Phishing Bancario: El Banco Está Obligado a Devolverte el Dinero (PSD2)

El phishing bancario: una estafa que tu banco debe cubrir

Recibes un SMS que parece de tu banco pidiéndote que accedas a un enlace urgente. O una llamada de alguien que se identifica como el servicio antifraude de tu entidad. Introduces tus credenciales o tu código de verificación, y en minutos tu cuenta ha sido vaciada.

Miles de personas sufren este tipo de estafas cada año en España. La buena noticia —que muchas víctimas desconocen— es que la normativa europea y española obliga al banco a reintegrar de inmediato el importe de las operaciones no autorizadas, salvo en supuestos muy concretos de negligencia grave del cliente.

---

Qué dice la normativa: la Directiva PSD2

La Directiva (UE) 2015/2366 sobre servicios de pago (PSD2), transpuesta en España a través del Real Decreto-ley 19/2018, establece un principio claro: el proveedor de servicios de pago (tu banco) es responsable de las operaciones no autorizadas.

El artículo 45 del Real Decreto-ley 19/2018 dispone que, en caso de operación de pago no autorizada, el banco debe devolver de inmediato el importe al usuario, a más tardar al final del siguiente día hábil tras la notificación del fraude.

La carga de la prueba es favorable al cliente (artículo 44): es el banco quien debe demostrar que la operación fue autenticada y no se vio afectada por un fallo técnico u otra deficiencia del servicio, o que el usuario actuó con negligencia grave o fraude.

---

¿Qué se considera "negligencia grave"?

La excepción más relevante es la negligencia grave del usuario. Pero el umbral que fijan los tribunales es alto: no basta con que el cliente haya cometido un error.

Conductas en las que distintos tribunales NO han apreciado negligencia grave:

• Confiar en un SMS que imita el hilo de mensajes oficial del banco (smishing)
• Responder a una llamada de quien se identifica como el departamento de fraude bancario (vishing)
• Acceder a un enlace de un email aparentemente legítimo, si el correo era convincente

Lo que SÍ puede considerarse negligencia grave:

• Compartir voluntariamente credenciales con terceros sin presión aparente
• Ignorar avisos explícitos del propio banco sobre una operación sospechosa y confirmarla igualmente
• Instalar una aplicación de origen desconocido que concede acceso al dispositivo

La distinción es técnica y casuística. En casos de phishing o smishing bien ejecutado, los tribunales han fallado con frecuencia a favor de los clientes bancarios, aunque el resultado depende de las circunstancias de cada caso.

---

Paso a paso desde el fraude hasta el reintegro

1. Actúa de inmediato al detectar el fraude

En cuanto detectes operaciones no autorizadas:

• Llama a la línea de atención de tu banco y bloquea las tarjetas y el acceso online
• Notifica el fraude por escrito (email, burofax o en oficina con justificante) en el mismo día si es posible

La fecha de notificación es importante porque, salvo fraude por tu parte, no respondes de las operaciones realizadas después de avisar al banco (artículo 46.3 RDL 19/2018).

2. Interpón una denuncia ante la Policía o Guardia Civil

La denuncia policial documenta el fraude y es un elemento probatorio relevante. Puedes presentarla en comisaría o cuartel y, según el caso, por los canales de denuncia por internet de la Policía Nacional o la Guardia Civil. Guarda el número de atestado.

3. Reclama formalmente al banco

Presenta una reclamación escrita al Servicio de Atención al Cliente de tu banco detallando: la fecha y el importe de las operaciones no autorizadas, el mecanismo del fraude y la solicitud de reintegro inmediato conforme al RDL 19/2018.

El banco tiene 15 días hábiles para resolver (hasta un mes solo en situaciones excepcionales y enviando antes una respuesta provisional; artículo 69 RDL 19/2018). Si resuelven negativamente o no contestan, tienes abiertas las siguientes vías.

4. Reclamación ante el Banco de España

El Servicio de Reclamaciones del Banco de España puede pronunciarse sobre si el banco actuó conforme a la normativa. Su informe no es vinculante (artículo 12.6 de la Orden ECC/2502/2012), pero tiene fuerza moral y argumentativa.

5. Acción judicial

Si el banco persiste en su negativa, la vía judicial es la más eficaz. Se plantea como incumplimiento de la normativa de servicios de pago ante la Sección Civil del Tribunal de Instancia. Los tribunales españoles han condenado de forma reiterada a las entidades bancarias en casos de phishing y smishing cuando no se demuestra la negligencia grave del cliente (el Tribunal Supremo aplicó este criterio en su sentencia de la Sala de lo Civil 571/2025, de 9 de abril, en un fraude por duplicado de tarjeta SIM).

---

Cuánto puedes recuperar

La normativa prevé el reintegro íntegro del importe de las operaciones no autorizadas. Si el banco no lo hace voluntariamente, la acción judicial incluye también los intereses legales y, en su caso, las costas procesales.

Sin fraude ni negligencia grave por tu parte, lo máximo que puedes llegar a soportar son 50 € de franquicia, y solo cuando la operación se hizo con un instrumento de pago extraviado, sustraído o apropiado indebidamente (artículo 46.1 RDL 19/2018). Si el banco demuestra que actuaste de forma fraudulenta o con negligencia grave, soportas todas las pérdidas. Y si el banco no exigió autenticación reforzada, solo respondes en caso de fraude por tu parte (artículo 46.2).

Consulta también nuestra página especializada en phishing bancario y estafas online.

---

La importancia de actuar rápido

El plazo para notificar al banco es fundamental: la ley exige avisar sin demora injustificada y, como máximo, en 13 meses desde el adeudo (artículo 43 RDL 19/2018). Cuanto más tiempo pase desde que detectas el fraude hasta que lo notificas, más argumentos puede esgrimir el banco para limitar su responsabilidad. Además, las operaciones fraudulentas se vuelven más difíciles de rastrear con el paso del tiempo.

Si has sido víctima de phishing bancario, consulta con un abogado especializado en el menor tiempo posible.

---

¿Tienes este problema? En ALY Abogados te asesoramos sin compromiso. La primera consulta se descuenta de los honorarios si nos encargas el asunto. Llama al 633 572 607 o consulta en lazaroamable.com.