Tarjeta de crédito robada o con cargos fraudulentos

✅ Paso inmediato: bloquea la tarjeta y denuncia en menos de 24 horas

Si acaba de descubrir cargos extraños, una compra que no reconoce o ha perdido su tarjeta de crédito: no espere ni un minuto más. La ley española establece un plazo crítico para limitar su responsabilidad. Según el RD-Ley 19/2018, art. 44, su responsabilidad por operaciones no autorizadas se reduce drásticamente si actúa con rapidez: si notifica el robo o uso fraudulento antes de que se realice la operación, su responsabilidad es cero. Si lo hace dentro de las 24 horas siguientes al descubrimiento, su máximo riesgo es de 50 € —y solo si no actuó con negligencia grave (como guardar la contraseña junto a la tarjeta).

➡️ Haga esto YA:

1. Llame al banco o entidad emisora desde su app bancaria (la mayoría permite bloqueo instantáneo en menos de 10 segundos) o al teléfono de atención 24/7. Anote el número de incidencia y la hora exacta de la llamada.
2. Denuncie ante la Policía Nacional o Guardia Civil (presencial o telemáticamente vía Sede Electrónica). Es obligatorio para reclamar ante el banco y exigir la devolución.
3. Envíe una comunicación escrita certificada (burofax) a su entidad financiera con copia de la denuncia policial y relación detallada de los cargos sospechosos.

⚠️ No espere a revisar el extracto completo: cada minuto cuenta. Las entidades están obligadas a suspender la tarjeta de forma inmediata tras su aviso verbal (RD-Ley 19/2018, art. 44.2). Si le dicen “lo gestionamos en 48 horas”, exija que lo hagan ya — esa demora puede costarle cientos de euros innecesarios.

¿Qué es exactamente una operación no autorizada según la ley?

No toda compra dudosa es automáticamente “fraudulenta” ante la ley. El RD-Ley 19/2018, art. 44.1 define con precisión qué se considera operación no autorizada: aquella realizada sin su consentimiento expreso o tácito, y sin que haya facilitado intencionadamente sus datos de pago (número, CVV, fecha de caducidad, código de verificación). Esto incluye:

• Compras online con su número de tarjeta tras un phishing o fuga de datos en una tienda externa.
• Retiros en cajeros con una tarjeta clonada.
• Cargos recurrentes activados sin su aceptación previa (ej.: suscripciones ocultas).

❌ No se consideran “no autorizadas”:

• Operaciones hechas por familiares con su conocimiento (aunque no las haya autorizado formalmente).
• Compras con su tarjeta física y PIN en un comercio físico — salvo que pruebe que fue víctima de skimming o coerción.
• Errores contables del banco (ej.: cargo duplicado), que se rigen por normas distintas (reclamación de errores contables, no fraude).

La clave está en la ausencia de consentimiento y la imposibilidad material de haber participado. Por eso, conservar pruebas como ubicación GPS en el momento del cargo (si coincide con estar en otra ciudad), registros de acceso a su app bancaria o capturas de correos de phishing es decisivo.

📌 El plazo que casi ningún banco menciona: tienen que devolver primero y discutir después. Ante una operación no autorizada, el artículo 45.1 del Real Decreto-ley 19/2018 obliga al proveedor a devolver el importe «de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente» a que se lo notifiques. Solo puede retrasarlo si tiene motivos razonables para sospechar fraude y los comunica por escrito al Banco de España: no basta con que te diga que «lo está investigando».

Por eso el orden importa más que la prueba: bloquea la tarjeta, notifica al banco por un medio que deje constancia —el burofax o la reclamación escrita al servicio de atención al cliente— y denuncia. La notificación es la que pone en marcha el plazo, y desde ese momento el dinero debería estar de vuelta al día hábil siguiente.

Requisitos legales para que el banco le devuelva el dinero

Conviene deshacer una idea que repiten muchas entidades: no eres tú quien tiene que demostrar que no hiciste la operación. La ley reparte la carga al revés y solo te exige dos cosas —notificar sin demora y no haber actuado con fraude o negligencia grave—. Dicho eso, lo que en la práctica sostiene una reclamación es esto:

1. Que la operación sea efectivamente no autorizada, según definición legal (RD-Ley 19/2018, art. 44.1).
2. Que haya notificado el hecho con la mayor celeridad posible, y en todo caso antes de que se complete la operación o dentro de las 24 horas posteriores a su descubrimiento (RD-Ley 19/2018, art. 44.2).
3. Que no haya incurrido en negligencia grave: ej., compartir su PIN por mensaje, anotar el CVV en la propia tarjeta, o instalar apps bancarias falsas.
4. Que haya presentado denuncia policial (imprescindible para reclamaciones superiores a 50 €).
5. Que conserve y aporte pruebas objetivas: capturas de pantalla del extracto, copia de la denuncia, registro de bloqueo, geolocalización, emails recibidos, etc.

El banco no tiene diez días para pensárselo: el artículo 45.1 del Real Decreto-ley 19/2018 le obliga a devolver el importe de inmediato y, en cualquier caso, a más tardar al final del día hábil siguiente a que se lo notifiques. Solo puede no hacerlo si sospecha fraude con motivos razonables y los comunica por escrito al Banco de España. Si pasa ese plazo sin devolución ni comunicación, reclama por escrito al servicio de atención al cliente y, después, ante el Banco de España, que es el supervisor de los servicios de pago; la demanda judicial queda siempre abierta.

Cómo funciona el proceso de reclamación paso a paso

1. Fase de notificación urgente (Día 0): bloqueo + denuncia + burofax.
2. Fase de investigación bancaria (Días 1–10): el banco verifica logs de autenticación, ubicación IP, patrones de consumo, y solicita información al comercio o procesador (Visa/Mastercard).
3. Devolución (al final del día hábil siguiente a su aviso): ese es el plazo legal, y no depende de que el banco haya terminado de investigar. Solo puede saltárselo si sospecha fraude con motivos razonables y los comunica por escrito al Banco de España.
4. Si rechazan (o si pasa el plazo sin devolución): reclamación escrita al servicio de atención al cliente de la entidad, que dispone de un mes; después, al Banco de España, que es el supervisor de los servicios de pago; y, en último término, demanda ante los Juzgados de Primera Instancia. Recuerde quién prueba qué: no es usted quien debe demostrar que no hizo la operación.

Y una consecuencia del plazo que suele pasarse por alto: al devolver, el banco debe restituir la cuenta al estado en el que habría estado si la operación no se hubiera hecho, y la fecha de valor del abono no puede ser posterior a la del cargo (artículo 45.1 del Real Decreto-ley 19/2018). Traducido: no puede cobrarle intereses ni descubierto por un dinero que nunca debió salir de su cuenta. Si le siguen cobrando intereses mientras investigan, eso es ilegal y constituye una infracción sancionable.

Cantidades máximas y plazos legales de devolución

Su exposición económica está estrictamente limitada por ley:

• 0 € si notifica antes de que se realice la operación (ej.: detecta intento de compra en su app y bloquea al instante).
• Máximo 50 € si notifica dentro de las 24 horas posteriores al descubrimiento, siempre que no haya negligencia grave (RD-Ley 19/2018, art. 44.2).
• 0 € si prueba que la operación se hizo mediante clonación (skimming) o con datos obtenidos por vulneración de seguridad del propio banco o comercio asociado.

El plazo para la devolución no es de días ni de semanas: el banco debe devolver de inmediato y, como muy tarde, al final del día hábil siguiente a que se lo notifiques (artículo 45.1), y debe ser íntegra: lo que la ley manda restituir es el importe de la operación no autorizada, sin que quepan descuentos por «gastos de gestión» ni «comisiones administrativas» (artículo 45.1 del Real Decreto-ley 19/2018).

⚠️ Ojo: algunos bancos ofrecen “protección extendida” (ej.: devolución total sin límite de 50 €), pero eso es voluntario y contractual —no sustituye su derecho legal mínimo. Nunca firme un documento que renuncie a lo establecido en el RD-Ley 19/2018.

Derechos que tiene como consumidor frente al banco

Además del reembolso, dispone de derechos irrenunciables:
✅ Derecho a que le informen por escrito y en lenguaje claro sobre el estado de su reclamación, cada 5 días si no hay resolución.
✅ Derecho a acceder a todos los registros técnicos utilizados en la investigación (logs de autenticación, capturas de tráfico, informes forenses), bajo solicitud formal.
✅ Derecho a que el banco asuma los costes derivados del fraude, como gastos de notificaciones, traducciones judiciales o tasaciones (si procede).
✅ Derecho a que no se afecte su historial crediticio. La vía no es una regla especial de la ley de servicios de pago, sino la consecuencia de la devolución: al restituir, el banco debe dejar la cuenta en el estado en el que habría estado si la operación no se hubiera hecho (artículo 45.1), de modo que no queda deuda impagada que inscribir. Si aun así aparece en ASNEF o RAI, ejercite sus derechos de rectificación y supresión ante el fichero y ante la entidad que le informó, y acuda a la Agencia Española de Protección de Datos.
✅ Derecho a reclamar daños morales o lucro cesante si el banco incumple sus obligaciones (ej.: demora injustificada, negativa infundada, mala fe procesal).

Estos derechos son de orden público: ninguna cláusula contractual puede anularlos. Si su banco le dice “esto no está en sus condiciones generales”, responda citando el RD-Ley 19/2018, art. 44 —y grabe la conversación (es legal si usted participa en ella).

Qué hacer si el banco se niega injustificadamente

Si recibió una denegación sin fundamentación clara, con argumentos genéricos (“no hay pruebas suficientes”) o basada únicamente en que “usted usó la tarjeta antes”, actúe así:

1. Exija un informe técnico detallado: debe especificar qué datos analizaron, cómo descartaron el fraude y por qué consideran que hubo consentimiento.
2. Presente reclamación ante el servicio de atención al cliente de su banco, que es el paso previo obligado antes de acudir al supervisor. Hágalo por escrito y guarde el justificante con la fecha: es lo que acredita cuándo empezó a contar el plazo. Use modelo oficial (disponible en su web o en la Secretaría de Estado de Consumo).
3. Si no le resuelven, acuda al Banco de España, que es el supervisor competente en servicios de pago: sus informes no obligan a la entidad a devolver el dinero, pero pesan mucho en un juicio posterior y muchas entidades rectifican antes de llegar ahí. La Dirección General de Consumo autonómica también puede mediar gratuitamente, aunque no es la vía específica para esta materia. Ojo a una idea equivocada que circula: la mediación de consumo no es vinculante para el banco. Lo que sí obliga es el arbitraje de consumo, y solo si la entidad está adherida al sistema o acepta someterse al caso concreto; el laudo entonces sí es de obligado cumplimiento. Pregunte por la adhesión antes de elegir vía.
4. Interponga demanda ante el Juzgado de Primera Instancia: si reclama una cantidad cierta y documentada —los cargos no devueltos—, el proceso monitorio es la vía rápida, sirve para cualquier importe (art. 812 LEC) y no exige abogado ni procurador para la petición inicial (art. 814.2 LEC). Y no hay tasa que pagar: las personas físicas están exentas en todo caso de la tasa judicial (art. 4.2.a) de la Ley 10/2012), así que desconfíe de cualquier cifra que le anuncien por «abrir el procedimiento».

📌 Y si el banco se niega, adónde ir —y quién tiene que probar qué—. La vía no es Consumo: los servicios de pago son competencia del Banco de España, y antes hay que agotar el servicio de atención al cliente de la propia entidad. Lo que casi nadie sabe es que la discusión no va de que tú demuestres tu inocencia: el artículo 44 del Real Decreto-ley 19/2018 dispone que corresponde al proveedor probar que el usuario cometió fraude o negligencia grave, y que el registro de uso del instrumento de pago no basta para demostrar que la operación fue autorizada.

De modo que una negativa apoyada en que «el uso era habitual» o en que «se usó su clave» no se sostiene por sí sola. Pide por escrito el informe técnico de la operación y guarda la respuesta: si la entidad no acredita esa negligencia grave, la devolución procede. El plazo para notificar es amplio —sin demora injustificada y como máximo trece meses desde el adeudo—, pero cuanto antes se notifique, antes corre la obligación de devolver.

Casos especiales: tarjetas virtuales, compras con móvil y clonación en cajeros

• Tarjetas virtuales (Apple Pay, Google Pay): gozan de la misma protección, pero con ventaja: al no revelar su número real, el riesgo de reutilización es casi nulo. Si hay fraude, el banco debe probar que usted compartió su dispositivo desbloqueado —lo cual es muy difícil.
• Compras con móvil (NFC): se aplica el mismo régimen, pero la carga de la prueba del banco es mayor: deben demostrar que su móvil fue usado físicamente, no solo que hubo una transacción NFC.
• Clonación en cajeros: si retiró dinero y luego aparecen cargos idénticos en otro lugar, pida el informe forense del cajero. Aquí la regla de prueba juega a su favor: cuando usted niega haber autorizado la operación, es el banco quien debe demostrar que fue autenticada, registrada con exactitud y contabilizada, y que no hubo fallo técnico (art. 44.1 RD-ley 19/2018), y el simple registro del uso de la tarjeta no basta por sí solo para probar que usted la autorizó ni que actuó con negligencia grave (art. 44.2).

También aplique esta guía si la tarjeta fue robada físicamente y usada en comercios. Estos son los tres umbrales que decide la ley, y conviene tenerlos claros antes de discutir con el banco:

• La devolución es inmediata, no está condicionada a una investigación. Ante una operación no autorizada, el banco debe devolver el importe de inmediato y, como muy tarde, al final del día hábil siguiente a que usted la comunique, dejando la cuenta como estaba (art. 45.1).
• Su tope general son 50 €, y solo por las operaciones anteriores al aviso, cuando derivan de una tarjeta extraviada, sustraída o apropiada indebidamente (art. 46.1). Ni siquiera esos 50 € se soportan si no le era posible detectar la pérdida antes del pago, o si el fallo vino de la propia entidad o de alguien a quien esta hubiera externalizado el servicio.
• Cero euros en dos casos concretos. Si la compra se hizo sin presencia física, usando solo los datos impresos en la tarjeta, queda exento de toda responsabilidad siempre que no haya fraude ni negligencia grave por su parte y avise sin demora (art. 46.1, párrafo final). Y si el banco no exigió autenticación reforzada de cliente, usted solo responde si actuó fraudulentamente (art. 46.2).

El reverso también conviene conocerlo: si el banco prueba que usted actuó de forma fraudulenta o incumplió sus obligaciones de custodia con negligencia grave —apuntar el PIN junto a la tarjeta, entregar sus claves a un tercero—, soporta todas las pérdidas y desaparece el límite de los 50 €. Por eso los dos gestos que más peso tienen son siempre los mismos: avisar sin demora y dejar constancia escrita del aviso, con fecha y hora.