«Yo no hice esa transferencia»: una historia que se repite cada día

Son las nueve de la mañana. Rocío abre la aplicación del banco para pagar la factura de la luz y ve algo que la deja sin respiración: su cuenta corriente, donde guardaba los ahorros del mes, aparece con un saldo de 47 euros. Faltan 2.000. Llama al banco, nerviosa. Le dicen que la transferencia fue autorizada desde su propio dispositivo, con su clave. Que ellos no pueden hacer nada. Que lo sienten mucho.

Carmen no ha hecho ninguna transferencia. Nadie en su familia tampoco. Pero el dinero ha desaparecido.

Esta situación, que parece extraordinaria, le ocurre a miles de personas en España cada año. Y lo peor no es el robo en sí: es la solución de facilidad con la que muchos bancos responden. Decirle al cliente que es su culpa —que fue imprudente, que no protegió bien sus claves— se ha convertido en la primera línea de defensa de las entidades financieras. Pero la ley dice otra cosa muy distinta.

¿Qué ha pasado en realidad? El fraude bancario online tiene nombre

Cuando alguien accede a tu cuenta bancaria sin tu permiso y realiza transferencias o pagos, estamos ante lo que se conoce como fraude bancario por suplantación de identidad o «phishing«. Puede haber ocurrido de varias formas:

Phishing clásico: recibes un correo o SMS que simula ser tu banco, haces clic, introduces tus datos y los delincuentes los capturan.

Vishing: una llamada telefónica en la que alguien se hace pasar por el servicio técnico del banco.

SIM swapping: los delincuentes consiguen duplicar tu tarjeta SIM y reciben tus SMS de verificación.

Malware: un programa malicioso instalado en tu dispositivo captura tus credenciales.

En todos estos casos hay un delito penal claro: estafa informática, tipificada en el artículo 248.2 del Código Penal, y también pueden concurrir delitos de descubrimiento y revelación de secretos (artículos 197 y siguientes). Los responsables son los delincuentes, sí. Pero la pregunta clave es: ¿y el banco?

Lo que dice la ley: el banco tiene una responsabilidad que no puede esquivar

Aquí es donde mucha gente se lleva una sorpresa. La normativa española y europea protege al ciudadano con mucha más fuerza de lo que los bancos suelen reconocer.

El Real Decreto-ley 19/2018, que transpone la Directiva europea PSD2 de servicios de pago, establece un principio claro: cuando se produce una operación de pago no autorizada, la entidad financiera debe devolver el importe de forma inmediata, salvo que pueda acreditar que el cliente actuó de forma fraudulenta o con negligencia grave.

Fíjate en esa distinción: no basta con que el cliente haya sido descuidado. La ley exige negligencia grave, un concepto que los tribunales interpretan de forma restrictiva. Caer en un engaño sofisticado no es, por sí solo, negligencia grave.

El Banco de España, a través de su Servicio de Reclamaciones, lleva años recordando este criterio. Y los tribunales han ido en la misma dirección.

La jurisprudencia reciente es muy relevante: el Tribunal Supremo, en sentencias como la STS 571/2025 de 9 de abril y en resoluciones de Audiencias Provinciales de los últimos dos años, ha consolidado una doctrina que responsabiliza a los bancos cuando sus sistemas de seguridad no son suficientemente robustos, o cuando no detectaron operaciones inusuales que debían haber generado alertas. Todo ello, salvo que demuestren una negligencia grave por parte del usuario. El Tribunal Supremo considera que ser engañado no equivale a negligencia grave y responsabiliza a las entidades de los fallos en sus sistemas de seguridad. Un cliente que nunca ha hecho una transferencia a una cuenta extranjera, y de repente se emite una por 2.000 euros a las tres de la madrugada, debería haber activado los protocolos de verificación del banco. Si no lo hizo, el banco puede ser corresponsable.

Los errores que comete la gente y que pueden costarle el caso

Llegados a este punto, hay que ser francos: lo que hagas en las primeras horas y días tras descubrir el fraude es determinante. Estos son los errores más frecuentes:

No denunciar de inmediato. Muchos afectados esperan días, o incluso semanas, esperando que el banco «lo solucione«. Esto es un error grave. La denuncia policial es urgente y necesaria: fija la fecha del hecho, da inicio a la investigación penal y es un documento esencial para cualquier reclamación posterior.

Aceptar la primera respuesta del banco. El banco dirá, casi con seguridad, que la operación fue «autenticada correctamente» y que no asume responsabilidad. Eso no es el final del camino: es el principio de la reclamación.

No reclamar por escrito. La reclamación formal ante el Servicio de Atención al Cliente del banco, por escrito y con acuse de recibo, es obligatoria antes de acudir al Banco de España o a los tribunales. Sin ese paso previo, muchos procedimientos quedan bloqueados.

Creer que «si di mis datos, es mi culpa». Este es el error más extendido y el más dañino. Haber introducido tus credenciales en una página falsa, especialmente si era muy convincente, no equivale automáticamente a negligencia grave. Los tribunales analizan la sofisticación del engaño, la apariencia de la web o el mensaje, y el comportamiento habitual del cliente.

No conservar las pruebas. Guarda capturas de pantalla del SMS o correo que recibiste, del movimiento en el extracto, de las comunicaciones con el banco. Todo ello será prueba en un procedimiento judicial o en la reclamación ante el Banco de España.

El caso de Rocío: cómo una decisión a tiempo cambió el resultado

Lo que tienes que recordar: 4 puntos clave

El banco tiene obligación legal de devolverte el dinero de una operación no autorizada, salvo que pruebe tu negligencia grave. «Caer en un engaño» no es, por sí solo, negligencia grave.

Denuncia de inmediato ante la Policía Nacional o la Guardia Civil. No esperes a que el banco resuelva: la denuncia es urgente e independiente.

Reclama por escrito al banco, conserva el acuse de recibo y, si te deniegan la reclamación, ve al Banco de España. Su informe tiene peso en los tribunales.

Guarda todas las pruebas: el mensaje o correo fraudulento, los movimientos del extracto, las comunicaciones con la entidad. Sin pruebas, el camino es mucho más difícil.

Entradas Relacionadas

Accidente con positivo en alcohol: Lo que tu seguro no pagará y la deuda que te puede arruinar ¿Te han insultado o calumniado en WhatsApp o Redes Sociales? Guía práctica para proteger tu honor y tu carrera profesional Te piden recibir un Bizum y sacar el dinero: cuidado, puedes estar cometiendo un delito de blanqueo de capitales Correr en carretera puede costarte más que una multa: lo que el Código Penal dice sobre la conducción temeraria.