Descubrir que ha desaparecido dinero de su cuenta por una transferencia que usted nunca ordenó es una de las experiencias más angustiosas que existen. En cuestión de minutos, los ahorros de meses o incluso de años se esfuman tras un enlace, una llamada que parecía del banco o un SMS aparentemente oficial. La reacción más habitual es sentir vergüenza y pensar que la culpa es de uno mismo por «haber caído».
Conviene que lo tenga claro desde la primera línea: en la mayoría de los casos de phishing, vishing (fraude por llamada telefónica) o smishing (fraude por SMS), la ley presume que la operación no fue autorizada por usted y obliga al banco a devolverle el dinero. La entidad solo se libera de esa obligación si demuestra que usted actuó con negligencia grave o de forma fraudulenta, y esa prueba le corresponde a ella, no a usted.
En este artículo le explicamos, con la normativa exacta en la mano, qué derechos tiene, en qué plazo debe reaccionar y qué pasos dar para reclamar una transferencia fraudulenta cuando el banco se niega a devolver el importe.
Qué es el phishing y por qué no es una simple «estafa entre particulares»
El phishing es una técnica de fraude en la que el delincuente suplanta la identidad de una entidad de confianza —normalmente el propio banco— para conseguir que la víctima revele sus claves, confirme un pago o introduzca sus datos en una web falsa. Sus variantes más frecuentes son el correo electrónico fraudulento (phishing en sentido estricto), el SMS con enlace trampa (smishing) y la llamada telefónica en la que un supuesto empleado del banco le pide «verificar» una operación (vishing).
La clave jurídica es que estamos ante una operación de pago no autorizada. Cuando el dinero sale de su cuenta sin su consentimiento válido, no se aplica la lógica de «usted regaló su dinero», sino el régimen de responsabilidad de los servicios de pago, que es marcadamente protector del usuario.
La regla que muchos bancos no explican: deben devolver el dinero de inmediato
El marco aplicable es el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago y otras medidas urgentes en materia financiera, que traspone al Derecho español la Directiva (UE) 2015/2366 (conocida como PSD2).
Su norma central para estos casos es el artículo 45 del Real Decreto-ley 19/2018: cuando existe una operación de pago no autorizada, el proveedor de servicios de pago (el banco) debe devolver de inmediato el importe, y a más tardar al final del día hábil siguiente a aquel en el que el cliente le notifica el fraude, dejando la cuenta en el estado en que habría estado si la operación no autorizada no se hubiera producido. Es decir, la ley establece la devolución como regla, y la retención del dinero como excepción que el banco tiene que justificar.
La carga de la prueba recae en el banco, no en usted
Aquí está el segundo pilar de su defensa. El artículo 44 del Real Decreto-ley 19/2018 dispone que, cuando el usuario niega haber autorizado una operación ya ejecutada, corresponde al banco demostrar que la operación fue autenticada, registrada correctamente y que no se vio afectada por un fallo técnico. Y añade algo decisivo: el simple registro por el banco de que se usaron las credenciales no basta, por sí solo, para presumir que el cliente autorizó el pago ni que actuó con negligencia grave.
A esto se suma la exigencia de autenticación reforzada de cliente que la propia PSD2 impuso a las entidades: para muchas operaciones, el banco debe aplicar un doble factor de seguridad. Si la entidad no acredita que aplicó esa autenticación reforzada, su posición para negar la devolución se debilita enormemente. Por eso, cuando el banco le responde con un lacónico «la operación se validó con sus claves», está describiendo precisamente lo que la ley considera insuficiente.
Cuándo puede el banco negarse: la negligencia grave
El artículo 46 del Real Decreto-ley 19/2018 regula la responsabilidad del ordenante (el cliente). De él se extraen dos ideas fundamentales:
Primero, con carácter general, el usuario solo puede soportar una franquicia máxima (hasta 50 euros) por las pérdidas derivadas de operaciones no autorizadas ligadas a la utilización de un instrumento de pago extraviado, sustraído o objeto de apropiación indebida. Segundo, el cliente solo responde de la totalidad de la pérdida cuando ha actuado de forma fraudulenta o con negligencia grave en el incumplimiento de sus obligaciones de custodia de las credenciales.
La palabra importante es «grave». No cualquier descuido justifica que usted pierda su dinero. Los tribunales interpretan la negligencia grave de forma restrictiva: exige una desatención especialmente intensa e inexcusable, no el mero hecho de haber sido engañado por un fraude sofisticado que imita con precisión los canales oficiales del banco. Dicho de otro modo: caer en una web clonada muy bien hecha, o atender una llamada que reproduce el número real de la entidad, no equivale automáticamente a negligencia grave. Y, de nuevo, es el banco quien debe probar que usted incurrió en ella.
El plazo para notificar: no lo deje pasar
El artículo 43 del Real Decreto-ley 19/2018 obliga al usuario a comunicar al banco la operación no autorizada sin demora injustificada en cuanto tenga conocimiento de ella, con un límite máximo de trece meses desde la fecha del adeudo. Aunque el plazo legal es amplio, en la práctica es esencial actuar en cuanto detecte el cargo: cuanto antes notifique, antes nace la obligación del banco de devolver y más difícil le resulta a la entidad alegar que usted contribuyó al perjuicio con su pasividad.
Qué hacer en las primeras horas: guía práctica paso a paso
Si acaba de detectar una transferencia fraudulenta, este es el orden de actuación que recomendamos:
1. Comunique el fraude al banco de inmediato y por escrito. Llame para bloquear tarjetas y accesos, pero deje también constancia escrita (correo, formulario o burofax). Esa notificación es la que activa el plazo del artículo 45 y fija la fecha desde la que el banco debe devolver.
2. Solicite por escrito la devolución del importe invocando expresamente los artículos 44 y 45 del Real Decreto-ley 19/2018 y exigiendo que la entidad acredite la autenticación reforzada de la operación.
3. Interponga denuncia ante la Policía Nacional o la Guardia Civil. El atestado documenta que ha sido víctima de un delito y refuerza su reclamación, además de ser útil frente a la entidad.
4. Reclame ante el Servicio de Atención al Cliente (SAC) del banco. La entidad dispone de un plazo para resolver; si no responde o rechaza su solicitud, queda expedita la siguiente vía.
5. Acuda al Departamento de Conducta de Entidades del Banco de España. Puede presentar una reclamación una vez agotado el SAC. Aunque su informe no es vinculante, resulta muy valioso como respaldo si el asunto termina en los tribunales.
6. Reclamación judicial. Si el banco persiste en su negativa, la vía civil permite reclamar la devolución íntegra. La jurisprudencia de nuestras Audiencias Provinciales viene siendo mayoritariamente favorable al consumidor cuando la entidad no logra acreditar ni la autorización de la operación ni una autenticación reforzada suficiente.
Preguntas frecuentes
El banco dice que la culpa es mía por dar mis claves. ¿Es cierto?
No de forma automática. Que usted introdujera datos engañado no significa que exista negligencia grave. El artículo 46 del Real Decreto-ley 19/2018 reserva la pérdida total del dinero para los casos de fraude o negligencia grave del cliente, y el artículo 44 impone al banco la carga de probar esa negligencia. Un engaño sofisticado que imita los canales oficiales rara vez alcanza ese umbral.
¿Cuánto dinero tengo que asumir yo?
Con carácter general, y salvo fraude o negligencia grave por su parte, su responsabilidad se limita a una franquicia máxima de 50 euros (artículo 46 del Real Decreto-ley 19/2018). El resto debe devolverlo la entidad.
¿En cuánto tiempo debe devolverme el dinero el banco?
El artículo 45 del Real Decreto-ley 19/2018 exige la devolución de inmediato y, a más tardar, al final del día hábil siguiente a su notificación, salvo que el banco tenga motivos fundados y por escrito para sospechar que existe fraude por su parte.
He tardado unos días en darme cuenta. ¿He perdido el derecho a reclamar?
Probablemente no. El artículo 43 del Real Decreto-ley 19/2018 fija un plazo máximo de trece meses para notificar la operación no autorizada. Lo importante es que comunique el fraude en cuanto lo detecte y deje constancia de la fecha.
¿Sirve de algo denunciar si ya sé que el estafador no aparecerá?
Sí. La denuncia no busca solo localizar al delincuente: acredita ante el banco y ante el juzgado que usted ha sido víctima de un fraude, lo que fortalece su reclamación de devolución frente a la entidad.
¿Y si la operación se validó con un código que me llegó al móvil?
Que exista un código no cierra el debate. Sigue siendo el banco quien debe probar que la autenticación fue correcta y reforzada y que no hubo fallos de seguridad en su sistema (artículo 44 del Real Decreto-ley 19/2018). Muchos fraudes actuales consisten precisamente en inducir a la víctima a facilitar ese código creyendo que habla con su banco.
Le ayudamos a reclamar su dinero
En Santamaría Baeza Abogados analizamos su caso, revisamos la respuesta del banco y reclamamos la devolución del importe defraudado por la vía que corresponda, desde el Banco de España hasta los tribunales. Si ha sufrido una transferencia fraudulenta por phishing y el banco no le devuelve el dinero, cuéntenos su situación llamando al 654 581 493. Cuanto antes actuemos, más fácil será recuperar lo que es suyo.
Puede ampliar información en nuestras páginas de reclamaciones a bancos y de derecho bancario.
Santamaría Baeza Abogados · Avda. Aguilera 39, Ent. B, 03007 Alicante · Atención en Alicante, Elche y provincia. Este artículo tiene carácter informativo y no sustituye el asesoramiento jurídico individualizado.
