Cada vez llegan más casos a los despachos de personas que, tras recibir un SMS o un correo aparentemente enviado por su banco, han visto cómo desaparecía dinero de su cuenta en cuestión de minutos. La reacción instintiva de muchas víctimas es pensar que, como "dieron sus claves" al estafador, ya no hay nada que hacer. La realidad legal es justo la contraria: en la inmensa mayoría de los casos, la entidad bancaria está obligada a reintegrar el importe sustraído.
El marco legal: la carga de la prueba es del banco
El Real Decreto-ley 19/2018, de servicios de pago (que traspone la Directiva europea PSD2), establece en su artículo 45 una obligación clara: cuando una operación de pago no ha sido autorizada por el cliente, el banco debe devolver el importe de inmediato, como máximo al final del día hábil siguiente a la reclamación.
La clave está en quién tiene que demostrar qué. No es el cliente quien debe probar que fue víctima de un fraude sofisticado: es la entidad la que debe acreditar que su sistema de pago funcionó correctamente y que no hubo negligencia grave por su parte. Si el banco no consigue demostrarlo, incurre en incumplimiento contractual y debe reponer el saldo.
Lo que dicen los tribunales
La jurisprudencia de los últimos años ha reforzado esta protección al usuario, incluso en supuestos donde la víctima entregó sus propias claves engañada por el estafador. El Tribunal Supremo ha consolidado un criterio de responsabilidad cuasi-objetiva de la entidad: si no detecta ni bloquea operaciones anómalas, responde por ello. Solo entre 2022 y 2026 se cuentan al menos ocho sentencias que condenan a distintos bancos españoles a devolver cantidades que van desde poco más de 2.000 euros hasta más de 80.000 euros.
Esto no significa que todos los casos se ganen igual de fácil. Los tribunales sí valoran la conducta del usuario: si actuó con diligencia razonable (no facilitó códigos por canales sospechosos, denunció de inmediato, avisó al banco sin demora), la balanza se inclina claramente a su favor. Si, por el contrario, hubo negligencia grave manifiesta, el resultado puede ser distinto.
Un caso real
Hace no mucho tiempo asistimos a un cliente que sufrió un acceso no autorizado a su propio teléfono móvil, lo que permitió a un tercero operar como si fuera él: recibió el SMS de seguridad y ejecutó las transferencias empleando el propio dispositivo del cliente. Formalmente, todo apuntaba a una operación "autorizada".
Sin embargo, había dos elementos decisivos. Por un lado, el patrón de las transferencias no se correspondía en absoluto con el comportamiento habitual del cliente en su cuenta, algo que cualquier sistema de prevención de fraude mínimamente diligente debería haber señalado. Por otro, el cliente se puso en contacto con atención al cliente del banco de forma inmediata, en cuanto detectó lo ocurrido, y esa llamada quedó grabada. El banco tuvo, por tanto, conocimiento en tiempo real de que algo anómalo estaba sucediendo, y aun así no bloqueó la operativa a tiempo.
La apariencia de "operación autorizada" no cierra la puerta a la reclamación: lo relevante es si el banco actuó con la diligencia que le exige la normativa una vez tuvo motivos para sospechar.
Con esos dos elementos bien documentados y argumentados, presentamos la reclamación, y el banco reintegró los 15.000 euros en apenas unos días, sin necesidad de llegar a juicio.
¿Hay un límite máximo de devolución?
Conviene aclarar una confusión habitual: el límite de 100.000 euros que mucha gente tiene en mente es el del Fondo de Garantía de Depósitos, que protege los ahorros de los clientes si el banco quiebra. Ese límite no tiene nada que ver con el phishing. En los fraudes por operaciones no autorizadas no existe un tope: el banco debe devolver el importe íntegro sustraído, sea la cantidad que sea.
Qué hacer si has sido víctima
- Comunica el fraude al banco de inmediato, por escrito y guardando constancia de la fecha y el canal.
- Presenta denuncia ante la Policía o la Guardia Civil, aportando capturas de pantalla, mensajes y correos recibidos.
- No esperes a que el banco resuelva por su cuenta: muchas entidades rechazan la devolución en primera instancia, dando por hecho que el cliente "se lo buscó". Ese rechazo no es la última palabra.
- Reúne toda la prueba técnica posible: capturas del mensaje fraudulento, movimientos bancarios, y si es posible, un informe pericial informático que documente cómo se produjo el ataque y qué fallos de seguridad existían en la plataforma del banco.
Por qué merece la pena reclamar
Muchas víctimas dan por perdido el dinero simplemente porque el banco lo negó la primera vez. Pero esa negativa inicial es, en la mayoría de los casos, el punto de partida de una reclamación —no el final del camino. Con la documentación adecuada y un planteamiento jurídico correcto, la vía de la reclamación previa y, si es necesario, la demanda judicial, ofrece hoy más garantías que nunca para el cliente.
Si ha sido víctima de un fraude de este tipo y el banco se ha negado a devolverle el dinero, en Lex Firma Consulting podemos estudiar su caso y valorar las posibilidades reales de recuperación.
Este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico personalizado. Cada caso debe analizarse de forma individual.