Operaciones bancarias no autorizadas: cómo reclamar tras una estafa digital

1. Actúa para contener el daño y conservar el rastro

Contacta con la entidad utilizando su aplicación oficial, el número que figura en tu tarjeta o un canal previamente verificado. No uses el teléfono o enlace del mensaje sospechoso. Solicita el bloqueo o revisión de los instrumentos afectados, comunica las operaciones concretas y conserva el número de incidencia y la hora del aviso.

Cambia credenciales por un medio seguro y revisa dispositivos y accesos según las indicaciones del proveedor. No elimines mensajes, correos ni registros antes de preservarlos. Si existe una transferencia en curso, pide que se intente recuperar o detener, sabiendo que la recuperación no está garantizada.

Una denuncia puede ser necesaria para investigar a los autores, pero no sustituye la comunicación al proveedor de servicios de pago ni la reclamación frente a la entidad. Conviene que ambas describan los mismos hechos y distingan lo conocido de lo que todavía se ignora.

2. Distingue operación no autorizada y pago ordenado bajo engaño

No son idénticas una transferencia ejecutada por un tercero sin consentimiento y otra que el cliente ordena voluntariamente creyendo una historia falsa. También existen situaciones intermedias: códigos presentados como cancelación, instalación de acceso remoto o cambios fraudulentos del beneficiario.

La clasificación exige reconstruir quién introdujo la orden, qué información apareció, qué importe y destinatario se mostraban y qué autorizó realmente la persona. No basta etiquetar todo como «phishing». Si el pago fue ordenado conscientemente bajo engaño, puede haber acciones y cuestiones de responsabilidad distintas; no debe prometerse que el régimen de devolución de operaciones no autorizadas cubra automáticamente cualquier estafa.

Esta guía se centra en usuarios consumidores. En operaciones profesionales y determinados contratos pueden existir particularidades legalmente permitidas, que deben revisarse antes de trasladar todas las reglas. 1

3. Cuándo debe notificarse y qué devolución prevé la ley

El Real Decreto-ley 19/2018 exige comunicar la operación sin demora injustificada desde que se conoce y, como límite general, dentro de trece meses desde el adeudo. Ese máximo no es una invitación a esperar: el aviso inmediato sirve para limitar nuevos daños y evitar controversias sobre la diligencia. La ley contempla particularidades si el proveedor no facilitó la información exigible. 1

Para una operación no autorizada, el artículo 45 establece devolución inmediata y, a más tardar, al final del día hábil siguiente a su conocimiento o notificación, con la excepción legal de motivos razonables de sospecha de fraude comunicados por escrito al Banco de España. Deben examinarse conjuntamente los artículos 43 a 46; la regla no garantiza que cualquier reclamación identificada como estafa sea estimada sin discusión. 1

4. Autenticación no equivale necesariamente a consentimiento

Cuando el usuario niega haber autorizado la operación, corresponde al proveedor acreditar autenticación, registro exacto y ausencia de fallos en los términos legales. El registro del uso del instrumento no basta necesariamente para probar autorización, fraude del cliente o incumplimiento deliberado o por negligencia grave. La prueba de fraude o negligencia grave corresponde al proveedor. 1

Por ello, una respuesta limitada a «se utilizó el código correcto» debe analizarse con el resto de circunstancias. Conviene solicitar información sobre autenticación, dispositivo, secuencia de operaciones, avisos, beneficiario y cambios de seguridad, en la medida legalmente pertinente.

Tampoco existe una protección universal que limite cualquier pérdida a cincuenta euros. Ese límite se refiere a determinados supuestos de instrumentos extraviados, sustraídos o apropiados, con excepciones y un régimen diferente cuando se acredita fraude o negligencia grave. 1

5. Prepara un expediente que explique la secuencia

En pantallas pequeñas, desliza la tabla para consultar todas las columnas.

Explica con sinceridad si facilitaste un código, instalaste una aplicación o introdujiste datos. Ocultarlo impide valorar la defensa y puede generar contradicciones. No envíes contraseñas actuales ni códigos de seguridad como parte del expediente: describe lo ocurrido y aporta la información necesaria de forma segura.

6. Reclamación al banco y actuaciones posteriores

Dirige una reclamación identificable al servicio de atención al cliente, con operaciones, cronología, devolución solicitada y documentos. Pide una respuesta motivada y conserva justificante de presentación. Una llamada de bloqueo no siempre contiene toda la pretensión económica ni equivale a una reclamación completa.

El plazo general para responder reclamaciones por servicios de pago es de quince días hábiles. Excepcionalmente, por razones ajenas al proveedor, puede enviarse una respuesta provisional motivada; la definitiva debe llegar como máximo en un mes, conforme al artículo 69.2. 1 Si la entidad rechaza, inadmite o no responde en plazo, puede estudiarse acudir al Banco de España dentro de sus requisitos. Su informe no es vinculante y no equivale a una sentencia que ordene pagar. 2

Si se valora una demanda, deben revisarse la acción, plazo, cuantía, prueba y requisito de negociación previa aplicable a la reclamación de consumo. No es obligatorio encadenar indefinidamente reclamaciones internas ni esperar una investigación penal sin examinar sus efectos sobre la vía civil. 3

7. Ejemplo ficticio: el mensaje parecía proceder del banco

Ana recibe un mensaje en un hilo que identifica como su banco. Después una persona la llama y le pide un código para «bloquear una transferencia». Minutos más tarde aparecen dos cargos. Ana contacta por el teléfono oficial y solicita el bloqueo.

La revisión debe reconstruir el contenido del código, qué operación se mostraba y qué controles aplicó la entidad. Que Ana introdujera un dato no permite concluir por sí solo que autorizó exactamente los cargos; tampoco basta su impresión para dar por probado un fallo bancario. Su reclamación será más sólida con mensajes completos, tiempos, avisos y una explicación coherente que con una afirmación genérica de suplantación.

8. Errores frecuentes

Evita borrar la aplicación sospechosa antes de documentar lo necesario, seguir instrucciones del mismo interlocutor fraudulento o limitarte a cancelar la tarjeta si también está comprometido el acceso a la cuenta. Las medidas técnicas deben adecuarse al incidente.

No firmes una descripción de los hechos que no refleje lo sucedido por pensar que facilita el trámite. Tampoco aceptes automáticamente que la existencia de autenticación reforzada prueba consentimiento. Si se alcanza un acuerdo de devolución, revisa su alcance y cualquier renuncia antes de aceptarlo.

9. Preguntas frecuentes

¿La denuncia obliga al banco a devolver? No por sí sola. La devolución se analiza conforme al régimen de la operación y la responsabilidad, con la prueba disponible. La denuncia cumple una finalidad investigadora distinta.

¿Tengo trece meses para empezar a actuar? La ley exige avisar sin demora injustificada cuando se conoce la operación. Los trece meses son un límite general adicional, con las particularidades legales. 1

¿Un informe favorable del Banco de España garantiza el cobro? No. El informe no vincula a las partes. Puede resultar relevante para valorar la controversia, pero no sustituye un acuerdo o una resolución ejecutable. 2

Para revisar la reclamación, aporta extractos, mensajes completos, cronología, aviso al banco y respuesta recibida. El objetivo será identificar qué se autorizó realmente, qué prueba debe solicitarse y qué vía resulta adecuada.