del banc per prevenir aquest tipus d'atac, especialment tenint en compte que es considera un mètode comú; així com en el fet que hi havia senyals d'alerta que haurien d'haver despertat sospites, com ara que la transferència era instantània, per un import considerable, feta des d'un dispositiu recentment vinculat i a una destinació inusual (una institució d' diners electrònics estrangera).

Però, què passa quan la estafa ja s'ha produït i no és possible recuperar els diners? Es pot declarar l'import defraudat com una pèrdua de capital a efectes de l'impost sobre la renda de les persones físiques? Resolució Vinculant V0625-24, de data 11 d'abril de 2024, emesa per la Subdirecció General de l'Impost sobre la Renda de les Persones Físiques, que aborda un cas de frau bancari («phishing») i conclou que l'import sostret pot constituir una pèrdua de capital a efectes de l'impost sobre la renda de les persones físiques, ja que s'emmarca en l'àmbit de l'article 33.1 de la Llei 35/2006, de 28 de novembre, de l'Impost sobre la Renda de les Persones Físiques i de modificació parcial de les lleis de l'Impost de Societats, sobre la renda dels no residents i sobre el patrimoni (LIRPF), sempre que estigui degudament justificada amb proves admissibles en dret (denúncies policials, reclamacions, documentació, etc.).

No obstant això, cal tenir presents dos punts importants: (i) la pèrdua s'imputa a l'exercici fiscal en què va tenir lloc el frau, d'acord amb la regla general establerta a l'article 14.1.c) de la LIRPF; i (ii) com que no deriva d'una transferència de béns, es tracta com a ingressos generals, sotmesos a les normes compensatòries i terminis aplicables (quatre anys); i, si finalment es recupera l'import, aquesta recuperació tindrà implicacions fiscals, ja que restableix l'equilibri patrimonial.

Llegiu l'article complet publicat a Lawyerpress.