Advertencia: somos un despacho de abogados que se ocupa exclusivamente de estafas en línea y de intrusismo financiero. Este artículo nace de un caso real tratado por el despacho y se publica de forma anónima en cuanto a la persona perjudicada, con finalidad de interés público. Los datos técnicos proceden de comprobaciones en los registros públicos de dominios realizadas en la fecha de publicación. Si te reconoces en lo que lees, puedes presentarnos tu caso con el formulario al final de esta página.
Dos días después de la última transferencia a hub.hariolas.com, la persona perjudicada descubrió que alguien había entrado en su cuenta corriente y la había vaciado. El banco bloqueó la relación. Ella, por seguridad, reseteó el teléfono — y con ello perdió todas las imágenes de las conversaciones y de la plataforma.
hub.hariolas.com es una estafa, y este caso sirve para explicar dos cosas que casi nadie sabe: que el cargo no autorizado en la cuenta es jurídicamente otra cosa distinta de la estafa, con reglas mucho más favorables a la víctima; y que resetear el teléfono tras una violación es el error más caro que se puede cometer. El despacho ya ha tratado este caso.
Por qué hub.hariolas.com es una estafa: un dominio de nueve días
Empecemos por el dato de hub.hariolas.com que, por sí solo, debería haberlo detenido todo.
En la dirección hub.hariolas.com el nombre que cuenta no es "hub", que es solo un subdominio escrito por quien gestiona el dominio: el dominio real es hariolas.com. Y hariolas.com figura registrado el 5 de noviembre de 2026, con vencimiento a un año.
La última transferencia de la perjudicada es del 6 de noviembre de 2026. El día siguiente al registro.
Significa que, en medio de una relación que ya duraba semanas, la víctima acabó en hub.hariolas.com: es decir, la organización la trasladó a una dirección nacida el día anterior. Es el comportamiento típico de quien cambia de escaparate en cuanto el anterior empieza a ser denunciado: el nombre se tira, la estructura permanece.
A fecha de este artículo hub.hariolas.com sigue activo, y el dominio se apoya en un servicio que enmascara el servidor de origen. Tiene nueve días de vida.
Preguntémonos qué significa en concreto un dominio como hariolas.com, porque es la lección que vale para quien lee: a nadie se le ocurriría entregar sus ahorros a una sociedad constituida ayer, sin sede y sin nombre. Pero casi nadie comprueba la antigüedad del dominio antes de hacer una transferencia, y esa comprobación es gratuita, lleva treinta segundos y se hace en cualquier servicio público de consulta de los registros. Una plataforma financiera seria tiene un dominio de años. Un dominio de pocos días o de pocos meses, con registro anual, es un escaparate temporal.
Hay sin embargo también una buena noticia, y es el motivo por el que en el caso hub.hariolas.com hay que moverse ya. Mientras el dominio esté registrado y activo, ante el registrador y el servicio DNS constan el nombre de la cuenta, el correo de registro, el método de pago, las IP de acceso y la lista de los demás dominios de la misma cuenta. Son datos que solo se obtienen con un requerimiento de la autoridad judicial y que deben pedirse expresamente en la denuncia. Cuando el dominio vence o se cancela, esa vía se cierra.
El punto que lo cambia todo: el cargo en la cuenta no es la estafa
Aquí está el valor práctico de este artículo sobre hub.hariolas.com, y vale para cualquiera que se haya encontrado en la misma situación.
En el expediente hub.hariolas.com hay dos conductas distintas, y deben mantenerse rigurosamente separadas porque las reglas son opuestas.
La primera son las transferencias a hub.hariolas.com que la perjudicada ordenó ella misma, engañada sobre las razones pero consciente del acto. Sobre estas no opera la tutela prevista para las operaciones no autorizadas: la orden la dio el titular, y la recuperación pasa por la vía penal, el embargo y la reconstrucción de los flujos.
La segunda es el acceso a la cuenta corriente y la retirada de las sumas por terceros. Esa es una operación de pago no autorizada, regulada en Italia por el d.lgs. 11/2010 de transposición de la normativa europea de servicios de pago, y es un mundo completamente distinto.
Estas son las reglas, en síntesis, porque casi nadie las conoce:
El usuario debe comunicar al banco la operación no autorizada sin demora, en cuanto tenga conocimiento, y en todo caso dentro de los plazos legales. Esa comunicación es el presupuesto de todo: debe hacerse de inmediato y por escrito, no solo por teléfono.
El banco, recibida la comunicación, debe reembolsar el importe antes del final del día hábil siguiente, salvo que tenga sospecha fundada de fraude del usuario, que debe comunicar por escrito a la autoridad.
La carga de la prueba es del banco, no del cliente. Es la entidad la que debe demostrar que la operación fue autenticada, correctamente registrada y no afectada por una avería. Y el mero registro de la operación no basta para probar que el cliente la autorizó o que actuó con dolo o culpa grave.
El usuario soporta una franquicia limitada por las operaciones no autorizadas derivadas del uso de un instrumento extraviado o sustraído. Soporta la pérdida íntegra solo si actuó con dolo o culpa grave, y la culpa grave debe demostrarse en concreto, no presumirse.
Y hay un punto decisivo, a menudo dirimente: si la operación se ejecutó sin que el banco aplicara la autenticación reforzada del cliente, la entidad no puede oponer al cliente el mero registro. Siempre merece la pena verificar si la operación impugnada exigió efectivamente un segundo factor y cuál.
Por último, el instrumento práctico: además de la reclamación escrita al banco, en Italia existe el Arbitro Bancario Finanziario, un sistema de resolución extrajudicial gratuito para el cliente, al que se acude tras una reclamación sin resultado. Es la vía más rápida y aquella en la que esta materia se ha decidido miles de veces.
Así que, a quien ha pagado a hub.hariolas.com: la transferencia que hiciste tú y el cargo que hicieron ellos no van en el mismo saco. El segundo debe impugnarse ante el banco, por escrito, hoy.
Qué hacer cuando descubres que han entrado en la cuenta
Pongamos en orden las operaciones a realizar tras un asunto como el de hub.hariolas.com, porque el orden importa.
Primero: bloquear, no borrar. Se bloquea el instrumento de pago y se suspenden las credenciales. No se borra nada, no se cierra nada, no se "limpia" nada.
Segundo: comunicar por escrito. Reclamación al banco con la lista detallada de las operaciones desconocidas, fecha, hora, importe y beneficiario, con petición expresa de reembolso conforme a la disciplina sobre operaciones no autorizadas y de conservación de los registros de autenticación. La fecha de esa comunicación es el eje de toda la posición.
Tercero: pedir los registros. Al banco hay que pedirle, ya en la reclamación, que conserve y aporte los datos de autenticación de la operación: qué dispositivo, qué canal, qué segundo factor, qué dirección IP. Si mañana el banco alega culpa grave, son esos datos los que deciden.
Cuarto: la denuncia. El acceso a la cuenta ajena integra el acceso abusivo a un sistema informático del art. 615-ter del código penal italiano, autónomo respecto de la estafa, y el traslado de las sumas operando sobre el sistema integra la estafa informática del art. 640-ter. Si se obtuvieron credenciales, es relevante también la tenencia y difusión abusiva de códigos de acceso del art. 615-quater. Son todos delitos distintos del art. 640, y deben imputarse por separado, no absorberse en el relato de la estafa.
Quinto: y aquí viene la parte que nadie dice.
No resetees el teléfono
En el expediente hub.hariolas.com, descubierto el cargo, la perjudicada hizo lo que instintivamente parece más seguro: reseteó el teléfono. El resultado es que las pruebas desaparecieron — las conversaciones, las capturas de la plataforma, los llamados certificados con los gráficos de ganancias que le habían mostrado.
Digámoslo con claridad, porque es un mensaje que puede salvar muchos expedientes: tras una violación no se resetea el dispositivo. El reseteo no elimina un problema que ya no está en el teléfono: el dinero ya salió, las credenciales ya se conocen, los datos ya están en manos ajenas. Elimina solo lo único que aún era tuyo, es decir, la prueba.
La secuencia correcta es otra: se aísla el dispositivo, se cambia todo desde fuera (credenciales bancarias y de correo desde otro aparato, revocación de las sesiones activas, desactivación de eventuales aplicaciones de acceso remoto), se exporta nativamente todo el contenido relevante y solo después, si hace falta, se procede a una limpieza, idealmente con ayuda de quien sabe hacer una copia forense.
¿Y si el reseteo ya se ha producido? No todo está necesariamente perdido, y conviene saberlo:
Las copias de seguridad del lado del servidor de las aplicaciones de mensajería pueden conservar las conversaciones; la copia en la nube de la cuenta del teléfono a menudo conserva las imágenes; el banco conserva por obligación legal todo el movimiento y los datos de la operación impugnada; el operador telefónico conserva los registros de llamadas; y la contraparte —la plataforma, el destinatario de las transferencias, el gestor del dominio— conserva lo que tiene, y solo es alcanzable por la autoridad. El reseteo borró tu copia, no el original que está en otro sitio. Por eso la denuncia debe contener las peticiones de obtención ante todos estos sujetos.
El reconocimiento facial: el dato más grave de todos
En el expediente hub.hariolas.com la perjudicada entregó, a petición, un paquete de datos que merece enumerarse entero: documento de identidad, nombre y apellidos, IBAN, dirección de correo, número de móvil, facturas de suministros como prueba del domicilio, credenciales de acceso y un reconocimiento facial.
No es una lista casual, y es la que pidió hub.hariolas.com. Es exactamente el conjunto exigido por los procedimientos de verificación a distancia de las entidades de pago y de las plataformas de intercambio. Quien lo posee tiene lo necesario para intentar abrir cuentas a nombre ajeno.
El reconocimiento facial que pidió hub.hariolas.com merece párrafo aparte. Se trata de un dato biométrico, perteneciente a la categoría que el reglamento europeo de protección de datos tutela de forma reforzada. No es una contraseña: no se cambia. Una vez entregado un vídeo de verificación de identidad, ese material queda utilizable.
Las consecuencias prácticas son dos. En el plano penal, es relevante la suplantación de persona del art. 494 y el riesgo concreto de que sumas procedentes de otras estafas pasen por cuentas abiertas con los datos de la víctima, con el resultado paradójico de una imputación por blanqueo contra ella. En el plano civil y administrativo, la entrega indebida de datos biométricos puede llevarse a la atención de la autoridad de control en materia de protección de datos.
Por eso en la denuncia debe incluirse un desconocimiento expreso y fechado: la declaración de no haber abierto ni autorizado relación alguna con esos documentos, de desconocer toda operación efectuada con ellos y de haber entregado el material biométrico por inducción fraudulenta. Es una línea que no cuesta nada y que, el día en que llegue una reclamación, vale muchísimo.
"Finjo que sigo colaborando": por qué es peligroso
Hay un punto del caso hub.hariolas.com que merece honestidad, porque en el momento de nuestra primera entrevista la perjudicada había elegido seguir fingiendo que colaboraba con la organización para ganar tiempo.
La intención es comprensible y el instinto investigador también. Pero hay que decir que es una elección arriesgada y que, en nuestra experiencia, produce más daños que ventajas.
Quien sigue dentro de hub.hariolas.com continúa siendo trabajado. Y la fase siguiente es previsible: cuando entienden que no llegarán más pagos, cambian de registro. Se presentan como autoridades, como policía, como agencia tributaria, como sociedad de recuperación encargada. O pasan a las amenazas y a la presión psicológica. Es el momento en que muchas personas, ya vaciadas, pagan la última suma que no tenían.
El consejo correcto es: se exporta todo y luego se cierra. Las conversaciones ya ocurridas son prueba suficiente; las futuras no añaden nada decisivo y exponen a un riesgo real.
Y sobre todo: no se paga ni un euro más, de ninguna forma y por ningún motivo. Cuando, tras los pagos, la víctima de hub.hariolas.com pidió que le devolvieran su dinero, la respuesta fue que para recuperarlo había que pagar otra vez. Eso no es un procedimiento: es la segunda estafa, y la amenaza de un mal injusto para obtener un pago no debido debe valorarse también como tentativa de extorsión.
El marco jurídico
Los hechos de hub.hariolas.com son del otoño de 2026, por tanto posteriores a la entrada en vigor de la ley 90/2024: se aplica el art. 640 apartado 2-ter del código penal italiano, que agrava la estafa cometida a distancia mediante instrumentos informáticos idóneos para obstaculizar la identificación del autor. Aquí el obstáculo es evidente: dominio de pocos días, servicio de enmascaramiento del servidor, transferencias al extranjero y traspasos en criptomoneda hacia monederos.
En el expediente hub.hariolas.com se añaden la menor defensa del art. 61 n. 5, recogida por el art. 640 apartado 2 n. 2-bis, y el daño patrimonial de especial gravedad del art. 61 n. 7.
Deben imputarse por separado, como se ha dicho, el acceso abusivo del art. 615-ter, la estafa informática del art. 640-ter, la suplantación de persona del art. 494 y, en relación con las cuentas receptoras, el blanqueo del art. 648-bis. La oferta de servicios de inversión sin autorización integra el intrusismo del art. 166 del texto único financiero italiano, perseguible de oficio.
Sobre el plazo: la estafa simple es perseguible mediante denuncia dentro de los tres meses desde el conocimiento del hecho. Con una última transferencia del 6 de noviembre de 2026, el plazo vence a principios de febrero de 2027. Pero atención: para el acceso abusivo y la estafa informática rigen reglas propias, y el tiempo útil para la reclamación al banco es mucho más breve. Lo primero que hay que hacer no es la denuncia: es la reclamación escrita a la entidad.
Qué poner a salvo de inmediato
Quien haya pagado a hub.hariolas.com debe conservar los justificantes de todas las transferencias, con beneficiario, IBAN, BIC, país y concepto. El extracto de cuenta con las operaciones desconocidas resaltadas, con fecha y hora. Copia de la reclamación enviada al banco y de su acuse. La dirección exacta de la plataforma en su forma completa, incluido el subdominio. Las capturas de los saldos y de los llamados certificados con gráficos, si aún están disponibles, o la copia de seguridad de la que recuperarlas. La exportación nativa de las conversaciones. Los números y las cuentas usados por los estafadores. La lista de los documentos personales entregados, con indicación expresa del reconocimiento facial y la fecha. Las direcciones de los monederos de destino, si el paso se hizo en criptomoneda: se descargan del historial de operaciones del propio exchange y son el punto de partida del análisis de la cadena.
Casos análogos ya tratados por el despacho
Para quien se haya cruzado con hub.hariolas.com, sobre el control remoto del dispositivo y el acceso abusivo puede resultar útil nuestro análisis de axi24-cfd.com; sobre el bloqueo del reintegro y las sumas pedidas para desbloquear el de eliteclouds.com; sobre la lectura correcta de una dirección y los subdominios el de tiktok.yalmy.shop; sobre dominios de vida brevísima el de artisanworks.vip; y sobre la falsa recuperación el de dam.w24platform.com.
Si has pagado a hub.hariolas.com: qué hacer ahora
El cuadro es este. hub.hariolas.com es una estafa servida por un dominio registrado el 5 de noviembre de 2026 —el día antes de la última transferencia de la perjudicada—, todavía activo y tras un servicio que enmascara su servidor. El dinero salió en parte con transferencias ordenadas por la víctima y en parte con un acceso directo a su cuenta corriente. A la petición de devolución siguió la petición de nuevos pagos.
Si también te ha pasado, el orden de las cosas es este: reclamación escrita al banco por las operaciones que no autorizaste, conservación de todo sin resetear nada, y después la denuncia penal con las peticiones de obtención mientras el dominio siga vivo.
El despacho ya ha tratado este caso. Puedes presentarnos tu posición para una valoración preliminar.
Si has sufrido la misma estafa, podemos ayudarte. Rellena el formulario que encontrarás al final de esta página.
¿Necesitas asistencia legal?
Cuéntanos tu caso: valoración gratuita y sin compromiso.
