Recibes un SMS que parece de tu banco, entras en un enlace, introduces tus claves y, horas después, descubres que han vaciado tu cuenta. El phishing bancario es hoy uno de los fraudes más extendidos en España, y la primera respuesta de muchas entidades es negarse a devolver el dinero alegando que fuiste tú quien facilitó los datos. Sin embargo, la ley reparte la responsabilidad de una forma mucho más favorable al cliente de lo que el banco suele reconocer.
📋 Lo que vas a aprender en esta guía
- Qué dice la ley sobre las operaciones de pago no autorizadas
- Quién tiene que probar la negligencia grave: tú o el banco
- Los plazos que no puedes dejar pasar para reclamar
- Cómo reclamar paso a paso, del banco al Banco de España y a los tribunales
La norma clave es el Real Decreto-ley 19/2018, de servicios de pago, que traslada al Derecho español la Directiva europea PSD2. Conocer sus artículos te permite rebatir las respuestas estándar del banco y saber cuándo merece la pena seguir adelante con una reclamación.
Qué es el phishing bancario y por qué importa cómo se califica
El phishing es una técnica de engaño en la que el estafador suplanta a tu banco (por correo, SMS o llamada) para que le facilites tus credenciales o autorices una operación. Tiene variantes muy conocidas: el smishing por SMS, el vishing por teléfono o el spoofing, en el que la llamada o el mensaje aparecen en el mismo hilo o con el mismo número que usa tu entidad.
Jurídicamente, lo relevante es que se trata de una operación de pago no autorizada. Según el artículo 36 del Real Decreto-ley 19/2018, una operación solo se considera autorizada cuando el ordenante ha dado su consentimiento para ejecutarla; a falta de consentimiento, la operación es no autorizada. Cuando un tercero utiliza tus claves engañándote, no hay un consentimiento real a esa transferencia concreta, y eso activa el régimen de protección del cliente.
Las claves legales: qué tiene que hacer el banco
La ley establece varias reglas que juegan a tu favor en cualquier reclamación por phishing bancario:
Devolución inmediata
El banco debe devolver el importe no autorizado, como tarde, al final del día hábil siguiente a la notificación, salvo sospecha razonable de fraude comunicada por escrito al Banco de España (art. 45).
La prueba es del banco
Corresponde a la entidad demostrar que la operación se autenticó correctamente y que el cliente actuó con fraude o negligencia grave (art. 44).
El registro no basta
Que el sistema registre el uso de tus claves no prueba por sí solo que autorizaras el pago ni que fueras negligente (art. 44.2).
Franquicia máxima de 50 €
Sin fraude ni negligencia grave, el cliente solo puede soportar hasta 50 euros de pérdida, y en algunos casos nada (art. 46).
Además, el artículo 68 obliga a las entidades a aplicar la autenticación reforzada cuando accedes a tu cuenta en línea o inicias un pago electrónico, y el artículo 46.2 añade que, si el banco no la exigió, el cliente solo responde si actuó de forma fraudulenta. En la práctica, revisar cómo se autenticaron las operaciones es uno de los puntos decisivos de cada caso.
💡 Consejo: avisa al banco en cuanto detectes el cargo, bloquea tarjetas y accesos, y pide por escrito el detalle técnico de cómo se autorizó cada operación. La entidad debe conservar esos registros al menos seis años y facilitártelos si los solicitas (art. 44.4).
Negligencia grave: la gran batalla en las reclamaciones
La única salida legal del banco para no devolver el dinero (más allá del fraude del propio cliente) es demostrar que incumpliste deliberadamente o por negligencia grave tus obligaciones de custodia de las credenciales (art. 41). La negligencia simple no es suficiente. Los tribunales vienen valorando cada caso según la sofisticación del engaño: no es lo mismo entregar las claves a un desconocido sin más que caer en un mensaje que llega por el mismo canal oficial del banco.
Cómo reclamar paso a paso
Una reclamación por phishing bancario bien planteada sigue un orden concreto. Saltarse pasos o dejar pasar los plazos puede hacerte perder el derecho a recuperar el dinero.
Notificar sin demora
Comunica al banco las operaciones no autorizadas en cuanto las conozcas y, como máximo, en 13 meses desde el adeudo (art. 43).
Denunciar
Presenta denuncia ante la Policía o la Guardia Civil con capturas de mensajes, llamadas y movimientos.
Reclamar al SAC
Reclama por escrito al Servicio de Atención al Cliente. En servicios de pago debe responder en 15 días hábiles, ampliables hasta un mes en casos excepcionales (art. 69).
Banco de España o demanda
Si no contestan o te lo deniegan, puedes reclamar ante el Banco de España o presentar demanda ante la Sección Civil del Tribunal de Instancia.
Errores frecuentes y preguntas que nos hacen
❓ ¿Si di yo mis claves, pierdo automáticamente el dinero?
No. Facilitar las claves engañado no equivale por sí solo a negligencia grave. El banco tiene que probarla, y se valora lo creíble que era el engaño y si la entidad aplicó correctamente sus sistemas de seguridad.
❓ ¿Cuánto tiempo tengo para reclamar?
Debes avisar sin demora injustificada y, en todo caso, dentro de los 13 meses siguientes al adeudo. Este límite no se aplica si el banco no te facilitó la información sobre la operación.
❓ ¿Puedo ir directamente al Banco de España?
No. Primero hay que reclamar ante el servicio de atención al cliente de la entidad; solo si no responde en plazo o la respuesta no te satisface puedes acudir al Banco de España.
❓ ¿Sirve de algo el justificante de denuncia?
Sí. Acredita la fecha en que conociste el fraude y describe el engaño, dos datos muy útiles para discutir la negligencia grave. Guarda también los SMS, correos y el registro de llamadas: no los borres.
Otro error habitual es aceptar sin más la primera negativa del banco, que suele ser una respuesta tipo. Muchas reclamaciones prosperan precisamente cuando se exige a la entidad que acredite cómo autenticó cada operación y por qué sus alertas de seguridad no detectaron movimientos anómalos.
¿Te han vaciado la cuenta con un fraude de phishing?
En ASB Legal somos abogados especialistas en Derecho Bancario. Analizamos tu caso sin compromiso y reclamamos al banco lo que te corresponde. Atendemos online en toda España desde Badajoz.
Conclusión
Ante un phishing bancario, la ley parte de que el banco debe devolver el dinero de las operaciones no autorizadas, y solo puede negarse si demuestra fraude o negligencia grave del cliente. Actuar rápido, documentarlo todo y reclamar por el cauce correcto marca la diferencia entre recuperar tus ahorros o perderlos.
📌 En resumen
En un fraude de phishing, la carga de la prueba recae sobre el banco. Notifica de inmediato, denuncia, reclama al SAC y, si te lo deniegan, acude al Banco de España o a los tribunales con asesoramiento de abogados especialistas.
Deja una respuesta