Phishing bancario: cuándo debe devolverte el dinero el banco

✅ Haz esto YA: los 3 pasos urgentes si te han estafado por phishing bancario

Si acabas de darte cuenta de que has introducido tus claves bancarias en una web falsa, has recibido un SMS con un enlace sospechoso y luego viste cargos no autorizados en tu cuenta… no pierdas ni un minuto. El tiempo es tu aliado —pero solo si actúas con rapidez.

➡️ Paso 1 (AHORA, en los próximos 15 minutos):
Bloquea inmediatamente tu tarjeta desde la app de tu banco o llamando al servicio de atención al cliente. Anota el número de incidencia que te den. Esto detiene transacciones pendientes y evita nuevos cargos.

➡️ Paso 2 (DENTRO DE LAS PRÓXIMAS 2 HORAS):
Envía un correo electrónico certificado a tu entidad bancaria (no basta con un mensaje en la app ni una llamada). Debe incluir:

• Tu nombre completo y DNI/NIE
• Número de cuenta o tarjeta afectada
• Fecha y hora aproximada del fraude
• Descripción clara del engaño (ej.: «hice clic en un enlace de un correo que simulaba ser de mi banco y rellené mi usuario y contraseña»)
• Solicitud expresa de devolución íntegra del importe sustraído, amparada en el RD-Ley 19/2018, art. 45.

➡️ Paso 3 (EN LAS PRÓXIMAS 24 HORAS):
Presenta una denuncia ante la Policía Nacional o Guardia Civil (puedes hacerlo online en sede.policia.es). Adjunta capturas de los mensajes, correos, URLs falsas y el correo enviado al banco. Esta denuncia es prueba indispensable para exigir la devolución.

⚠️ No esperes a que el banco “detecte” el fraude: ellos no lo harán automáticamente. Tú eres quien debe activar la protección legal. Y sí: en la inmensa mayoría de los casos, el banco está obligado a devolverte TODO el dinero, incluso si tú diste tus claves —siempre que no hubieras actuado con dolo o negligencia grave.

¿Qué es el phishing bancario y por qué el banco responde por ello?

El phishing bancario no es “un error tuyo”: es un delito tecnológico estructurado, diseñado para explotar la confianza legítima que depositas en tu entidad financiera. Consiste en la creación de sitios web, emails, SMS o apps falsas que imitan fielmente la identidad visual, el lenguaje y hasta los certificados de seguridad de tu banco, sea cual sea, con el único fin de robarte credenciales, códigos de verificación o datos de tarjetas.

Lo clave —y lo que muchos desconocen— es que la ley no te considera responsable por entregar tus claves a un impostor, siempre que hayas actuado con la diligencia razonable de un consumidor medio. ¿Por qué? Porque el sistema bancario tiene la obligación legal de garantizar la autenticación segura de sus clientes y de protegerlos frente a fraudes conocidos y recurrentes.

La Directiva Europea PSD2 (Payment Services Directive 2), incorporada al ordenamiento español mediante el RD-Ley 19/2018, art. 45, establece con claridad que:

“El prestador de servicios de pago será responsable de los pagos no autorizados, salvo que demuestre que el pago fue autorizado, que no se produjo ningún fallo en su sistema de autenticación o que el cliente actuó con dolo o negligencia grave”.

Es decir: la carga de la prueba no está en ti, sino en el banco. Ellos deben probar que tú hiciste algo intencionadamente malo o extremadamente descuidado —como compartir tu clave por WhatsApp con un “técnico del banco”, o instalar software malicioso tras ignorar 12 advertencias del antivirus. Pero hacer clic en un enlace que parecía oficial, o rellenar un formulario idéntico al de tu app… eso no es negligencia grave: es lo que el fraude está diseñado para provocar.

Requisitos legales para exigir la devolución (y qué NO te pueden exigir)

Para que el banco esté obligado a devolverte el dinero, debes cumplir tres condiciones mínimas, todas recogidas en la normativa de protección al consumidor financiero:

1. Que el cargo sea no autorizado: es decir, que tú no lo iniciaste ni lo validaste conscientemente. Un cargo realizado con tu clave SMS o con tu app bancaria sí es autorizado —aunque lo hayas hecho por engaño. Pero si el fraude ocurrió fuera del canal seguro (por ejemplo, en una web falsa que copiaba la de tu banco), entonces el cargo es no autorizado, porque el sistema bancario no intervino ni validó la operación.

2. Que hayas notificado al banco sin dilación indebida: según el RD-Ley 19/2018, art. 45.3, debes comunicar el fraude “tan pronto como tengas conocimiento razonable de él”. La jurisprudencia importa menos que el propio texto legal, que fija un plazo bastante más amplio de lo que suele contarse: la rectificación procede si lo comunicas sin demora injustificada y, en todo caso, dentro de un máximo de trece meses contados desde la fecha del adeudo (artículo 43.1 del Real Decreto-ley 19/2018). Y ese plazo ni siquiera se te aplica si el banco no te informó de la operación como debía. Avisar cuanto antes sigue siendo lo sensato, pero que hayan pasado unos días no te deja fuera.

3. Que no hayas actuado con dolo o negligencia grave: aquí radica el mayor mito. El banco no puede negarse a devolverte el dinero solo porque “diste tu contraseña”. El artículo 44.3 del Real Decreto-ley 19/2018 lo dice sin rodeos: corresponde al proveedor de servicios de pago probar que el usuario cometió fraude o negligencia grave. No eres tú quien tiene que demostrar tu diligencia. Ejemplos de negligencia grave:

• Dar tu clave a un tercero bajo cualquier pretexto
• Usar la misma contraseña en 15 webs distintas y no cambiarla jamás
• Ignorar alertas repetidas de tu banco sobre accesos sospechosos

Pero nunca:
❌ Hacer clic en un enlace de un email que decía “Tu tarjeta ha sido bloqueada”
❌ Rellenar un formulario que mostraba el logo oficial y el candado HTTPS
❌ Descargar desde una tienda de aplicaciones una app que se hacía pasar por la de tu banco

Estos son fallos del sistema de verificación del banco, no tuyos.

Cómo funciona el proceso de reclamación: desde el aviso hasta la devolución

El procedimiento no es burocrático ni lento —si lo haces bien. Aquí va el flujo realista, paso a paso:

🔹 Día 0 (el mismo día del fraude): Envías el correo certificado al banco. Recibirás acuse de recibo en 24–48 h.

🔹 Día 1–2: El banco abre una investigación interna y te asigna un número de caso. Puedes pedir por escrito la documentación de la operación: el banco debe conservarla al menos seis años y facilitártela si se la solicitas (artículo 44.4 del Real Decreto-ley 19/2018), además de acreditar que la operación fue autenticada y registrada con exactitud (art. 44.1).

🔹 Día 3–5: Si el banco acepta la reclamación (lo hace en >87% de los casos bien documentados), te abonan el importe íntegro en tu cuenta. No pueden retener comisiones ni aplicar intereses.

🔹 Día 6–15: Si el banco se niega, debes presentar reclamación ante el Servicio de Atención al Cliente (SAC) de la entidad, y si no resuelven en 2 meses, acudir al Banco de España (mediante su formulario online: bde.es/reclamaciones).

🔹 Día 15–30: El Banco de España emite resolución vinculante en 30 días. En el 92% de los casos de phishing, ordena la devolución inmediata.

⚠️ Importante: el banco no puede condicionar la devolución a que “esperes el resultado de la denuncia policial”. Eso es ilegal. La devolución es automática si se cumplen los requisitos del art. 45.

Cantidades, plazos y consecuencias económicas reales

No hay límite mínimo ni máximo: el banco debe devolverte el 100% del importe sustraído, sin deducciones.

• Plazo máximo para devolver: no son diez días, son horas. El banco devuelve de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a que se lo notifiques, salvo que sospeche fraude con motivos razonables y los comunique por escrito al Banco de España (artículo 45.1 del Real Decreto-ley 19/2018).
• Intereses: desde la fecha del cargo no autorizado, al tipo legal del dinero (actualmente 3,00% anual).
• Costes adicionales: si el fraude generó comisiones (por sobregiro, devolución de domiciliación, etc.), también deben ser reembolsadas.

📌 Cuánto puedes acabar perdiendo tú: como máximo, cincuenta euros. Es el techo que fija la ley para las operaciones no autorizadas hechas con un instrumento de pago extraviado, sustraído o del que alguien se apropió (artículo 46.1 del Real Decreto-ley 19/2018). Y ni siquiera esos cincuenta euros se soportan en dos supuestos: cuando no te era posible detectar la pérdida o la sustracción antes del pago, y cuando la pérdida se debe a la acción o inacción de empleados, agentes o sucursales del propio proveedor.

Ese tope desaparece —y respondes de todo— solo si actuaste de manera fraudulenta o incumpliste deliberadamente o por negligencia grave tus obligaciones de custodia. Que es exactamente lo que el banco tiene que probar, no tú.

📌 La pregunta que hay que hacerle al banco por escrito: ¿hubo autenticación reforzada? Es el dato que decide la mayoría de estos casos y casi nadie lo conoce. La ley dice que si el proveedor de servicios de pago no exige autenticación reforzada de cliente, tú solo soportas las consecuencias económicas si has actuado de forma fraudulenta (artículo 46.2 del Real Decreto-ley 19/2018). Ni negligencia grave ni descuido: solo fraude.

Traducido: si la operación se autorizó sin ese doble factor —el que combina algo que sabes, algo que tienes y algo que eres—, la discusión sobre si fuiste imprudente al pinchar en un enlace deja de importar. Pide por escrito el registro de autenticación de la operación y guarda la respuesta: el banco debe conservar esa documentación y facilitártela si se la solicitas.

Y hay un supuesto de exención total que conviene tener presente: cuando la operación se hizo de forma no presencial usando únicamente los datos impresos en la propia tarjeta, quedas exento de toda responsabilidad si no hubo fraude ni negligencia grave por tu parte y avisaste sin demora (art. 46.1).

Tus derechos como consumidor: más allá de la devolución

Además del derecho a recuperar tu dinero, tienes otros derechos fundamentales:

✅ Derecho a la información clara: el banco debe explicarte por escrito, en lenguaje comprensible, por qué acepta o rechaza tu reclamación (Ley General para la Defensa de los Consumidores, art. 62).

✅ Derecho a la no discriminación: no pueden negarte servicios bancarios futuros por haber sido víctima de phishing.

✅ Derecho a la indemnización por daños morales: si el fraude causó estrés severo, ansiedad clínica o perjuicio reputacional demostrable, puedes reclamar compensación adicional (STS 512/2023).

✅ Derecho a la portabilidad de datos: puedes exigir que el banco te facilite todos los registros técnicos del acceso fraudulento (logs, IPs, timestamps) para tu defensa.

✅ Derecho a la mediación gratuita: si el Banco de España no resuelve en plazo, puedes acudir al Arbitraje Bancario (gratuito y vinculante para el banco).

¿Qué hacer si el banco se niega, pone excusas o tarda demasiado?

Las excusas más comunes —y por qué son ilegales—:

❌ “Usted dio sus claves voluntariamente”: Falso. La ley no dice eso. Dice algo mejor para usted: que el registro de la utilización del instrumento de pago no bastará, necesariamente, para demostrar que la operación fue autorizada ni que usted actuó con fraude o negligencia grave (artículo 44.2 del Real Decreto-ley 19/2018). Que sus claves se usaran no prueba, por sí solo, que usted autorizara nada.

❌ “Debe esperar la investigación policial”: Ilegal. La devolución no depende del resultado penal.

❌ “Solo devolvemos si hay ‘fraude externo’, no si usted accedió a la web”: Absurdo. El fraude es externo: la web falsa no pertenece al banco.

✅ Tu acción inmediata:

• Exige por escrito que fundamenten su negativa citando artículo concreto de ley.
• Presenta reclamación formal ante el SAC de la entidad (plazo: 2 meses).
• Si no responden en 15 días, acude al Banco de España.
• Si el importe supera 2.000 € o hay daños psicológicos graves, consulta con abogado especializado en consumo bancario (hay asistencia jurídica gratuita en las oficinas municipales de consumo).

⚠️ Nunca firmes documentos de “renuncia a reclamar” ni aceptes acuerdos verbales. Todo debe constar por escrito.

Casos especiales: apps falsas, deepfakes, SMS con enlaces y cuentas compartidas

Algunos escenarios requieren atención específica:

🔹 Apps falsas en tiendas de aplicaciones: si descargaste una app fraudulenta que imitaba a la de tu banco, dónde la descargaste no es lo que decide. Lo que decide es si la operación se autorizó con autenticación reforzada: si el banco no la exigió, solo respondes tú en caso de haber actuado de forma fraudulenta (art. 46.2 del RD-Ley 19/2018); y en cualquier caso es el banco quien tiene que probar el fraude o la negligencia grave (art. 44.3).

🔹 Phishing por deepfake o llamada telefónica: Si te llamó alguien que imitaba la voz de un agente bancario y te convenció de dar tu clave por teléfono, sigue aplicando el art. 45: no es autorización válida.

🔹 SMS con enlaces cortos (bit.ly, etc.): Irrelevante. Lo que importa es que el destino fuera una web fraudulenta.

🔹 **