Te han estafado por SMS, llamada o web falsa (phishing): ¿tiene que devolverte el dinero el banco?

Qué dice la ley: el banco devuelve primero y discute después

La norma es el Real Decreto-ley 19/2018 de servicios de pago, que incorpora la directiva europea PSD2. Para las operaciones no autorizadas:

• Devolución inmediata. El banco debe devolverte el importe de inmediato y, a más tardar, al final del día hábil siguiente a que lo detecte o se lo comuniques (artículo 45). Solo puede retrasarlo si tiene motivos razonables para sospechar fraude y los comunica por escrito al Banco de España.

• La prueba es suya. Si niegas haber autorizado la operación, debe demostrar que fue autenticada, registrada con exactitud y no afectada por un fallo técnico (artículo 44.1). Que conste en sus registros no basta, por sí solo, para probar que la autorizaste ni que fuiste negligente (44.2); el fraude o la negligencia grave los tiene que probar él (44.3).

• Sin autenticación reforzada, casi sin riesgo para ti. Si no exigió la autenticación reforzada que la ley impone en accesos y pagos remotos (artículo 68), solo respondes si actuaste de forma fraudulenta (artículo 46.2).

A veces se habla de una «franquicia» de 50 euros. Existe (artículo 46.1), pero se refiere a pérdidas por un instrumento de pago extraviado, sustraído o apropiado indebidamente, como una tarjeta; no es la regla típica del phishing. Y si hay fraude o negligencia grave tuya, asumes todas las pérdidas, sin ese tope.

Negligencia grave: lo que dice el Supremo

La ley no define qué es negligencia grave, y ahí se libra la batalla. En su sentencia 571/2025, de 9 de abril, el Tribunal Supremo resolvió el caso de un cliente al que, combinando phishing y duplicado de tarjeta SIM, le hicieron una quincena de transferencias por más de 83.000 euros en una sola noche, y confirmó que el banco debía devolver lo sustraído. Según recogen los comentarios de la sentencia:

• Usar códigos válidos o doble factor no prueba por sí solo que el cliente autorizara la operación: el consentimiento ha de ser expreso y consciente.

• Que un tercero acceda a tus claves de banca digital no supone, sin más, negligencia tuya.

• Al banco se le exige diligencia de profesional: sistemas capaces de detectar operaciones anómalas, como una ráfaga de transferencias de importe muy alto de madrugada, y de alertar o bloquear. En ese caso el cliente había avisado de mensajes sospechosos y el sistema no reaccionó.

No es un cheque en blanco: la negligencia grave se valora caso a caso y, si el banco la prueba, soportas la pérdida. Lo que cambia es el punto de partida: no tienes que demostrar que fuiste cuidadoso, le toca al banco demostrar que no lo fuiste.

Si fuiste tú quien hizo la transferencia o dio los códigos

Es el escenario más difícil, porque la protección legal habla de operaciones no autorizadas. Si ordenaste tú la transferencia o el Bizum, aunque fuera engañado (una inversión falsa, un «familiar» con urgencia, un vendedor que nunca envió nada), el banco sostendrá que la autorizaste y la devolución no es automática. No es un callejón sin salida: se estudia si tu consentimiento fue de verdad consciente sobre esa operación (no es lo mismo ordenar un pago que confirmar un código creyendo cancelar un cargo), qué controles aplicó el banco y si hay vía contra el estafador y las cuentas que recibieron el dinero. Cuanto antes avises, más margen hay.

Qué hacer en las primeras horas

1. Llama a tu banco y bloquea tarjetas, banca online y Bizum. Debe ofrecerte medios gratuitos para avisarle y, si lo pides, un justificante de que lo hiciste (artículo 42.1.c). Anota hora y nombre de quien te atiende.

2. Cambia tus claves. Si hubo duplicado de SIM, avisa también a tu operadora.

3. Guarda la prueba: capturas del SMS o de la web, el número que te llamó, los extractos con la hora de cada operación y los mensajes del banco.

4. Denuncia ante la Ertzaintza, la Policía Nacional o la Guardia Civil. La ley de servicios de pago no la exige para tener derecho a la devolución, pero acredita tu diligencia y ayuda a rastrear el dinero.

5. Reclama por escrito al servicio de atención al cliente: operaciones no autorizadas y devolución inmediata. Es el paso que abre las vías posteriores.

En esa reclamación pide también los registros de las operaciones: el banco debe conservar la documentación que acredite el cumplimiento de sus obligaciones durante al menos seis años y facilitártela si se la pides (artículo 44.4). Te ayudan a ver qué autenticación se aplicó y cuándo.

Los señuelos cambian de uniforme. Han circulado falsos mensajes del SEPE (cómo se solicita de verdad el paro, en qué despidos dan derecho a prestación) y «citas» de extranjería vendidas por mensajería cuando el trámite es gratuito, algo por lo que la Policía Nacional ha desarticulado grupos. Los trámites oficiales se hacen en la sede electrónica: mira la guía de la plataforma digital de extranjería.

Plazos que no puedes dejar pasar

• 13 meses desde el adeudo para comunicar la operación al banco, y siempre «sin demora injustificada» desde que la conoces (artículo 43). Hazlo el mismo día.

• 15 días hábiles tiene el servicio de atención al cliente para contestar sobre servicios de pago, y un mes como máximo en casos excepcionales (artículo 69).

• Un año para acudir al Banco de España desde que reclamaste al banco, según su propia web.

• Para demandar, las acciones personales prescriben por regla general a los cinco años (artículo 1964.2 del Código Civil), pero esperar solo complica la prueba.

Banco de España y vía judicial

Si el banco no responde o dice que no, puedes reclamar ante el Banco de España, siempre tras haber reclamado antes a la entidad. Su informe no es vinculante: da un criterio autorizado, pero no obliga a pagar. Para exigir el pago hay que ir al juzgado: hasta 15.000 euros se tramita por juicio verbal (artículo 250.2 de la Ley de Enjuiciamiento Civil), y desde abril de 2025 la demanda civil exige, con carácter general, acreditar un intento previo de solución negociada (Ley Orgánica 1/2025, artículo 5), que puede ser la negociación directa entre abogados. El procedimiento monitorio, que explicamos en cómo recuperar el dinero que te deben, sirve para deudas claras y documentadas; si el banco se opone alegando tu negligencia, la reclamación acaba en juicio.

Preguntas frecuentes

¿Tiene que devolverme el dinero el banco si me estafan por phishing?

Si la operación no fue autorizada por ti, debe devolverte el importe de inmediato y, a más tardar, al final del día hábil siguiente, salvo que pruebe fraude o negligencia grave tuya, algo que le corresponde probar a él.

¿Y si fui yo quien dio las claves o hizo la transferencia?

No es automático, y la defensa del banco será que consentiste. Que te sustraigan las claves no implica por sí solo negligencia grave según el Supremo; si las entregaste tú o ordenaste la operación, la discusión es otra y se analiza caso a caso: cómo fue el engaño, qué avisos recibiste y qué controles aplicó el banco.

¿Cuánto tiempo tengo para reclamar?

Para comunicar la operación al banco, 13 meses desde el adeudo y sin demora desde que la conoces. Después, la reclamación al servicio de atención al cliente y, si no hay solución, el Banco de España (un año desde tu reclamación) o el juzgado.

¿Es obligatorio denunciar?

El Real Decreto-ley 19/2018 no lo exige para tener derecho a la devolución. Conviene hacerlo igual: demuestra tu diligencia, fija la fecha de los hechos y es la base para perseguir a los autores.

¿Qué diferencia hay entre phishing, smishing y spoofing?

El phishing es el engaño por correo o web falsa, el smishing llega por SMS y el vishing por llamada. El spoofing es la suplantación del remitente o del número para que el mensaje parezca del banco. Para la devolución, lo decisivo no es el nombre sino si la operación fue autorizada y si hubo negligencia grave.