Una llamada que aparece con el número real de tu banco, un SMS con el logo idéntico al oficial, un correo que reproduce la tipografía y los colores de tu entidad hasta el último píxel. Muy pocos ciudadanos son capaces de detectar una suplantación bancaria bien orquestada, y aún menos cuando en cuestión de segundos se les vacía la cuenta corriente ante sus propios ojos.
En Gatell & Asociados, desde Málaga, atendemos a menudo a a víctimas de este tipo de fraude. La respuesta inicial del banco suele ser siempre la misma: «usted facilitó las claves, la operación queda registrada como autorizada y no procede la devolución». Sin embargo, la ley no dice eso. Y los tribunales españoles llevan años condenando a las entidades a restituir el dinero incluso cuando el cliente cayó en el engaño. Puede consultar también nuestra guía general sobre estafas por internet y fraude bancario.
La clave está en el Real Decreto-ley 19/2018, de 23 de noviembre, de servicios de pago (que traspone la Directiva europea PSD2). Su artículo 45 establece una regla que da la vuelta a la carga de la prueba:
En caso de operación de pago no autorizada, el proveedor de servicios de pago —el banco— devolverá al ordenante el importe de la operación, a más tardar al final del día hábil siguiente al que haya tenido conocimiento de la operación.
Es decir: primero se devuelve el dinero. Después se discute si el cliente fue negligente. No al revés. Esa es la ingeniería jurídica que los bancos suelen «olvidar» cuando te contestan por escrito. El artículo 46 completa el escenario: el banco solo puede negarse a devolver si prueba negligencia grave del cliente (no basta la simple imprudencia) o actuación fraudulenta del propio ordenante.
Desde septiembre de 2019, la PSD2 y el RD-ley 19/2018 obligan a los bancos a aplicar Autenticación Reforzada del Cliente (SCA) en pagos electrónicos: dos factores independientes (algo que sabes + algo que tienes + algo que eres).
Cuando un estafador consigue vaciar tu cuenta con phishing, típicamente es porque el banco no aplicó bien la SCA o porque la autenticación por SMS no bastó para detectar una operación anómala (por ejemplo, una transferencia de 12.000 € a un IBAN portugués a las 4 de la mañana desde un dispositivo nuevo).
Argumento decisivo en la reclamación: si el banco no puede acreditar que aplicó una autenticación reforzada eficaz y que sus sistemas antifraude detectaron el patrón anómalo, la operación se considera no autorizada aunque el cliente haya tecleado un código. Este razonamiento aparece cada vez más en las sentencias de las Audiencias Provinciales que condenan a las entidades a la devolución íntegra. Para un análisis más amplio de la responsabilidad bancaria, véase también nuestro artículo sobre protección de inversores no expertos.
Llama a tu oficina y al teléfono de fraude. Solicita el bloqueo inmediato de la tarjeta o cuenta y la retrocesión de las operaciones. Pide referencia por escrito de la incidencia.
La denuncia es obligatoria para reclamar después. Aporta capturas, correos, SMS, número de teléfono desde el que te llamaron, IBAN de destino, hora exacta de la operación. También puedes reportar al INCIBE (017) o consultar la Oficina de Seguridad del Internauta, aunque no sustituyen a la denuncia.
No aceptes contestación verbal. Redacta reclamación formal citando expresamente el art. 45 del RD-ley 19/2018 y solicita la devolución. El banco tiene 15 días hábiles para contestar (art. 250 RD-ley 19/2018).
El Departamento de Conducta de Entidades del Banco de España analiza la reclamación y emite informe motivado. No es vinculante, pero pesa mucho en un procedimiento judicial posterior.
Con la denuncia, la reclamación desestimada y el informe del Banco de España, se prepara demanda ante el Juzgado de Primera Instancia. La jurisprudencia mayoritaria en 2025-2026 está siendo favorable al consumidor, especialmente cuando el banco no acredita SCA eficaz. Puede completar la lectura con nuestras guías sobre reclamación contra bancos y reclamación de gastos de hipoteca.
| Trámite | Plazo |
|---|---|
| Comunicación al banco de operación no autorizada | Sin demora, y máximo 13 meses desde el cargo |
| Reclamación al SAC del banco | El banco contesta en 15 días hábiles (2 meses excepcional) |
| Reclamación ante el Banco de España | Cuando el SAC ha contestado o han pasado los 15 días |
| Demanda civil | 5 años (art. 1964 CC) |
| Denuncia penal (estafa) | 5 años (10 en supuestos agravados) |
El caballo de batalla de los bancos es alegar que el cliente actuó con negligencia grave por facilitar las claves. La jurisprudencia matiza:
En la práctica, la carga de probar la negligencia grave recae siempre en el banco, no en la víctima. Y esa prueba es difícil de aportar. Le puede interesar también revisar sus derechos como consumidor o guías específicas de reclamación como la de reclamación a PayPal.
Sin revelar datos identificativos, en nuestro despacho hemos conseguido en 2024-2026:
(Casos anonimizados para preservar el secreto profesional.)
Cuando el banco te dice que la operación es «autorizada por el cliente» y se niega a devolver, no está aplicando la ley: está aplicando su política interna. La ley obliga a devolver primero y discutir después. Y si te encuentras solo frente a la entidad, con formularios técnicos, plazos que corren y respuestas evasivas, tienes derecho a asesoramiento profesional.
En Gatell & Asociados, con más de 25 años defendiendo consumidores desde Málaga, sabemos exactamente cómo construir estas reclamaciones y qué argumentos hacen ceder a los bancos, tanto en fase extrajudicial como en el juzgado.
Solicite presupuesto para consulta. Analizamos su caso y le indicamos con honestidad las probabilidades reales de recuperar el dinero antes de asumir el asunto.
📞 616 903 306 · ✉️ [email protected] · 📍 Málaga
Este artículo tiene carácter divulgativo y no constituye asesoramiento jurídico. Cada caso requiere análisis individualizado. Legislación citada: RD-ley 19/2018, de 23 de noviembre, de servicios de pago (BOE 24/11/2018); Directiva UE 2015/2366 (PSD2).
