Phishing bancario: ¿puede el banco no devolverte el dinero?

Recibes un SMS o un correo que parece de tu banco, pulsas un enlace, introduces tus claves y minutos después ves transferencias que tú no has ordenado. La sensación de impotencia es enorme y el tiempo juega en tu contra. En estas situaciones surgen dos preguntas inmediatas: ¿me devolverá el banco el dinero? y ¿debo denunciar?

En este artículo explicamos, de forma práctica y sin alarmismo, qué conviene hacer en las primeras horas tras una estafa bancaria por suplantación (phishing), cómo encaja la denuncia penal y de qué depende, realmente, la devolución del dinero por parte de la entidad.

Las primeras horas: qué hacer paso a paso

La rapidez condiciona buena parte del resultado. Estas son las actuaciones más relevantes:

1. Bloquea y comunica de inmediato

Llama al teléfono oficial de tu banco (no al número del mensaje sospechoso) y comunica que has sido víctima de un fraude por transferencia no autorizada. Solicita el bloqueo de tarjetas y cuentas, e intenta la retrocesión de las operaciones si aún están en curso. Pide siempre un número de incidencia o referencia de la reclamación.

2. Cambia claves y revisa accesos

Modifica las credenciales de banca electrónica y del correo asociado. Revisa si se han dado de alta dispositivos o beneficiarios nuevos, o si se ha cambiado tu número de teléfono de confirmación (un signo habitual del fraude).

3. Conserva todas las pruebas

No borres el SMS, el correo ni los enlaces. Haz capturas de pantalla con fecha y hora, guarda los justificantes de las operaciones y anota la cronología de lo ocurrido. Esta documentación será decisiva tanto para la denuncia como para la reclamación.

4. Reclama por escrito al banco

Más allá de la llamada, presenta una reclamación formal por escrito ante el servicio de atención al cliente. Que conste por canal acreditable. Si no responde o lo hace de forma insatisfactoria, podrás acudir al Banco de España y, en su caso, a la vía judicial.

5. Interpón la denuncia penal

Presenta denuncia ante la Policía Nacional, la Guardia Civil o el Juzgado. Aporta toda la documentación. La denuncia no solo persigue a los autores: también refuerza tu posición frente al banco, porque acredita que actuaste de buena fe y que fuiste víctima de un fraude.

¿Está obligado el banco a devolver el dinero?

La normativa de servicios de pago parte de una regla clave: ante una operación de pago no autorizada, la entidad debe, con carácter general, devolver el importe y reponer la cuenta a su estado anterior, salvo que concurran determinadas excepciones.

La principal excepción es que el cliente haya actuado con fraude o con negligencia grave en la custodia de sus credenciales. Aquí está el verdadero campo de batalla: el banco suele alegar negligencia grave del usuario para no devolver; el cliente sostiene que fue víctima de un engaño sofisticado.

Negligencia leve frente a negligencia grave

No toda imprudencia equivale a negligencia grave. Que hayas pulsado un enlace de una web muy bien imitada o facilitado un código en una llamada que aparentaba proceder del banco no implica, automáticamente, una negligencia grave. Los tribunales valoran:

• El grado de sofisticación del fraude (suplantación de remitente, webs clonadas, llamadas con datos reales del cliente).
• Si el banco disponía de sistemas de autenticación reforzada y de detección de operaciones anómalas.
• La reacción del cliente al detectar el problema.

Errores frecuentes que conviene evitar

• Tardar en comunicar el fraude: cada hora cuenta y la pasividad puede perjudicar tu reclamación.
• Aceptar de palabra la negativa del banco sin pedirla por escrito y motivada.
• Reconocer culpa en conversaciones o formularios sin asesoramiento.
• No conservar pruebas o borrar los mensajes fraudulentos.
• Confundir denuncia penal y reclamación civil: son vías distintas pero complementarias.

La perspectiva penal: identificar bien las conductas

Desde el punto de vista penal, el phishing suele encajar en la estafa (artículos 248 y siguientes del Código Penal), a menudo cometida por medios informáticos. Una defensa rigurosa exige separar responsabilidades: una cosa es el autor del fraude, otra el posible "mulero" que presta su cuenta para recibir y reenviar los fondos, y otra la entidad bancaria.

No toda persona cuya cuenta intervino en el flujo del dinero es, por ese solo hecho, autora de un delito. Cuando se investiga a quien recibió fondos en su cuenta, es esencial analizar si concurría dolo o conocimiento del origen ilícito, o si hubo error, y delimitar con precisión el perímetro de responsabilidad de cada interviniente. La trazabilidad del flujo de fondos y la prueba pericial son determinantes en estos casos.

La IA puede ayudar a organizar la documentación, ordenar la cronología y detectar inconsistencias, pero la estrategia la dirige siempre un abogado colegiado.

Preguntas frecuentes

¿Pierdo el derecho a la devolución si di yo mismo las claves? No necesariamente. Que facilitaras datos engañado no equivale automáticamente a negligencia grave; depende de las circunstancias y de las medidas de seguridad de la entidad.

¿Tengo que denunciar para reclamar al banco? La denuncia no siempre es un requisito formal, pero suele reforzar tu reclamación al acreditar que fuiste víctima de un fraude.

¿Cuánto tiempo tengo para reclamar? Conviene actuar lo antes posible. Comunicar el fraude sin demora es uno de los factores que más se valora.

¿Qué pasa si el banco se niega? Puedes elevar la reclamación al Banco de España y, en su caso, acudir a la vía judicial para reclamar el importe.

En resumen

Una negativa del banco no es la última palabra. Reaccionar rápido, documentar todo, reclamar por escrito y denunciar son los pilares para defender tu derecho a recuperar el dinero y, si te investigan por intervenir sin saberlo, para delimitar tu responsabilidad.

Si has sufrido un fraude por phishing o te han citado en relación con un movimiento de fondos sospechoso, puedes solicitar una evaluación gratuita y confidencial de tu caso. Analizaremos contigo las opciones disponibles sin compromiso.