Cómo actuar y reclamar ante una estafa bancaria
Un correo que parece enviado por tu banco, un SMS sobre un supuesto bloqueo o una llamada del «departamento de seguridad». Detrás de estas comunicaciones puede esconderse una estafa. Conocer tus derechos resulta tan importante como identificar el engaño.
Cuando desaparece dinero de una cuenta, la primera reacción suele ser de desconcierto. Después llegan las preguntas: ¿cómo han conseguido acceder?, ¿puedo reclamar si facilité un código?, ¿qué ocurre si el banco rechaza devolver el importe?
El phishing, el smishing y el vishing utilizan distintos canales para suplantar identidades y manipular a la víctima. Aunque comparten ese objetivo, conviene entender cómo funciona cada modalidad y qué consecuencias puede tener para una reclamación.
En JB Abogados, en Valencia, atendemos asuntos relacionados con estafas bancarias y reclamaciones frente a entidades financieras. Analizar lo ocurrido, conservar las pruebas y determinar qué operaciones se autorizaron realmente permite valorar las opciones de defensa.
¿Qué diferencias existen entre phishing, smishing y vishing?
La diferencia principal está en el medio utilizado para contactar con la víctima. Los delincuentes pueden combinar varios canales dentro de un mismo fraude, por lo que un engaño iniciado por SMS puede continuar por teléfono.
Phishing: el correo que suplanta a una entidad de confianza
En su modalidad por correo electrónico, el phishing consiste en enviar mensajes que aparentan proceder de una organización legítima. El propósito puede ser obtener contraseñas, datos de tarjetas o información personal, o conseguir que se descargue un archivo malicioso.
En el ámbito bancario, el mensaje puede anunciar una incidencia y pedir que se acceda a un enlace. La página de destino imita la banca electrónica, pero entrega los datos introducidos a los estafadores.
El diseño, los logotipos y una redacción aparentemente profesional no acreditan la autenticidad del correo. Ante una solicitud inesperada, es preferible acceder a la aplicación habitual o contactar por un canal conocido.
Smishing: la estafa que llega por SMS
El smishing utiliza mensajes de texto. Sus excusas pueden ser un acceso sospechoso, una tarjeta bloqueada o un paquete pendiente de entrega. El enlace incluido conduce a una página fraudulenta que solicita datos o un pago.
Hay un detalle especialmente engañoso: un SMS falso puede aparecer agrupado junto a mensajes auténticos del banco. El Banco de España ha advertido sobre esta suplantación del remitente. Que el mensaje esté dentro de una conversación conocida no basta para considerarlo fiable.
Vishing: cuando el supuesto empleado del banco llama por teléfono
En el vishing, el contacto se produce mediante una llamada. El interlocutor puede hacerse pasar por un gestor, un técnico o un miembro del equipo antifraude y asegurar que necesita colaboración inmediata para proteger la cuenta.
Una modalidad consiste en solicitar códigos de un solo uso alegando que sirven para cancelar compras, cuando en realidad se están empleando para ejecutarlas. También pueden pedir la instalación de una aplicación o acceso remoto al dispositivo.
Por qué una estafa puede resultar tan convincente
Imaginemos este ejemplo: una persona recibe una alerta sobre un movimiento que desconoce. Minutos después, alguien la llama y se presenta como empleado de su entidad. Habla con seguridad, conoce algunos datos personales y explica que debe seguir unas instrucciones para evitar una pérdida.
La víctima interpreta ambos contactos como parte de una misma intervención de seguridad. El miedo y la urgencia reducen el tiempo disponible para comprobar lo que sucede. Ese contexto ayuda a comprender por qué alguien puede colaborar creyendo que está protegiendo sus ahorros.
Las llamadas también pueden mostrar un identificador manipulado. Por ello, reconocer el número o escuchar información correcta sobre nosotros no constituye una verificación suficiente. Si existen dudas, conviene terminar la conversación y contactar directamente con la entidad mediante un número obtenido de una fuente oficial.
Qué hacer si has sufrido phishing, smishing o vishing
1. Avisa inmediatamente al banco
Comunica el incidente mediante sus canales oficiales y explica si has facilitado credenciales, instalado alguna aplicación o detectado movimientos desconocidos. Solicita el bloqueo de los instrumentos y accesos comprometidos, así como las actuaciones disponibles para intentar recuperar los fondos.
Pide un justificante del aviso, con fecha, hora y número de incidencia. Si existen transferencias, identifica cada una por su importe y referencia. La solicitud de recuperación debe hacerse cuanto antes, aunque su resultado no está garantizado.
2. Protege tus cuentas y dispositivos
Cambia las contraseñas comprometidas desde un dispositivo fiable. Si utilizabas la misma clave en otros servicios, sustitúyela también. Revisa especialmente el correo electrónico vinculado a la banca y activa las medidas adicionales de protección disponibles.
Si instalaste un programa siguiendo instrucciones del supuesto empleado, informa de ello y solicita asistencia técnica. Evita seguir utilizando un dispositivo potencialmente comprometido para operar con el banco.
3. Conserva las pruebas y presenta denuncia
Guarda los mensajes, correos, justificantes y registros de llamadas antes de eliminarlos o modificar el dispositivo. Presenta denuncia ante la Policía Nacional o la Guardia Civil y entrega una copia al banco cuando la tengas.
Denunciar permite poner los hechos en conocimiento de las autoridades. Para pedir la devolución a la entidad financiera, conviene presentar además una reclamación expresa y documentada.
Qué documentación ayuda a preparar la reclamación
Un expediente ordenado permite explicar cómo se desarrolló el engaño y contrastar la respuesta del banco. Resulta útil reunir:
- Comunicaciones recibidas: SMS completos, correos originales, números utilizados y enlaces, sin volver a abrirlos.
- Movimientos afectados: extractos, importes, fechas, destinatarios y justificantes disponibles.
- Contactos con la entidad: avisos de fraude, números de incidencia, reclamaciones y contestaciones.
- Relato cronológico: cuándo empezó el contacto, qué se solicitó, qué hiciste y cuándo descubriste el perjuicio.
- Denuncia y documentación adicional: copia de lo presentado y cualquier comunicación posterior relacionada.
En ese relato conviene separar lo que recuerdas con seguridad de aquello que no puedes confirmar. Si desconoces qué autorizaba un código o no conservas una pantalla, indícalo. Una explicación precisa facilita el análisis; completar lagunas con suposiciones puede dificultarlo.
¿Puede el banco rechazar la reclamación porque utilizaste tus claves?
El uso de credenciales es relevante, pero no resuelve por sí solo la controversia. Hay que distinguir la autenticación, relacionada con las comprobaciones técnicas, de la autorización de la operación.
El artículo 44 del Real Decreto-ley 19/2018 establece que el registro del uso del instrumento de pago no basta necesariamente para demostrar que el cliente autorizó la operación o actuó con fraude o negligencia grave. La prueba de estas últimas circunstancias corresponde al proveedor.
Si un tercero opera con credenciales sustraídas, el análisis puede ser distinto al de una transferencia que el propio cliente ordena bajo engaño. Esta segunda situación exige examinar el consentimiento y las posibles responsabilidades; no permite aplicar automáticamente las mismas conclusiones.
Por eso, una respuesta que se limite a indicar que «se introdujo correctamente el código» debe contrastarse con el resto de las pruebas.
La sentencia del TJUE de octubre de 2026: devolución inmediata y responsabilidad final
El 15 de octubre de 2026, el Tribunal de Justicia de la Unión Europea resolvió el asunto C-70/25, Tukowiecka, sobre una operación no autorizada realizada tras un fraude de suplantación.
El tribunal distingue dos cuestiones: la devolución inmediata del importe y quién debe asumir finalmente la pérdida. Si concurren los requisitos legales, el proveedor debe reembolsar el pago no autorizado, como máximo, al final del siguiente día hábil desde que lo detecta o recibe la notificación.
Alegar negligencia grave del cliente no permite rechazar esa devolución inicial. La excepción exige motivos razonables para sospechar fraude cometido por el propio cliente y comunicarlos por escrito a la autoridad competente.
Después, la entidad puede reclamar al usuario las pérdidas si demuestra que incumplió sus obligaciones deliberadamente o por negligencia grave. Le corresponde acreditar esta última.
La resolución refuerza la protección ante pagos no autorizados, pero no garantiza recuperar definitivamente cualquier importe vinculado a una estafa. Deben comprobarse la naturaleza de la operación, la notificación y las circunstancias del caso.
Cómo reclamar el dinero al banco
Después del aviso urgente, presenta un escrito dirigido al Servicio de Atención al Cliente. Expón los hechos de forma ordenada, identifica las operaciones que impugnas y concreta el importe cuya devolución solicitas. Adjunta las pruebas disponibles y conserva constancia de su recepción.
Si la entidad sostiene que autorizaste los pagos, solicita una explicación documentada de esa conclusión. En la valoración jurídica interesa conocer qué operación se mostraba, cómo se verificó y qué información recibió el usuario.
Para las reclamaciones relacionadas con servicios de pago, el plazo general de respuesta es de 15 días hábiles. Ese plazo de contestación es distinto de la obligación de devolución inmediata cuando corresponde. Si la respuesta no resulta satisfactoria o no llega en plazo, puede valorarse una reclamación ante el Banco de España.
El informe de este organismo no es vinculante y no equivale a una sentencia que condene a pagar. También puede estudiarse la vía judicial, atendiendo a la documentación, las posibilidades del caso y los requisitos previos aplicables.
Preguntas frecuentes sobre estas estafas bancarias
¿Cuánto tiempo tengo para avisar de una operación no autorizada?
La regla general exige comunicarla sin demora injustificada desde que se conoce y, como máximo, dentro de los trece meses siguientes al adeudo. Ese límite no autoriza a esperar si ya has detectado el fraude. Existen particularidades legales que deben revisarse.
¿Puedo reclamar aunque haya facilitado información?
Facilitar datos no impide, por sí solo, estudiar una reclamación. Habrá que explicar qué información entregaste, en qué contexto y para qué creías que se utilizaría. La valoración debe apoyarse en hechos concretos y en el régimen aplicable a cada operación.
¿Es necesario identificar al estafador para consultar con un abogado?
Puedes solicitar asesoramiento aunque desconozcas su identidad. La investigación de los hechos y el análisis de la posible responsabilidad bancaria plantean cuestiones diferentes. Su coordinación debe valorarse en función del procedimiento y de la documentación disponible.
¿Qué ocurre si todavía no se ha retirado dinero?
Comunica igualmente la exposición de datos y protege los accesos. Detectar el engaño antes de observar cargos permite adoptar medidas preventivas. Revisa los movimientos posteriores y conserva las comunicaciones por si aparecen incidencias relacionadas.
Hábitos que ayudan a prevenir nuevas estafas
La prevención empieza por introducir una pausa entre recibir una petición y actuar. Si una comunicación exige facilitar datos, instalar un programa o realizar un pago urgente, comprueba su origen por una vía independiente. Utilizar el mismo enlace o teléfono que incluye el mensaje no permite verificarlo.
Accede a la banca desde su aplicación oficial o desde una dirección que conozcas. Mantén actualizado el dispositivo y presta atención al contenido completo de las notificaciones: el importe y el destinatario deben corresponder a la operación que deseas realizar.
En empresas y negocios, resulta útil acordar una comprobación adicional para los cambios de cuenta de proveedores o las instrucciones de pago inesperadas. Confirmar una solicitud con una persona conocida, mediante un contacto previamente verificado, puede evitar decisiones precipitadas.
Estas medidas complementan los sistemas de seguridad. Si aun así se produce un incidente, documentar lo sucedido y pedir ayuda sigue siendo fundamental para proteger los accesos y valorar la reclamación.
JB Abogados: asesoramiento ante estafas bancarias en Valencia
Recibir una respuesta negativa del banco puede generar la sensación de que no queda nada por hacer. Antes de cerrar el asunto, conviene revisar los motivos del rechazo y comprobar si responden realmente a lo sucedido.
En JB Abogados atendemos reclamaciones relacionadas con phishing bancario y analizamos las circunstancias de cada asunto. Estudiar la documentación permite valorar si procede reclamar frente a la entidad, qué argumentos pueden sostenerse y qué actuaciones resultan adecuadas.
Para una primera valoración, reúne los mensajes, los movimientos afectados, la denuncia y las respuestas del banco. Si falta algún documento, explica cuál es: el análisis también sirve para identificar la información necesaria.