¿Has sufrido phishing bancario? Cuándo puedes reclamar al banco el dinero sustraído

Recibir un SMS aparentemente enviado por tu banco, una llamada del supuesto departamento de seguridad o una alerta sobre un acceso sospechoso a tu cuenta puede ser el comienzo de un fraude bancario.

Phishing, smishing, vishing, SIM swapping y otras técnicas de suplantación son cada vez más sofisticadas. En muchos casos, cuando la víctima descubre lo ocurrido, el dinero ya ha salido de su cuenta mediante transferencias, pagos con tarjeta, Bizum u otras operaciones que asegura no haber autorizado.

La reacción habitual es pensar que la única opción consiste en denunciar al estafador.

Sin embargo, cuando existen operaciones bancarias no autorizadas, también debe analizarse la posible responsabilidad de la entidad financiera.

La normativa sobre servicios de pago establece un régimen específico para estas operaciones. La Sentencia del Tribunal Supremo 571/2025, de 9 de abril, ha fijado criterios especialmente relevantes sobre la autorización, la prueba y la responsabilidad en fraudes cometidos mediante suplantación y duplicado de SIM.

En Trader&Justicia analizamos el fraude desde una doble perspectiva: qué hicieron los delincuentes y qué obligaciones correspondían al banco que permitió ejecutar las operaciones.

¿Qué es el phishing bancario?

El phishing es una modalidad de fraude mediante la cual los delincuentes suplantan a una entidad legítima para obtener información confidencial de la víctima.

Puede comenzar mediante un correo electrónico, pero actualmente son frecuentes otras variantes.

1. Smishing: utiliza mensajes SMS que aparentan proceder de la entidad.
2. Vishing: se basa en llamadas telefónicas en las que el delincuente se presenta, por ejemplo, como empleado del departamento de seguridad del banco.
3. SIM swapping: los delincuentes consiguen controlar o duplicar la línea telefónica de la víctima, lo que puede permitirles recibir códigos de autenticación.

También existen ataques en los que los delincuentes introducen mensajes fraudulentos en conversaciones de SMS que aparentemente corresponden al propio banco, utilizan números telefónicos similares o suplantados, crean páginas casi idénticas a la banca electrónica real o combinan varias de estas técnicas.

¿Se puede reclamar al banco por phishing?

En determinados casos, sí.

El Real Decreto-ley 19/2018, de servicios de pago, distingue entre operaciones autorizadas y no autorizadas. Una operación se considera autorizada cuando el ordenante ha prestado consentimiento para su ejecución. Si ese consentimiento no existe, la operación se considera no autorizada.

Esta distinción es fundamental. Si un tercero accede a la banca electrónica y realiza transferencias que el cliente nunca ordenó, el análisis jurídico es diferente del supuesto en el que el propio cliente, engañado por un delincuente, introduce personalmente una transferencia y confirma su envío.

En ambos escenarios puede existir una reclamación que estudiar, pero no debe darse por hecho que son jurídicamente iguales. Antes de reclamar, resulta esencial reconstruir con precisión cómo se produjo cada operación.

Operaciones bancarias no autorizadas: ¿qué tiene que demostrar el banco?

El artículo 44 del Real Decreto-ley 19/2018 contiene una regla especialmente relevante: cuando el cliente niega haber autorizado una operación, corresponde al proveedor de servicios de pago demostrar que fue autenticada, registrada correctamente y contabilizada, y que no estuvo afectada por un fallo técnico u otra deficiencia del servicio.

El mero registro de la utilización de un instrumento de pago no basta necesariamente para demostrar que el cliente autorizó la operación. Tampoco acredita por sí solo que el usuario actuara fraudulentamente o con negligencia grave. La norma atribuye al proveedor la carga de probar el fraude o la negligencia grave que pretenda imputar al cliente.

Por ello, una respuesta bancaria del tipo «la operación fue correctamente autenticada» o «se introdujo correctamente el código SMS» no debería cerrar por sí sola el análisis.

Conviene estudiar, entre otras cuestiones, cómo se produjo la autenticación, qué dispositivo intervino, desde qué dirección IP se operó, si hubo alta de un nuevo dispositivo, qué secuencia siguieron las operaciones, si existían patrones anómalos y qué sistemas de detección de fraude utilizó la entidad.

¿Tiene el banco que devolver una operación no autorizada?

El artículo 45 del Real Decreto-ley 19/2018 establece como regla que, cuando se ejecuta una operación de pago no autorizada, el proveedor de servicios de pago del ordenante debe devolver su importe de inmediato y, en cualquier caso, como máximo al final del día hábil siguiente desde que observa o se le notifica la operación.

La normativa contempla excepciones y el comportamiento del usuario puede resultar determinante. Esto no significa que cualquier víctima de una estafa tenga automáticamente derecho a que su banco reintegre las cantidades perdidas.

Significa que las operaciones no autorizadas están sujetas a un régimen legal específico que debe analizarse antes de aceptar sin más la negativa de la entidad.

¿Puede el banco alegar negligencia grave del cliente?

Puede alegarlo, pero deberá acreditarlo cuando pretenda utilizar esa circunstancia para desplazar su responsabilidad.

Una de las discusiones habituales consiste en determinar si el comportamiento de la víctima constituye una verdadera negligencia grave o si estamos ante una persona engañada mediante una técnica de ingeniería social suficientemente sofisticada.

No todo error del usuario equivale a negligencia grave. La cuestión debe valorarse de forma individual atendiendo a la apariencia de autenticidad de las comunicaciones, la información facilitada por el banco, las medidas de seguridad existentes, la reacción del cliente y el conjunto de circunstancias del fraude.

¿Qué ha dicho el Tribunal Supremo sobre el fraude bancario?

La Sentencia del Tribunal Supremo 571/2025, de 9 de abril, resolvió un supuesto en el que terceros realizaron operaciones tras acceder a las credenciales del usuario y duplicar una tarjeta SIM.

El Tribunal Supremo recuerda que, cuando el usuario niega haber autorizado la operación, corresponde al proveedor acreditar la autenticación y correcta ejecución. Añade que el mero uso de claves y códigos no demuestra necesariamente que existiera consentimiento ni que el cliente actuara con fraude o negligencia grave.

La sentencia califica la responsabilidad del proveedor en estas operaciones como cuasi objetiva y subraya la importancia de los controles destinados a detectar operaciones anómalas: reiteración de transferencias, horario, importe, destinatarios o antecedentes de uso de la cuenta, entre otros factores.

En 2026, el Consejo General del Poder Judicial difundió además resoluciones de la Audiencia Provincial de A Coruña y de la Audiencia Provincial de Asturias que estimaron reclamaciones en supuestos concretos de transferencias o pagos no consentidos.

Estas resoluciones no significan que todos los casos terminen con una condena al banco. Sí confirman que la utilización de credenciales o mecanismos de autenticación no permite concluir automáticamente que el cliente prestó consentimiento válido o incurrió en negligencia grave.

Me engañaron y fui yo quien hizo la transferencia: ¿puedo reclamar?

Este supuesto exige un análisis diferente.

Imaginemos que una persona recibe una llamada aparentemente procedente de su banco. Le indican que su cuenta ha sido comprometida y que, para proteger sus ahorros, debe transferirlos urgentemente a una supuesta «cuenta segura». La víctima realiza personalmente la transferencia.

En ese caso, el banco probablemente alegará que la operación fue ordenada materialmente por su cliente. Eso hace que la reclamación sea más compleja que cuando un tercero entra directamente en la banca electrónica y extrae el dinero.

Complejo no significa necesariamente inviable. La viabilidad dependerá de las circunstancias concretas, pero no debe trasladarse de forma automática el régimen propio de las operaciones no autorizadas a cualquier transferencia realizada bajo engaño.

¿Qué debes hacer inmediatamente después de descubrir el fraude?

Lo prioritario es actuar con rapidez.

1. Comunica el fraude al banco y solicita el bloqueo de los instrumentos comprometidos.
2. Pide la retrocesión o recuperación urgente de las transferencias y deja constancia escrita.
3. Conserva SMS, correos, capturas, números telefónicos, llamadas, justificantes, movimientos y comunicaciones con la entidad.
4. Presenta denuncia y aporta una cronología clara de los hechos y de cada operación.
5. Solicita a la entidad la documentación técnica de autenticación y ejecución.

La utilización no autorizada debe notificarse al proveedor sin demora injustificada desde que se tenga conocimiento. La normativa establece, con carácter general, un plazo máximo de trece meses desde el adeudo para solicitar la rectificación de una operación no autorizada o ejecutada incorrectamente, sin perjuicio de las particularidades de cada caso.

¿Cómo se reclama al banco por phishing?

La primera fase debe dirigirse normalmente contra la propia entidad. Conviene evitar reclamaciones genéricas.

Una reclamación jurídicamente preparada debería explicar la cronología del fraude, identificar las operaciones impugnadas, razonar por qué no existió autorización y solicitar la información técnica necesaria sobre su ejecución.

En reclamaciones relativas a servicios de pago, el Servicio de Atención al Cliente dispone, con carácter general, de 15 días hábiles para contestar. Si la reclamación se desestima o no se recibe respuesta en plazo, puede valorarse acudir al Banco de España. Su informe no es vinculante, pero el procedimiento puede favorecer una solución extrajudicial y delimitar una eventual reclamación judicial.

¿Qué documentación debe analizar un abogado especializado?

6. cómo comenzó el engaño y qué comunicaciones recibió la víctima;
7. quién ejecutó materialmente cada operación;
8. dispositivo, dirección IP y localización utilizados;
9. sistema de autenticación y códigos OTP empleados;
10. altas o modificaciones de dispositivos y credenciales;
11. destinatarios, secuencia, horario e importe de las operaciones;
12. límites y patrones habituales de la cuenta;
13. alertas generadas y reacción de la entidad;
14. reclamación presentada, respuesta bancaria y denuncia;
15. documentación policial o pericial disponible.

El objetivo es determinar si existe una base jurídica real para reclamar la devolución a la entidad, además de investigar penalmente a los autores y el destino del dinero.

¿Necesito denunciar aunque reclame al banco?

Son actuaciones diferentes y pueden ser complementarias.

La reclamación frente al banco analiza las obligaciones derivadas de la prestación de servicios de pago y la posible responsabilidad de la entidad. La denuncia persigue investigar el delito, identificar a sus autores, seguir el recorrido de los fondos y adoptar, cuando resulte posible, medidas para su recuperación.

En Trader&Justicia llevamos años trabajando en la investigación jurídica de fraudes financieros, transferencias, cuentas receptoras, entidades de pago y operaciones con activos digitales. Esa experiencia permite abordar el fraude bancario desde la reclamación civil o bancaria y desde la investigación del destino del dinero.

¿Tu banco ha rechazado devolverte el dinero?

Que el banco haya rechazado una primera reclamación no significa necesariamente que el asunto esté terminado. Tampoco significa que exista siempre una reclamación viable.

Hay que conocer exactamente cómo se produjo el fraude, qué operaciones se realizaron y qué prueba conserva la entidad bancaria.

Cada supuesto requiere un análisis individual. La existencia de una reclamación no permite garantizar un resultado concreto.