1. Phishing bancario: ¿tiene que devolverme el dinero el banco?
En un caso de phishing bancario la regla general es que sí: el banco debe devolver el importe de las operaciones que usted no autorizó, y debe hacerlo de inmediato y, como muy tarde, al final del día hábil siguiente a aquel en que usted se lo comunica. Así lo impone el artículo 45.1 del Real Decreto-ley 19/2018, de servicios de pago. Solo se libera de esa obligación si consigue probar que usted actuó de forma fraudulenta o que incurrió en negligencia grave.
Esto sorprende a mucha gente, porque la respuesta habitual de la entidad es la contraria: «usted facilitó sus claves, la operación está autenticada, no procede devolución». Esa respuesta invierte la ley: no es el cliente quien debe demostrar su inocencia, sino el banco quien debe demostrar la negligencia grave (art. 44.3 RDL 19/2018).
2. ¿Qué es exactamente el phishing bancario y qué modalidades hay?
El phishing es un fraude en el que el estafador se hace pasar por su banco para obtener sus credenciales —usuario, contraseña, código de un solo uso, datos de la tarjeta— y ordenar después transferencias o compras con cargo a su cuenta. La técnica ha evolucionado: hoy los mensajes fraudulentos aparecen dentro del mismo hilo de SMS que los avisos legítimos y las llamadas muestran el número real de la entidad.
| Modalidad | Canal | Cómo se presenta |
|---|---|---|
| Phishing | Correo electrónico | Aviso de «bloqueo de cuenta» con enlace a una web clonada de la entidad |
| Smishing | SMS | Mensaje insertado en el hilo real del banco (suplantación del remitente o SMS spoofing) |
| Vishing | Llamada telefónica | Falso empleado del departamento antifraude que pide «confirmar» códigos |
| Fraude del CEO / falso proveedor | Correo corporativo | Cambio de número de cuenta en una factura pendiente de pago |
| Phishing con troyano | App o enlace | Software que superpone una pantalla falsa sobre la app legítima del banco |
La distinción no es anecdótica: cuanto más sofisticado es el engaño —y cuanto más se apoya en fallos del propio sistema de pagos, como la suplantación del remitente en el hilo oficial de SMS—, más difícil le resulta al banco sostener que el cliente fue gravemente negligente. Si el fraude se ejecutó sobre monederos o plataformas de criptoactivos, la vía es la que explicamos en estafas con criptomonedas.
3. ¿Qué dice la ley? La regla del día hábil siguiente
La norma que regula esto es el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago, que traspone la directiva europea PSD2. Sus artículos 43 a 46 forman el esqueleto de cualquier reclamación:
| Artículo | Qué establece | Plazo o límite |
|---|---|---|
| Art. 43 | Deber del cliente de comunicar la operación no autorizada | Sin demora injustificada y, como máximo, 13 meses desde el adeudo |
| Art. 44 | Carga de la prueba de la autenticación y del fraude o la negligencia grave | Corresponde al banco |
| Art. 45 | Obligación de devolver el importe y restituir la cuenta | De inmediato y, a más tardar, el día hábil siguiente a la notificación |
| Art. 46 | Franquicia a cargo del cliente por instrumento extraviado o sustraído | Hasta 50 €, con excepciones |
| Art. 69 | Respuesta del Servicio de Atención al Cliente | 15 días hábiles (excepcionalmente, un mes) |
Dos matices importantes. El art. 45.1 permite al banco retrasar la devolución si tiene motivos razonables para sospechar fraude del propio cliente, pero debe comunicarlos por escrito al Banco de España: no es una excusa de uso libre. Y el art. 46.2 añade una regla decisiva: si la entidad no exigió autenticación reforzada de cliente —el doble factor del art. 68— el cliente solo responde si actuó de forma fraudulenta.
4. ¿Quién tiene que probar qué en una reclamación por phishing?
Aquí se gana o se pierde el asunto. El art. 44 del RDL 19/2018 reparte la prueba de forma muy clara:
- Si usted niega haber autorizado la operación, es el banco quien debe demostrar que fue autenticada, registrada con exactitud y contabilizada, y que no hubo fallo técnico (art. 44.1).
- El simple registro de que se usó el instrumento de pago no basta para acreditar que usted autorizó la operación, ni que actuó de forma fraudulenta o gravemente negligente (art. 44.2). Es decir: el argumento «consta el uso de sus claves» no es, por sí solo, suficiente.
- Probar el fraude o la negligencia grave del cliente corresponde al banco (art. 44.3).
- La entidad debe conservar la documentación que acredite el cumplimiento de sus obligaciones durante al menos seis años y facilitársela al usuario que la solicite (art. 44.4).
Esa última regla es una herramienta práctica poco utilizada: pida por escrito a su banco los registros de autenticación de las operaciones discutidas (fecha, hora, IP, dispositivo y cómo se validó el segundo factor). Si la entidad no los aporta, difícilmente podrá sostener después que usted autorizó el pago.
5. ¿Cuándo NO devuelve el banco? La negligencia grave
El art. 46.1, párrafo segundo, permite al banco negar la devolución cuando el cliente ha actuado de forma fraudulenta o ha incumplido, deliberadamente o por negligencia grave, las obligaciones del art. 41: proteger razonablemente sus credenciales y notificar sin demora el uso no autorizado.
La negligencia grave no es cualquier descuido: es un estándar exigente, una dejadez llamativa muy alejada de la diligencia normal de un usuario medio de banca digital. La práctica de nuestras audiencias provinciales distingue entre quien cae en un engaño técnicamente sofisticado y quien ignora advertencias evidentes.
| Suele NO considerarse negligencia grave | Suele apreciarse negligencia grave |
|---|---|
| SMS fraudulento insertado en el hilo real de mensajes del banco | Entregar claves a un desconocido tras una oferta de inversión evidentemente irreal |
| Web clonada indistinguible de la original, con certificado y diseño idénticos | Reiterar la entrega de códigos después de que el banco haya avisado del fraude |
| Llamada con el número de teléfono real de la entidad suplantado | Anotar las claves junto a la tarjeta o compartirlas voluntariamente con terceros |
| Operaciones ejecutadas sin autenticación reforzada real (art. 46.2) | Tardar semanas en comunicar los cargos pese a haberlos visto |
Existe además la franquicia de 50 € del art. 46.1 para el instrumento de pago extraviado, sustraído o apropiado indebidamente; y el art. 46.3 exime al cliente de toda consecuencia económica por los cargos posteriores a la notificación, salvo actuación fraudulenta. De ahí que la hora exacta en que usted avisó al banco convenga dejarla documentada.
6. Me han hecho phishing: ¿qué hago en las primeras 48 horas?
El orden importa, porque cada hora que pasa reduce las posibilidades de bloquear los fondos antes de que salgan del sistema bancario:
- Bloquee el acceso: llame al teléfono de fraude de su entidad y bloquee tarjetas y banca digital. Anote la hora y pida un número de incidencia.
- Notifique por escrito las operaciones no autorizadas. El aviso telefónico vale, pero el escrito es el que deja huella a efectos del art. 45.
- Solicite la retrocesión y, si fue transferencia, pida expresamente que se inste la recall al banco de destino.
- Reúna la prueba: capturas del SMS o del correo con el remitente, la URL exacta del enlace, el historial de llamadas y los justificantes de los cargos.
- Denuncie ante la Policía Nacional o la Guardia Civil, o en el juzgado de guardia. Es gratuito y no requiere abogado en ese primer momento.
- Aporte la denuncia al banco y conserve el resguardo: refuerza su posición y, en muchos contratos, es requisito para activar coberturas.
7. Cómo reclamar al banco y al Banco de España paso a paso
La reclamación tiene tres escalones, y hay que agotarlos en orden:
- Servicio de Atención al Cliente (SAC) de la entidad. Debe responderle en 15 días hábiles; solo excepcionalmente, con respuesta provisional motivada, puede alargarse hasta un mes (art. 69 RDL 19/2018). Cite los artículos 44 y 45 y pida los registros de autenticación.
- Departamento de Conducta de Entidades del Banco de España. Si el SAC no responde en plazo o rechaza la reclamación. Su informe no vincula a la entidad, pero es un documento de peso si el asunto acaba en el juzgado.
- Vía judicial civil. Reclamación de cantidad contra la entidad: el escalón que realmente obliga a devolver, y donde la carga de la prueba del art. 44 despliega toda su fuerza.
Un dato de calendario que no debe perder de vista: el plazo máximo para comunicar la operación no autorizada es de 13 meses desde el adeudo (art. 43.1). Superado, se cierra la vía de la devolución automática, aunque siga viva la penal frente al estafador.
8. La vía penal: estafa informática y los «muleros» bancarios
Frente al estafador, la calificación habitual es la estafa informática del art. 249.1.a) del Código Penal: quien, con ánimo de lucro y valiéndose de una manipulación informática o artificio semejante, consigue una transferencia no consentida de un activo patrimonial en perjuicio de otro. La pena es de prisión de seis meses a tres años. Cuando se usan de forma fraudulenta los datos de una tarjeta, entra en juego la letra b) del mismo precepto.
Si el importe defraudado supera los 50.000 €, o el fraude afecta a un elevado número de personas, se aplica el subtipo agravado del art. 250.1.5.º CP, con prisión de uno a seis años y multa de seis a doce meses. Si no excede de 400 €, la conducta se castiga como delito leve con multa de uno a tres meses (art. 248, párrafo tercero, CP).
¿Y si a usted le han usado la cuenta como «mula»? Ocurre con frecuencia: alguien acepta una oferta de «trabajo desde casa» consistente en recibir un ingreso y reenviarlo. Esa conducta se investiga como blanqueo de capitales del art. 301 CP, incluso en su modalidad imprudente del art. 301.3 (prisión de seis meses a dos años y multa del tanto al triplo). Si le han citado en esa condición, no comparezca sin defensa: conviene entender antes qué significa declarar como investigado.
La denuncia penal y la reclamación civil al banco son compatibles y conviene llevarlas en paralelo: la primera persigue al autor y permite el rastreo de las cuentas de destino; la segunda es, en la mayoría de casos, la que realmente recupera el dinero. Puede ver resultados concretos en nuestros casos de éxito.
9. Preguntas frecuentes sobre el phishing bancario
¿Cuánto tarda el banco en devolver el dinero por phishing?
El art. 45.1 del RDL 19/2018 obliga a devolver el importe de inmediato y, como máximo, al final del día hábil siguiente a aquel en que el cliente notifica la operación no autorizada. La entidad solo puede retrasarlo si tiene motivos razonables para sospechar fraude del propio cliente y los comunica por escrito al Banco de España.
¿Puedo reclamar si di yo mismo las claves al estafador?
Sí. Facilitar credenciales engañado no equivale automáticamente a negligencia grave. La ley obliga al banco a probar esa negligencia (art. 44.3) y el registro del uso de las claves no basta por sí solo (art. 44.2). Cuanto más sofisticado sea el engaño, más difícil le resulta a la entidad sostener esa tesis.
¿Qué pasa si tardé varios días en darme cuenta del cargo?
La ley exige comunicarlo sin demora injustificada desde que se tiene conocimiento, con un tope de 13 meses desde el adeudo (art. 43.1). Enterarse tarde de un cargo que no era visible no es lo mismo que verlo y no reaccionar; lo relevante es la fecha en que usted lo conoció, y por eso conviene documentarla.
¿Sirve de algo denunciar si el estafador está fuera de España?
Sí, y por dos motivos. Primero, porque el dinero suele pasar antes por cuentas abiertas en España a nombre de intermediarios identificables. Segundo, porque la denuncia es un elemento probatorio de primer orden en la reclamación civil frente al banco, que es la vía con mayores probabilidades reales de recuperación.
10. Qué hacemos en el despacho si le han hecho phishing
Trabajamos estos asuntos en tres líneas simultáneas. Una: reclamación escrita a la entidad invocando los arts. 44 y 45 del RDL 19/2018 y requiriéndole los registros de autenticación, con reclamación posterior ante el Banco de España si la respuesta no llega o es negativa. Dos: denuncia o querella por la estafa informática del art. 249 CP, orientada al rastreo y bloqueo de las cuentas de destino. Tres: reclamación judicial de cantidad, donde la carga de la prueba juega a favor del cliente.
Si el fraude fue ayer, actúe hoy: la diferencia entre recuperar el dinero y no recuperarlo suele estar en las primeras horas y en dejar por escrito lo que en la oficina se resuelve de palabra.
Esta guía tiene finalidad exclusivamente informativa y divulgativa y refleja la normativa vigente en la fecha de su publicación. No constituye asesoramiento jurídico ni sustituye el análisis individualizado de un abogado sobre su caso concreto, cuyo resultado depende de las circunstancias particulares y de la prueba disponible.
