Si han vaciado tu cuenta mediante phishing, smishing o vishing, el banco puede estar obligado a devolverte el dinero, pero la respuesta depende de una cuestión decisiva: si las operaciones fueron realmente autorizadas y de si la entidad puede acreditar fraude o negligencia grave por tu parte.
En Bufete Paredes & Asociados, despacho de abogados penalistas en Madrid con práctica en delitos económicos y estafas, analizamos este tipo de situaciones desde una doble perspectiva: la reclamación frente a la entidad financiera y la posible vía penal contra quienes han ejecutado el fraude.
No recomendamos aceptar automáticamente una respuesta del banco que diga simplemente “la operación se autenticó correctamente” o “usted facilitó sus claves”. La normativa de servicios de pago establece reglas específicas sobre autorización, autenticación, carga de la prueba y responsabilidad que deben estudiarse antes de concluir quién soporta la pérdida.
Regla esencial: cuando el usuario niega haber autorizado una operación, el banco debe demostrar que fue autenticada, registrada y contabilizada correctamente. Además, el mero uso de las credenciales o del instrumento de pago no basta necesariamente para demostrar que el cliente autorizó la operación ni que actuó con negligencia grave. Si la operación es no autorizada, la regla general es el reembolso inmediato, salvo las excepciones previstas legalmente.
¿Tiene que devolverme el banco el dinero si he sufrido phishing?
En una operación de pago no autorizada, el artículo 45 del Real Decreto-ley 19/2018 establece como regla general que el proveedor de servicios de pago debe devolver el importe de inmediato y, como máximo, al final del día hábil siguiente a aquel en que detectó o recibió la notificación de la operación.
¿Tu banco se niega a devolverte el dinero tras un phishing? No aceptes un ‘no’ como respuesta sin antes conocer tus derechos. En Bufete Paredes & Asociados analizamos tu caso y te decimos exactamente qué puedes reclamar.
La norma contempla una excepción cuando el banco tiene motivos razonables para sospechar fraude y comunica esos motivos por escrito al Banco de España en los términos previstos.
Por tanto, la respuesta correcta no es “el banco siempre devuelve” ni “si usaron tus claves, pierdes”. Hay que estudiar cómo se ejecutó la operación y quién prestó realmente el consentimiento.
Autenticación no significa necesariamente autorización
El artículo 44 del Real Decreto-ley 19/2018 obliga al proveedor a probar la autenticación y ejecución correcta cuando el cliente niega haber autorizado una operación.
Pero la misma norma añade que el registro de la utilización del instrumento de pago no basta necesariamente para demostrar que la operación fue autorizada ni que el usuario incurrió en fraude o negligencia grave.
Eso significa que un banco no debería cerrar el análisis únicamente diciendo que se utilizó una contraseña, un código OTP o un sistema de doble factor. Hay que determinar cómo se obtuvieron esas credenciales y qué ocurrió realmente.
La carga de probar la negligencia grave corresponde al banco
La referencia correcta está en el artículo 44.3 del Real Decreto-ley 19/2018.
Ese precepto establece que corresponde al proveedor de servicios de pago probar que el usuario cometió fraude o negligencia grave.
En Bufete Paredes & Asociados consideramos este punto central cuando estudiamos una reclamación: no basta con que la entidad afirme de forma genérica que “el cliente facilitó las claves”. Debe analizarse la conducta concreta y la prueba existente.
¿Qué es negligencia grave?
La ley no convierte cualquier error del usuario en negligencia grave.
El artículo 46 establece que el cliente puede soportar las pérdidas cuando haya actuado fraudulentamente o cuando haya incumplido de forma deliberada o por negligencia grave sus obligaciones de protección y custodia.
La valoración es casuística. Importan cuestiones como qué mensaje o llamada recibió la víctima, qué información facilitó, qué advertencias aparecieron, si se introdujeron códigos de autorización, qué información mostraban esos códigos, si hubo operaciones anómalas y cuándo se comunicó el fraude al banco.
Qué ha dicho el Tribunal Supremo sobre operaciones no autorizadas
La jurisprudencia reciente ha reforzado la importancia de distinguir entre autenticación técnica y consentimiento real.
La Sala de lo Civil del Tribunal Supremo, en la sentencia 571/2025, de 9 de abril —ROJ STS 1671/2025—, analizó un supuesto de operaciones ejecutadas por un tercero que había conseguido las credenciales del usuario y accedido a su cuenta sin consentimiento.
El Tribunal Supremo recuerda que, cuando el usuario niega haber autorizado la operación, el hecho de que el pago haya superado los mecanismos de autenticación no exonera automáticamente al proveedor.
En aquel asunto también tuvo relevancia que el titular había informado de forma inmediata y reiterada a la entidad y que esta no reaccionó adecuadamente ante la información recibida.
La jurisprudencia no significa que todos los phishing se ganen
También existen resoluciones en las que los tribunales aprecian negligencia grave del usuario.
Resoluciones recientes de Audiencias Provinciales muestran resultados distintos según las circunstancias: algunas han considerado que un SMS integrado en el hilo del banco, una web prácticamente idéntica o una suplantación telefónica sofisticada impedían apreciar negligencia grave; otras han valorado que la entrega reiterada de códigos OTP pese a advertencias claras justificaba una conclusión diferente.
No existe una regla de “phishing = banco responsable”. La normativa protege de forma intensa frente a operaciones no autorizadas, pero cada caso depende de cómo se produjo el fraude, qué hizo el usuario y qué puede demostrar la entidad.
¿Qué ocurre si yo mismo hice la transferencia porque me engañaron?
Este supuesto merece un análisis separado.
No es exactamente igual que el caso en el que un tercero entra en la cuenta y ordena transferencias sin intervención del titular.
El Banco de España explica que una transferencia es no autorizada cuando no ha sido consentida por el ordenante y ha sido ordenada por un tercero no autorizado.
Sin embargo, en algunos fraudes de vishing o spoofing el propio usuario realiza una transferencia creyendo que está protegiendo su dinero o siguiendo instrucciones legítimas del banco.
En estos casos existe debate jurídico sobre la calificación de la operación y la responsabilidad de la entidad. Hay resoluciones que han extendido la protección al considerar que el consentimiento estuvo condicionado por una suplantación especialmente sofisticada, pero no podemos asumir que todos los casos se resolverán igual.
En Bufete Paredes & Asociados estudiamos separadamente quién pulsó la orden, qué decía la pantalla, qué instrucciones recibió la víctima y qué controles aplicó la entidad.
Qué debes hacer inmediatamente si te han vaciado la cuenta
1. Comunica el fraude al banco sin demora
Contacta con la entidad por sus canales oficiales y solicita el bloqueo de tarjetas, banca electrónica o credenciales que puedan estar comprometidas. Pide una referencia o justificante que permita acreditar cuándo notificaste la incidencia.
2. Impugna formalmente las operaciones que no hayas autorizado
No te limites a una llamada. Presenta una reclamación formal ante el Servicio de Atención al Cliente identificando las operaciones discutidas. En reclamaciones relacionadas con servicios de pago, el Banco de España informa de que la entidad dispone de 15 días hábiles para responder.
3. Conserva toda la prueba
- SMS y correos recibidos.
- Capturas de la web fraudulenta.
- Registro de llamadas.
- Notificaciones de la aplicación bancaria.
- Códigos OTP y texto completo de los mensajes.
- Extractos con los cargos.
- Respuesta de la entidad y número de incidencia.
4. Denuncia los hechos
Presentar denuncia ante Policía Nacional, Guardia Civil u otro cuerpo competente es muy recomendable para perseguir a los autores y documentar formalmente la existencia del fraude.
Pero no debe presentarse como un requisito legal imprescindible para que exista el derecho al reembolso de una operación no autorizada. La obligación del banco se analiza conforme a la normativa de servicios de pago.
5. Construye una cronología precisa
Ordena la hora del primer contacto, qué información facilitaste, qué códigos recibiste, qué operaciones se ejecutaron, cuándo las detectaste, cuándo avisaste al banco y qué respondió la entidad.
El plazo de 13 meses: qué significa realmente
El plazo aparece en el artículo 43 del Real Decreto-ley 19/2018.
La norma exige comunicar la operación sin demora injustificada desde que se tiene conocimiento de ella y fija, en todo caso, un máximo de 13 meses desde la fecha del adeudo para obtener la rectificación bajo este régimen, con las particularidades legalmente previstas.
Tener ese límite máximo no significa que convenga esperar. Cuanto antes se notifique, más fácil será bloquear nuevos movimientos, preservar evidencias y evitar discusiones sobre demora injustificada.
Qué debe probar el banco cuando niegas haber autorizado la operación
| Cuestión | Qué establece la normativa |
|---|---|
| Autenticación | El proveedor debe demostrar que la operación fue autenticada, registrada con exactitud y contabilizada |
| Fallo técnico | Debe acreditar que la operación no estuvo afectada por un fallo técnico u otra deficiencia del servicio |
| Uso de claves | No basta necesariamente por sí solo para demostrar que el cliente autorizó el pago |
| Fraude o negligencia grave | Corresponde al proveedor probarlos |
Esta es una de las razones por las que en Bufete Paredes & Asociados recomendamos analizar la documentación técnica que sustenta la negativa de la entidad.
¿Qué papel tiene la autenticación reforzada o SCA?
Haber superado un proceso de doble factor no resuelve automáticamente la controversia.
En una reclamación pueden resultar relevantes qué factores se utilizaron, a qué operación estaban vinculados, qué importe y beneficiario mostraba el mensaje, si se registró un nuevo dispositivo, si hubo cambios de credenciales y si existían operaciones anómalas.
¿Puedo acudir al Banco de España si mi banco rechaza la devolución?
Sí, una vez cumplido el trámite previo ante la entidad y cuando la reclamación ha sido inadmitida, desestimada total o parcialmente o no ha recibido respuesta en plazo.
Cada día que pasa sin actuar puede perjudicar tu reclamación frente al banco. Contacta hoy con nuestros abogados especializados y recibe una valoración estratégica, confidencial y orientada a recuperar tu dinero.
En servicios de pago, el plazo que publica el Banco de España para que la entidad responda es de 15 días hábiles.
El informe del Banco de España no es vinculante
El propio supervisor indica que su informe no tiene carácter vinculante para ninguna de las partes.
Acudir al Banco de España puede resultar útil, pero no sustituye la vía judicial cuando se necesita una condena ejecutable contra la entidad.
¿Cuándo puede terminar el caso en los tribunales?
Si la entidad mantiene la negativa al reembolso, puede ser necesario valorar una reclamación judicial.
El borrador original utilizaba todavía el límite de 6.000 euros para diferenciar juicio verbal y ordinario. Esa cifra ya no es correcta: la Ley de Enjuiciamiento Civil establece actualmente, cuando el procedimiento se determina por cuantía, el juicio verbal hasta 15.000 euros y el ordinario por encima de esa cantidad.
La intervención obligatoria de abogado y procurador no sigue el mismo umbral: en los juicios verbales determinados por cuantía, la excepción general se mantiene para los que no exceden de 2.000 euros.
Por eso no recomendamos decidir la estrategia procesal únicamente mirando cuánto dinero se perdió.
La vía penal contra los autores del phishing
La reclamación frente al banco y la investigación de los autores son cuestiones relacionadas, pero jurídicamente distintas.
El Código Penal contempla actualmente en el artículo 249 modalidades de estafa vinculadas a manipulación informática y utilización fraudulenta de instrumentos de pago.
En Bufete Paredes & Asociados, como despacho penalista en Madrid con práctica en delitos económicos, podemos estudiar si procede ejercer acciones penales, personarse como acusación particular y reclamar la responsabilidad civil derivada del delito cuando las circunstancias lo aconsejen.
¿Denunciar al estafador obliga al banco a devolver el dinero?
No automáticamente. La denuncia puede ser una pieza importante del expediente, pero la responsabilidad del banco se determina conforme a las reglas de los servicios de pago y a las circunstancias concretas.
Casos que pueden reforzar una reclamación
- Operaciones realizadas por un tercero sin consentimiento.
- Suplantación sofisticada de la entidad.
- SMS integrados en el mismo hilo que comunicaciones legítimas.
- Llamadas que aparentan provenir del banco.
- Cambios de dispositivo o credenciales previos a las transferencias.
- Varias operaciones consecutivas ajenas al patrón habitual.
- Aviso inmediato del cliente sin reacción suficiente de la entidad.
- Negativa basada únicamente en que “se usaron las claves”.
Casos en los que la reclamación puede ser más difícil
- Advertencias claras sobre el beneficiario o la transferencia que fueron ignoradas.
- Entrega reiterada de códigos que describían expresamente operaciones no deseadas.
- Conductas que puedan calificarse jurídicamente como negligencia grave.
- Demora injustificada en comunicar la incidencia.
- Prueba de que la operación fue realmente consentida con conocimiento de sus elementos esenciales.
En Bufete Paredes & Asociados no damos por ganado un asunto por la sola palabra “phishing”. Estudiamos la prueba y la secuencia completa del fraude antes de definir la estrategia.
Qué documentos analizamos en Bufete Paredes & Asociados
- Extracto bancario.
- Reclamación presentada al banco.
- Respuesta de la entidad.
- SMS, emails y capturas.
- Registro de llamadas.
- Denuncia, si ya se ha presentado.
- Documentación facilitada por el banco sobre autenticación.
- Cronología de los hechos.
Bufete Paredes & Asociados: abogados penalistas y delitos económicos en Madrid
En un fraude bancario digital pueden confluir varias cuestiones: la responsabilidad por operaciones no autorizadas, la prueba tecnológica, la actuación de la entidad y la persecución penal de quienes ejecutaron la estafa.
Nuestro trabajo consiste en ordenar esas piezas y construir una estrategia jurídica adaptada al caso concreto.
Si has sufrido phishing, smishing, vishing o una suplantación bancaria, podemos revisar la documentación y explicarte con claridad qué operaciones pueden discutirse, qué debe probar el banco, si existe riesgo de una alegación de negligencia grave y qué vías de reclamación o acciones penales pueden valorarse.
Preguntas frecuentes sobre phishing y devolución del dinero por el banco
¿Está obligado el banco a devolver el dinero robado por phishing?
Cuando la operación es no autorizada, la regla general del artículo 45 del Real Decreto-ley 19/2018 es el reembolso inmediato, salvo las excepciones legalmente previstas. Si existe discusión sobre autorización, fraude o negligencia grave, debe estudiarse la prueba concreta del caso.
Has sido víctima de phishing y el banco no responde como debería: no estás solo. En Bufete Paredes & Asociados llevamos procedimientos complejos frente a entidades financieras y defendemos tus intereses en todas las fases del proceso.
¿Si utilizaron mi contraseña o un código OTP significa que autoricé el pago?
No necesariamente. El artículo 44 establece que el registro del uso del instrumento de pago no basta necesariamente para demostrar que la operación fue autorizada ni que el usuario actuó con fraude o negligencia grave.
¿Quién tiene que demostrar que actué con negligencia grave?
El proveedor de servicios de pago. El artículo 44.3 establece que corresponde al proveedor probar que el usuario cometió fraude o negligencia grave.
¿Tengo que denunciar a la Policía para que el banco me devuelva el dinero?
La denuncia es muy recomendable para perseguir a los autores y documentar el fraude, pero no es el requisito que determina por sí mismo el derecho al reembolso de una operación no autorizada.
¿Cuánto tiempo tengo para comunicar una operación fraudulenta?
Debe comunicarse sin demora injustificada desde que se conoce. El artículo 43 fija además un plazo máximo de 13 meses desde el adeudo para obtener la rectificación bajo este régimen, con las particularidades legalmente previstas.
¿Cuánto tiempo tiene el banco para responder a mi reclamación?
Para reclamaciones relacionadas con servicios de pago, el Banco de España publica un plazo de 15 días hábiles para que la entidad responda al cliente.
¿La decisión del Banco de España obliga al banco a pagarme?
No. El Banco de España indica expresamente que el informe que emite en estos procedimientos no tiene carácter vinculante para ninguna de las partes.
¿Bufete Paredes & Asociados puede ayudarme si el banco rechaza mi reclamación?
En Bufete Paredes & Asociados podemos revisar la cronología, las operaciones, la documentación de autenticación, la respuesta del banco y la posible vía penal para valorar qué estrategia jurídica resulta adecuada en tu caso.
