Phishing bancario: cuándo el banco debe devolverte el dinero

Las estafas más habituales

• Phishing: un correo que imita a tu banco y te lleva a una web falsa donde introduces tus claves.
• Smishing: lo mismo por SMS, a veces en el mismo hilo de mensajes que tu banco.
• Vishing o spoofing: te llama alguien que se hace pasar por el banco, incluso desde un número que parece el oficial, y te pide códigos «para cancelar una operación».
• SIM swapping: los delincuentes consiguen un duplicado de tu tarjeta SIM y reciben tus códigos de confirmación.

Qué dice la ley

La Ley de Servicios de Pago (Real Decreto-ley 19/2018) protege al cliente frente a operaciones que no ha autorizado:

1. Si avisas de una operación no autorizada, el banco debe devolver el importe de inmediato y, como tarde, al final del día hábil siguiente. Solo puede negarse si tiene motivos razonables para sospechar fraude del cliente y lo comunica al Banco de España.
2. Corresponde al banco probar que la operación se autenticó y registró correctamente y que no hubo fallos técnicos.
3. Como mucho, el cliente puede tener que asumir 50 € de pérdidas, salvo que haya actuado con fraude o negligencia grave.
4. Tienes un plazo máximo de 13 meses desde el cargo para comunicarlo, aunque lo ideal es hacerlo en cuanto lo detectes.

La sentencia del Supremo: STS 571/2025

El 9 de abril de 2025 el Supremo confirmó la condena a una entidad a devolver más de 83.000 € a un cliente víctima de un fraude con duplicado de SIM, con transferencias y Bizum que él no había ordenado. La sentencia deja claro que:

• Usar las claves correctas o superar la doble autenticación no prueba que el cliente consintiera la operación.
• El banco debe demostrar la negligencia grave del cliente; si no lo hace, responde él.
• Como profesional, el banco tiene que detectar operaciones anómalas y reaccionar cuando el cliente avisa.
• Las cláusulas que eximen al banco de responsabilidad por fraude informático son nulas.

Qué están diciendo las Audiencias en 2026

• Audiencia Provincial de Lugo: confirmó la condena a una entidad a devolver 185.849,15 €, distinguiendo entre una conducta poco prudente y una negligencia grave.
• Audiencia Provincial de Madrid: confirmó una condena de 69.000 €.
• Audiencia Provincial de Asturias: confirmó una condena de 35.550 €.
• Audiencia Provincial de Valladolid: creer un mensaje o una llamada que suplantaba al banco es un error que el propio engaño propicia, no una negligencia grave.

¿Cuándo pierde el cliente?

No todos los casos se ganan. Algunos tribunales han apreciado negligencia grave cuando el cliente facilitó varios códigos de confirmación aunque el SMS decía con claridad para qué servían y que no debían compartirse. Por eso es importante analizar cómo fue el engaño y conservar todos los mensajes.

Qué hacer si te han estafado

1. Llama al banco y bloquea tarjetas, accesos y Bizum. Después, avísalo también por escrito.
2. Denuncia en la Policía o la Guardia Civil.
3. Guarda las pruebas: SMS, correos, capturas de la web falsa, registro de llamadas y extractos.
4. Pide por escrito la devolución de las operaciones no autorizadas.
5. Si el banco se niega o no responde, reclama a su servicio de atención al cliente y después al Banco de España o a los tribunales.

Qué hacer ahora

• No borres ningún mensaje ni llamada relacionados con la estafa.
• No aceptes una devolución parcial como cierre del caso sin asesoramiento.
• Pide tu estudio: la primera consulta es gratuita.