Te llega un SMS de tu banco pidiéndote que verifiques tus datos. Haces clic, introduces tu contraseña y, horas después, descubres que han vaciado tu cuenta. O compras en una tienda online que parecía legítima y nunca recibes el producto. O alguien ha usado tus datos para hacer compras que tú no has autorizado.
En todos estos casos surge la misma pregunta: ¿quién responde? ¿El estafador que probablemente no se encuentra o es anónimo? ¿La plataforma donde ocurrió el fraude? ¿O el banco que permitió la operación?
La respuesta, en muchos casos, es el banco. Y en Mesa y Jimeno somos abogados especialistas en fraudes online con experiencia en reclamaciones frente a entidades financieras. En este artículo te explicamos cuándo el banco es responsable, cómo detectar las señales de un fraude antes de que ocurra y qué pasos dar si ya has sido víctima.
Los tipos de fraude online más habituales
Antes de hablar de responsabilidades, conviene identificar ante qué tipo de fraude nos encontramos, porque no todos tienen el mismo tratamiento legal ni el mismo responsable.
Phishing bancario
El más frecuente. El estafador suplanta la identidad del banco mediante un correo electrónico, SMS (smishing) o llamada telefónica (vishing) para obtener las credenciales del cliente. Con ellas, accede a la cuenta y realiza transferencias no autorizadas. Si quieres profundizar en este tipo concreto, te explicamos en detalle cómo reclamar al banco en casos de phishing.
Fraude en compras online
Tiendas online falsas o fraudulentas que cobran el producto pero nunca lo envían. También suplantación de plataformas legítimas de segunda mano (Wallapop, Vinted, Milanuncios) para redirigir el pago fuera de la plataforma.
Fraude con tarjeta
Uso no autorizado de los datos de una tarjeta de crédito o débito para realizar compras online sin el consentimiento del titular. Puede ocurrir tras una filtración de datos o mediante técnicas de skimming digital.
Inversiones y criptomonedas fraudulentas
Plataformas de inversión que prometen rentabilidades extraordinarias, solicitan depósitos y después desaparecen o bloquean el acceso al supuesto saldo. Es uno de los fraudes con mayor cuantía media por víctima.
Suplantación de identidad
El estafador usa los datos personales de la víctima para solicitar créditos, abrir cuentas o realizar compras a su nombre. La víctima lo descubre semanas después cuando empieza a recibir reclamaciones de deudas que no contrató.
¿Cuándo es responsable el banco de un fraude online?
Esta es la pregunta clave, y la respuesta sorprende a muchos: más a menudo de lo que el banco quiere reconocer.
La normativa europea de servicios de pago (Directiva PSD2, transpuesta en España por el Real Decreto-ley 19/2018) establece que las entidades financieras tienen la obligación de garantizar la seguridad de las operaciones de pago. Cuando se produce una operación de pago no autorizada, la regla general es que el banco debe devolver el importe de forma inmediata, salvo que pueda acreditar que el cliente actuó con negligencia grave o de forma fraudulenta.
Los supuestos más habituales en los que el banco responde son:
1. Transferencias realizadas sin autorización del cliente
Si alguien accedió a tu banca online y realizó transferencias que tú no ordenaste, el banco debe reintegrar el importe, porque no implementó medidas de seguridad suficientes para evitarlo.
2. Operaciones sin autenticación reforzada
Desde la entrada en vigor de la PSD2, las entidades están obligadas a aplicar autenticación de doble factor (la famosa «autenticación reforzada de clientes») en las operaciones online. Si el fraude se produjo porque el banco no la aplicó o la implementó de forma deficiente, la responsabilidad recae sobre él.
3. Phishing con SMS oficial del banco (smishing)
Este es un caso especialmente relevante y donde más sentencias favorables al cliente existen: cuando el estafador consigue que el SMS fraudulento aparezca en el mismo hilo de mensajes del banco real (spoofing de SMS), los tribunales consideran de forma mayoritaria que el cliente no tiene forma razonable de detectar el engaño, y el banco debe responder.
4. Negligencia del banco en la detección de operaciones inusuales
Los sistemas de prevención del fraude de los bancos están diseñados para detectar patrones de operaciones inusuales. Si tu cuenta realizó en minutos varias transferencias de importes elevados a cuentas desconocidas y el banco no lo detectó ni te alertó, eso puede acreditarse como falta de diligencia.
¿Cuándo NO responde el banco?
La ley establece que el banco puede eximirse de responsabilidad si acredita que el cliente actuó con negligencia grave. Esto incluye situaciones como:
- Compartir voluntariamente las credenciales de acceso con un tercero.
- Facilitar el código OTP o de verificación a alguien que te lo solicita por teléfono, incluso si dice ser del banco.
- No notificar al banco la pérdida o robo de las credenciales en cuanto se tiene conocimiento.
Sin embargo, el concepto de «negligencia grave» es interpretado de forma restrictiva por los tribunales. El mero hecho de haber caído en un phishing muy sofisticado no implica automáticamente negligencia grave del cliente, especialmente cuando el engaño es de alta calidad técnica.
Señales de fraude en banca online que debes conocer
La Guardia Civil y el INCIBE publican periódicamente alertas sobre los métodos más usados. Estas son las señales más habituales que indican que puedes estar ante un intento de fraude:
- SMS o correos que te piden verificar datos urgentemente: tu banco nunca te pedirá la contraseña completa ni el PIN por ningún canal.
- URLs con pequeñas variaciones del dominio oficial: «bancosantanderr.com» en lugar de «bancosantander.com», o dominios con guiones o palabras añadidas.
- Llamadas de supuestos empleados del banco que conocen algunos de tus datos (nombre, últimos dígitos de tu tarjeta) y te piden el resto para «confirmar tu identidad».
- Plataformas de inversión sin registro en la CNMV: antes de invertir en cualquier plataforma online, comprueba que está registrada en la Comisión Nacional del Mercado de Valores.
- Tiendas online con precios muy por debajo del mercado, sin información legal visible, con solo métodos de pago por transferencia y sin sellos de confianza.
- Mensajes de WhatsApp o Telegram de contactos conocidos pidiendo dinero urgente — puede ser la cuenta del contacto comprometida.
Cómo denunciar un fraude online: pasos a seguir
Si ya has sido víctima de un fraude online, el orden de actuación importa. Estos son los pasos:
1. Notifica al banco de inmediato
Llama al número de atención al cliente en cuanto detectes el fraude y solicita el bloqueo de la cuenta o tarjeta afectada. Pide que quede constancia escrita de la notificación y de la hora exacta.
2. Haz capturas de pantalla de todo
Conserva todos los mensajes, correos, capturas de la operación fraudulenta en tu banca online, y cualquier comunicación relacionada con el fraude. No borres nada.
3. Presenta denuncia ante la Policía o la Guardia Civil
Puedes hacerlo de forma presencial o, en muchos casos, a través de sus webs oficiales. La denuncia es necesaria tanto para el expediente bancario como para una eventual reclamación judicial. La Guardia Civil tiene un equipo específico (EDITE) para delitos tecnológicos.
4. Reclama formalmente al banco por escrito
Envía una reclamación al Servicio de Atención al Cliente del banco mediante burofax, exponiendo los hechos, la normativa aplicable (PSD2, Real Decreto-ley 19/2018) y solicitando la devolución del importe. El banco tiene 15 días hábiles para contestar.
5. Si el banco rechaza la reclamación, acude a un abogado especialista
Si el banco deniega o no responde en plazo, el siguiente paso es la vía judicial. En Mesa y Jimeno analizamos tu caso de forma gratuita y te decimos con claridad si tienes posibilidades reales de recuperar el dinero.
¿Cuánto dinero puedo recuperar?
Depende del tipo de fraude y de la responsabilidad que se acredite del banco, pero en términos generales puedes reclamar:
- El importe íntegro de las operaciones no autorizadas.
- Los intereses generados desde la fecha del cargo indebido.
- Los gastos y costas del procedimiento si el banco es condenado.
- En determinados casos, una indemnización adicional por daños si se acredita que el banco actuó con negligencia manifiesta.
Preguntas frecuentes sobre fraudes online y responsabilidad bancaria
En la mayoría de los casos sí, especialmente si la operación no fue autorizada por ti y el banco no puede acreditar que actuaste con negligencia grave. La normativa PSD2 obliga a las entidades a reintegrar el importe de las operaciones no autorizadas de forma inmediata una vez notificado el fraude.
La negligencia grave es el principal argumento que usan los bancos para denegar la devolución. Se considera negligencia grave haber compartido voluntariamente las credenciales o haber facilitado un código OTP a un tercero. Sin embargo, los tribunales interpretan este concepto de forma restrictiva: caer en un phishing muy sofisticado no equivale automáticamente a negligencia grave.
Sí, aunque cuanto antes actúes mejor. El plazo general de prescripción para reclamar frente al banco es de 3 años desde que conociste el fraude. No obstante, la notificación inmediata al banco es importante porque limita tu posible responsabilidad por las operaciones realizadas tras el aviso.
Sí, por varias razones. La denuncia policial acredita que fuiste víctima de un fraude, refuerza tu posición frente al banco y es necesaria para cualquier reclamación judicial posterior. Además, en algunos casos los cuerpos especializados logran identificar a los responsables.
Primero, intenta el chargeback (contracargo) con tu banco o con la plataforma de pago utilizada (PayPal, por ejemplo, tiene su propio sistema de protección al comprador). Si pagaste por transferencia bancaria, la recuperación es más difícil pero no imposible. Denuncia ante la Policía y consulta con un abogado para valorar las opciones.
Depende de cómo realizaste los pagos. Si los fondos salieron mediante transferencias desde tu banco a una plataforma no registrada en la CNMV, hay líneas de reclamación abiertas tanto frente al banco (si no alertó sobre la inusualidad de las operaciones) como frente a los responsables de la plataforma. Son casos complejos pero con precedentes favorables.
La reclamación extrajudicial ante el Servicio de Atención al Cliente del banco tiene un plazo de respuesta de 15 días hábiles. Si el banco no responde o deniega, la vía judicial puede tardar entre 6 y 18 meses dependiendo de la complejidad del caso y del juzgado. En muchos casos se llega a acuerdo antes del juicio.
No es obligatorio para la reclamación extrajudicial inicial, pero sí es muy recomendable desde el principio. Un abogado especialista sabe qué argumentos funcionan frente al banco, qué documentación recopilar y cuándo merece la pena ir a juicio. En Mesa y Jimeno la primera consulta es gratuita, así que puedes valorarlo sin compromiso.
¿Has sido víctima de un fraude online?
En Mesa y Jimeno somos abogados especialistas en fraudes online y reclamaciones bancarias. Si el banco te ha denegado la devolución del dinero o simplemente no sabes por dónde empezar, cuéntanos tu caso. La primera consulta es gratuita y sin compromiso.
