Si te han vaciado la cuenta mediante un engaño que suplantaba a tu banco, la ley está mucho más de tu lado de lo que te va a decir el empleado de la oficina. La regla general es que el banco debe devolverte el dinero de inmediato y, si quiere negarse, es él quien tiene que demostrar que actuaste mal.
El problema es que casi todos deniegan de entrada. Esta guía te explica cómo responder a eso.
Qué es exactamente el phishing
Es la suplantación de la identidad de tu banco para obtener tus credenciales. Tiene varias formas:
Phishing por correo electrónico, con un enlace a una web idéntica a la de tu entidad.
Smishing por SMS. El más peligroso, porque los defraudadores consiguen que el mensaje se inserte en el mismo hilo de conversación donde recibes los SMS legítimos de tu banco. Para el usuario es indistinguible.
Vishing por llamada telefónica, con el número del banco falsificado en la pantalla. Suelen hacerse pasar por el departamento antifraude y crear urgencia: «hemos detectado una operación sospechosa, confirme que no es usted».
SIM swapping, duplicando tu tarjeta SIM para recibir ellos los códigos de verificación.
La sofisticación actual es alta. Que alguien caiga no significa que sea descuidado.
La regla que debes conocer
La normativa de servicios de pago, que en España aplica el Real Decreto-ley 19/2018, establece un principio claro para las operaciones no autorizadas:
El banco debe devolver el importe de inmediato, y como máximo al final del día hábil siguiente a que le comuniques el fraude. Primero devuelve y después investiga, no al revés.
La carga de la prueba es del banco. Si quiere retener el dinero, debe demostrar que la operación fue autenticada, registrada correctamente y que tú actuaste de forma fraudulenta o con negligencia grave. No le basta con decir que se usaron tus claves: precisamente eso es lo que caracteriza al fraude.
Tu franquicia máxima es de 50 euros, y ni siquiera eso si no podías detectar la pérdida o si el fallo venía del propio sistema del banco.
El plazo para avisar es sin demora injustificada, con un máximo de trece meses.
El punto de batalla: la negligencia grave
Todo se juega aquí, porque es la única puerta que tiene el banco para no pagar.
La negligencia grave no es cualquier descuido. Es una desatención de las medidas de seguridad especialmente intensa, muy por encima del error normal de una persona razonable.
Los tribunales españoles han dado la razón a clientes en numerosos casos de phishing, con argumentos que conviene conocer:
- Que el SMS fraudulento apareciera en el mismo hilo de mensajes del banco elimina prácticamente la posibilidad de detectarlo
- Que el banco no implementara correctamente la autenticación reforzada le hace responsable a él
- Que la operación tuviera un patrón claramente anómalo respecto al uso habitual del cliente obliga al banco a haberla bloqueado
- Que el cliente avisara de inmediato juega siempre a su favor
Donde sí suele apreciarse negligencia grave es cuando alguien entrega todas sus claves por teléfono a un desconocido tras una llamada no solicitada, o cuando instala voluntariamente una aplicación de control remoto en su dispositivo a petición de un tercero.
Qué hacer, por orden
1. Llama al banco y bloquea todo. Tarjetas y acceso a banca online.
2. Comunica el fraude por escrito el mismo día. Esto es crítico: la fecha de comunicación activa el plazo de devolución. Usa el formulario oficial o un correo, y guarda el acuse.
3. Pide por escrito la devolución inmediata citando expresamente que se trata de una operación no autorizada. Que conste.
4. Denuncia ante Policía Nacional o Guardia Civil. El banco te la va a pedir.
5. Conserva todas las pruebas. El SMS o correo fraudulento, el número desde el que llamaron, las capturas de la web falsa, los movimientos.
6. Cambia contraseñas de la banca y de cualquier servicio donde repitieras esa clave.
7. Revisa si te han pedido un crédito a tu nombre. Es habitual que, además de vaciar la cuenta, contraten un préstamo preconcedido. Compruébalo expresamente.
Si el banco se niega
No te quedes en la respuesta de la oficina, que casi nunca es la definitiva.
1. Reclamación formal al Servicio de Atención al Cliente de la entidad. Es obligatorio antes de escalar y tienen un plazo tasado para responder.
2. Banco de España. Su departamento de conducta de mercado admite reclamaciones gratuitas. El informe no es vinculante, pero las entidades lo acatan en un porcentaje alto de casos y es una prueba útil si luego vas a juicio.
3. Vía judicial. Es donde se ganan muchos de estos casos. Por debajo de 2.000 euros no necesitas abogado ni procurador.
En tu reclamación, insiste siempre en el mismo punto: no te corresponde a ti demostrar que fuiste cuidadoso, le corresponde al banco demostrar que fuiste gravemente negligente. Es la inversión de la carga de la prueba lo que da fuerza a tu posición.
Cómo reducir el riesgo
- Tu banco nunca te va a pedir claves completas, PIN ni códigos por teléfono, SMS o correo
- No entres a la banca online desde enlaces: teclea la dirección o usa la app
- Desconfía de la urgencia, que es la herramienta principal de estos engaños
- Activa los avisos de operaciones para enterarte en tiempo real
- Si recibes un aviso de que han pedido un duplicado de tu SIM y tú no lo has hecho, llama a tu operadora inmediatamente
- Si dudas, cuelga y llama tú al número que figura en el reverso de tu tarjeta
Preguntas frecuentes
Di yo mismo el código que me enviaron por SMS. ¿Pierdo el derecho?
No automáticamente. Si te engañaron haciéndote creer que ese código servía para bloquear una operación fraudulenta, hay engaño, no negligencia grave. Varios tribunales lo han resuelto a favor del cliente.
El banco dice que la operación está correctamente autenticada.
Que esté autenticada demuestra que se usaron tus credenciales, no que las usaras tú. Es exactamente lo que ocurre en todo fraude de este tipo.
¿Cuánto tardan en devolver?
La norma dice que al final del día hábil siguiente. En la práctica muchos abren una investigación de semanas, y ese retraso es reclamable.
Me han pedido un préstamo a mi nombre.
Comunícalo expresamente como operación no autorizada y pide su anulación. Vigila los ficheros de morosos los meses siguientes.
¿Y si el fraude fue a una empresa y no a un particular?
Las empresas pueden pactar con el banco condiciones distintas y la protección es menor. Revisa el contrato del servicio de pago.
¿Me pueden cerrar la cuenta por reclamar?
No pueden tomar represalias por ejercer un derecho. Si lo hacen, es otro motivo de reclamación ante el Banco de España.